Harmonogram AI Act 2026/27: stan wdrożenia i co zmienia Digital Omnibus

Monitor wdrażania unijnego AI Act zestawia wiążące kamienie milowe wdrażania rozporządzenia w sprawie AI (rozporządzenie (UE) 2024/1689) na lata 2026 i 2027. Najważniejsze punkty odniesienia: obowiązki w zakresie przejrzystości z art. 50 mają zastosowanie od 2 sierpnia 2026 r. Systemy generatywne, które były na rynku już wcześniej, muszą wprowadzić oznakowanie nadające się do odczytu maszynowego do 2 grudnia 2026 r. Obowiązki dla systemów wysokiego ryzyka z załącznika III mają po Digital Omnibus zastosowanie dopiero od 2 grudnia 2027 r. Wszystkie dane według stanu na październik 2026.

Ten artykuł jest żywym dokumentem. AI Act jest w samym środku fazy wdrażania. Tak zwany Digital Omnibus (rozporządzenie (UE) 2026/1744) został opublikowany w Dzienniku Urzędowym 24 lipca 2026 r., obowiązuje od 27 lipca 2026 r. i w wiążący sposób przesunął kilka terminów. Niemcy mają swoją ustawę wykonawczą od końca lipca 2026 r., a Austria nie przedstawiła wtedy jeszcze żadnego projektu. Dlatego zaznaczamy, co już obowiązuje, a co pozostaje otwarte.

Trzy szybkie odpowiedzi dla decydentów

• Co jest istotne od razu? Przejrzystość z art. 50 obowiązuje od 2 sierpnia 2026 r. Systemy generatywne, które były na rynku już wcześniej, muszą wprowadzić oznakowanie nadające się do odczytu maszynowego do 2 grudnia 2026 r. Każda firma, która używa chatbotów, agentów głosowych lub generatywnej AI w kontaktach z klientami, jest objęta tymi przepisami, niezależnie od statusu wysokiego ryzyka.
• Co zostało przesunięte? Na mocy Digital Omnibus, obowiązującego od 27 lipca 2026 r., systemy wysokiego ryzyka z załącznika III przesuwają się na 2 grudnia 2027 r., a AI objęta przepisami o bezpieczeństwie produktów (załącznik I) na 2 sierpnia 2028 r. Nowe terminy są wiążące.
• Czego nie przesunięto? Zakazów (art. 5) i kompetencji w zakresie AI (art. 4), obowiązujących od 2 lutego 2025 r., obowiązków GPAI od 2 sierpnia 2025 r. oraz systemu kar. Omnibus złagodził jednak treść art. 4. Przesunięcie terminów nie daje carte blanche na odkładanie zarządzania AI.

Monitor wdrażania: data, obowiązek, status

Poniższa tabela przedstawia najważniejsze kamienie milowe wdrażania AI Act w okresie 2026-2028. Status odzwierciedla stan na październik 2026, czyli po wejściu w życie Digital Omnibus 27 lipca 2026 r.

Co zmienia Digital Omnibus, a czego nie zmienia

Digital Omnibus to najważniejsze wydarzenie roku we wdrażaniu AI Act. Po porozumieniu politycznym z 7 maja 2026 r. nastąpiło formalne przyjęcie, a od 27 lipca 2026 r. rozporządzenie obowiązuje. Przesuwa ono większość materialnych obowiązków dotyczących systemów wysokiego ryzyka:

• Załącznik III (samodzielne systemy wysokiego ryzyka), np. AI w obszarze HR (selekcja CV, ocena wyników pracy), ocena zdolności kredytowej, ustalanie cen ubezpieczeń, edukacja, infrastruktura krytyczna: z 2 sierpnia 2026 r. na 2 grudnia 2027 r.
• Załącznik I (AI jako związany z bezpieczeństwem element produktów regulowanych), np. wyroby medyczne, maszyny, windy: z 2 sierpnia 2027 r. na 2 sierpnia 2028 r. Omnibus dodatkowo zawęża definicję „związanego z bezpieczeństwem elementu”.
• Piaskownice regulacyjne w zakresie AI (sandboxes): organy krajowe muszą je utworzyć do 2 sierpnia 2027 r. (przesunięte z 2 sierpnia 2026 r.).

Równie ważne jest to, czego Omnibus nie przesuwa: rozpoczęcia stosowania art. 5 (zakazy) i art. 4 (kompetencje w zakresie AI), obowiązków GPAI (art. 51-55), przejrzystości z art. 50 od 2 sierpnia 2026 r. oraz systemu kar. Merytorycznie wprowadził jednak zmiany. Art. 4 wymaga już tylko działań wspierających kompetencje w zakresie AI, a nie ich określonego poziomu. W ramach art. 50 ust. 2 systemy generatywne, które były na rynku przed 2 sierpnia 2026 r., otrzymują okres przejściowy do 2 grudnia 2026 r.; nowe systemy muszą oznaczać treści od chwili wejścia na rynek. Czołowe kancelarie prawne konsekwentnie ostrzegają przed odczytywaniem przesunięcia jako zachęty do wstrzymania prac nad zarządzaniem AI. Nowością są zakazy dotyczące systemów AI służących do tworzenia intymnych treści bez zgody osób przedstawionych oraz generowanych przez AI materiałów przedstawiających seksualne wykorzystywanie dzieci („nudification apps”). Obowiązują od 2 grudnia 2026 r.

Art. 50: obowiązki w zakresie przejrzystości w szczegółach

Dla większości firm w Europie, a zwłaszcza dla agencji marketingowych, art. 50 to operacyjnie najistotniejszy termin 2026 roku, ponieważ ma zastosowanie niezależnie od statusu wysokiego ryzyka. Rozporządzenie przewiduje cztery obowiązki:

W praktyce oznacza to: kto korzysta z chatbota lub wdraża agenta głosowego, musi zapewnić ujawnienie, że rozmówcą jest AI (wyjątek „oczywiste z kontekstu” jest interpretowany wąsko: głos brzmiący jak ludzki musi ujawnić, że jest AI). Kto publikuje treści generatywne, potrzebuje oznakowania nadającego się do odczytu maszynowego. W przypadku filmów produktowych lub influencerskich przypominających deepfake obowiązek ujawnienia po stronie podmiotów stosujących ma zastosowanie w pełnym zakresie.

Obowiązki GPAI: już w pełni egzekwowane

Obowiązki dotyczące modeli AI ogólnego przeznaczenia (art. 51-55) mają zastosowanie od 2 sierpnia 2025 r. i dotyczą warstwy modelu, na której opiera się praktycznie każdy stos agentowy. Ważne fakty: kary dla GPAI (art. 101, do 15 mln euro lub 3%) mogą być egzekwowane od 2 sierpnia 2026 r.; Omnibus nie przesunął tego terminu. Starsze modele wprowadzone do obrotu przed 2 sierpnia 2025 r. (np. klasy GPT-4) mają czas do 2 sierpnia 2027 r., aby osiągnąć pełną zgodność (art. 111 ust. 3).

Rozróżnienie między GPAI a GPAI z ryzykiem systemowym zależy od mocy obliczeniowej: od 10 do potęgi 25 FLOP skumulowanej mocy obliczeniowej użytej do trenowania domniemywa się ryzyko systemowe (art. 51 ust. 2). Kto podpisze kodeks praktyk GPAI (opublikowany 10 lipca 2025 r.), może się na nim opierać, aby wykazać przestrzeganie swoich obowiązków (art. 53 ust. 4, art. 55 ust. 2). Nie powstaje przez to ustawowe domniemanie zgodności. Komisja uwzględnia jednak zobowiązania podjęte w kodeksie przy ustalaniu wysokości kar (art. 101 ust. 1).

Konkretny przykład z praktyki: agent głosowy w obsłudze klienta

Firma z sektora MŚP z regionu DACH (Niemcy, Austria, Szwajcaria) planuje na czerwiec 2027 r. uruchomienie agenta głosowego na infolinii obsługującej połączenia przychodzące. Które terminy są wiążące?

• Art. 50 ust. 1 od 2 sierpnia 2026 r.: agent musi na początku rozmowy poinformować, że jest AI. Przy uruchomieniu w czerwcu 2027 r. ujawnienie jest obowiązkowe od pierwszego dnia.
• Art. 4 od 2 lutego 2025 r.: firma musi podjąć działania wspierające kompetencje w zakresie AI pracowników obsługujących system. Najlepszym dowodem jest udokumentowany program szkoleń. Art. 99 nie przewiduje odrębnego progu kar dla art. 4; to, czy naruszenie podlega sankcjom, regulują państwa członkowskie (art. 99 ust. 1).
• Współdecydowanie według krajowego prawa pracy: przed uruchomieniem trzeba zaangażować radę zakładową (Niemcy: § 87 Abs. 1 Nr. 6 BetrVG; Austria: § 96 i § 96a ArbVG). Zwykle wydłuża to harmonogram o 3-6 miesięcy. Art. 26 ust. 7 AI Act wymaga dodatkowo poinformowania przedstawicieli pracowników i pracowników, których to dotyczy, gdy tylko system zostanie uznany za system wysokiego ryzyka.
• Ocena pod kątem wysokiego ryzyka: dopóki agent zajmuje się wyłącznie triażem i przekierowywaniem połączeń i nie podejmuje decyzji o dostępie do usług podstawowych, pozostaje poza załącznikiem III. Jeśli korzysta z danych kadrowych lub kredytowych, może trafić do pkt 4 lub 5 załącznika III. Wtedy od 2 grudnia 2027 r. miałby zastosowanie pełny reżim wysokiego ryzyka.

Wąskim gardłem jest więc współdecydowanie, a nie termin dla systemów wysokiego ryzyka w grudniu 2027 r.: przy uruchomieniu w czerwcu 2027 r. proces ten musi ruszyć najpóźniej pod koniec 2026 r. Obowiązek ujawnienia z art. 50 i tak obowiązuje od sierpnia 2026 r.

Wdrożenie krajowe w regionie DACH (stan na październik 2026)

• Niemcy: ustawa o nadzorze rynku i wspieraniu innowacji w dziedzinie sztucznej inteligencji (KI-MIG) weszła w życie 29 lipca 2026 r. Od tego czasu Bundesnetzagentur jest organem nadzoru rynku, pojedynczym punktem kontaktowym i organem rozpatrującym skargi w zakresie AI Act. W obszarach produktów objętych pełną harmonizacją właściwe pozostają dotychczasowe organy, np. BaFin w sektorze finansowym.
• Austria: według ORF pod koniec lipca 2026 r. nie było jeszcze rządowego projektu ustawy wdrożeniowej ani wyznaczonego organu nadzoru rynku zgodnie z art. 70; Urząd Kanclerza Federalnego powoływał się na trwające rozmowy. KI-Servicestelle przy RTR pełni na razie funkcję doradczą. Sektorowo obszar finansowy nadzoruje FMA.
• Szwajcaria: brak bezpośrednich kar z AI Act; FINMA (Guidance 08/2024) i Swissmedic pozostają właściwe sektorowo. Od 1 kwietnia 2025 r. cyberataki na infrastrukturę krytyczną trzeba zgłaszać do Federalnego Urzędu ds. Cyberbezpieczeństwa (BACS). Ustawa wdrażająca konwencję Rady Europy o sztucznej inteligencji ma trafić do konsultacji do końca 2026 r. Na podstawie art. 2 ust. 1 lit. c AI Act obejmuje szwajcarskie firmy, których wyniki generowane przez AI są wykorzystywane w UE.

Uwaga: to redakcyjne opracowanie nie zastępuje porady prawnej. Według stanu na październik 2026 otwarte pozostają przede wszystkim ostateczne wytyczne Komisji dotyczące systemów wysokiego ryzyka oraz wdrożenie w Austrii. Sprawdzaj oba te punkty przed każdą decyzją, co najmniej raz na kwartał.

Dla agencji i B2B: zgodność z przepisami w praktyce już teraz

Dla agencji marketingowych najbardziej oczywisty obowiązek przesuwa się na wcześniej: kto buduje dla klientów chatboty, agentów głosowych lub generatywne materiały do kampanii, od 2 sierpnia 2026 r. współodpowiada za przejrzystość. Termin 2 grudnia 2026 r. dotyczy oznakowania nadającego się do odczytu maszynowego tylko w przypadku systemów generatywnych, które były na rynku już przed sierpniem 2026 r.; nowe systemy muszą oznaczać treści od chwili wejścia na rynek. W modelu white label pułapka „rebrandingu” z art. 25 może sprawić, że agencja przejmie pełną rolę dostawcy. Dla decydentów B2B przesunięte terminy dla systemów wysokiego ryzyka nie są powodem do odwołania alarmu, lecz oknem na planowanie. W Blck Alpaca pomagamy firmom w całej Europie zinwentaryzować swoich agentów AI, przypisać terminy do poszczególnych systemów oraz w porę wdrożyć procesy przejrzystości, oznakowania i współdecydowania. Odezwij się do nas po ustrukturyzowany przegląd zgodności, zanim zaczną obowiązywać terminy dla systemów wysokiego ryzyka w 2027 r.