• Od 2 sierpnia rusza nadzór rynku: organy zyskują realne kompetencje do kontroli i egzekwowania przepisów AI Act.
• Polska ustawa podpisana przez prezydenta otwiera drogę do praktycznego stosowania regulacji i potencjalnych sankcji.
• Czy polskie firmy są gotowe na zmiany? Ekspertki, z którymi rozmawialiśmy, wskazują, że poziom świadomości jest bardzo różny, a część z organizacji nadal nie tylko ignoruje temat nadchodzących przepisów, ale też tych, które dotyczą zakazanych zastosowań AI, mimo że obowiązują one już od 2025 r.
• - Jeśli chodzi o poziom przygotowania biznesu w Polsce na nowe obowiązki, widzę, że świadomość rośnie, ale jest bardzo nierówna - ocenia dla WNP dr Gabriela Bar. 
• - Wiele przedsiębiorstw dopiero rozpoczyna identyfikację wykorzystywanych systemów AI i ocenę ryzyk, dlatego najbliższe miesiące będą kluczowe dla uporządkowania procesów oraz zapewnienia zgodności z AI Act - stwierdza z kolei dr Judyta Latymowicz. 

Sztuczna inteligencja to niewątpliwie technologia, która jest na ustach wszystkich, którzy chcą nadążyć za zmianami towarzyszącymi wielu branżom: od transportu po logistykę, energetykę, e-commerce, marketing czy szeroko pojęty sektor nowych technologii. Zastosowania AI można by mnożyć - nie tylko pod kątem korzystania z popularnych chatbotów do codziennej pracy czy szukania rozwiązań, ale coraz częściej kwestia dużych modeli językowych pojawia się w strategiach firm, prezentacjach dyrektorów i marketingowych propozycjach.

Jednak za powszechnymi deklaracjami o korzystaniu z systemów AI, nie zawsze idzie realne zrozumienie tego, czym w praktyce są LLM-y (duże modele językowe) i z jakimi konsekwencjami prawnymi wiąże się ich zastosowanie. W efekcie wiele organizacji funkcjonuje w przekonaniu, że „już używa AI”, jednocześnie nie mając świadomości obowiązków wynikających z regulacji, tj. Aktu o sztucznej inteligencji (unijnego rozporządzenia AI Act). To z kolei oznacza, że mimo rosnącego zainteresowania technologią, duża część firm wciąż nie jest przygotowana na kolejne, nowe przepisy. 

Tymczasem lada dzień, bo już 2 sierpnia 2026 r. wchodzą w życie regulacje w zakresie transparentności sztucznej inteligencji (art. 50.), które zakładają m.in. obowiązek informowania o korzystaniu z AI czy oznaczania deepfake’ów na podstawie Aktu o sztucznej inteligencji. Obowiązki obejmują szerokie spektrum podmiotów i zależą od ich roli: providera - dostawcy systemu AI lub deployera - wdrażającego system w ramach swojej działalności.

- Od 2 sierpnia 2026 r. zaczynają być stosowane przepisy dotyczące informowania człowieka, że wchodzi w bezpośrednią interakcję z systemem AI, informowania o stosowaniu systemów rozpoznawania emocji i kategoryzacji biometrycznej oraz ujawniania deepfake’ów i niektórych tekstów wygenerowanych przez AI. Obowiązki te nie dotyczą wyłącznie wyspecjalizowanych, wielkoskalowych producentów technologii. Mogą mieć znaczenie dla banku korzystającego z voicebota, sklepu internetowego z chatbotem, influencerów, redakcji wykorzystującej generatywną AI czy agencji publikującej syntetyczne materiały reklamowe - tłumaczyła w rozmowie z WNP dr Paula Skrzypecka, CEO i współzałożycielka AI Leaders, prawniczka zajmująca się prawem nowych technologii i AI governance.

Na jakie zmiany muszą się w takim razie przygotować firmy, które w jakikolwiek sposób wdrażają lub korzystają z systemów opartych na sztucznej inteligencji? 

W rozmowie z WNP tłumaczy to krok po kroku dr Gabriela Bar, radczyni prawna w obszarze AI i nowych technologii. Jak wskazuje, z praktycznego punktu widzenia kluczowe są trzy obszary: po pierwsze,  dotyczący przejrzystości nakłada obowiązki na dostawców chatbotów i innych systemów wchodzących w bezpośrednie interakcje z człowiekiem.

- Takie systemy będą musiały informować użytkownika, że rozmawia z AI, a nie z człowiekiem. Jest przewidziany wyjątek, gdy jest to oczywiste ze względu na okoliczności, ale to zawsze jest kwestia oceny, a z mojego doświadczenia wynika, że lepiej jasno informować, że mamy do czynienia z chatbotem czy voicebotem. Widziałam sytuacje, w których szczególnie osoby starsze lub mniej obeznane z technologią nie zdawały sobie sprawy, że rozmawiają ze sztuczną inteligencją, a nie z człowiekiem - tłumaczy. 

Po drugie, pojawia się obowiązek oznaczania treści syntetycznych. - To jest obrazu, wideo i audio przez dostawców, w sposób techniczny, maszynowo odczytywalny, czyli poprzez tzw. watermarking - wskazuje.

Po trzecie, regulacje zakładają obowiązek oznaczania tzw. deepfake’ów. - W AI Act deepfake’i są zdefiniowane szeroko: to nie muszą być treści stworzone wyłącznie po to, żeby wprowadzić w błąd, ale po prostu treści syntetyczne, które przypominają rzeczywiste obrazy, zdarzenia, ludzi. W praktyce oznacza to, że jeśli w firmie generujemy np. grafiki na social media, elementy reklam czy inne materiały wizualne przy użyciu AI, które łudząco przypominają rzeczywiste osoby lub sytuacje, to takie treści będą podlegały obowiązkowi oznaczenia jako „AI-generated content” - dodaje prawniczka. 

Podaje przykład: dotyczy to również świata polityki, jeżeli ktoś wygeneruje wizerunek polityka, który jest łudząco podobny do rzeczywistej osoby, nawet jeśli odbiorca się domyśla, że to treść wygenerowana przez AI, z praktycznego punktu widzenia nadal pojawia się obowiązek oznaczenia.

W mojej praktyce zawodowej takie przypadki już się zdarzają w biznesie: klienci generują reklamowe materiały wizualne i pytają, czy dana treść będzie kwalifikowana jako deepfake i jakie oznaczenia są konieczne. Komisja Europejska opublikowała wytyczne dotyczące realizacji obowiązków z artykułu 50., w tym oznaczania treści sztucznie wygenerowanych. To ważny dokument dla przedsiębiorców, bo pokazuje, jak rozumieć i wdrażać te obowiązki w praktyce - mówi nam dr Gabriela Bar. 

Na podobne kwestie zwraca uwagę także dr Judyta Latymowicz, partnerka w kancelarii LEGALLY.SMART. - Z praktycznego punktu widzenia oznacza to konieczność zweryfikowania, gdzie i w jaki sposób AI jest wykorzystywana w organizacji oraz czy w określonych przypadkach użytkownicy są właściwie informowani o interakcji z systemem AI lub o treściach wygenerowanych przez sztuczną inteligencję. Dla wielu firm będzie to również dobry moment na przeprowadzenie audytu wykorzystywanych narzędzi AI oraz uporządkowanie wewnętrznych procedur związanych z ich stosowaniem, w szczególności w kontekście wymogów związanych z wprowadzeniem przepisów dotyczących systemów AI wysokiego ryzyka oraz konieczności wykorzystywania takich systemów zgodnie z instrukcjami dostawcy - podkreśla. 

Dr Gabriela Bar przypomina, że z punktu widzenia biznesu istotne jest rozróżnienie adresatów obowiązków, tj. informowania, że mamy do czynienia z chatbotem, a nie człowiekiem czy obowiązek technicznego oznaczania treści syntetycznych (watermarking) dotyczący przede wszystkim dostawców systemów AI, tzn. producentów narzędzi, takich jak np. twórcy modeli wykorzystywanych w czatach konwersacyjnych.

- Natomiast obowiązek oznaczania deepfake’ów spoczywa na przedsiębiorcy, który posługuje się danym systemem. Jeżeli w ramach swojej działalności wygeneruję treść łudząco przypominającą rzeczywiste zdarzenia czy osoby, to właśnie na mnie jako użytkowniku biznesowym ciąży obowiązek jej odpowiedniego oznaczenia - komentuje ekspertka. 

Za naruszenie obowiązków z art. 50. - jak objaśniała nam dr Paula Skrzypecka - podmiot, który nie dostosuje się do regulacji, może podlegać administracyjnej karze pieniężnej do 15 mln euro albo do 3 proc. całkowitego światowego rocznego obrotu z poprzedniego roku finansowego (w zależności od tego, która wartość jest wyższa). 

Dr Judyta Latymowicz zwraca uwagę, że aby uniknąć kar finansowych przewidzianych w przepisach, przede wszystkim przedsiębiorcy powinni wiedzieć, jakie systemy AI są wykorzystywane w ich organizacji i do jakich celów.

To punkt wyjścia do oceny, jakie obowiązki wynikają z AI Act i czy wymagane jest np. spełnienie obowiązków transparentności lub wdrożenie dodatkowych procedur. Warto również zweryfikować wewnętrzne zasady korzystania z AI, przeszkolić pracowników oraz regularnie monitorować zmiany w przepisach i wytycznych Komisji Europejskiej. Jest to szczególnie istotne, ponieważ AI Act jest wdrażany etapowo - kolejne obowiązki będą wchodzić w życie w różnych terminach, dlatego firmy powinny na bieżąco dostosowywać swoje procesy do nowych wymagań - zaznacza. 

Co ciekawe, na podstawie publicznych deklaracji łatwo można ulec złudzeniu, że polskie firmy w większości wdrażają AI lub przynajmniej stosują jakiekolwiek narzędzia. Okazuje się, że nic bardziej mylnego, a jeśli spojrzymy na twarde dane, to sytuacja prezentuje się zgoła inaczej. 

W WNP opisywaliśmy szczegółowo wnioski z raportu Grupy Banku Światowego o sztucznej inteligencji i jej wpływie na rozwój gospodarki - analitycy szacowali, że odpowiednie wykorzystanie technologii AI może zwiększyć polski PKB o 1,3 proc. - 12,1 proc. do 2035 r.

Tyle tylko, że Polska wyraźnie odstaje od europejskich liderów w zakresie wykorzystania AI, a luka ta nie wynika z ograniczonego dostępu do technologii, lecz z jakości zarządzania i struktury przedsiębiorstw. Co pokazują dane? Tylko 8 proc. firm korzysta z AI, podczas gdy w krajach takich jak Austria czy Czechy odsetek ten jest kilkukrotnie wyższy. Jednocześnie rośnie zjawisko tzw. shadow AI, czyli wykorzystanie narzędzi bez wiedzy i zgody firm (według raportu Dagma Bezpieczeństwo IT/ ESET „Cyberportret polskiego biznesu 2026”, którego premiera odbyła się w czasie tegorocznego CYBERSEC EXPO & FORUM z danych wynikało wprost: 62 proc. pracowników już korzysta z AI, często bez jasnych zasad i nadzoru). 

Czy wobec tego biznes jest gotowy na nowe regulacje, skoro często zarządzający nawet nie wiedzą, że ich pracownicy używają LLM-ów, a firmowe dane wprowadzone są do chatbotów poza ich kontrolą?

Jeśli chodzi o poziom przygotowania biznesu w Polsce na te nowe obowiązki widzę, że świadomość rośnie, ale jest bardzo nierówna. Najlepiej przygotowane są sektory regulowane, takie jak sektor finansowy, telekomunikacyjny czy energetyczny, a także inne branże podlegające ścisłemu nadzorowi. Średnie przedsiębiorstwa zazwyczaj są na etapie, w którym wiedzą, że AI istnieje i że muszą podjąć działania compliance, ale robią to raczej punktowo: wprowadzają politykę korzystania z AI, organizują szkolenia, zlecają analizy pod kątem konkretnego wdrożenia systemu opartego na AI, zamiast patrzeć na temat całościowo - ocenia dr Gabriela Bar. 

Jak dodaje, najmniej przygotowane są mikro- i małe firmy, które często zakładają, że skoro „tylko korzystają z gotowego narzędzia”, np. popularnego czata, to przepisy AI Act ich nie dotyczą. - Nawet w większych firmach pytania dotyczące konkretnych obowiązków z art. 50. zaczęły się pojawiać stosunkowo niedawno, mimo że data 2 sierpnia 2026 r. była znana od dawna. Przedsiębiorcy wciąż podchodzą do tematu fragmentarycznie: „jest taki obowiązek, to zróbmy coś w związku z tym”, zamiast opracować spójne procedury - uważa prawniczka. 

Podkreśla też, że obserwuje na rynku wiele szkoleń z AI, które mają zbyt ogólny charakter, a nie są dostosowane do specyfiki danej organizacji. - Tymczasem problemy i ryzyka agencji reklamowej korzystającej z modeli generatywnych są zupełnie inne niż w przypadku firmy produkcyjnej, która używa AI do optymalizacji dostaw. Do tego dochodzi obowiązek tzw. AI literacy z art. 4., obowiązujący już od lutego ubiegłego roku, o którym wciąż mówi się niewiele. W praktyce sprowadza się to do potrzeby budowania kompetencji pracowników w korzystaniu z AI, ale w sposób szyty na miarę danej organizacji, a nie tylko przez godzinne czy dwugodzinne szkolenie - zaznacza. 

W podobnym tonie wypowiada się dr Judyta Latymowicz, która ocenia, że poziom przygotowania przedsiębiorców na nadejście nowych regulacji jest bardzo zróżnicowany.

Duże organizacje coraz częściej wdrażają polityki dotyczące korzystania z AI i analizują nowe obowiązki, natomiast wiele małych i średnich firm nadal traktuje sztuczną inteligencję przede wszystkim jako narzędzie zwiększające efektywność, nie dostrzegając związanych z nią obowiązków prawnych. Wiele przedsiębiorstw dopiero rozpoczyna identyfikację wykorzystywanych systemów AI i ocenę ryzyk, dlatego najbliższe miesiące będą kluczowe dla uporządkowania procesów oraz zapewnienia zgodności z AI Act - podsumowuje. 

Jednocześnie kilka dni temu prezydent Karol Nawrocki podpisał krajową ustawę o systemach sztucznej inteligencji. Dokument tworzy w Polsce ramy prawne do stosowania unijnego rozporządzenia - AI Act i zakłada m.in. powstanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRIBSI) jako organu nadzorującego rynek. Tym samym otrzyma ona uprawnienia do przeprowadzania kontroli oraz nakładania kar w razie stwierdzenia naruszeń. Wedle zapowiedzi resortu cyfryzacji ma powstać jeszcze w tym roku, w ciągu ok. 3 miesięcy. 

Dr Gabriela Bar przypomina także, że od 2 sierpnia br. zacznie obowiązywać rozdział dotyczący nadzoru rynku, co oznacza realne uprawnienia kontrolne organów nadzorczych. - Do tej pory mieliśmy przede wszystkim katalog obowiązków, ale brakowało mechanizmów ich skutecznego egzekwowania. Ustawa krajowa została już uchwalona i podpisana przez prezydenta, co otwiera drogę do praktycznego stosowania tych przepisów. Warto też pamiętać, że od lutego ubiegłego roku obowiązują już przepisy dotyczące zakazanych zastosowań AI. W mojej praktyce rzadko spotykam sytuacje, w których klienci zadają sobie pytanie, czy konkretne wykorzystanie AI nie jest przypadkiem zakazane, ten wątek jest wciąż nieco marginalizowany - podsumowuje w rozmowie z naszym serwisem. 

Jak informowaliśmy w WNP, resort cyfryzacji zapowiedział na konferencji prasowej, że na podstawie nowych przepisów mikro-, mali i średni przedsiębiorcy będą mogli uczestniczyć za darmo w piaskownicy regulacyjnej. Pierwsza z nich ma powstać w ciągu najbliższych 3-4 miesięcy.