Ustawa o AI już obowiązuje. Czy polskie firmy są na to gotowe?

Przez ostatnie dwa lata AI Act był dla większości polskich firm odległą zapowiedzią — czymś, co „kiedyś wejdzie w życie” i o czym warto pomyśleć bliżej terminu. Ten moment właśnie nadszedł. Od 2 sierpnia 2026 r. obowiązują przepisy o przejrzystości: systemy AI muszą ujawniać, że użytkownik rozmawia z maszyną, treści wygenerowane sztucznie — zdjęcia, wideo, głos — muszą być oznaczone, a materiału stworzonego przez AI nie wolno przedstawiać jako w pełni ludzkiej pracy. Za naruszenia grożą kary do 15 mln euro lub 3% globalnego obrotu firmy.

Miesiąc wcześniej, 27 lipca, w Dzienniku Ustaw pojawiła się polska ustawa o systemach sztucznej inteligencji. Powołuje ona nowy organ nadzoru — Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — z uprawnieniami do przyjmowania skarg, prowadzenia kontroli, wydawania decyzji administracyjnych i nakładania kar sięgających 35 mln euro lub 7% obrotu za najpoważniejsze naruszenia. Innymi słowy: regulacja przestała być teorią. Ma już adres, uprawnienia i cennik kar.

Dlaczego to nie jest jeszcze trzęsienie ziemi

Warto od razu ostudzić emocje, bo część mediów już zdążyła nazwać AI Act „batem na przedsiębiorców”. Obowiązki, które weszły w życie teraz, dotyczą przejrzystości — czyli rzeczy stosunkowo prostych do spełnienia: oznaczania treści, ujawniania botów. Prawdziwy test regulacji, czyli obowiązki dla systemów „wysokiego ryzyka” (rekrutacja, scoring kredytowy, edukacja, infrastruktura krytyczna), przesunięto o siedemnaście miesięcy — na 2 grudnia 2027 r. To dużo czasu, ale też sygnał, że sama Unia Europejska traktuje harmonogram elastycznie, gdy przemysł naciska.

Prawdziwe pytanie: czy ktoś to wyegzekwuje

W naszym laboratorium spór nie dotyczył treści przepisów — te są jasne. Dotyczył czegoś innego: czy nowo powołany KRiBSI w ogóle zdąży zbudować zdolność do realnego kontrolowania firm, zanim regulacja stanie się martwą literą.

Kontrargument okazał się mocniejszy, niż sam Red Team się spodziewał. AI Office Komisji Europejskiej jest pod polityczną presją, żeby pokazać w pierwszym roku obowiązywania AI Act, że to nie jest martwe prawo — a KRiBSI dziedziczy gotową infrastrukturę kar wprost z rozporządzenia unijnego. Po tej wymianie argumentów Red Team podniósł własną ocenę prawdopodobieństwa, że w ciągu 12 miesięcy dojdzie do pierwszej realnej kontroli, z 20 do 30 procent — rzadki w tej branży moment, w którym ktoś głośno przyznaje, że zmienił zdanie pod wpływem argumentu, a nie nowych danych.

Kto naprawdę zapłaci rachunek

Tu robi się ciekawiej. Szacunkowy koszt zgodności z AI Act dla małej firmy bez systemów wysokiego ryzyka to 5–25 tys. euro w pierwszym roku. Dla średniej firmy z jednym systemem wysokiego ryzyka — 25–100 tys. euro. Same oceny zgodności pojedynczego systemu wysokiego ryzyka kosztują 5–50 tys. euro. Problem w tym, że te koszty rozkładają się nieproporcjonalnie: małe firmy płacą, według szacunków branżowych, około trzy razy więcej względem swoich przychodów niż duże korporacje, które i tak mają działy compliance z RODO czy nadzoru finansowego.

To klasyczny mechanizm znany z każdej większej regulacji: podnosi próg wejścia na rynek i konsoliduje go wokół firm, które już mają zasoby prawne. Jednocześnie — jak zauważyli w laboratorium ekonomista i analityk rynku pracy — część mniejszych firm prawdopodobnie w ogóle nie będzie budować systemów kwalifikujących się jako „wysokiego ryzyka”. Zamiast tego przeprojektują produkty tak, by mieściły się poniżej progu regulacji: polskie firmy HR-tech, które planowały automatyczny scoring kandydatów, już teraz przestawiają pozycjonowanie na „wspomaganie decyzji rekrutera”, żeby uniknąć klasyfikacji wysokiego ryzyka.

Trzy scenariusze na najbliższe dwa lata

Co to oznacza dla Polski

Największym ryzykiem nie jest sama regulacja, tylko rozjazd, który widać już dziś: 77% polskich firm deklaruje chęć zwiększenia wydatków na AI, ale prawie połowa (45%) nie ma formalnej strategii jej wykorzystania, a niemal jedna czwarta w ogóle nie zaczęła przygotowań do AI Act. To podatny grunt pod chaotyczne, kosztowne wdrożenia compliance robione w popłochu, dopiero gdy zapuka pierwsza kontrola — zamiast spokojnego, zaplanowanego procesu.

Jest też druga strona medalu. Jeśli KRiBSI okaże się sprawny, a polskie firmy zdążą się dostosować wcześniej niż reszta regionu, Polska może zbudować realną niszę eksportową: relatywnie tanią, dobrze wykształconą kadrę techniczną świadczącą usługi „AI compliance-as-a-service” dla firm z całej Unii. To scenariusz znany z fali narzędzi do obsługi RODO, które powstały w Polsce po 2018 roku.

Predykcje, które będziemy sprawdzać

Pełny rejestr predykcji laboratorium, wraz z tymi z innych analiz, znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.