Pojęcia z przepisów o AI, prostymi słowami

Zasady, które od 2 sierpnia 2026 dotyczą AI rozmawiającej z ludźmi lub tworzącej treści: czatbot musi powiedzieć, że jest AI, chyba że to oczywiste; wygenerowane audio, obrazy, wideo i tekst trzeba oznaczać jako sztuczne w formacie odczytywalnym maszynowo; deepfake i teksty AI w sprawach interesu publicznego trzeba ujawniać, a osoby objęte rozpoznawaniem emocji lub kategoryzacją biometryczną trzeba o tym informować. Informacja jest wymagana najpóźniej przy pierwszej interakcji.

AI Act, art. 50. Źródło: artificialintelligenceact.eu · Generator ujawnień · Poradnik o art. 50 (po angielsku)

Wygenerowany lub zmanipulowany przez AI obraz, dźwięk lub film, który przypomina istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i mógłby niesłusznie wydawać się autentyczny. Podmioty stosujące muszą ujawniać deepfake; przy utworach wyraźnie artystycznych, satyrycznych lub fikcyjnych obowiązek jest lżejszy.

AI Act, art. 3 pkt 60 i art. 50 ust. 4. Źródło: artificialintelligenceact.eu

Rozporządzenie (UE) 2026/1744 opublikowane 24 lipca 2026, w mocy od 27 lipca 2026. Odroczyło obowiązki wysokiego ryzyka, złagodziło obowiązek z art. 4 i dodało obowiązek oznaczania treści z generatywnej AI w formacie maszynowym od 2 grudnia 2026. Nie odroczyło art. 50.

Rozporządzenie (UE) 2026/1744. Źródło: compliancehub.wiki · Co obowiązuje w 2026 (po angielsku)

Organizacja, która rozwija system AI lub model AI ogólnego przeznaczenia albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym, odpłatnie lub nieodpłatnie. Na dostawców spada większość obowiązków technicznych.

AI Act, art. 3 pkt 3. Źródło: artificialintelligenceact.eu

Każdy w łańcuchu dostaw, poza dostawcą i importerem, kto udostępnia system AI na rynku UE, na przykład odsprzedawca.

AI Act, art. 3 pkt 7. Źródło: artificialintelligenceact.eu

Organizacja znajdująca się lub mająca siedzibę w UE, która wprowadza do obrotu w UE system AI opatrzony nazwą lub znakiem towarowym podmiotu spoza UE.

AI Act, art. 3 pkt 6. Źródło: artificialintelligenceact.eu

Zmiana systemu AI po wprowadzeniu go do obrotu, której dostawca nie przewidział w ocenie zgodności i która wpływa na spełnienie wymogów dla systemów wysokiego ryzyka albo zmienia przeznaczenie systemu. Podmiot stosujący, który istotnie zmienia system albo oferuje go pod własną nazwą, może przejąć obowiązki dostawcy.

AI Act, art. 3 pkt 23; role w łańcuchu wartości w art. 25. Źródło: artificialintelligenceact.eu

Umiejętności, wiedza i zrozumienie, które pozwalają dostawcom, podmiotom stosującym i osobom, których to dotyczy, świadomie korzystać z AI oraz znać jej możliwości, ryzyka i potencjalne szkody. Po zmianie przez Digital Omnibus art. 4 wymaga od dostawców i podmiotów stosujących podejmowania środków wspierających rozwój kompetencji w zakresie AI ich personelu i innych osób, które używają AI w ich imieniu; nie trzeba gwarantować konkretnego poziomu, a certyfikat nie jest wymagany.

AI Act, art. 3 pkt 56 i art. 4 po zmianie. Źródło: artificialintelligenceact.eu · Strona obowiązku

Model AI o znacznej ogólności, który potrafi kompetentnie wykonywać szeroki zakres różnych zadań i może być zintegrowany z wieloma systemami, zwykle trenowany na dużej ilości danych metodą samonadzoru. Obowiązki dostawców modeli obowiązują od 2 sierpnia 2025; firmy, które tylko korzystają z takich modeli, nie są nimi objęte.

AI Act, art. 3 pkt 63. Źródło: artificialintelligenceact.eu · Strona obowiązku

Metadane lub znaki wodne osadzone w treściach wygenerowanych przez AI, dzięki którym oprogramowanie rozpozna je jako sztuczne. Art. 50 ust. 2 wymaga, by dostawcy systemów generatywnych oznaczali wyniki; Digital Omnibus dodaje obowiązek oznaczania od 2 grudnia 2026.

AI Act, art. 50 ust. 2; rozporządzenie (UE) 2026/1744. Źródło: compliancehub.wiki · Strona obowiązku

Organizacja, która wykorzystuje system AI, nad którym sprawuje kontrolę, z wyjątkiem użytku czysto osobistego i pozazawodowego. Firma korzystająca z czatbota dostawcy lub z asystenta AI jest podmiotem stosującym. Podmioty stosujące mają obowiązek z art. 4 i część obowiązków z art. 50.

AI Act, art. 3 pkt 4. Źródło: artificialintelligenceact.eu · Co obowiązuje w 2026 (po angielsku)

Incydent lub nieprawidłowe działanie systemu AI, które bezpośrednio lub pośrednio prowadzi do śmierci lub poważnej szkody dla zdrowia, poważnego i nieodwracalnego zakłócenia infrastruktury krytycznej, naruszenia prawa UE chroniącego prawa podstawowe albo poważnej szkody w mieniu lub środowisku.

AI Act, art. 3 pkt 49. Źródło: artificialintelligenceact.eu

Trzy maksima: 35 mln euro lub 7% światowego obrotu za zakazane praktyki, 15 mln euro lub 3% za większość pozostałych obowiązków, w tym art. 50, oraz 7,5 mln euro lub 1% za nieprawdziwe informacje dla organów. Duże firmy płacą najwyżej wyższą z dwóch kwot, MŚP i start-upy niższą.

AI Act, art. 99. Źródło: artificialintelligenceact.eu · Kalkulator kar

System maszynowy, który działa z pewnym poziomem autonomii i na podstawie danych wejściowych wnioskuje, jak generować wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. Może się dostosowywać po wdrożeniu. Niemal każdy obowiązek w AI Act zaczyna się od pytania, czy używasz takiego systemu.

AI Act, art. 3 pkt 1. Źródło: artificialintelligenceact.eu · Szablon rejestru systemów AI

AI używana w wymienionych wrażliwych obszarach, takich jak zatrudnienie i rekrutacja, edukacja, ocena zdolności kredytowej, usługi podstawowe, ściganie przestępstw, migracja i wymiar sprawiedliwości. Takie systemy mają najcięższe obowiązki: zarządzanie ryzykiem, zarządzanie danymi, dokumentację, rejestrowanie zdarzeń, nadzór człowieka i ocenę zgodności. Digital Omnibus przesunął te obowiązki z 2 sierpnia 2026 na 2 grudnia 2027.

AI Act, załącznik III; odroczenie rozporządzeniem (UE) 2026/1744. Źródło: gibsondunn.com · Strona obowiązku

System AI, który przypisuje ludzi do kategorii na podstawie ich danych biometrycznych, chyba że jest pomocniczy wobec innej usługi komercyjnej i ściśle niezbędny z przyczyn technicznych. Osoby, których to dotyczy, trzeba o tym informować.

AI Act, art. 3 pkt 40 i art. 50 ust. 3. Źródło: artificialintelligenceact.eu

System AI, który rozpoznaje lub wywnioskowuje emocje lub zamiary ludzi na podstawie ich danych biometrycznych. Podmioty stosujące muszą informować osoby, których to dotyczy; użycie w pracy i w edukacji jest zakazane, poza względami medycznymi lub bezpieczeństwa.

AI Act, art. 3 pkt 39, art. 5 i art. 50 ust. 3. Źródło: artificialintelligenceact.eu

Krótka lista zastosowań AI całkowicie zakazanych przez art. 5, zagrożonych najwyższym progiem kar: do 35 mln euro lub 7% światowego rocznego obrotu. Każdy system, który ocenia ludzi, manipuluje nimi albo odczytuje emocje lub cechy biometryczne, sprawdź najpierw pod tym kątem.

AI Act, art. 5 i art. 99. Źródło: artificialintelligenceact.eu · Kalkulator kar

AI będąca częścią produktów objętych unijnym prawem produktowym, takich jak maszyny, wyroby medyczne i pojazdy. Obowiązki wysokiego ryzyka dla tych systemów przesunięto na 2 sierpnia 2028.

AI Act, załącznik I; odroczenie rozporządzeniem (UE) 2026/1744. Źródło: gibsondunn.com · Strona obowiązku

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, krajowy organ nadzoru nad AI według ustawy o systemach sztucznej inteligencji. Od 28 października 2026 może przeprowadzać kontrole, co najmniej 7 dni po zawiadomieniu i domyślnie zdalnie, oraz nakładać kary. Firmy mogą prosić ją o wiążącą opinię indywidualną za 150 zł.

Ustawa o systemach sztucznej inteligencji. Źródło: ktzr.pl · Strona obowiązku · AI Act w Polsce

Uchwalona 3 lipca 2026, ogłoszona 27 lipca 2026, główne przepisy w mocy od 11 sierpnia 2026. Tworzy krajowy system nadzoru i egzekwowania AI Act; same obowiązki wynikają z rozporządzenia unijnego.

Ustawa o systemach sztucznej inteligencji. Źródło: ktzr.pl · AI Act w Polsce

Według koreańskiej ustawy o AI: AI w obszarach takich jak ochrona zdrowia, energetyka, transport, rekrutacja i analiza biometryczna. Operatorzy muszą przed wdrożeniem ocenić wpływ na prawa podstawowe, wyjaśniać wyniki, zapewnić nadzór człowieka, mieć plan ochrony użytkowników i dokumentować system.

AI Basic Act. Źródło: cooley.com · Strona obowiązku

Ramowa ustawa o AI w Korei Południowej, w mocy od 22 stycznia 2026; obowiązki dla AI o dużym wpływie obowiązują od 21 lipca 2026, a przez co najmniej rok nie ma kar. Dotyczy firm krajowych i zagranicznych; generatywną AI trzeba ujawniać i oznaczać.

AI Basic Act. Źródło: cooley.com · Korea Płd. (po angielsku)

Lokalny przedstawiciel, którego zagraniczna firma musi wyznaczyć według koreańskiej ustawy o AI, gdy przekroczy którykolwiek próg: roczny przychód ponad 1 bln KRW, przychód z usług AI ponad 10 mld KRW albo ponad milion średnio dziennych użytkowników w Korei.

AI Basic Act. Źródło: cooley.com

Technologie, które podejmują decyzje dotyczące konsumentów albo w istotny sposób w nich pomagają. Kolorado (SB 26-189) i Kalifornia (przepisy CPPA) wprowadzają obowiązki od 1 stycznia 2027: w Kolorado informacje przed użyciem, wyjaśnienia po niekorzystnej decyzji i weryfikację przez człowieka, w Kalifornii informacje i prawo sprzeciwu.

Colorado SB 26-189; przepisy CPPA o ADMT. Źródło: cooley.com · USA (po angielsku)

Texas Responsible AI Governance Act (HB 149), w mocy od 1 stycznia 2026. Zakazuje krótkiej listy celowych zastosowań, w tym AI nakłaniającej do samookaleczenia lub przestępstwa, generowanych przez AI materiałów przedstawiających seksualne wykorzystywanie dzieci, pornograficznych deepfake bez zgody i scoringu społecznego przez administrację.

Texas HB 149. Źródło: kslaw.com · Strona obowiązku

Zapis w ISO/IEC 42001, które zabezpieczenia z załącznika A organizacja stosuje, które wyłącza i dlaczego. Audytorzy certyfikujący czytają go na początku; dokument 14 z pakietu jest punktem wyjścia.

ISO/IEC 42001:2023, punkt 6.1.3. Źródło: isms.online · Mapowanie w pakiecie

Międzynarodowa norma systemu zarządzania AI, opublikowana w 2023. Organizacje mogą uzyskać certyfikat od akredytowanych jednostek certyfikujących. Załącznik A zawiera 38 zabezpieczeń w dziewięciu celach; punkt 6.1.3 każe wybrać zabezpieczenia, których wymaga postępowanie z ryzykiem.

ISO/IEC 42001:2023. Źródło: isms.online · Mapowanie w pakiecie

Unijna dyrektywa o cyberbezpieczeństwie (UE) 2022/2555 dla podmiotów kluczowych i ważnych w wymienionych sektorach. Art. 21 wymaga dziesięciu grup środków zarządzania ryzykiem; art. 23 wymaga wczesnego ostrzeżenia w ciągu 24 godzin od poważnego incydentu, zgłoszenia w ciągu 72 godzin i raportu końcowego w ciągu miesiąca. Systemy AI są częścią sieci i systemów informatycznych, które obejmuje.

Dyrektywa (UE) 2022/2555, art. 21 i 23. Źródło: nis-2-directive.com · Mapowanie w pakiecie

Udokumentowany przegląd tego, jak system AI może wpłynąć na prawa, bezpieczeństwo i dostęp ludzi do usług, z działaniami ograniczającymi ryzyko i nadzorem. Korea wymaga jej dla AI o dużym wpływie; UE wymaga jej od niektórych podmiotów stosujących systemy wysokiego ryzyka, gdy te obowiązki zaczną obowiązywać.

Koreańska ustawa o AI; AI Act, art. 27. Źródło: cooley.com

Lista wszystkich systemów AI używanych w organizacji: dostawca, cel, właściciel, dane, użytkownicy, jurysdykcje i klasa ryzyka. Nie wynika z jednego artykułu AI Act, ale zależy od niego każdy obowiązek, a omówienia polskiej ustawy wymieniają go na pierwszym miejscu wśród tego, czego oczekuje kontrolujący.

Praktyka; oczekiwania wobec kontroli w Polsce według omówienia KTZR. Źródło: ktzr.pl · Szablon rejestru systemów AI · Rejestr w jeden dzień (po angielsku)