Wprowadzenie

Dnia 27 lipca 2026 r. weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8.7.2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt zbiorczy prawa cyfrowego dotyczący AI), określane jako AI Omnibus – pierwsza kompleksowa nowelizacja unijnych przepisów dotyczących sztucznej inteligencji. Akt ten stanowi element szerszego pakietu legislacyjnego Digital Omnibus, którego celem jest uproszczenie obowiązków regulacyjnych nakładanych na przedsiębiorców przy jednoczesnym zachowaniu podstawowych gwarancji ochrony bezpieczeństwa, praw podstawowych oraz zaufania do systemów sztucznej inteligencji.

Nowelizacja koncentruje się przede wszystkim na ograniczeniu obciążeń administracyjnych związanych ze stosowaniem AI Act. W tym celu wprowadza szereg rozwiązań mających zwiększyć przejrzystość regulacji oraz ułatwić ich praktyczne stosowanie, w szczególności przez małe i średnie przedsiębiorstwa oraz podmioty rozwijające innowacyjne rozwiązania oparte na sztucznej inteligencji. Jednocześnie ustawodawca unijny zdecydował się na wydłużenie terminów rozpoczęcia stosowania części obowiązków wynikających z AI Act, umożliwiając przedsiębiorcom, dostawcom systemów AI oraz organom nadzoru lepsze przygotowanie się do pełnego wdrożenia nowych wymogów.

Wśród najistotniejszych zmian należy wskazać m.in. modyfikację zasad kwalifikacji systemów wysokiego ryzyka, zmianę modelu realizacji obowiązku zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji (AI literacy), doprecyzowanie relacji AI Act z regulacjami sektorowymi, rozszerzenie obowiązków dotyczących systemów generatywnej sztucznej inteligencji oraz przesunięcie terminów rozpoczęcia stosowania wybranych przepisów.

Celem niniejszego artykułu jest omówienie najważniejszych zmian wprowadzonych przez AI Omnibus, przedstawienie ich znaczenia z perspektywy przedsiębiorców oraz wskazanie praktycznych konsekwencji dla podmiotów opracowujących, udostępniających i wykorzystujących systemy sztucznej inteligencji na rynku Unii Europejskiej.

Zakaz wprowadzania do obrotu lub oddawania do używania systemów AI przeznaczonych do generowania lub modyfikowania niekonsensualnych materiałów intymnych oraz materiałów przedstawiających seksualne wykorzystywanie dzieci

Znowelizowane przepisy przewidują zakaz wprowadzania do obrotu lub oddawania do używania systemów AI przeznaczonych do generowania lub modyfikowania niekonsensualnych materiałów intymnych oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Zakaz obejmuje przy tym nie tylko systemy stworzone bezpośrednio w takim celu, lecz również sytuacje, w których takie rezultaty są przewidywalne i możliwe do powtórzenia, a dostawca nie wdrożył odpowiednich środków zapobiegawczych.

Wśród środków, których wdrożenie ma znaczenie dla oceny zgodności dostawcy z tym obowiązkiem, dokumenty legislacyjne wymieniają w szczególności mechanizmy filtrowania treści na etapie generowania i wyjścia systemu, zabezpieczenia promptów ograniczające możliwość obejścia filtrów, mechanizmy wykrywania nadużyć w czasie rzeczywistym, ograniczenia sposobów wykorzystania systemu wynikające z warunków korzystania oraz procedury zgłaszania i reagowania na naruszenia.

Przepisy przewidują jednocześnie określone wyjątki dotyczące zastosowań medycznych, działań organów ścigania oraz testów bezpieczeństwa i zgodności systemów – co ma zapobiec nieproporcjonalnemu ograniczeniu legalnych zastosowań technologii generatywnej, np. w kryminalistyce cyfrowej czy badaniach nad wykrywaniem deepfake’ów.

AI literacy

Jedną z bardziej odczuwalnych w praktyce zmian jest modyfikacja art. 4 AI Act. Dotychczasowe brzmienie przepisu nakładało na dostawców i podmioty wykorzystujące systemy AI obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji (AI literacy) wśród swojego personelu oraz innych osób zajmujących się obsługą i wykorzystaniem systemów AI w ich imieniu. Sformułowanie to, choć słuszne co do zasady, rodziło w praktyce istotne trudności dowodowe – brak jednoznacznych kryteriów „odpowiedniego poziomu” kompetencji utrudniał zarówno wdrożenie, jak i wykazanie zgodności podczas kontroli.

Nowe przepisy zastępują ten model obowiązkiem podejmowania działań wspierających rozwój kompetencji pracowników oraz osób korzystających z systemów AI, przy czym rolę koordynacyjną i wspierającą mają odgrywać Komisja Europejska oraz państwa członkowskie – między innymi poprzez szkolenia, materiały informacyjne i wymianę dobrych praktyk. Dokumenty legislacyjne wskazują również na możliwość wykorzystywania istniejących europejskich ram kompetencyjnych, takich jak DigComp, co ma ułatwić standaryzację podejścia do tego obowiązku w skali całej Unii.

W praktyce oznacza to przesunięcie ciężaru z obowiązku rezultatu (zapewnienia określonego poziomu kompetencji) w kierunku obowiązku starannego działania (podejmowania działań wspierających rozwój kompetencji), co powinno ułatwić organizacjom – w szczególności mniejszym podmiotom nieposiadającym rozbudowanych działów szkoleniowych – wykazanie zgodności z tym obowiązkiem bez konieczności tworzenia sformalizowanych programów certyfikacji wewnętrznej.

Definicja komponentu bezpieczeństwa

Z punktu widzenia klasyfikacji systemów jako systemów wysokiego ryzyka kluczowe znaczenie ma doprecyzowanie pojęcia „komponentu bezpieczeństwa” (safety component). Dotychczasowa, dość szeroka definicja tego pojęcia budziła wątpliwości interpretacyjne w odniesieniu do systemów AI zintegrowanych z produktami objętymi unijnym prawodawstwem harmonizacyjnym, prowadząc niekiedy do nadmiernie ostrożnościowej – i kosztownej – klasyfikacji takich systemów jako wysokiego ryzyka.

Nowelizacja wprowadza istotne doprecyzowanie: funkcja bezpieczeństwa musi stanowić zamierzony cel systemu określony przez jego dostawcę. Za pełniące funkcję bezpieczeństwa uznawane będą wyłącznie rozwiązania służące zapobieganiu lub ograniczaniu ryzyka dla zdrowia, bezpieczeństwa lub mienia. Z zakresu tej definicji wprost wyłączono natomiast systemy przeznaczone jedynie do wspierania użytkownika, zwiększania wydajności, automatyzacji procesów czy poprawy wygody korzystania z produktu. Co istotne, sam fakt zintegrowania systemu AI z produktem objętym regulacjami bezpieczeństwa sektorowego nie będzie już wystarczający do automatycznego uznania go za komponent bezpieczeństwa w rozumieniu AI Act.

Przetwarzanie danych szczególnych kategorii na potrzeby wykrywania uprzedzeń

Nowe przepisy rozszerzają zakres podmiotowy zasady umożliwiającej przetwarzanie szczególnych kategorii danych osobowych na potrzeby wykrywania i korygowania uprzedzeń (bias) w systemach AI. Dotychczas rozwiązanie to, przewidziane w art. 10 ust. 5 AI Act, odnosiło się przede wszystkim do dostawców systemów wysokiego ryzyka. Przepisy przewidują objęcie nim również innych dostawców oraz podmiotów wykorzystujących systemy AI, jeżeli przetwarzanie jest ściśle niezbędne do wykrywania lub ograniczania skutków dyskryminacyjnych.

Jednocześnie utrzymane mają zostać dotychczasowe ograniczenia i zabezpieczenia wynikające zarówno z AI Act, jak i z ogólnego rozporządzenia o ochronie danych osobowych – w szczególności zasada minimalizacji danych, obowiązek stosowania odpowiednich środków technicznych i organizacyjnych oraz zakaz wykorzystywania takich danych do celów innych niż wykrywanie i korygowanie uprzedzeń. Zmiana ta ma istotne znaczenie praktyczne dla administratorów danych rozwijających lub wdrażających mechanizmy audytu algorytmicznego pod kątem niedyskryminacji, gdyż dotychczasowe wąskie ujęcie podmiotowe w praktyce utrudniało prowadzenie takich audytów przez podmioty niebędące formalnie dostawcami systemów wysokiego ryzyka.

Ograniczenie obowiązków regulacyjnych

Istotnym z perspektywy sektorów już podlegających rozbudowanym reżimom regulacyjnym rozwiązaniem jest przewidziana w projekcie możliwość ograniczenia stosowania niektórych obowiązków wynikających z AI Act w sytuacjach, w których równoważny poziom ochrony zapewniają już inne akty harmonizacyjne Unii Europejskiej. Komisja Europejska ma w tym celu uzyskać uprawnienie do przyjmowania aktów delegowanych wskazujących konkretne przypadki, w których określone obowiązki AI Act mogą zostać ograniczone – pod warunkiem zachowania równoważnego poziomu ochrony zdrowia, bezpieczeństwa i praw podstawowych.

Rozwiązanie to ma szczególne znaczenie dla sektorów regulowanych, w których systemy AI funkcjonują już w ramach rozbudowanych, sektorowych procedur oceny zgodności – np. w sektorze finansowym, medycznym, czy lotniczym. Dla podmiotów działających w tych branżach oznacza to potencjalną redukcję zjawiska podwójnej certyfikacji tych samych funkcjonalności systemu AI w ramach różnych reżimów prawnych.

Small mid-cap companies

Nowe przepisy przewidują rozszerzenie części rozwiązań dotychczas zarezerwowanych dla mikro-, małych i średnich przedsiębiorstw (MŚP) również na tzw. small mid-cap companies, a więc podmioty, które formalnie przekroczyły progi kwalifikujące je jako MŚP. Ustawodawca unijny dostrzegł zjawisko tzw. efektu progowego, w którym nagła utrata statusu MŚP – np. wskutek wzrostu zatrudnienia lub obrotów – skutkowała gwałtownym i nieproporcjonalnym wzrostem obciążeń regulacyjnych. 

Rozszerzenie wybranych instrumentów wsparcia na small mid-cap companies ma ułatwić płynne przechodzenie między kategoriami przedsiębiorstw i ograniczyć ryzyko, że sam wzrost skali działalności stanie się barierą w rozwijaniu innowacyjnych rozwiązań opartych na AI.

Nowe terminy

Jedną z najistotniejszych zmian wprowadzonych przez AI Omnibus jest modyfikacja harmonogramu stosowania części obowiązków wynikających z AI Act, przede wszystkim w odniesieniu do systemów sztucznej inteligencji kwalifikowanych jako systemy wysokiego ryzyka. Celem tej zmiany jest zapewnienie przedsiębiorcom oraz organom nadzoru dodatkowego czasu na przygotowanie się do stosowania najbardziej złożonych wymogów regulacyjnych oraz umożliwienie opracowania pełnego zestawu standardów technicznych i wytycznych wykonawczych.

W przypadku samodzielnych systemów AI wysokiego ryzyka, wskazanych w załączniku III do AI Act, obowiązki wynikające z rozporządzenia będą stosowane od 2 grudnia 2027 r. Natomiast dla systemów wysokiego ryzyka stanowiących element produktów objętych unijnym prawodawstwem harmonizacyjnym, wymienionych w załączniku I do AI Act, rozpoczęcie stosowania przepisów zostało przesunięte na 2 sierpnia 2028 r.

Nowelizacja wprowadziła również okres przejściowy dla nowych zakazanych praktyk określonych w art. 5 AI Act. Dotyczy to systemów sztucznej inteligencji umożliwiających generowanie lub manipulowanie intymnymi wizerunkami osób bez ich zgody oraz materiałami przedstawiającymi seksualne wykorzystywanie małoletnich. Dostawcy takich systemów są zobowiązani do wdrożenia odpowiednich środków technicznych i organizacyjnych zapobiegających tego rodzaju wykorzystaniu AI najpóźniej do 2 grudnia 2026 r.

Z perspektywy przedsiębiorców wydłużenie terminów należy postrzegać jako dodatkowy okres na przeprowadzenie kompleksowych działań przygotowawczych, obejmujących m.in. klasyfikację systemów AI, wdrożenie systemów zarządzania zgodnością, przygotowanie dokumentacji technicznej, aktualizację procedur wewnętrznych oraz szkolenie personelu. Nie powinno ono jednak prowadzić do odkładania działań wdrożeniowych, lecz zostać wykorzystane na stopniowe i metodyczne osiągnięcie zgodności z wymaganiami AI Act.

Podsumowanie

Wejście w życie AI Omnibus stanowi istotny etap w procesie wdrażania AI Act. Choć nowelizacja nie zmienia fundamentalnych założeń unijnego modelu regulacji sztucznej inteligencji, wprowadza szereg rozwiązań, które w praktyce ułatwiają przedsiębiorcom przygotowanie do stosowania nowych obowiązków. Z jednej strony doprecyzowuje wybrane przepisy i ogranicza część obciążeń administracyjnych, z drugiej – wydłuża terminy rozpoczęcia stosowania najbardziej wymagających obowiązków regulacyjnych, zapewniając podmiotom objętym AI Act dodatkowy czas na dostosowanie procesów organizacyjnych i technicznych.

W praktyce przedsiębiorcy powinni wykorzystać ten okres przede wszystkim na ponowną weryfikację klasyfikacji wykorzystywanych lub rozwijanych systemów AI z uwzględnieniem zmienionej definicji komponentu bezpieczeństwa, aktualizację procedur związanych z realizacją obowiązku zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji (AI literacy), a także przegląd systemów zarządzania zgodnością oraz dokumentacji wewnętrznej. Podmioty działające w sektorach regulowanych powinny dodatkowo przeanalizować relacje pomiędzy obowiązkami wynikającymi z AI Act a regulacjami sektorowymi, uwzględniając możliwość dalszego doprecyzowania tych zagadnień w aktach delegowanych Komisji Europejskiej.

Szczególną uwagę powinni zwrócić dostawcy modeli AI ogólnego przeznaczenia oraz systemów generatywnych. Pomimo przesunięcia terminów stosowania części obowiązków dotyczących systemów wysokiego ryzyka, obowiązki związane z ograniczaniem ryzyka generowania niekonsensualnych treści intymnych oraz materiałów przedstawiających seksualne wykorzystywanie dzieci pozostają aktualne i wymagają odpowiedniego wdrożenia środków technicznych oraz organizacyjnych. Działania w tym zakresie nie powinny być odkładane do momentu rozpoczęcia stosowania pozostałych obowiązków wynikających z AI Act.

AI Omnibus nie oznacza zatem osłabienia europejskiego modelu regulacji sztucznej inteligencji, lecz jego pragmatyczne dostosowanie do realiów wdrożeniowych. Dla przedsiębiorców jest to przede wszystkim szansa na bardziej efektywne przygotowanie organizacji do pełnego stosowania AI Act, przy jednoczesnym zachowaniu wysokiego poziomu ochrony bezpieczeństwa, praw podstawowych oraz zaufania do systemów sztucznej inteligencji.

‍