Buduję aplikację z AI — co muszę mieć zrobione już teraz, co od 28 października 2026, a co dopiero od 2 grudnia 2027?

Które terminy AI Act naprawdę dotyczą małej aplikacji?

Trzy daty, nie jedna — i tylko jedna z nich już minęła. Rozporządzenie (UE) 2024/1689, czyli akt o sztucznej inteligencji, stosuje się co do zasady od 2 sierpnia 2026 roku, a obowiązki przejrzystości siedzą w jego rozdziale IV, którego żaden akt zmieniający nie odroczył.

Odroczono co innego. Rozporządzenie (UE) 2026/1744 z 8 lipca 2026 roku, ogłoszone w Dzienniku Urzędowym Unii Europejskiej 24 lipca 2026 roku, przesunęło wymogi dla systemów wysokiego ryzyka.

Rozdział III sekcje 1, 2 i 3 stosuje się od 2 grudnia 2027 roku do systemów z załącznika III, a od 2 sierpnia 2028 roku do AI wbudowanej w produkty z załącznika I.

Trzecia data jest polska. Ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji (Dziennik Ustaw z 2026 roku, pozycja 1003) weszła w życie 11 sierpnia 2026 roku, ale rozdziały o kontroli, postępowaniu i karach — dopiero po upływie trzech miesięcy od ogłoszenia, czyli 28 października 2026 roku.

Wiersz z datą 2 grudnia 2026 roku ginie w streszczeniach, a jest najbliższym terminem po sierpniu: dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 roku dostali cztery dodatkowe miesiące na doprowadzenie oznaczenia maszynowego do zgodności.

Co artykuł 50 znaczy dla sześciu konkretnych funkcji aplikacji?

Cztery obowiązki z artykułu 50 dzielą się według ról, nie według branży. Dostawca to ten, kto pod własną nazwą wprowadza system do obrotu albo oddaje go do użytku; podmiot stosujący to ten, kto system wykorzystuje poza czysto osobistą działalnością pozazawodową. Budując aplikację dla klientów, jesteś zwykle jednym i drugim naraz.

Dwa wiersze z tej tabeli bywają mylone. Opis produktu wygenerowany przez model nie wymaga widocznej adnotacji dla klienta: obowiązek ujawnienia tekstu dotyczy publikacji informujących społeczeństwo o sprawach leżących w interesie publicznym, a opis wiertarki nią nie jest.

Odwrotnie jest z czatem, gdzie wyjątek jest wąski. Obowiązek odpada tylko wtedy, gdy rozmowa z maszyną jest oczywista z punktu widzenia osoby dostatecznie poinformowanej, uważnej i ostrożnej. Napis „Asystent” na przycisku sam z siebie tego nie przesądza.

Podpowiedź ceny wypada z artykułu 50 dopóty, dopóki nie zaczyna pisać do klienta. Gdy ten sam model generuje uzasadnienie oferty wysyłane na zewnątrz, funkcja wraca pod ustęp 2 i wymaga oznaczenia maszynowego.

Co konkretnie zrobić w produkcie i na kiedy?

Siedem pozycji, z których pięć ma termin 2 sierpnia 2026 roku. Kolejność jest taka, w jakiej sensownie wchodzą do backlogu.

1. Ekran pierwszego kontaktu z czatem — komunikat o rozmowie z systemem AI pokazany przed pierwszą odpowiedzią, nie w regulaminie (artykuł 50 ustęp 1 i 5; od 2 sierpnia 2026 roku).
2. Dostępność tego komunikatu — ustęp 5 wymaga, by informacja spełniała mające zastosowanie wymogi dostępności: ma ją odczytać czytnik ekranu i pokazać kontrast (od 2 sierpnia 2026 roku).
3. Metadane przy każdym pliku generowanym przez aplikację — obraz, audio i wideo zapisywane z manifestem C2PA albo znakiem wodnym dostawcy modelu; jeśli eksport zrywa metadane, jest to błąd do naprawy (artykuł 50 ustęp 2; od 2 sierpnia 2026 roku).
4. Znacznik przy tekście generowanym — pole w bazie i atrybut w odpowiedzi API mówiące, że rekord powstał z modelu; dla tekstu to dziś jedyny nośnik oznaczenia, jaki masz (artykuł 50 ustęp 2; od 2 sierpnia 2026 roku).
5. Reguła deepfake w panelu publikacji — wymuszone ujawnienie przy obrazach, nagraniach i wideo przypominających istniejące osoby, miejsca lub zdarzenia (artykuł 50 ustęp 4; od 2 sierpnia 2026 roku).
6. Notatka techniczna, kto jest kim — jedna strona: w której funkcji jesteś dostawcą, w której podmiotem stosującym, z jakiego modelu korzystasz i jakie sygnały pochodzenia on daje (przydatna od 28 października 2026 roku).
7. Przegląd, czy któraś funkcja nie wpada do załącznika III — o tym niżej; termin dla takich systemów to 2 grudnia 2027 roku.

Czego ten tekst nie rozstrzyga: kiedy system jest wysokiego ryzyka?

Załącznik III wymienia osiem obszarów: biometrię, infrastrukturę krytyczną, kształcenie i szkolenie zawodowe, zatrudnienie i zarządzanie pracownikami, dostęp do podstawowych usług prywatnych oraz usług i świadczeń publicznych, ściganie przestępstw, zarządzanie migracją, azylem i kontrolą graniczną oraz sprawowanie wymiaru sprawiedliwości i procesy demokratyczne.

Systemy z tych obszarów mają własny reżim: zarządzanie ryzykiem, dokumentację techniczną, wymogi wobec danych, nadzór człowieka i ocenę zgodności.

Ich data to 2 grudnia 2027 roku i jest to inna rozmowa niż oznaczanie treści. Jeżeli któraś funkcja dotyka rekrutacji, oceny efektów uczenia się albo dostępu do usług, idzie się ścieżką z załącznika III, a nie z artykułu 50 — ustęp 6 tego artykułu wprost stanowi, że przejrzystość nie zastępuje wymogów rozdziału III.

Kto to kontroluje w Polsce i ile kosztuje pytanie o zdanie?

Nadzór ma jeden adres: Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Ustawa czyni ją organem nadzoru rynku w rozumieniu artykułu 70 rozporządzenia i pojedynczym punktem kontaktowym. To nie jest ani UODO, ani UOKiK — Prezes UODO ma z Komisją jedynie współpracować.

Komisji jeszcze nie ma w komplecie. Sejm za zgodą Senatu powołuje jej Przewodniczącego w terminie dwóch miesięcy od wejścia ustawy w życie, a pierwsze posiedzenie zwołuje się w terminie trzech miesięcy, licząc od 11 sierpnia 2026 roku. Uprawnienia kontrolne i karne ruszają 28 października 2026 roku.

Kary Komisja nakłada w wysokości i na warunkach z rozdziału XII rozporządzenia. Za naruszenie obowiązków przejrzystości pułap wynosi 15 000 000 EUR albo 3% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (artykuł 99 ustęp 4 litera g).

Dla mikroprzedsiębiorców, małych i średnich przedsiębiorców oraz start-upów działa reguła odwrotna: bierze się kwotę niższą.

Jednoosobowa firma ma dwa tanie ruchy. Wniosek o opinię indywidualną kosztuje 150 zł, Komisja wydaje ją w 30 dni, a w sprawach szczególnie skomplikowanych w 60; milczenie po tym terminie liczy się jako opinia zgodna ze stanowiskiem wnioskodawcy. Wydana opinia wiąże Komisję w danej sprawie.

Drugi ruch to piaskownica regulacyjna, do której wchodzi się przez konkurs ogłaszany przez Komisję. Uczestnictwo mikroprzedsiębiorców oraz małych i średnich przedsiębiorców jest w niej nieodpłatne. Termin uruchomienia piaskownicy w każdym państwie członkowskim to 2 sierpnia 2027 roku.

Czy narzędzia, których używasz, oznaczają treści same?

Sprawdziliśmy 28 sierpnia 2026 roku dokumentację trzech warstw, z których składa się typowa polska aplikacja z AI: dostawców modeli, kodeksu praktyk Komisji Europejskiej i polskich kreatorów no-code. Wynik nie jest jednolity.

OpenAI w artykule pomocy o sygnałach pochodzenia podaje, że obrazy generowane w ChatGPT, w narzędziu Codex i przez API zawierają metadane C2PA oraz znak wodny SynthID, a generowane audio — sam znak wodny. Przy pytaniu o tekst ta sama strona odpowiada, że rozszerzenie sygnałów pochodzenia na wszystkie modalności, w tym tekst, jest dopiero celem.

Google DeepMind opisuje SynthID jako znak wodny osadzany automatycznie w treściach z aplikacji Gemini, modelu muzycznego Lyria i funkcji generowania podcastów w NotebookLM, obejmujący obraz, wideo, dźwięk i tekst. Weryfikacja idzie przez portal SynthID Detector.

Wniosek jest niewygodny. Jeżeli aplikacja generuje obrazy albo głos, oznaczenie maszynowe przychodzi razem z modelem i wystarczy nie zgubić go przy konwersji pliku. Jeżeli generuje tekst — sygnału pochodzenia nie ma, a obowiązek zostaje po stronie systemu, który zbudowałeś.

Trzecia warstwa to kodeks praktyk. Komisja Europejska opublikowała 10 czerwca 2026 roku Kodeks praktyk dotyczący przejrzystości treści generowanych przez AI, obejmujący ustępy 2, 4 i 5 artykułu 50.

Do końca lipca 2026 roku podpisało go około 190 firm i organizacji. Kodeks jest dobrowolny, ale Komisja uznała go za odpowiednie narzędzie wykazywania zgodności. Wytyczne do artykułu 50 stoją na stronie zaktualizowanej 6 sierpnia 2026 roku.

Polskich kreatorów stron i platform no-code szukaliśmy po nazwach i po hasłach o oznaczaniu treści AI 28 sierpnia 2026 roku i nie znaleźliśmy żadnego, który w dokumentacji deklaruje domyślne maszynowe oznaczanie wyników. „Nie znaleźliśmy” nie znaczy „nie istnieje” — znaczy tyle, że przed wyborem narzędzia trzeba to sprawdzić w jego dokumentacji.

Kolejny termin z tego działu, tyle że fakturowy, opisaliśmy przy KSeF w 2026 roku. Jak z terminu prawnego zrobić pomysł, a nie tylko listę obowiązków, pokazuje ścieżka od pomysłu do pierwszego rachunku, a prawa do kodu i umowy zbiera dział prawny serwisu Policz Pomysł.

Ten tekst opisuje stan przepisów na 28 sierpnia 2026 roku i nie jest poradą prawną. Przy funkcji, która wygląda na system wysokiego ryzyka albo na deepfake, rozstrzyga treść aktu i opinia prawnika, a od 28 października 2026 roku również opinia indywidualna KRiBSI.