Rozporządzenie 2026/1744, nazywane AI Omnibusem, weszło w życie 27 lipca 2026 roku. Tego samego dnia w polskim Dzienniku Ustaw pod pozycją 1003 opublikowano ustawę o systemach sztucznej inteligencji. Zbieżność dat jest ważna: Unia zmieniła kolejność części obowiązków, a Polska dopiero tworzy instytucję, która ma je nadzorować na krajowym rynku.

Przesunięto wysokie ryzyko, nie cały AI Act

Najpierw trzeba oddzielić przesunięcie od zawieszenia. Omnibus zmienił terminy stosowania sekcji AI Act dotyczących klasyfikacji i wymagań dla systemów wysokiego ryzyka. Nie przesunął jednak całego rozporządzenia. Zakazane praktyki i reguły dotyczące kompetencji w zakresie AI są stosowane od lutego 2025 roku, a przepisy o zarządzaniu i modelach ogólnego przeznaczenia od sierpnia 2025 roku. Większość pozostałych reguł nadal ma datę 2 sierpnia 2026 roku.

Pierwsza nowa data, 2 grudnia 2027 roku, dotyczy systemów uznawanych za wysokiego ryzyka ze względu na zastosowanie wymienione w załączniku III. To między innymi wybrane narzędzia używane w biometrii, edukacji, rekrutacji i zarządzaniu pracownikami, infrastrukturze krytycznej, dostępie do podstawowych usług, ściganiu, migracji oraz wymiarze sprawiedliwości. Dostawcy zyskali szesnaście miesięcy więcej niż przewidywał kalendarz obowiązujący jeszcze przed Omnibusem.

Druga data, 2 sierpnia 2028 roku, obejmuje systemy AI będące elementem produktów regulowanych przez przepisy wymienione w załączniku I, na przykład części maszyn, zabawek, wind lub urządzeń medycznych, gdy system spełnia ustawowe kryteria wysokiego ryzyka. Tu dodatkowy czas ma pozwolić połączyć ocenę AI z sektorową oceną bezpieczeństwa produktu i przygotować brakujące normy techniczne.

Przejrzystość zaczyna się 2 sierpnia

Najważniejszy wyjątek od opowieści o odroczeniu zaczyna działać za kilka dni. Artykuł 50 AI Act, dotyczący przejrzystości, jest stosowany od 2 sierpnia 2026 roku. Dostawca interaktywnego systemu powinien informować człowieka, że rozmawia z AI. Dostawcy systemów generatywnych muszą umożliwić wykrywanie sztucznie wygenerowanych lub zmanipulowanych treści, a podmioty używające AI mają obowiązki informacyjne między innymi przy deepfake'ach, rozpoznawaniu emocji i niektórych tekstach dotyczących spraw publicznych.

Omnibus wprowadził wąski okres przejściowy, ale tylko dla jednego elementu. Systemy generujące syntetyczny tekst, obraz, dźwięk lub wideo, które znalazły się na rynku przed 2 sierpnia 2026 roku, dostały do 2 grudnia na wdrożenie technicznego, maszynowo odczytywalnego oznaczania treści z artykułu 50 ustęp 2. Komisja Europejska podkreśla, że nie jest to ogólne przesunięcie wszystkich obowiązków przejrzystości.

Polska Komisja ma połączyć cztery urzędy

Polska ustawa odpowiada na inne pytanie: kto ma kontrolować rynek, przyjmować skargi i wydawać decyzje. Tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako organ nadzoru rynku i pojedynczy punkt kontaktowy. Komisja ma sprawdzać przestrzeganie AI Act, prowadzić postępowania, wydawać decyzje, zarządzać piaskownicami regulacyjnymi oraz publikować interpretacje i dobre praktyki.

W skład Komisji mają wejść przewodniczący, dwóch zastępców i czterech członków wskazanych przez UOKiK, KNF, KRRiT oraz UKE. Przewodniczącego na pięcioletnią kadencję powoła Sejm za zgodą Senatu. Ustawa deklaruje niezależność członków przy wykonywaniu funkcji, ale zaplecze organizacyjne zapewni urząd obsługujący ministra cyfryzacji. To konstrukcja łącząca jeden centralny punkt z wiedzą regulatorów sektorowych.

Krajowy kalendarz ma kilka etapów. Od 28 lipca obowiązuje przepis nakazujący ministrowi rozpoczęcie działań organizacyjnych. Większość ustawy wejdzie w życie po 14 dniach od ogłoszenia, czyli 11 sierpnia. Sejm i Senat mają następnie dwa miesiące od wejścia ustawy na powołanie przewodniczącego, a pierwsze posiedzenie Komisji powinno odbyć się w ciągu trzech miesięcy. Ustawodawca przeznaczył na nowe zadania maksymalnie 9,3 mln zł w 2026 roku i 23,74 mln zł w roku następnym.

Skargi i kary dostają późniejszy termin

Najbardziej praktyczne przepisy dostały jednak dłuższe vacatio legis. Artykuły o indywidualnych opiniach oraz rozdziały o kontroli, postępowaniach, decyzjach, karach i zmianach innych ustaw wejdą w życie po trzech miesiącach od ogłoszenia, czyli 28 października. Wtedy osoba fizyczna, firma albo organizacja będzie mogła złożyć Komisji elektroniczną skargę opisującą system i możliwe naruszenie. Papier pozostanie dostępny dla osoby, która nie może skorzystać z drogi elektronicznej.

Dla przedsiębiorców szczególnie interesująca jest indywidualna opinia. Firma będzie mogła opisać stan faktyczny lub planowane wdrożenie i poprosić Komisję o ocenę prawną. Wniosek ma kosztować 150 zł, standardowy termin odpowiedzi wyniesie 30 dni, a w trudnej sprawie 60 dni. Jeżeli Komisja nie odpowie w terminie, ustawa nakazuje uznać, że wydała opinię zgodną ze stanowiskiem wnioskodawcy. Zastosowanie się do opinii ma chronić przedsiębiorcę w opisanym stanie faktycznym.

Ustawa przewiduje również piaskownicę regulacyjną. Wybrane podmioty będą mogły testować projekt pod nadzorem i otrzymać wsparcie w osiąganiu zgodności, a w ograniczonym zakresie także zgodę na odstępstwo od wskazanych przepisów krajowych. To może być realna pomoc dla mniejszych firm, ale jej wartość zależy od tempa uruchomienia Komisji, przejrzystych kryteriów naboru i publikowania doświadczeń z zakończonych testów.

Dwa kalendarze tworzą okres przejściowy

Dwa kalendarze nie nakładają się równo. Unijne obowiązki przejrzystości zaczynają być stosowane 2 sierpnia, dziewięć dni przed główną datą wejścia w życie polskiej ustawy i niemal trzy miesiące przed krajowymi procedurami skarg, kontroli i kar. Nie oznacza to, że obowiązki unijne nie istnieją: rozporządzenie stosuje się bezpośrednio. Oznacza, że państwo powinno jasno wskazać użytkownikom i firmom, który organ i w jakim trybie obsłuży sprawę w okresie przejściowym.

Firma nie powinna więc pytać wyłącznie, czy jej system jest wysokiego ryzyka. Najpierw trzeba ustalić rolę w łańcuchu: dostawca tworzący lub oferujący system ma inne zadania niż podmiot, który używa go w pracy, urzędzie lub kontakcie z klientem. Następnie należy osobno sprawdzić obowiązki już stosowane, przejrzystość od 2 sierpnia oraz wymagania wysokiego ryzyka z lat 2027–2028. Jedna data w arkuszu zgodności nie wystarczy.

Najprostszy plan na najbliższe tygodnie składa się z czterech kroków. Organizacja powinna zinwentaryzować systemy AI i ich właścicieli, oznaczyć zastosowania wpływające na pracowników lub klientów, zapisać sposób informowania ludzi o kontakcie z AI i treściach syntetycznych oraz zachować dokumenty od dostawców. Dodatkowy czas dla wysokiego ryzyka warto wykorzystać na jakość danych, nadzór człowieka i ścieżkę odwoławczą, nie na wstrzymanie przygotowań.

Do Sedna: AI Omnibus rozluźnił najtrudniejszą część kalendarza, ale nie wyłączył zegara. Polska ustawa uruchomiła drugi, instytucjonalny zegar, który od przygotowań ma przejść do skarg, kontroli i kar jesienią. Prawdziwym testem nie będzie samo powołanie Komisji. Będzie nim to, czy przed 28 października państwo opublikuje czytelną mapę właściwości, formularz skargi, zasady wydawania opinii i informację, co ma zrobić człowiek dotknięty działaniem systemu już od 2 sierpnia.