AI Act przesunięty o 16 miesięcy - analiza z perspektywy foundera budującego narzędzia compliance w Polsce
21 lipca 2026 · Czas czytania: ok. 18 minut
Szesnaście miesięcy, które zmieniają układ sił na rynku
Rada UE pod koniec czerwca zatwierdziła pakiet upraszczający wdrażanie AI Act. Kluczowa zmiana: obowiązki dla systemów wysokiego ryzyka - tych stosowanych w rekrutacji, scoringu kredytowym, edukacji, identyfikacji biometrycznej - wejdą w życie nie 2 sierpnia 2026 roku jak planowano, lecz 2 grudnia 2027. Szesnaście miesięcy więcej niż zakładał pierwotny harmonogram.
Komisja Europejska zaproponowała to przesunięcie jesienią 2025 w ramach pakietu Digital Omnibus. Parlament Europejski i Rada doprecyzowały szczegóły wiosną tego roku, po kilku miesiącach trilogu. 569 głosów za, 45 przeciw, 23 wstrzymujące się. Wynik nie pozostawia wątpliwości co do konsensusu politycznego.
Zanim ktoś przeczyta to jako poluzowanie regulacji albo ustępstwo wobec lobby technologicznego - nie jest. To przesunięcie dotyczy wyłącznie tych elementów, które wymagają najwięcej pracy wdrożeniowej po stronie firm, a na które ekosystem regulacyjny po prostu nie dostarczył narzędzi na czas. Poziom ochrony obywateli nie spada. Ambicja regulacyjna nie maleje. Zmienia się tylko tempo.
Co wchodzi bez zmian, zgodnie z pierwotnym planem
Podstawowe wymogi przejrzystości działają zgodnie z oryginalnym harmonogramem. Obowiązek informowania użytkownika o interakcji z systemem AI wchodzi w sierpniu tego roku. Znakowanie treści syntetycznych - w grudniu. Zakaz stosowania AI do generowania treści seksualnych bez zgody osób (w tym deepfake'ów) obowiązuje od 2 grudnia 2026. Bruksela przyspieszyła ten konkretny termin po głośnej aferze z fałszywymi zdjęciami premier Włoch Giorgii Meloni, która pokazała że problem nie jest teoretyczny.
To ważne rozróżnienie i warto je podkreślić. Przejrzystość i ochrona przed nadużyciami idą pełną parą. Przesunięto wyłącznie obowiązki dotyczące systemów wysokiego ryzyka - bo na nie po prostu nie było gotowych standardów, procedur certyfikacji ani wyznaczonych organów nadzoru. Nie da się wymagać zgodności z normami, które jeszcze nie istnieją.
Dodatkowo Parlament przyspieszył jeden termin: dostawcy systemów generatywnych obecnych na rynku muszą wdrożyć watermarking (znakowanie treści generowanych przez AI) do 2 listopada 2026 - trzy miesiące wcześniej niż chciała Komisja. Transparentność treści AI to temat, który według europejskich legislatorów nie może czekać nawet jednego dodatkowego kwartału.
Dlaczego przesunięcie było nieuniknione
Każdy kto próbował realnie wdrożyć zgodność z regulacją unijną rozumie ten powód natychmiast. Nie chodzi o to, że przepisy były źle napisane. Problem polega na tym, że cały aparat który miał umożliwić ich stosowanie po prostu nie istniał w momencie kiedy miał zacząć działać.
Zacznijmy od faktów. CEN-CENELEC Joint Technical Committee 21 - ciało odpowiedzialne za opracowanie standardów technicznych - miało dostarczyć normy zharmonizowane do 30 kwietnia 2025. Przewodniczący przyznał jeszcze w 2024 roku że nie zdąży, ale obiecał gotowość na koniec 2025 lub początek 2026. W październiku 2025 termin przesunięto znowu, na koniec 2026. To już trzecie przesunięcie. Firmy nie wiedzą według jakich standardów mają wykazać zgodność, bo nikt im tego jeszcze nie powiedział.
Komisja Europejska sama nie dotrzymała własnego terminu. Do 2 lutego 2026 miała opublikować wytyczne dotyczące Artykułu 6 - klasyfikacji systemów wysokiego ryzyka. Nie zrobiła tego. Przyznała że "integruje miesiące feedbacku" i planuje opublikować finalny draft "do końca miesiąca". Wersja ostateczna? Może marzec, może kwiecień. Firmy dowiedziały się dopiero wiosną czy ich systemy w ogóle podpadają pod kategorię wysokiego ryzyka.
Wiele państw członkowskich nie wyznaczyło organów nadzoru AI. Jednostki oceniające zgodność (te które mają certyfikować systemy AI) nie zostały powołane w większości krajów. Cały łańcuch - od standardów przez organy nadzoru po procedury certyfikacji - miał lukę na każdym poziomie.
Wyobraź sobie że ktoś mówi ci: zdaj egzamin za 6 miesięcy. Ale nie daje ci podręcznika. Nie mówi jakie będą pytania. Egzaminatora jeszcze nie zatrudnił. A instytucja organizująca egzamin przyznaje że sama nie zdążyła przygotować materiałów. Dokładnie tak wyglądała sytuacja firm które miały spełnić wymogi AI Act do sierpnia 2026.
Stąd Digital Omnibus on AI - opublikowany przez Komisję 19 listopada 2025 jako część szerszego programu "Prostsza i szybsza Europa". Europejski biznes skarżył się od miesięcy że biurokracja utrudnia konkurowanie z firmami z USA i Azji, które operują w dużo bardziej liberalnym otoczeniu regulacyjnym. Pakiet zmian jest próbą uproszczenia prawa cyfrowego bez rezygnacji z bezpieczeństwa. Kluczowe: firmy dostają więcej czasu, ale daty są sztywne i automatyczne. Komisja nie dostaje żadnego przełącznika, żadnej uznaniowości. Parlament to wyraźnie odrzucił.
Systemy objęte prawem sektorowym - jeszcze dłuższe przesunięcie
Warto zauważyć że przesunięcie nie jest jednolite. Systemy AI wysokiego ryzyka z załącznika III (identyfikacja biometryczna, infrastruktura krytyczna, zatrudnienie, migracja, wymiar sprawiedliwości) muszą spełnić wymogi do 2 grudnia 2027. Ale systemy objęte sektorowym prawem UE - maszyny, zabawki, wyroby medyczne, lotnictwo cywilne - mają czas aż do 2 sierpnia 2028.
To ma sens. Systemy sektorowe podlegają dodatkowym regulacjom branżowym które same się zmieniają i dostosowują do nowej rzeczywistości AI. Wymaganie jednoczesnej zgodności z AI Act i np. rozporządzeniem o wyrobach medycznych, kiedy oba ekosystemy regulacyjne są w trakcie transformacji, byłoby receptą na chaos.
Piaskownice regulacyjne - pierwszy realny mechanizm testowania w praktyce
W tym przejściowym okresie kluczowym narzędziem mają być piaskownice regulacyjne (regulatory sandboxes). Pozwalają testować rozwiązania AI pod nadzorem regulatora, w kontrolowanych warunkach, zanim przepisy zaczną obowiązywać w pełnym zakresie. Przedsiębiorca może wejść do piaskownicy, uruchomić swój system na żywych danych, zidentyfikować ryzyka - i nie ponosi za to konsekwencji prawnych nawet jeśli system nie spełnia jeszcze wszystkich wymogów.
Z mojej perspektywy - kogoś kto buduje produkt na styku AI i regulacji - to dokładnie ten mechanizm którego brakowało. Pozwala identyfikować problemy zanim staną się naruszeniami. Jednocześnie edukuje regulatora na realnych przypadkach użycia zamiast na papierowych scenariuszach pisanych przez prawników którzy nigdy nie widzieli produkcyjnego systemu AI od środka.
W teorii piaskownice istnieją w AI Act od początku. W praktyce dopiero teraz zaczyna się ich realna implementacja na poziomie krajowym. W Polsce będą zarządzane przez nowo powołaną Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). To nie jest odległa perspektywa - to się dzieje teraz, w tym kwartale.
Polska ustawa o systemach sztucznej inteligencji - co się właściwie wydarzyło
Sejm na początku lipca przyjął większość poprawek Senatu do ustawy o systemach sztucznej inteligencji. Ustawa trafia na biurko prezydenta. Polska jest jednym z pierwszych krajów UE z gotową ustawą krajową implementującą AI Act - co samo w sobie jest istotnym sygnałem dla rynku.
Ustawa powołuje KRiBSI - Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. To będzie centralny organ nadzoru rynku AI w Polsce. Będzie rozpatrywać skargi obywateli, zarządzać piaskownicami regulacyjnymi, wydawać wytyczne dla firm. To nie jest kolejna rada doradcza bez kompetencji - KRiBSI dostaje realne uprawnienia nadzorcze.
Równolegle rząd rozwija projekty infrastrukturalne. PLLuM - polski duży model językowy - jest jednym z nich. Nie jest to "nasz" projekt w sensie Evidion, ale kontekst jest istotny: państwo inwestuje w infrastrukturę AI i buduje pozycję jako klient krajowych rozwiązań technologicznych. Dla firm budujących produkty AI w Polsce to dobry sygnał - administracja zaczyna rozumieć że mądry nadzór to nie tylko karanie i kontrole, ale aktywne wspieranie ekosystemu.
Pamela Krzypkowska z departamentu GovTech w Ministerstwie Cyfryzacji napisała w Dzienniku Gazecie Prawnej coś pod czym podpisuję się w stu procentach: odroczenie obowiązków AI Act to szansa, ale kupiony czas nie jest prezentem. Jest kredytem, a kredyty spłaca się wspólnie albo wcale. To sedno całej sprawy. Szesnaście miesięcy które nic nie zmienią w przygotowaniach firmy to szesnaście zmarnowanych miesięcy. A zmarnowany czas kosztuje podwójnie kiedy terminy w końcu nadejdą.
Co to realnie oznacza dla firm - bez ogólników
Wiem że każdy artykuł o regulacjach kończy się listą "co firmy powinny zrobić". Spróbuję to ująć inaczej - z perspektywy kogoś kto widzi jak firmy podchodzą do tego tematu w praktyce, a nie w prezentacjach konferencyjnych.
Pierwsza rzecz to inwentaryzacja. Brzmi banalnie, ale większość firm nie wie ile systemów AI faktycznie używa. Marketing kupił jedno narzędzie, HR drugie, dział prawny trzecie, ktoś w IT podpiął API do czwartego. Nikt tego nie zinwentaryzował, nikt nie wie które z tych systemów podpadają pod kategorię wysokiego ryzyka. Zanim zaczniesz budować zgodność musisz wiedzieć z czym masz do czynienia. To nie jest zadanie na tydzień - w średniej firmie potrafi zająć miesiąc albo dwa żeby ogarnąć cały landscape.
Druga rzecz to dokumentacja procesów decyzyjnych. AI Act wymaga transparentności - kto podjął decyzję o wdrożeniu systemu AI, na jakiej podstawie, jaki jest zakres nadzoru człowieka nad maszyną. Większość firm tego nie dokumentuje. Decyzje zapadają na spotkaniach, w mailach, na Slacku - i nie ma żadnego śladu audytowego. Kiedy przyjdzie kontroler i zapyta "pokaż mi jak doszliście do decyzji o użyciu tego systemu w rekrutacji" - PowerPoint z 2024 roku nie wystarczy.
Trzecia rzecz to kultura nadzoru. To jest najtrudniejsze bo nie da się tego kupić jako usługi. Musisz zbudować w organizacji świadomość że systemy AI wymagają ciągłego monitoringu, że wyniki trzeba walidować, że bias w danych się nie naprawi sam. To zmiana mentalna która wymaga czasu - i dlatego te szesnaście miesięcy jest tak cenne. Nie da się zbudować kultury nadzoru w kwartał przed deadlinem.
Firma która zacznie te przygotowania teraz, za półtora roku będzie tylko dopracowywać procesy. Ci którzy odłożą to na ostatnią chwilę zderzą się z presją czasu. Widziałem to przy RODO - firmy które zaczęły przygotowania rok przed wejściem rozporządzenia przeszły przez to gładko. Te które zaczęły trzy miesiące przed wydały trzy razy więcej i i tak miały luki. Schemat się powtarza przy każdej dużej regulacji.
Perspektywa administracji publicznej
Z drugiej strony barykady - administracja publiczna ma swoje zadania i warto o nich wspomnieć bo bezpośrednio wpływają na to jak firmy będą mogły działać. Udostępnianie otwartych danych do treningu modeli. Rozwój krajowej infrastruktury obliczeniowej. Budowanie kompetencji nadzorczych (ludzie w KRiBSI muszą rozumieć jak działają systemy AI żeby je sensownie nadzorować). I wreszcie odwaga w kupowaniu polskich rozwiązań technologicznych zamiast domyślnego wybierania zagranicznych vendorów.
Ten ostatni punkt jest kluczowy dla ekosystemu. Jeśli administracja publiczna będzie kupować wyłącznie rozwiązania od wielkich międzynarodowych firm, polskie startupy budujące narzędzia compliance i governance nie będą miały referencji. A bez referencji z sektora publicznego trudno sprzedawać do sektora prywatnego w obszarze regulacyjnym - bo firmy szukają rozwiązań "zweryfikowanych przez regulatora". To jest zamknięty krąg który piaskownice mogą pomóc przerwać.
Dlaczego budujemy Evidion dokładnie na to okno czasowe
Tu przechodzę do perspektywy najbardziej mi bliskiej. Evidion budujemy jako warstwę dowodową i governance'ową dla organizacji wdrażających AI. Trzy filary na których opiera się produkt: ciągły nadzór nad systemami AI w organizacji (nie jednorazowy audyt, ale monitoring w czasie rzeczywistym), dokumentowanie odpowiedzialności w sposób weryfikowalny (kryptograficzna integralność dowodów, timestamps, chain of custody), i scentralizowane dowody zgodności gotowe na audyt w jednym miejscu zamiast rozrzucone po dziesiątkach systemów.
Mówiąc prościej - zamieniamy zgodność z regulacją z deklaracji intencji w coś co da się pokazać kontrolerowi. Konkretne dowody, nie PowerPoint z obietnicami. Evidence-based compliance zamiast trust-me compliance.
Przesunięcie terminów na grudzień 2027 nie oznacza dla nas mniej pracy. Wręcz przeciwnie. Oznacza szesnaście miesięcy w których firmy powinny budować dokumentację i procesy nadzoru - a my mamy czas żeby dostarczyć im narzędzie które to umożliwia. To jest okno w którym platforma taka jak Evidion może stać się standardem rynkowym zanim presja czasu zmusi wszystkich do wdrożeń na kolanie i wybrania czegokolwiek co jest pod ręką.
W lipcu zamknęliśmy rundę pre-seed: 850 tysięcy dolarów od DGE3 Investment VC. Growth Score 94 i Heat Score 92 na Crunchbase potwierdzają że rynek widzi potencjał. Nie mówię tego żeby się chwalić - mówię to żeby pokazać że teza o oknie czasowym na narzędzia compliance AI nie jest moją prywatną opinią. Inwestorzy stawiają na to pieniądze.
Piaskownice regulacyjne budowane przez KRiBSI mogą stać się naturalnym partnerem dla platform takich jak nasza. Administracja będzie potrzebować narzędzi do weryfikacji zgodności firm testujących AI w kontrolowanym środowisku. Ktoś musi dostarczyć warstwę dowodową dla tych piaskownic. Ktoś musi zbierać i przechowywać artefakty z testów w sposób gotowy na audyt. To jest nasza specjalizacja.
Czego nie wiemy - ryzyka i niewiadome
Byłbym nieuczciwy gdybym nie wspomniał o ryzykach. Trilog może się przeciągnąć i terminy mogą się jeszcze raz zmienić. Standardy CEN-CENELEC mogą okazać się nieadekwatne do realiów rynkowych kiedy w końcu się pojawią. KRiBSI jako nowa instytucja może potrzebować więcej czasu na zbudowanie operacyjnych zdolności niż zakładają optymistyczne harmonogramy. Firmy mogą zignorować przesunięcie i nie zrobić nic do ostatniej chwili - bo to się zdarza przy każdej regulacji.
Jest też ryzyko że Europa przesadzi w drugą stronę i stworzy tak skomplikowany framework compliance że tylko duże korporacje stać będzie na zgodność. To by zabijało innowacje zamiast je chronić. Na razie kierunek jest dobry - piaskownice, wsparcie MŚP, stopniowe wdrażanie - ale diabeł tkwi w szczegółach implementacji krajowej.
I wreszcie - rynek narzędzi compliance AI dopiero się kształtuje. Za rok może wyglądać zupełnie inaczej niż dzisiaj. Duzi gracze (ServiceNow, OneTrust, IBM) mogą zdecydować że AI governance to ich naturalne rozszerzenie i zalać rynek rozwiązaniami enterprise. Dla startupów takich jak nasz to oznacza że okno jest realne ale nie nieskończone. Szesnaście miesięcy to też nasz deadline na zbudowanie pozycji.
Podsumowanie - co wynika z tego wszystkiego
Obserwuję to z pozycji kogoś kto integruje modele AI w produkcyjnym środowisku i musi na bieżąco śledzić zmieniające się wymogi prawne. To przesunięcie to klasyczny przykład regulacji doganiającej technologię z opóźnieniem - ale w sposób przemyślany. UE nie rezygnuje z ambicji regulacyjnych. Daje sobie i firmom czas żeby zrobić to dobrze zamiast byle jak.
Firmy które przygotują infrastrukturę compliance teraz zyskują przewagę. Nie tylko prawną (unikanie kar), ale operacyjną (lepsze zrozumienie własnych systemów AI, lepszy nadzór, mniejsze ryzyko wpadek reputacyjnych). Compliance nie musi być kosztem. Może być inwestycją w jakość procesów.
Kredyt czasowy trzeba spłacić konkretną pracą. Inwentaryzacja systemów. Dokumentacja procesów. Budowa kultury nadzoru. Wybór narzędzi. Testowanie w piaskownicach. To wszystko wymaga czasu i zasobów - ale wymaga też świadomej decyzji żeby zacząć teraz, a nie za rok.
Szesnaście miesięcy to dużo czasu. Ale tylko dla tych którzy go wykorzystają.