AI Act już obowiązuje — co naprawdę zmienia dla małej firmy? [sierpień 2026]

• check_circle

  Tak, AI Act dotyczy też Twojej firmy — nawet jednoosobowej

  Jeśli używasz AI zawodowo (oferty w ChatGPT, chatbot na stronie, grafiki z generatora), jesteś w rozumieniu rozporządzenia „podmiotem stosującym" (deployerem). Wyłączony jest tylko użytek prywatny, pozazawodowy.

• check_circle

  Dla typowej mikrofirmy to 3 obowiązki, nie 30

  Poinformuj klienta, że rozmawia z chatbotem; oznaczaj deepfake'i i publikowane treści syntetyczne; zadbaj o podstawowe kompetencje AI u siebie i zespołu. Samo pisanie maili czy ofert z pomocą AI nie wymaga żadnego oznaczania.

• check_circle

  Kary brzmią groźnie, ale MŚP płacą według łagodniejszej zasady

  Nagłówki straszą karami do 35 mln euro. Dla naruszeń przejrzystości limit to 15 mln euro lub 3% obrotu — a wobec małych i średnich firm stosuje się NIŻSZĄ z tych kwot (art. 99 ust. 6). Obowiązki dla systemów wysokiego ryzyka odroczono do 2027–2028.

• check_circle

  Polska ustawa już w Dzienniku Ustaw, nadzór obejmie KRiBSI

  Ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie w sierpniu 2026. Nadzór nad AI Act w Polsce obejmie nowa Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która ma ruszyć jesienią 2026.

2 sierpnia 2026 roku minął najważniejszy termin unijnego rozporządzenia o sztucznej inteligencji: AI Act (rozporządzenie 2024/1689) stosuje się od tego dnia w pełni, a nie tylko we fragmentach. Odpowiedź na pytanie, które zadaje sobie właściciel każdej małej firmy, brzmi: tak, te przepisy dotyczą również Ciebie — wystarczy, że korzystasz z cudzych narzędzi AI w celach zawodowych. Ale zaraz po niej powinna paść druga odpowiedź, której w większości alarmujących artykułów brakuje: dla typowej mikrofirmy usługowej realne obowiązki sprowadzają się do trzech prostych rzeczy, a najcięższe wymagania — te dla systemów „wysokiego ryzyka" — zostały właśnie odroczone do końca 2027 i połowy 2028 roku.

Ten drugi punkt jest świeży i łatwo go przegapić: 27 lipca 2026 weszło w życie rozporządzenie zmieniające 2026/1744 (tzw. Digital Omnibus on AI), które przesunęło harmonogram AI Act. Wiele poradników opublikowanych przed tą datą podaje już nieaktualne terminy. W tym artykule znajdziesz kalendarz po zmianach, cztery typowe scenariusze mikrofirmy z jednoznaczną odpowiedzią „dotyczy / nie dotyczy", gotowe formułki oznaczania AI oraz informacje o polskiej ustawie wdrażającej — wszystko na podstawie tekstów rozporządzeń z EUR-Lex i Dziennika Ustaw, nie omówień z drugiej ręki.

Czy AI Act w ogóle dotyczy Twojej firmy? Provider, deployer i użytek prywatny

AI Act rozróżnia dwie podstawowe role. „Dostawca" (provider) to firma, która tworzy lub wprowadza na rynek system AI — OpenAI, Google, ale też polski software house sprzedający własnego chatbota. „Podmiot stosujący" (deployer) to każdy, kto używa systemu AI pod swoją kontrolą w działalności zawodowej. Definicja z art. 3 pkt 4 rozporządzenia zawiera jedno jedyne wyłączenie: użycie „w ramach osobistej działalności pozazawodowej". Innymi słowy: gdy planujesz w ChatGPT rodzinne wakacje — AI Act Cię nie obchodzi. Gdy w tym samym oknie piszesz ofertę dla klienta — jesteś deployerem.

Brzmi groźnie, ale bycie deployerem samo w sobie nie oznacza jeszcze żadnych ciężkich obowiązków. Zakres wymagań zależy od tego, CO robisz z AI, a nie od tego, że w ogóle jej używasz. Pełna lista obowiązków dotyczy systemów wysokiego ryzyka (np. AI oceniająca kandydatów do pracy) — i te przepisy zaczną obowiązywać dopiero od grudnia 2027. Dziś, w sierpniu 2026, małej firmy dotyczą w praktyce dwa artykuły: art. 4 (kompetencje AI w zespole) i art. 50 (przejrzystość — czyli oznaczanie).

Kalendarz AI Act po lipcowych zmianach — co obowiązuje od kiedy

Rozporządzenie wchodziło w życie etapami od 2024 roku, a Digital Omnibus z lipca 2026 przesunął ostatnie dwa etapy. Aktualny stan wygląda tak:

4 typowe scenariusze mikrofirmy — dotyczy czy nie dotyczy?

Przepisy najłatwiej zrozumieć na konkretach. Oto cztery sytuacje, które opisują sposób korzystania z AI w zdecydowanej większości małych firm — z jednoznaczną odpowiedzią dla każdej z nich.

//Scenariusz 1: Piszę oferty, maile i posty z pomocą ChatGPT lub Gemini

To najczęstszy przypadek — i najspokojniejszy. Obowiązek informowania z art. 50 dotyczy interakcji człowieka z systemem AI (chatbot), publikowanych treści syntetycznych i deepfake'ów. Mail czy oferta, którą przygotowałeś z pomocą AI, przeczytałeś i wysłałeś jako własną korespondencję, nie podlega obowiązkowi oznaczania — przepis nie wymaga informowania odbiorcy, że tekst powstał przy wsparciu narzędzia. Twój jedyny realny obowiązek w tym scenariuszu to art. 4: umieć korzystać z narzędzia świadomie (o tym niżej). Zdrowy rozsądek nadal obowiązuje: za błędy w ofercie odpowiadasz Ty, nie ChatGPT.

//Scenariusz 2: Mam chatbota na stronie internetowej

Tutaj obowiązek jest wprost: art. 50 ust. 1 wymaga, żeby osoba rozmawiająca z systemem AI została o tym poinformowana — chyba że jest to oczywiste z kontekstu dla „rozsądnie poinformowanej" osoby. W praktyce nie warto liczyć na „oczywistość": wystarczy komunikat w pierwszej wiadomości chatbota albo stały opis przy oknie czatu. Informacja ma być jasna i widoczna najpóźniej przy pierwszej interakcji. Jeśli Twój chatbot udaje konsultanta z imieniem i zdjęciem — to jest dokładnie ta praktyka, w którą przepis celuje.

//Scenariusz 3: Publikuję grafiki i teksty z AI na Facebooku, Instagramie i blogu

Dwie różne sytuacje. Deepfake — czyli wygenerowany lub zmanipulowany obraz, audio lub wideo przedstawiające realne osoby, miejsca lub zdarzenia jako autentyczne — musisz oznaczyć jako sztucznie wygenerowany (art. 50 ust. 4). Zwykła ilustracja z generatora (abstrakcyjna grafika do posta, wizualizacja wnętrza) deepfakiem nie jest. Przy tekstach publikowanych „w celu informowania opinii publicznej o sprawach leżących w interesie publicznym" przepis przewiduje ważne zwolnienie: obowiązek znika, gdy treść przeszła weryfikację człowieka i ktoś ponosi za nią odpowiedzialność redakcyjną. Dla bloga firmowego wniosek jest prosty: czytaj i redaguj to, co publikujesz — czego i tak wymaga zdrowy rozsądek oraz dbałość o markę.

//Scenariusz 4: Chcę używać AI do rekrutacji albo oceny pracowników

To jedyny z czterech scenariuszy, który wpada w kategorię wysokiego ryzyka (załącznik III rozporządzenia): systemy AI selekcjonujące kandydatów, oceniające pracowników czy decydujące o awansach. Obowiązki — nadzór człowieka, prowadzenie dokumentacji, monitorowanie działania systemu — zaczną obowiązywać od 2 grudnia 2027. Jeśli planujesz takie wdrożenie, masz ponad rok na przygotowanie i wybór dostawcy, który zapewni zgodność. Jeśli tylko wrzucasz CV do ChatGPT z prośbą o streszczenie — nie jesteś jeszcze w tej kategorii, ale uważaj na dane osobowe kandydatów (to akurat RODO, nie AI Act).

Kary — ile naprawdę grozi małej firmie?

Widełki z art. 99 robią wrażenie: do 35 mln euro lub 7% światowego rocznego obrotu za stosowanie zakazanych praktyk (manipulacja, scoring społeczny — rzeczy, których normalna firma i tak nie robi), do 15 mln euro lub 3% obrotu za naruszenie pozostałych obowiązków, w tym przejrzystości z art. 50, oraz do 7,5 mln euro lub 1% za podawanie organom nieprawdziwych informacji. Media chętnie cytują pierwszą liczbę, pomijając kluczowy dla małych firm ust. 6 tego samego artykułu: wobec MŚP i startupów każda z tych kar jest ograniczona do NIŻSZEJ z dwóch wartości — procentu obrotu albo kwoty. Dla firmy z obrotem 500 tys. zł rocznie matematyka wygląda więc zupełnie inaczej niż w nagłówkach.

Co ważne, rozporządzenie wprost nakazuje organom uwzględniać przy wymiarze kary interesy MŚP i ich kondycję ekonomiczną, a kara ma być proporcjonalna do wagi i skutków naruszenia. Realistyczny obraz na dziś: małej firmie, która oznaczy chatbota i nie publikuje nieoznaczonych deepfake'ów, nie grozi nic. Ignorowanie tematu w nieskończoność też jednak nie jest strategią — od jesieni 2026 skargi na naruszenia będzie w Polsce przyjmował wyspecjalizowany organ.

Polska ustawa i KRiBSI — kto będzie pilnował przepisów

AI Act jako rozporządzenie unijne obowiązuje bezpośrednio, ale kary i nadzór wymagały polskiej ustawy. Ta właśnie się pojawiła: ustawa z 3 lipca 2026 o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw 27 lipca 2026 (poz. 1003) i weszła w życie w sierpniu. Powołuje ona nowy organ — Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — który będzie rozpatrywał zgłoszenia naruszeń, prowadził kontrole i nakładał kary. Według harmonogramu Ministerstwa Cyfryzacji przewodniczący Komisji ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, a pełny skład w ciągu trzech — czyli KRiBSI realnie ruszy jesienią 2026.

Warto odnotować dwie rzeczy, które ustawa przewiduje z myślą o firmach, a nie przeciw nim: KRiBSI ma wydawać indywidualne opinie interpretacyjne dla przedsiębiorców (możesz zapytać, czy Twoje zastosowanie AI podlega obowiązkom, zanim cokolwiek Ci grozi) oraz prowadzić piaskownice regulacyjne, w których nowe rozwiązania AI można testować pod okiem regulatora. To znacznie przyjaźniejszy model niż „czekamy, aż przyjdzie kontrola".

Checklista na sierpień 2026 — 5 kroków dla małej firmy

• checklist

  1. Zinwentaryzuj, gdzie używasz AI

  Spisz na kartce: ChatGPT/Gemini do tekstów? Chatbot na stronie? Generator grafik? Automatyczne odpowiedzi? Narzędzie AI w programie księgowym? Lista zajmie 10 minut i od razu pokaże, które obowiązki Cię dotyczą.

• smart_toy

  2. Oznacz chatbota na stronie

  Jeden komunikat w oknie czatu załatwia obowiązek z art. 50 ust. 1. Gotową formułkę znajdziesz wyżej. Przy okazji sprawdź, czy chatbot nie „udaje człowieka" imieniem i zdjęciem konsultanta.

• rate_review

  3. Wprowadź zasadę: nic z AI nie wychodzi bez przeczytania przez człowieka

  Jedna reguła rozwiązuje dwa problemy naraz: spełnia warunek weryfikacji redakcyjnej z art. 50 ust. 4 dla publikowanych tekstów i chroni Cię przed wpadką wizerunkową, gdy AI coś zmyśli.

• school

  4. Zadbaj o kompetencje AI w zespole (art. 4)

  Obowiązek jest proporcjonalny do skali — w mikrofirmie wystarczy krótkie wewnętrzne szkolenie: co wolno wkleić do AI (nigdy dane osobowe klientów), jak weryfikować odpowiedzi, kiedy AI się myli. Zanotuj datę i zakres — to Twój dowód należytej staranności.

• event

  5. Zapisz w kalendarzu grudzień 2027 — jeśli planujesz AI w rekrutacji

  Systemy wysokiego ryzyka (rekrutacja, ocena pracowników) wchodzą 2.12.2027. Jeśli to nie Twój przypadek — odhacz i wróć do pracy. AI Act w obecnym kształcie nie wymaga od typowej mikrofirmy nic więcej.

Podsumowanie — trzy obowiązki zamiast paniki

AI Act od 2 sierpnia 2026 stosuje się w pełni i formalnie obejmuje każdą firmę korzystającą z AI zawodowo. W praktyce dla mikrofirmy sprowadza się to do oznaczenia chatbota, uczciwego oznaczania treści syntetycznych przedstawianych jako prawdziwe oraz świadomego, przeszkolonego korzystania z narzędzi. Najcięższe obowiązki odroczono do grudnia 2027 i sierpnia 2028, kary dla MŚP liczone są według łagodniejszej zasady, a polski nadzór — KRiBSI — dopiero się organizuje i ma ustawowe narzędzia, żeby firmom pomagać, nie tylko je karać. To dobry moment, żeby uporządkować temat raz i mieć spokój.

Jeśli nie masz pewności, czy chatbot, formularze i treści na Twojej stronie są poprawnie oznaczone i zgodne z nowymi przepisami — sprawdzimy to w ramach bezpłatnego audytu strony. A jeśli AI ma u Ciebie szerszy kontekst (poczta, automatyzacje, bezpieczeństwo firmowego IT), rzuć okiem na naszą stałą obsługę informatyczną dla małych firm.