AI Act: wejście w życie i terminy 2024–2028 (stan na październik 2026)

Harmonogram AI Act rozkłada stosowanie rozporządzenia (UE) 2024/1689 w sprawie sztucznej inteligencji na kilka lat: wejście w życie 1 sierpnia 2024 r., zakazane praktyki i kompetencje w zakresie AI od 2 lutego 2025 r., obowiązki GPAI od 2 sierpnia 2025 r., ogólne stosowanie od 2 sierpnia 2026 r. oraz obowiązki dotyczące systemów wysokiego ryzyka rozłożone w czasie do 2028 r. Od czasu Omnibusa cyfrowego wszystkie terminy stosowania są już ustalone.

• Już egzekwowalne: zakazy (art. 5) i kompetencje w zakresie AI (art. 4) od 2 lutego 2025 r., obowiązki GPAI (art. 51–55) od 2 sierpnia 2025 r.
• Od 2 sierpnia 2026 r.: obowiązki w zakresie przejrzystości (art. 50) i egzekwowanie przez organy, a do tego kary dla dostawców GPAI (art. 101).
• Obowiązki dotyczące systemów wysokiego ryzyka: załącznik III od 2 grudnia 2027 r., załącznik I od 2 sierpnia 2028 r., wiążąco ustalone rozporządzeniem Omnibus cyfrowy (UE) 2026/1744. Art. 26 (obowiązki podmiotów stosujących), art. 27 (FRIA, tylko załącznik III) i art. 73 (obowiązek zgłaszania) dotyczą wyłącznie systemów wysokiego ryzyka i zaczną obowiązywać dopiero w tych terminach.

Podstawa prawna i wejście w życie

Unijny AI Act to rozporządzenie (UE) 2024/1689 Parlamentu Europejskiego i Rady z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji. Zostało opublikowane w Dzienniku Urzędowym 12 lipca 2024 r. i weszło w życie 1 sierpnia 2024 r. Jako rozporządzenie stosowane bezpośrednio obowiązuje we wszystkich państwach członkowskich UE bez wdrażania do prawa krajowego. Samo wejście w życie jedynie uruchomiło zegar: bezpośrednie obowiązki jeszcze wtedy nie powstały.

Właściwy mechanizm kryje się w art. 113: AI Act uruchamia swoje obowiązki w kilku falach. To właśnie te rozłożone w czasie terminy AI Act sprawiają, że harmonogram ma znaczenie dla decydentów, bo w zależności od roli (dostawca, podmiot stosujący, dostawca GPAI) i kategorii ryzyka obowiązuje inna data.

Tabela kamieni milowych: harmonogram AI Act w skrócie

Poniższe zestawienie pokazuje najważniejsze terminy według art. 113 i art. 111 w brzmieniu nadanym przez rozporządzenie Omnibus cyfrowy (UE) 2026/1744. Rozporządzenie to opublikowano w Dzienniku Urzędowym 24 lipca 2026 r. i obowiązuje od 27 lipca 2026 r. Terminy stosowania podane w tabeli są zatem wiążące.

Etap 1 (od lutego 2025): zakazy i kompetencje w zakresie AI

Od 2 lutego 2025 r. obowiązują dwa bloki przepisów, które dotyczą każdego podmiotu stosującego, niezależnie od tego, czy dany system w ogóle uznaje się za system wysokiego ryzyka.

Po pierwsze zakazane praktyki (art. 5): osiem kategorii, które są w UE całkowicie zakazane. Dla firm w Europie szczególnie istotny jest art. 5 ust. 1 lit. f, czyli rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych (z wąskimi wyjątkami ze względów medycznych lub bezpieczeństwa). Agent HR analytics, który na podstawie wideo, audio lub danych biometrycznych wnioskuje o nastroju, koncentracji lub stresie pracowników, jest w miejscu pracy zakazany. Rozporządzenie Omnibus cyfrowy (UE) 2026/1744 uzupełniło art. 5 o dwa zakazy obowiązujące od 2 grudnia 2026 r.: systemy AI generujące intymne deepfake'i bez zgody osób, których dotyczą, oraz systemy AI generujące materiały przedstawiające seksualne wykorzystywanie dzieci.

Po drugie kompetencje w zakresie AI (art. 4): dostawcy i podmioty stosujące muszą podejmować działania wspierające kompetencje w zakresie AI swoich pracowników oraz osób, które w ich imieniu zajmują się obsługą systemów AI. Od 27 lipca 2026 r. art. 4 w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 nie wymaga już określonego poziomu kompetencji. Obowiązek dotyczy wszystkich poziomów ryzyka, a więc także wewnętrznych agentów o minimalnym ryzyku. Certyfikat nie jest wymagany. Udokumentowany program szkoleń pozostaje najlepszym dowodem, gdy organ nadzoru zacznie zadawać pytania.

Etap 2 (od sierpnia 2025): obowiązki GPAI

Od 2 sierpnia 2025 r. obowiązują wymogi dla dostawców modeli AI ogólnego przeznaczenia (GPAI, art. 51–55). Dotyczą one poziomu modelu, na którym opiera się praktycznie każdy nowoczesny agent. Za model GPAI uznaje się model o orientacyjnej mocy obliczeniowej użytej do trenowania od około 10^23 FLOP, zdolny do generowania języka; za model GPAI z ryzykiem systemowym uznaje się go, gdy skumulowana moc obliczeniowa użyta do trenowania przekracza 10^25 FLOP (art. 51 ust. 2). Kary dla dostawców GPAI (art. 101) stały się egzekwowalne 2 sierpnia 2026 r.; istniejące modele wprowadzone do obrotu przed 2 sierpnia 2025 r. mają czas na dostosowanie do 2 sierpnia 2027 r. (art. 111 ust. 3).

Etap 3 (od sierpnia 2026): ogólne stosowanie i przejrzystość

Od 2 sierpnia 2026 r. AI Act stosuje się ogólnie, a organy egzekwują jego przepisy. Dla podmiotów stosujących agentów AI liczy się przede wszystkim art. 50 (przejrzystość), a w przypadku dostawców GPAI dochodzą kary z art. 101. Art. 26 (obowiązki podmiotów stosujących) dotyczy natomiast tylko systemów AI wysokiego ryzyka i obowiązuje od 2 grudnia 2027 r. (załącznik III) lub od 2 sierpnia 2028 r. (załącznik I). Ocena skutków dla praw podstawowych (FRIA) z art. 27 dotyczy tylko niektórych podmiotów stosujących systemy z załącznika III i obowiązuje od 2 grudnia 2027 r. Również obowiązek zgłaszania poważnych incydentów z art. 73 dotyczy wyłącznie dostawców systemów wysokiego ryzyka. Dla oznakowania z art. 50 przewidziano okres przejściowy: dostawcy generatywnych systemów AI wprowadzonych do obrotu przed 2 sierpnia 2026 r. muszą wdrożyć oznakowanie w formacie nadającym się do odczytu maszynowego zgodnie z art. 50 ust. 2 do 2 grudnia 2026 r. Wszystkie pozostałe obowiązki z art. 50 obowiązują od 2 sierpnia 2026 r.

Etap 4 (od 2027/2028): systemy wysokiego ryzyka

Pierwotnie obowiązki dla systemów wysokiego ryzyka miały zacząć obowiązywać 2 sierpnia 2026 r. dla załącznika III i 2 sierpnia 2027 r. dla załącznika I (art. 6 ust. 1). Rozporządzenie Omnibus cyfrowy (UE) 2026/1744, obowiązujące od 27 lipca 2026 r., przesuwa oba terminy:

• Załącznik III (samodzielne kategorie wysokiego ryzyka, takie jak HR, kredyty, ubezpieczenia, infrastruktura krytyczna): na 2 grudnia 2027 r.
• Załącznik I (AI jako związany z bezpieczeństwem element produktów regulowanych, np. wyrobów medycznych i maszyn): na 2 sierpnia 2028 r.

Oba terminy są wiążące od wejścia w życie Omnibusa. Odroczenie dotyczy obowiązków dla systemów wysokiego ryzyka z sekcji 1–3 rozdziału III, do których należą także art. 26 i art. 27. Nie przesunięto art. 4 (kompetencje, nowe brzmienie), art. 5 (zakazy), przepisów dotyczących GPAI, art. 50 ani systemu kar. Dla oznakowania zgodnie z art. 50 ust. 2 istnieje jedynie okres przejściowy dla istniejących systemów do 2 grudnia 2026 r.

Okresy przejściowe i sankcje: przykład obliczeniowy

Okresy przejściowe AI Act zaczynają realnie działać dopiero dzięki systemowi kar. Trzy progi według art. 99:

Zawsze stosuje się wyższą kwotę. Konkretny przykład: średnia firma z regionu DACH (Niemcy, Austria, Szwajcaria) z rocznym obrotem 40 mln euro i 180 pracownikami (MŚP w rozumieniu UE) od sierpnia 2026 r. używa w obsłudze klienta samodzielnie opracowanego agenta AI. Agent nie informuje klientów, że rozmawiają z AI. Jako dostawca firma narusza w ten sposób art. 50 ust. 1, co mieści się w progu 2: 3% z 40 mln euro to 1,2 mln euro, a bezwzględna górna granica wynosi 15 mln euro. Bez statusu MŚP decydująca byłaby wyższa kwota, czyli do 15 mln euro.

Dla MŚP i start-upów obowiązuje jednak szczególna zasada z art. 99 ust. 6: stosuje się niższą z dwóch wartości, w przykładzie zatem do 1,2 mln euro. Od wejścia w życie rozporządzenia (UE) 2026/1744 ten limit dotyczy także małych spółek o średniej kapitalizacji (SMC), ale tylko w przypadku kar z art. 99 ust. 4 i 5. Za naruszenie art. 4 (kompetencje w zakresie AI) AI Act nie przewiduje odrębnych kar pieniężnych. Sankcje za nie określają państwa członkowskie na podstawie art. 99 ust. 1.

Dla agencji i decydentów B2B

Wniosek dla roadmapy: Omnibus przesunął przede wszystkim terminy dla systemów wysokiego ryzyka. Dla art. 50 ust. 2 istnieje tylko okres przejściowy dla istniejących systemów do 2 grudnia 2026 r. Kompetencje w zakresie AI (art. 4) są wymagane od lutego 2025 r., a przejrzystość zgodnie z art. 50 od sierpnia 2026 r. Agencje marketingowe i zespoły B2B powinny więc już teraz wdrożyć dwie rzeczy: udokumentowany program kompetencji w zakresie AI oraz inwentaryzację wszystkich punktów, w których klienci mają kontakt z AI, na potrzeby przejrzystości z art. 50. Kto używa agentów w HR, udzielaniu kredytów lub innych obszarach z załącznika III, wykorzystuje czas do grudnia 2027 r. na klasyfikację ryzyka, obowiązki podmiotu stosującego z art. 26 oraz, tam gdzie jest wymagana, FRIA. Blck Alpaca pomaga firmom w Europie zabezpieczyć stacki agentów pod kątem wiążącej części harmonogramu.

Uwaga: ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Aby wiążąco ocenić Twoje konkretne zastosowanie AI, skorzystaj z pomocy wykwalifikowanego prawnika.