AI Act dostaje 83 poprawki, zanim zdążył w pełni zadziałać. Co się właściwie stało 26 marca?

Analiza kluczowych zmian w AI Act po głosowaniu Parlamentu Europejskiego z 26 marca 2026
29 marca 2026 · Czas czytania: ok. 15 minut

Lipiec 2024. Unia Europejska publikuje AI Act. Ponad 400 stron tekstu prawnego, flagowa regulacja sztucznej inteligencji, miesiące negocjacji, kompromisy, lobbing. Miało być na lata. Miało ustanowić globalny standard.

Niecałe dwa lata później, 26 marca 2026, Parlament Europejski przegłosował 83 poprawki do tego samego aktu. 569 głosów za, 45 przeciw, 23 wstrzymujące się.

Nie, to nie żart. To się naprawdę wydarzyło.

I nie chodzi o drobne korekty redakcyjne. Parlament przebudował architekturę załącznika I, wprowadził 12 nowych artykułów zmieniających prawo sektorowe, zdefiniował na nowo pojęcie funkcji bezpieczeństwa, przebudował model nadzoru nad AI Office i dodał zupełnie nowy zakaz, którego Komisja nawet nie proponowała. Wszystko w ramach pakietu o nazwie "Digital Omnibus on AI", który oficjalnie miał być "uproszczeniem".

Brzmi jak materiał na solidną analizę? Bo nim jest. Rozbierzmy to na części.

Dlaczego UE poprawia prawo, które jeszcze nie zaczęło działać?

Żeby zrozumieć sens tych poprawek, trzeba cofnąć się do harmonogramu wdrożenia AI Act. Bo to nie jest tak, że przepisy okazały się źle napisane. Problem jest inny: cały aparat, który miał umożliwić ich stosowanie, po prostu nie istnieje.

Zacznijmy od faktów.

Normy zharmonizowane nie są gotowe. CEN-CENELEC Joint Technical Committee 21 - ciało odpowiedzialne za opracowanie standardów technicznych - miał dostarczyć je do 30 kwietnia 2025. Przewodniczący przyznał jeszcze w 2024, że nie zdąża, ale obiecał, że firmy będą miały standardy do końca 2025 lub początku 2026. W październiku 2025 termin przesunięty znowu, na koniec 2026. Według Progress Chamber, to już trzecie przesunięcie.

Komisja Europejska sama nie dotrzymała terminu. Do 2 lutego 2026 miała opublikować wytyczne dotyczące Artykułu 6, czyli klasyfikacji systemów wysokiego ryzyka. Nie zrobiła tego. Jak pisze IAPP, Komisja przyznała, że "integruje miesiące feedbacku" i planuje opublikować finalny draft "do końca miesiąca". Wersja ostateczna? Może marzec, może kwiecień.

Państwa członkowskie nie wyznaczyły organów nadzoru. Wiele krajów nie ma jeszcze wyznaczonych regulatorów AI. Jednostki oceniające zgodność (te, które mają certyfikować systemy AI) nie zostały powołane. Dostawcy systemów AI nie wiedzą, według jakich standardów mają wykazać zgodność, bo nikt im jeszcze tego nie powiedział.

Wyobraź sobie, że ktoś mówi Ci: "musisz zdać egzamin za 6 miesięcy". Ale nie daje Ci podręcznika. Nie mówi, jakie będą pytania. Egzaminatora jeszcze nie zatrudniono. A instytucja, która miała wszystko zorganizować, przyznaje, że sama nie zdążyła przygotować materiałów.

Dokładnie tak wyglądała sytuacja firm, które powinny dostosować się do wymogów AI Act dotyczących systemów wysokiego ryzyka do 2 sierpnia 2026.

Stąd pakiet Digital Omnibus on AI, opublikowany przez Komisję 19 listopada 2025, jako część szerszego programu "Prostsza i szybsza Europa". W założeniu miało być uproszczenie. W praktyce Parlament dorzucił do propozycji Komisji zmiany, które daleko wykraczają poza kosmetyki.

Głosowanie i co dalej: trilog pod presją czasu

26 marca 2026 Parlament Europejski przyjął stanowisko w pierwszym czytaniu. 569 głosów za, 45 przeciw, 23 wstrzymujące się. Wcześniej, 13 marca, Rada UE przyjęła swój mandat negocjacyjny. Teraz obie instytucje wchodzą w trilog z Komisją.

I tu zaczyna się wyścig z czasem.

Prezydencja cypryjska, która prowadzi prace Rady, wyznaczyła cel: porozumienie do 28 kwietnia 2026. Według Pinsent Masons, pierwsze spotkania techniczne rozpoczęły się już w dniu głosowania i mają trwać przez okres wielkanocny. Dlaczego taki pośpiech? Bo jeśli Omnibus nie zostanie przyjęty przed 2 sierpnia 2026, oryginalny harmonogram wchodzi w życie automatycznie. A wtedy firmy muszą być zgodne z wymogami, na które nie ma jeszcze standardów.

Dobra wiadomość: Rada i Parlament są w dużej mierze zgodne. Obie instytucje odrzuciły wiele z "uproszczeń" proponowanych przez Komisję. Jak zauważa Global Policy Watch, ta zbieżność sugeruje, że ambitny harmonogram jest osiągalny.

Nowe terminy: więcej czasu, ale zero uznaniowości

To jest kluczowa zmiana i warto ją zrozumieć dokładnie.

Komisja proponowała elastyczny mechanizm: przepisy rozdziału III (systemy wysokiego ryzyka) nie wchodziłyby w życie automatycznie, lecz dopiero po wydaniu przez Komisję decyzji potwierdzającej, że ekosystem regulacyjny jest gotowy. Po takiej decyzji biegłoby jeszcze 6 lub 12 miesięcy. Gdyby decyzji nie było, przepisy i tak zaczną obowiązywać od konkretnych dat granicznych.

Parlament ten mechanizm odrzucił. Powiedział: nie, dziękujemy. Daty są sztywne i automatyczne.

Systemy AI wysokiego ryzyka z załącznika III (identyfikacja biometryczna, infrastruktura krytyczna, zatrudnienie, migracja, wymiar sprawiedliwości) muszą spełnić wymogi do 2 grudnia 2027 roku.

Systemy objęte sektorowym prawem UE (maszyny, zabawki, wyroby medyczne, lotnictwo cywilne) muszą spełnić wymogi do 2 sierpnia 2028 roku.

Branża dostaje więcej czasu. Ale Komisja nie dostaje "przełącznika". Nie będzie decydować, kiedy przepisy "się włączają". Parlament zobowiązuje ją do zapewnienia narzędzi wsparcia "w odpowiednim czasie", co jest eleganckim sposobem powiedzenia "zróbcie swoje, zanim przyjdą terminy".

I co ciekawe, w jednym przypadku Parlament przyspieszył termin. Dostawcy systemów generatywnych obecnych na rynku muszą wdrożyć watermarking (art. 50(2)), oznaczanie treści syntetycznych) do 2 listopada 2026 roku. Trzy miesiące wcześniej niż chciała Komisja (która proponowała luty 2027).

Dlaczego przyspieszenie akurat tu? Bo transparentność treści AI to temat, który nie może czekać. Ale o tym więcej za chwilę.

Zakaz nudifierów: kiedy Grok wywrócił stolik

To jest chyba najbardziej medialna zmiana w całym Omnibusie. I jednocześnie historia, która pokazuje, dlaczego regulacje AI nie są abstrakcyjnym tematem prawnym, tylko odpowiedzią na realne, konkretne szkody.

Komisja nie proponowała żadnych nowych zakazanych praktyk AI. Parlament to zrobił sam.

Nowy art. 5 ust. 1 lit. ha) zakazuje wprowadzania do obrotu, oddawania do użytku lub używania systemów AI, które generują intymne obrazy lub filmy przedstawiające rozpoznawalne osoby bez ich zgody. Tak zwane "nudifier apps".

Skąd ten zakaz? Z życia. Z bardzo konkretnego skandalu.

W grudniu 2025 roku xAI Elona Muska udostępniło na platformie X możliwość generowania i edycji obrazów przez Groka z modelem Aurora. Zabezpieczenia były minimalne.

Co się stało potem, przekroczyło najgorsze scenariusze.

Użytkownicy X natychmiast zaczęli masowo wysyłać zdjęcia kobiet i dzieci z poleceniem "rozebraj ją". Grok wykonywał te polecenia.

Liczby są szokujące. Według New York Timesa, w ciągu 9 dni Grok wygenerował 4,4 miliona obrazów, z czego 1,8 miliona to seksualizowane wizerunki kobiet. Center for Countering Digital Hate oszacował, że w 11 dni powstało 23 000 seksualizowanych obrazów dzieci.

23 tysiące. Obrazów. Dzieci. W 11 dni.

Co się działo w xAI

Żeby zrozumieć, jak do tego doszło, trzeba spojrzeć na to, co działo się wewnątrz firmy.

Według The Verge, anonimowy pracownik który odszedł z xAI powiedział wprost: "Safety is a dead organization at xAI" (bezpieczeństwo to martwa organizacja w xAI). Źródło wskazało, że przesunięcie Groka w stronę treści NSFW wynikało częściowo z tego, że zespół bezpieczeństwa został zwolniony. Zostały tylko podstawowe filtry na CSAM.

Ten sam pracownik dodał: "On [Musk] aktywnie próbuje sprawić, żeby model był bardziej nieograniczony, bo dla niego bezpieczeństwo równa się cenzurze".

Sam Musk wziął udział w trendzie "rozebraj", publikując na X swój własny obraz wygenerowany przez Groka. To nie był wypadek. To był sygnał.

A exodus z firmy? Na 29 marca 2026 wszystkich 11 oryginalnych współzałożycieli xAI (oprócz Muska) odeszło z firmy. W samym lutym 2026, w ciągu kilku dni, odeszli współzałożyciele Yuhuai "Tony" Wu i Jimmy Ba, a za nimi ponad 11 inżynierów i kluczowych pracowników. Według Bloomberga, Musk przeprowadził restrukturyzację i "przebudowuje firmę od fundamentów". Ale na wykresie organizacyjnym, który sam opublikował, nie było śladu po zespole bezpieczeństwa.

Reakcja świata

Sprawa rozwijała się lawinowo:

• Styczeń 2026: Indonezja i Malezja zablokowały Groka po powtarzających się awariach zabezpieczeń
• Styczeń 2026: Komisja Europejska wszczęła dochodzenie wobec xAI na podstawie Digital Services Act (DSA)
• Styczeń 2026: Prokurator generalny Kalifornii wszczął dochodzenie
• Styczeń 2026: xAI wprowadziło ograniczenia generowania seksualizowanych obrazów, ale holenderska organizacja Offlimits wykazała, że można je łatwo obejść
• Wielka Brytania: Ofcom i Information Commissioner's Office (ICO) rozpoczęły niezależne śledztwa
• 26 marca 2026: Sąd w Amsterdamie nakazał xAI zaprzestania generowania nagich wizerunków. Kara: 100 000 euro dziennie za każdy dzień nieprzestrzegania, maksymalnie 10 milionów euro. xAI ma też zapłacić 2,2 miliona euro kosztów prawnych organizacji Offlimits. Według CNBC i Reuters, to precedensowy wyrok w Europie.
• Baltimore został pierwszym miastem w USA, które pozwało xAI za naruszenie lokalnych przepisów ochrony konsumentów
• Trzej nastolatkowie z Tennessee pozwali xAI za wygenerowanie ich wizerunków w seksualizowanych pozach

To wszystko wydarzyło się w ciągu trzech miesięcy.

Jak wygląda sam zakaz

Zakaz z art. 5 ust. 1 lit. ha) nie jest absolutny. Są wyjątki:

1. Dostawcy z zabezpieczeniami - jeśli firma wdrożyła skuteczne środki techniczne uniemożliwiające generowanie takich treści, jest wyłączona z zakazu
2. Prace badawczo-rozwojowe - badania nad samą technologią są dozwolone

Zakaz dotyczy celowego lub niedbałego udostępniania narzędzia, nie samej zdolności technologicznej. Innymi słowy: możesz mieć model, który teoretycznie potrafi to robić, ale musisz go zabezpieczyć tak, żeby tego nie robił.

Zarówno Rada jak i Parlament wprowadziły ten zakaz, co sugeruje, że przetrwa trilog. Rada dodatkowo rozszerzyła go o materiały przedstawiające seksualne wykorzystywanie dzieci.

Co jeszcze zmienił Parlament? Dużo.

Węższa definicja systemu wysokiego ryzyka

To zmiana, która może nie brzmi medialnie, ale dla firm budujących produkty z AI jest ogromna.

Dotychczas każdy system AI będący "elementem bezpieczeństwa" w produkcie objętym prawem sektorowym automatycznie lądował w kategorii wysokiego ryzyka. Teraz musi być niezbędny do zapewnienia zgodności produktu z wymogami bezpieczeństwa.

Różnica jest zasadnicza. Asystent głosowy w ekspresie do kawy? Nie jest niezbędny do bezpieczeństwa. Optymalizacja wydajności w smartwatchu? Też nie. AI kontrolujące estetykę opakowania? Tym bardziej.

Te systemy wypadają z reżimu wysokiego ryzyka. To istotne odchudzenie, które wyklucza z najcięższych wymogów sporo AI wbudowanego w urządzenia IoT i produkty konsumenckie.

12 nowych artykułów porządkujących prawo sektorowe

Parlament posunął się dalej niż Komisja w porządkowaniu relacji między AI Act a sektorowym prawodawstwem produktowym.

Usunął całą sekcję A załącznika I i wprowadził 12 nowych artykułów (110a do 110l). Każdy zmienia inny akt prawny: rozporządzenie o maszynach, dyrektywę zabawkową, rozporządzenie o wyrobach medycznych i inne.

Mechanizm jest dwojaki:

1. Wymogi AI Act traktowane są jako "zasadnicze wymagania w zakresie zdrowia i bezpieczeństwa" w rozumieniu prawa sektorowego
2. Komisja nie może przy przyjmowaniu specyfikacji sektorowych wykraczać poza to, co przewiduje AI Act

Jeden zestaw wymogów, jedna ścieżka zgodności. Koniec z podwójnym raportowaniem. Dla firm, które budują produkty z komponentem AI, to jest realna ulga.

Dostawcy modeli GPAI pod lupą

Komisja nie ruszała art. 25 AI Act. Parlament go rozszerzył o dostawców modeli ogólnego przeznaczenia (GPAI), których modele są zintegrowane w systemach wysokiego ryzyka.

Co to oznacza konkretnie? Jeśli budujesz system wysokiego ryzyka na modelu GPT, Claude, Gemini czy jakimkolwiek innym modelu fundacyjnym, dostawca tego modelu musi teraz:

• Udostępnić Ci dokumentację techniczną
• Ujawnić znane ograniczenia i tryby awarii modelu
• Zapewnić dostęp techniczny do celów testowania

Naruszenie tych obowiązków podlega karom na zasadach ogólnych. Parlament zamknął lukę, w której dostawca modelu fundacyjnego mógł umywać ręce od tego, co na jego modelu zbudowano. Słuszna zmiana, biorąc pod uwagę jak szybko modele GPAI wchodzą do krytycznych zastosowań w medycynie, rekrutacji, wymiarze sprawiedliwości.

AI Office traci wyłączność

Komisja chciała dać Urzędowi ds. AI wyłączną kompetencję nadzorczą nad systemami opartymi na GPAI (gdy model i system są od tego samego dostawcy) oraz nad systemami w bardzo dużych platformach i wyszukiwarkach (DSA).

Parlament usunął słowo "wyłączną". Krajowe organy mogą działać, jeżeli Komisja nie wszczęła postępowania. Systemy AI w infrastrukturze krytycznej zostały wyłączone z kompetencji AI Office i pozostają pod nadzorem regulatorów sektorowych.

Model zmienił się z centralizacji na kompetencje współdzieloną, z krajowym backstopem.

Przy okazji dwie ważne rzeczy:

1. Parlament nakazał AI Office koordynację z organami ochrony danych osobowych i EROD
2. Parlament dodał wymóg "adekwatnych zasobów ludzkich, finansowych i technicznych" dla AI Office. Nie bez powodu: według MLexa, AI Office planował zatrudnić zaledwie 53 dodatkowych pracowników. Dla urzędu, który ma nadzorować cały ekosystem AI w UE, to nie jest imponująca liczba.

Dane wrażliwe: ściślej niż chciała Komisja

Komisja proponowała szeroką, horyzontalną podstawę prawną do przetwarzania danych wrażliwych (rasa, zdrowie, orientacja seksualna) w celu wykrywania stronniczości AI. Dla wszystkich systemów i modeli AI. Standard: "konieczne".

Parlament i Rada zgodnie zawęziły:

• Standard "konieczne" zastąpiony "ściśle konieczne"
• Zakres ograniczony do systemów wysokiego ryzyka
• Rozszerzenie na inne systemy możliwe tylko gdy stronniczość zagraża zdrowiu, bezpieczeństwu lub prowadzi do zakazanej dyskryminacji
• Przepis nie tworzy obowiązku prowadzenia debiasingu

Ta zmiana jest zgodna z Joint Opinion 1/2026 wydaną przez EDPB i EDPS, które wyraziły obawy dotyczące zbyt szerokiego dostępu do danych wrażliwych pod pretekstem naprawiania biasu.

AI literacy: Parlament się nie dał

Komisja i Rada próbowały złagodzić obowiązek AI literacy (art. 4) z wymogu wiążącego na dostawców i użytkowników na "zachęcanie" ze strony państw członkowskich i Komisji.

Parlament przywrócił obowiązek jako wiążący, ale obniżył standard z "zapewnienia wystarczającego poziomu" na "wspieranie poprawy AI literacy". Dodał też wymóg, żeby Komisja wydała praktyczne wytyczne implementacyjne i zachęcał do partnerstw publiczno-prywatnych.

Kompromis? Tak. Ale kierunek jasny: firmy budujące i wdrażające AI muszą inwestować w edukację swoich zespołów.

Kary: nie dla wszystkich jednakowo

Artykuł 99 AI Act przewiduje trzy poziomy kar:

Omnibus rozszerzył preferencyjne zasady karania na małe spółki o średniej kapitalizacji (poniżej 750 pracowników i 150 mln EUR obrotu). Ale z istotnym zastrzeżeniem: dostawcy modeli GPAI o ryzyku systemowym nie korzystają z obniżonych pułapów kar, nawet jeśli formalnie są małą firmą. Startup rozwijający frontier-class model nie dostanie taryfy ulgowej.

Logiczne. Duży model to duże ryzyko, niezależnie od rozmiaru biura.

Watermarking i art. 50: to nie jest "dodanie etykietki"

Ten temat zasługuje na oddzielne omówienie, bo wiele firm wciąż myśli o watermarkingu jako o "dopisaniu napisu AI generated". Nic bardziej mylnego.

Artykuł 50 AI Act ustanawia dwuwarstwowy model transparentności:

Warstwa 1: Provider (dostawca systemu generatywnego)

Jeśli Twój system generuje audio, obrazy, wideo lub tekst, musisz:

1. Oznaczanie maszynowo-czytelne - metadane osadzone w pliku w momencie generowania, podpisane cyfrowo. Standard referencyjny: C2PA (Coalition for Content Provenance and Authenticity). Wymagane pola: nazwa dostawcy, fakt użycia AI, timestamp, unikalny identyfikator treści.
2. Watermark niewidzialny - "wpleciony" w treść, odporny na obróbkę (kadrowanie, kompresję, re-upload na platformy)
3. Fingerprinting/logowanie - jako fallback. Hashing dla obrazów, logowanie dla tekstu.
4. Certyfikat proweniencji - dla treści, gdzie embedding jest trudny, dowód pochodzenia
5. Detektor / API weryfikacyjne - musisz udostępnić interfejs, za pomocą którego osoby trzecie mogą zweryfikować, czy dana treść została wygenerowana przez Twój system. To nie jest opcjonalne.
6. Ochrona przed usuwaniem - technologia i regulaminy muszą zabraniać usuwania watermarków. Utrata metadanych podczas konwersji pliku też może stanowić naruszenie.

Jak pisze Komisja Europejska w opisie Code of Practice, "żadna pojedyncza technika oznaczania nie jest wystarczająca" do spełnienia wymogów art. 50. Trzeba stosować wiele technik jednocześnie.

Warstwa 2: Deployer (ten kto używa systemu AI)

Jeśli korzystasz z systemu generatywnego (np. integrujesz GPT w swoim produkcie), musisz:

• Oznaczać treści generowane przez AI widoczną etykietą dla użytkowników
• Ujawniać deepfake'i (obrazy, audio, wideo przypominające istniejące osoby)
• Ujawniać teksty AI o sprawach publicznych (chyba że przeszły kontrolę redakcyjną)
• Stosować wspólną taksonomię (w trakcie standaryzacji na poziomie UE): "Fully AI-generated" vs "AI-assisted"

Termin

Dla systemów już na rynku: 2 listopada 2026 (przyspieszony przez Parlament z lutego 2027).

Kary za naruszenie art. 50: do 15 mln EUR lub 3% globalnego obrotu.

Code of Practice jest opracowywany przez niezależnych ekspertów powołanych przez AI Office. Pierwszy draft opublikowano 17 grudnia 2025, drugi w marcu 2026, finalizacja przewidywana na czerwiec 2026.

Piaskownice regulacyjne: z udziałem organów ochrony danych

Piaskownica regulacyjna (regulatory sandbox) na poziomie UE, prowadzona przez AI Office, to propozycja Komisji, którą Parlament zaakceptował. Ale dodał warunek: gdy piaskownica obejmuje przetwarzanie danych osobowych, obowiązkowy jest udział krajowych organów ochrony danych i EROD.

Przewidział też priorytetowy dostęp do piaskownic dla MSP i startupów. Dobry kierunek, jeśli faktycznie zostanie wdrożony.

Czego Omnibus NIE zmienia

Warto to powiedzieć wprost, bo łatwo się pogubić w szumie:

• Katalog zakazanych praktyk AI (art. 5) - niezmieniony, poza dodaniem nudifierów
• Wymogi materialne dla systemów wysokiego ryzyka (art. 8-15) - nienaruszone. Dokumentacja techniczna, zarządzanie ryzykiem, data governance, dokładność, odporność, cyberbezpieczeństwo - wszystko stoi
• Obowiązki materialne dostawców modeli GPAI (art. 53 - ogólne, art. 55 - ryzyko systemowe) - bez zmian
• Zmieniono mechanizmy nadzoru nad kodeksami praktyk (art. 56) i wymogi oznaczania treści syntetycznych (art. 50), ale to kwestie proceduralne

Omnibus zmienia terminy, procedury, architekturę nadzoru i relacje z prawem sektorowym. Nie zmienia meritum tego, czego się od firm wymaga. To nie jest rozluźnienie wymogów. To jest przesunięcie terminu ich egzekucji.

Co dalej: trilog i wyścig z czasem

Kalendarz wygląda tak:

1. 13 marca 2026 - Rada przyjęła mandat negocjacyjny
2. 26 marca 2026 - Parlament przyjął stanowisko (569 za, 45 przeciw)
3. Kwiecień 2026 - trilog (negocjacje trójstronne: Parlament, Rada, Komisja)
4. Cel: 28 kwietnia lub maj 2026 - porozumienie (ambitne, ale prezydencja cypryjska naciska)
5. Przed 2 sierpnia 2026 - formalne przyjęcie (bo inaczej oryginalne terminy wchodzą w życie)

Jeśli Omnibus nie zostanie przyjęty na czas, firmy staną przed oryginalnym harmonogramem: wymogi dla systemów wysokiego ryzyka od sierpnia 2026. Bez gotowych standardów, bez wytycznych, bez certyfikatorów.

Jak pisze Global Policy Watch, szeroka zbieżność stanowisk Rady i Parlamentu (obie instytucje odrzuciły wiele uproszczeń Komisji) sugeruje, że porozumienie jest realistyczne. Ale nic nie jest przesądzone, dopóki nie ma podpisu.

Co ja o tym myślę

Jako ktoś, kto codziennie pracuje z modelami AI i buduje na nich produkt, widzę tu kilka rzeczy.

Odroczenie było nieuniknione. Uchwalanie ambitnej regulacji bez sprawdzenia, czy ktokolwiek jest w stanie ją wdrożyć, to klasyczny europejski problem. Komisja Europejska nie dotrzymała własnego terminu na wytyczne. CEN-CENELEC przesunął deadline trzy razy. Państwa członkowskie nie wyznaczyły organów. A potem wszyscy się dziwią, że firmy nie są gotowe? Dobre intencje, słaba egzekucja.

Dobrze, że Parlament daje branży czas. Ale jednocześnie trzyma Komisję za słowo, bo daty są sztywne. Nikt nie może powiedzieć "jeszcze nie teraz".

Zakaz nudifierów to reakcja na realne zagrożenie. 23 000 seksualizowanych obrazów dzieci w 11 dni. To nie jest problem hipotetyczny. To się wydarzyło. Zespół bezpieczeństwa xAI został zlikwidowany, wszyscy współzałożyciele odeszli, a CEO firmy sam brał udział w trendzie "rozebraj". Dobrze, że UE zareagowała. I dobrze, że zarówno Rada jak i Parlament są tu zgodne.

Dla nas, builderów, kluczowy jest kierunek. AI Act nie odpuści. Wymogi materialne stoją. Art. 8-15 nie zostały ruszone. Kto teraz zacznie dostosowywanie, będzie w lepszej pozycji. Kto liczy na to, że "jakoś to będzie" - może się zdziwić, gdy w grudniu 2027 terminy zaczną obowiązywać automatycznie.

Watermarking to prawdziwe wyzwanie techniczne. To nie jest "dodanie napisu". To metadata, watermarki, fingerprinting, API weryfikacyjne, ochrona przed usuwaniem. C2PA jako standard referencyjny. Termin: listopad 2026. Jeśli budujesz system generatywny, musisz zacząć teraz.

A najważniejsze: Europa reguluje szybciej, niż jest w stanie wdrożyć. I potem musi się z tego wycofywać pod presją własnych terminów. Digital Omnibus, mimo nazwy sugerującej uproszczenie, jest w istocie przyznaniem, że pierwotny akt nie został wystarczająco przemyślany.

Tym razem to nie branża technologiczna nie nadąża za regulacją. To regulacja nie nadąża za samą sobą.

Kluczowe daty do zapamiętania