AI Act od 2 sierpnia 2026 r. – czy JDG i małe firmy muszą go stosować i jaką dokumentację wdrożyć?

Aktualizacja: 8 września 2026 r. Od 2 sierpnia 2026 r. stosuje się zasadniczą część AI Act, w tym obowiązki przejrzystości z art. 50. Harmonogram ma jednak wyjątki, a lipcowy Digital Omnibus on AI zmienił m.in. terminy części wymogów dla systemów wysokiego ryzyka i treść obowiązku rozwijania kompetencji AI. Mała firma nie jest automatycznie zwolniona z regulacji, ale nie musi z samego faktu używania AI wdrażać całego systemu obowiązków przewidzianych dla dostawcy rozwiązania wysokiego ryzyka.

Zakres obowiązków zależy od tego, w jaki sposób przedsiębiorca korzysta z AI. Inna będzie sytuacja osoby prowadzącej JDG, która używa ChatGPT do przygotowania szkicu wiadomości, inna sklepu internetowego udostępniającego klientom chatbota, a jeszcze inna firmy tworzącej własny system do rekrutacji, oceny zdolności kredytowej lub podejmowania decyzji dotyczących pracowników.

Należy odróżnić bezpośrednio stosowany unijny AI Act od polskiej ustawy o systemach sztucznej inteligencji. Ustawę z 3 lipca 2026 r. ogłoszono 27 lipca; zasadniczo weszła w życie 11 sierpnia 2026 r. Art. 125 ust. 4 obowiązuje od 28 lipca, natomiast art. 8–18 oraz rozdziały 3–5, 8 i 9 zaczną obowiązywać 28 października 2026 r. Tak wynika z art. 127 ustawy i informacji ELI. Nie są to daty rozpoczęcia wszystkich obowiązków z unijnego rozporządzenia.

Czy AI Act dotyczy jednoosobowej działalności gospodarczej?

Tak. AI Act nie uzależnia stosowania przepisów od formy prawnej przedsiębiorcy. Jednoosobowa działalność gospodarcza może być dostawcą systemu AI, importerem, dystrybutorem albo podmiotem stosującym system AI, określanym w rozporządzeniu jako deployer.

Podmiotem stosującym jest osoba fizyczna lub prawna korzystająca z systemu AI w ramach swojej działalności zawodowej albo gospodarczej. Wyłączenie dotyczy osoby fizycznej korzystającej z AI wyłącznie w celach osobistych, niezwiązanych z działalnością zawodową. Oznacza to, że przedsiębiorca używający narzędzia AI do obsługi klientów, przygotowywania ofert, tworzenia treści, analizowania dokumentów albo zarządzania firmą może podlegać AI Act, nawet jeśli nie zatrudnia pracowników.  

Takie samo rozróżnienie zostało przyjęte w polskiej ustawie. Wyłączenie obejmuje osoby fizyczne korzystające z AI wyłącznie w celach osobistych i niezwiązanych między innymi z działalnością gospodarczą. Wprost potwierdza to, że prowadzenie JDG nie daje ogólnego zwolnienia z regulacji.  

Zakres obowiązków zależy od roli podmiotu i konkretnego zastosowania. Firma używająca gotowego narzędzia w swojej działalności zwykle występuje jako podmiot stosujący. Opracowanie rozwiązania lub zlecenie jego opracowania i wprowadzenie go pod własną nazwą może oznaczać rolę dostawcy. Przy zmianach systemu wysokiego ryzyka należy także sprawdzić przesłanki art. 25 AI Act. Nie wystarczy sam rozmiar firmy ani nazwa abonamentu.

Czy zwykłe korzystanie z ChatGPT oznacza rozbudowane obowiązki?

W typowej sytuacji przedsiębiorca, który korzysta z gotowego narzędzia generatywnego do tworzenia roboczych tekstów, streszczeń, pomysłów marketingowych, tłumaczeń albo analizy informacji, nie staje się dostawcą systemu AI. Jest podmiotem stosującym gotowe rozwiązanie.

Jeżeli wyniki systemu są wykorzystywane wyłącznie wewnętrznie, podlegają weryfikacji człowieka i nie służą do podejmowania decyzji w obszarach wysokiego ryzyka, zakres obowiązków wynikających bezpośrednio z AI Act jest ograniczony. Nie istnieje ogólny obowiązek zgłoszenia każdego narzędzia do urzędu, uzyskania certyfikatu ani przygotowania wielostronicowej polityki AI.

Nadal konieczne jest jednak przestrzeganie zakazów dotyczących określonych zastosowań AI, odpowiednie przygotowanie osób korzystających z systemów oraz realizowanie obowiązków przejrzystości, jeżeli sposób używania systemu mieści się w art. 50 AI Act. Niezależnie od tego trzeba również stosować RODO, przepisy o tajemnicy przedsiębiorstwa, prawa autorskie, prawo pracy i przepisy konsumenckie.

Przedsiębiorca powinien szczególnie uważać, aby nie wprowadzać do publicznych narzędzi danych osobowych, tajemnic klientów, informacji objętych tajemnicą zawodową, haseł, danych finansowych, dokumentacji medycznej ani poufnego kodu źródłowego bez wcześniejszej weryfikacji zasad przetwarzania danych przez dostawcę.

Jakie przepisy zaczynają być stosowane 2 sierpnia 2026 r.?

Od 2 sierpnia 2026 r. zaczyna być stosowana zasadnicza część AI Act, w tym art. 50 dotyczący przejrzystości niektórych systemów i treści AI. Obowiązki dotyczą przede wszystkim systemów wchodzących w bezpośrednią interakcję z człowiekiem, rozpoznawania emocji i kategoryzacji biometrycznej, deepfake’ów oraz określonych tekstów generowanych przez AI i publikowanych w sprawach interesu publicznego.  

Harmonogram trzeba czytać z uwzględnieniem rozporządzenia (UE) 2026/1744, czyli Digital Omnibus on AI (PDF). Rozdziały I i II zasadniczo stosuje się od 2 lutego 2025 r., a rozdział V dotyczący modeli ogólnego przeznaczenia od 2 sierpnia 2025 r., z przepisami przejściowymi. Po zmianie art. 113 wymogi rozdziału III, sekcje 1–3, z wyjątkiem art. 6 ust. 5, stosuje się od 2 grudnia 2027 r. do systemów z art. 6 ust. 2 i załącznika III oraz od 2 sierpnia 2028 r. do systemów z art. 6 ust. 1 i załącznika I. Nie oznacza to odroczenia całego AI Act; trzeba też uwzględnić szczególne terminy nowych zakazów i zasady dla wcześniej wprowadzonych systemów.

Dla małej firmy pierwszym krokiem jest ustalenie, które obowiązki dotyczą jej roli i faktycznego zastosowania narzędzia. Poniższe zalecenia organizacyjne nie stanowią jednego obowiązkowego pakietu dokumentów dla każdej JDG.

Czy trzeba informować klienta o wykorzystaniu AI?

Nie ma ogólnego obowiązku informowania klienta o każdym użyciu AI w firmie. Jeżeli przedsiębiorca wykorzystał AI do przygotowania roboczego projektu wiadomości, a następnie sam ją zweryfikował, poprawił i wysłał we własnym imieniu, AI Act nie nakazuje automatycznego dodawania informacji, że tekst powstał z pomocą sztucznej inteligencji.

Art. 50 ust. 1 nakłada na dostawcę obowiązek takiego zaprojektowania systemu bezpośrednio komunikującego się z osobami fizycznymi, aby wiedziały o interakcji z AI, chyba że jest to oczywiste z perspektywy rozsądnie poinformowanej i uważnej osoby w danym kontekście. Firma wdrażająca gotowego chatbota powinna ustalić z dostawcą sposób wyświetlania informacji i sprawdzić go w swoim interfejsie. Nie należy utożsamiać dostawcy systemu z każdym jego użytkownikiem biznesowym.

Mała firma wykorzystująca chatbota na stronie powinna więc zamieścić prosty komunikat, na przykład: „Rozmawiasz z wirtualnym asystentem wykorzystującym sztuczną inteligencję. Odpowiedzi mogą wymagać weryfikacji przez pracownika”.

Informacja powinna być widoczna najpóźniej przy rozpoczęciu rozmowy. Nie powinna być ukryta wyłącznie w regulaminie albo polityce prywatności.

Czy trzeba oznaczać teksty i grafiki stworzone przez AI?

Nie każda treść przygotowana przy pomocy AI musi być oznaczana widocznym napisem „wygenerowane przez sztuczną inteligencję”.

Art. 50 ust. 2 przewiduje po stronie dostawców systemów generujących syntetyczne audio, obrazy, wideo lub tekst techniczne oznaczanie wyników w formacie odczytywalnym maszynowo. Uwzględnia wykonalność techniczną i określone wyjątki, np. standardową pomocniczą edycję bez istotnej zmiany danych lub ich znaczenia. Dodany art. 111 ust. 4 daje dostawcom takich systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. czas na zgodność z art. 50 ust. 2 do 2 grudnia 2026 r. Ten okres przejściowy nie obejmuje automatycznie wszystkich obowiązków przejrzystości.

Art. 50 ust. 4 przewiduje po stronie podmiotu stosującego ujawnienie sztucznego pochodzenia obrazu, audio lub wideo stanowiącego deepfake. Dla treści będących częścią utworu ewidentnie artystycznego, twórczego, satyrycznego, fikcyjnego lub analogicznego sposób ujawnienia może być dostosowany tak, aby nie utrudniał prezentacji lub odbioru. Przepis przewiduje też wyjątek związany z prawnie dozwolonym wykorzystaniem w ściganiu przestępstw.

Ten sam przepis dotyczy tekstu wygenerowanego lub zmanipulowanego przez AI i publikowanego w celu informowania społeczeństwa o sprawach interesu publicznego. Przewiduje wyjątek, gdy treść przeszła kontrolę człowieka lub kontrolę redakcyjną i osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną za publikację. Nie jest to nakaz oznaczania każdego szkicu wiadomości lub opisu produktu, ale też samo dodanie nazwiska autora nie dowodzi przeprowadzenia kontroli.

W praktyce kontrola redakcyjna powinna obejmować sprawdzenie tez, źródeł i kontekstu, a nie tylko poprawienie pisowni. Zakres ujawnienia należy ustalać na podstawie art. 50 AI Act (PDF); oznaczenie AI nie zastępuje weryfikacji praw do treści ani rzetelności informacji.

Czy jednoosobowa firma musi szkolić samą siebie?

Po lipcowej zmianie art. 4 dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji AI personelu i innych osób używających systemów w ich imieniu. Należy uwzględnić ich wiedzę, doświadczenie, wykształcenie, kontekst użycia oraz osoby, na które system oddziałuje. Przepis wyraźnie nie wymaga zagwarantowania konkretnego poziomu kompetencji każdej osoby.

Przedsiębiorca powinien jednak posiadać wiedzę odpowiednią do sposobu wykorzystywania narzędzia. Powinien rozumieć jego ograniczenia, ryzyko błędnych odpowiedzi, zasady wprowadzania danych, konieczność kontroli wyników oraz zakaz używania AI w określonych celach.

W firmie z pracownikami lub współpracownikami działania mogą obejmować instruktaż, omówienie ograniczeń narzędzia, ćwiczenia weryfikacji odpowiedzi i zasady ochrony danych. Ich adekwatność zależy od konkretnego użycia. Samo podpisanie listy obecności ani zakup certyfikatu nie przesądzają o wykonaniu obowiązku. JDG bez personelu nie ma narzuconej formy „szkolenia samej siebie”; praktycznie nadal powinna rozumieć narzędzie i ryzyka swojej działalności.

AI Act nie ustanawia jednego urzędowego programu szkolenia ani obowiązku uzyskania konkretnego certyfikatu. Najważniejsze jest dopasowanie wiedzy użytkowników do systemu, kontekstu i ryzyka.

Praktyczne kroki dla JDG

Poniższe kroki są rekomendowanym sposobem uporządkowania pracy z AI, a nie ustawowo nazwanym zestawem dokumentów obowiązkowym dla każdej JDG. Konkretne obowiązki należy ustalić przed wyborem dokumentacji.

Przedsiębiorca powinien przede wszystkim ustalić, z jakich narzędzi korzysta i w jakich celach. Powinien wiedzieć, czy narzędzie służy wyłącznie do przygotowywania roboczych treści, czy jest bezpośrednio udostępniane klientom, czy analizuje dane osobowe oraz czy jego wyniki wpływają na decyzje dotyczące konkretnych osób.

Następnie należy sprawdzić, czy sposób korzystania z AI nie należy do praktyk zakazanych albo zastosowań wysokiego ryzyka. Typowy generator tekstu wykorzystywany pomocniczo nie będzie zwykle systemem wysokiego ryzyka. Ryzyko istotnie wzrasta, gdy AI ocenia kandydatów do pracy, pracowników, zdolność kredytową, uprawnienia do świadczeń, stan zdrowia albo dostęp do istotnych usług.

Kolejnym krokiem jest przyjęcie zasady, że wynik AI nie jest automatycznie uznawany za prawidłowy. Treść przeznaczona dla klienta, sądu, urzędu albo odbiorcy publicznego powinna być weryfikowana przez człowieka odpowiedzialnego za jej publikację.

Przedsiębiorca powinien również ograniczyć dane przekazywane do systemu. W razie potrzeby należy usuwać dane identyfikujące osoby, stosować anonimizację albo korzystać z wersji biznesowych narzędzi zapewniających odpowiednie warunki umowne i bezpieczeństwo.

Przy chatbotach przeznaczonych dla klientów warto sprawdzić wykonanie obowiązku informacyjnego dostawcy w rzeczywistym interfejsie. Przy publikacjach trzeba ocenić, czy firma jako podmiot stosujący ma obowiązek oznaczenia treści, oraz uwzględnić wyjątki z art. 50 ust. 4. Nie każde użycie AI wymaga identycznego komunikatu.

Czy JDG musi mieć politykę AI?

AI Act nie nakłada na każdą JDG bezwzględnego obowiązku posiadania dokumentu zatytułowanego „Polityka korzystania ze sztucznej inteligencji”. Nie istnieje też ogólny obowiązek prowadzenia rejestru wszystkich promptów ani każdej pojedynczej interakcji z chatbotem.

Jednostronicowa karta narzędzia może być pomocna organizacyjnie: nazwa i dostawca, cel użycia, rodzaje danych, zakres weryfikacji wyników, ograniczenia i data oceny. Nie jest urzędowym formularzem ani gwarancją spełnienia wszystkich przepisów. Wymagane dokumenty zależą od zastosowania i innych regulacji, zwłaszcza RODO.

W małej firmie zatrudniającej pracowników rozsądne jest przyjęcie krótkiej polityki AI. Powinna wyjaśniać, jakie narzędzia są dopuszczone, jakich danych nie wolno wprowadzać, kto odpowiada za sprawdzenie wyniku, kiedy wymagane jest oznaczenie treści oraz komu należy zgłaszać incydenty.

Instrukcja lub polityka może porządkować odpowiedzialność i dokumentować faktyczne działania. Nie należy jednak wywodzić z samego używania generatora tekstu uniwersalnego obowiązku posiadania ewidencji, analizy ryzyka i polityki w identycznym kształcie.

Jaką dokumentację warto przygotować?

W zwykłej JDG korzystającej pomocniczo z gotowych narzędzi można rozważyć poniższe materiały robocze. To rekomendacje organizacyjne, nie katalog dokumentów, których brak sam w sobie oznacza naruszenie AI Act.

Pomocna może być lista używanych narzędzi: dostawca, cel, użytkownicy, rodzaje danych i informacja, czy system kontaktuje się z klientami. Pozwala ustalić zakres dalszej analizy, ale nie jest powszechnym ustawowym rejestrem wszystkich systemów AI.

Warto zachować krótkie uzasadnienie przyjętej roli i kwalifikacji rozwiązania: dostawca czy podmiot stosujący, zastosowanie zawodowe, możliwe wysokie ryzyko i obowiązki przejrzystości. Jeżeli konkretny przepis wymaga udokumentowanej oceny, należy spełnić właśnie jego warunki, a nie poprzestać na dowolnej notatce.

Trzecim dokumentem może być instrukcja korzystania z AI. W JDG bez pracowników może mieć ona postać wewnętrznej notatki. W firmie zatrudniającej osoby korzystające z narzędzia powinna zostać przekazana pracownikom i współpracownikom.

Przy działaniach dotyczących kompetencji można zachować materiały instruktażowe i informacje o tym, komu i kiedy je przekazano. To sposób wykazania faktycznych działań, a nie nakaz uzyskania określonego certyfikatu lub stosowania jednej listy obecności.

Jeżeli firma korzysta z chatbota, powinna zachować treść stosowanego komunikatu informującego o interakcji z AI. Jeżeli publikuje materiały wymagające oznaczenia, powinna posiadać prostą procedurę albo wzór oznaczenia.

Jeżeli AI przetwarza dane osobowe, konieczna może być również aktualizacja dokumentacji RODO, w szczególności rejestru czynności przetwarzania, klauzul informacyjnych, umów powierzenia, analizy transferów danych oraz oceny ryzyka. Nie wynika to wyłącznie z AI Act, lecz z równoległego stosowania RODO.

Czy trzeba dokumentować każdy prompt?

Nie istnieje ogólny obowiązek archiwizowania wszystkich promptów wprowadzanych przez przedsiębiorcę do systemu AI.

Zapisywanie każdego polecenia mogłoby prowadzić do niepotrzebnego gromadzenia danych oraz zwiększenia ryzyka ujawnienia informacji poufnych. Dokumentacji powinny podlegać przede wszystkim zasady i procesy, a nie każda zwykła czynność użytkownika.

Inaczej może być, gdy AI jest wykorzystywana w procesie mającym istotny wpływ na osobę albo gdy konieczne jest odtworzenie sposobu podjęcia decyzji. Wówczas przechowywanie określonych danych wejściowych, wyników i informacji o weryfikacji przez człowieka może być potrzebne na podstawie AI Act, RODO, prawa pracy albo regulacji sektorowych.

Przy pomocniczym redagowaniu tekstów warto opisać sposób używania narzędzia i weryfikacji materiału. Taka zasada robocza nie zwalnia z odrębnych wymagań dotyczących danych, poufności, praw autorskich czy określonej działalności.

Kiedy mała firma potrzebuje bardziej rozbudowanej dokumentacji?

Dokładniejsza analiza jest potrzebna, gdy firma opracowuje własny system, udostępnia go pod własną marką, modyfikuje rozwiązanie albo stosuje je w potencjalnym obszarze wysokiego ryzyka. Nie należy jednak automatycznie przypisywać każdemu takiemu przypadkowi identycznej dokumentacji technicznej. Trzeba ustalić rolę, klasyfikację, warunki konkretnego obowiązku i termin jego stosowania.

Dodatkowa analiza jest potrzebna zwłaszcza przy systemach rekrutacyjnych, ocenie pracowników, monitorowaniu zachowania, ocenie zdolności kredytowej, ustalaniu dostępu do ubezpieczenia, analizie danych medycznych, identyfikacji biometrycznej oraz podejmowaniu decyzji istotnie wpływających na sytuację osób.

W takich przypadkach mogą pojawić się obowiązki dotyczące dokumentacji technicznej, rejestrowania zdarzeń, nadzoru człowieka, monitorowania, jakości danych, oceny wpływu na prawa podstawowe, rejestracji systemu i współpracy z dostawcą.

Należy jednak pamiętać, że terminy stosowania części wymogów dotyczących systemów wysokiego ryzyka zostały przesunięte w lipcu 2026 r. Nie oznacza to, że korzystanie z takich systemów jest obecnie całkowicie pozbawione regulacji. Nadal stosuje się między innymi RODO, prawo pracy, przepisy antydyskryminacyjne, zakazane praktyki AI i inne regulacje sektorowe.  

Polska ustawa i organ nadzorczy

Polska ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji oraz określa krajowe mechanizmy nadzoru. Trzeba jednak odróżnić ustanowienie organu od wejścia w życie poszczególnych kompetencji i procedur. Na 8 września 2026 r. część przepisów objętych terminem 28 października nie jest jeszcze stosowana.

Art. 8–18 polskiej ustawy przewidują opinie indywidualne i wyjaśnienia. Opłata za wniosek o opinię wynosi według ustawy 150 zł, a termin wydania i doręczenia co do zasady 30 dni, w sprawach szczególnie skomplikowanych 60 dni. Te przepisy wchodzą w życie 28 października 2026 r.; na datę tej aktualizacji nie należy przedstawiać tej procedury jako już dostępnej.

Co przedsiębiorca powinien zrobić od 2 sierpnia 2026 r.?

Typowa JDG korzystająca z AI nie musi przerywać używania narzędzi ani wdrażać rozbudowanego systemu certyfikacji. Powinna jednak uporządkować sposób ich używania.

Najważniejsze jest ustalenie, jakie narzędzia są wykorzystywane, do jakich celów, jakie dane do nich trafiają i czy ich wyniki są bezpośrednio przedstawiane klientom. Następnie należy sprawdzić, czy nie występuje zakazane zastosowanie, system wysokiego ryzyka albo obowiązek informowania o interakcji z AI.

JDG bez pracowników może zacząć od listy narzędzi i krótkiej notatki o zasadach ochrony danych oraz weryfikacji wyników. To praktyczny punkt wyjścia, nie obowiązkowe minimum dokumentacyjne wspólne dla wszystkich przedsiębiorców.

Dla małej firmy zatrudniającej pracowników warto dodatkowo przygotować krótką politykę AI, przeprowadzić instruktaż i zachować potwierdzenie zapoznania się pracowników z zasadami.

Jeżeli firma korzysta z chatbota, publikuje deepfake, automatycznie generuje informacje o sprawach publicznych albo podejmuje z użyciem AI decyzje dotyczące ludzi, powinna przeprowadzić dokładniejszą analizę.

Podsumowanie

AI Act obejmuje również jednoosobowe działalności gospodarcze i mikroprzedsiębiorców, jeżeli korzystają z systemów AI w ramach działalności zawodowej. Małe firmy nie są automatycznie zwolnione z regulacji, ale zakres ich obowiązków powinien być proporcjonalny do roli, sposobu używania systemu i poziomu ryzyka.

Przy gotowych narzędziach generatywnych warto zacząć od rozpoznania zastosowań, ochrony danych, kontroli wyników i kompetencji użytkowników. Obowiązki przejrzystości oraz ewentualne dalsze wymogi trzeba przypisać do konkretnej roli i systemu, a nie do samego faktu prowadzenia JDG.

Nie każda firma potrzebuje rozbudowanej polityki, certyfikatu szkoleniowego czy rejestru promptów. Dokumentacja powinna wynikać z ustalonych obowiązków i rzeczywistych procesów. Prosta notatka może być pomocna, ale nie stanowi uniwersalnego dowodu zgodności z całym prawem.

Szczególnej ostrożności wymagają chatboty udostępniane klientom, deepfake’i, publikacje dotyczące spraw interesu publicznego oraz systemy wykorzystywane w rekrutacji, zatrudnieniu, finansach, ubezpieczeniach i ochronie zdrowia.

Stan prawny opisano na 8 września 2026 r. Zasadnicza część polskiej ustawy obowiązuje już od 11 sierpnia, natomiast wskazane przepisy proceduralne zaczną obowiązywać 28 października. Harmonogram unijny należy czytać łącznie z lipcową nowelizacją, a nie według pierwotnej wersji AI Act.

Uzupełnieniem jest przegląd obowiązków firmy korzystającej ze sztucznej inteligencji. Dla rozwiązań udostępnianych w chmurze warto sprawdzić także RODO i dokumentację danych w SaaS.