Na rozmowach o AI Act to pytanie pada prawie zawsze, tylko w innej formie: „to które przepisy w końcu nas dotyczą?". Odpowiedź prawie nigdy nie zaczyna się od listy obowiązków. Zaczyna się od ustalenia roli, bo od niej zależy, która lista jest w ogóle Wasza.

Rozróżnienie brzmi technicznie, ale w praktyce sprowadza się do jednego pytania, które można zadać przy stole.

Kto jest dostawcą, a kto podmiotem stosującym?

Dostawca to podmiot, który rozwija system AI i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym. Podmiot stosujący korzysta z systemu AI, który wprowadził na rynek ktoś inny.

Uwaga na najczęstsze nieporozumienie: rola nie zależy od tego, kto napisał kod. Firma, która zleciła zbudowanie systemu podwykonawcy, a potem sprzedaje go pod swoim logo, jest dostawcą. Firma, która ma trzech programistów i używa cudzego narzędzia w codziennej pracy, jest podmiotem stosującym. Rozstrzyga marka i kontrola nad systemem, nie umiejętności zespołu.

Ta sama zasada jest w rozporządzeniu (UE) 2024/1689, znanym jako AI Act, i to od niej zaczyna się każdy dalszy przepis.

Czy używanie ChatGPT robi z nas dostawcę?

Nie. To jest podręcznikowy przykład roli podmiotu stosującego: bierzecie narzędzie, które ktoś wprowadził na rynek pod swoją marką, i używacie go u siebie.

Zestaw obowiązków jest wtedy węższy niż u dostawcy, ale nie jest pusty. Dotyczy Was przejrzystość, kompetencje personelu i dokumentacja użycia. Wersja krótsza: nie musicie budować dokumentacji technicznej systemu, musicie umieć powiedzieć, czego używacie, do czego i kto o tym wie.

Kiedy podmiot stosujący staje się dostawcą?

To jest miejsce, w którym firmy najczęściej wpadają w rolę, której się nie spodziewały.

Rozporządzenie opisuje ten mechanizm w artykule 25, w odniesieniu do systemów wysokiego ryzyka. Podmiot stosujący przejmuje obowiązki dostawcy między innymi wtedy, gdy opatrzy taki system własną nazwą lub znakiem towarowym, gdy wprowadzi w nim istotną zmianę albo gdy zmieni jego przeznaczenie na takie, które czyni z niego system wysokiego ryzyka.

Praktycznie oznacza to trzy sytuacje, o które warto zapytać u siebie:

1. Białe etykiety. Kupujecie gotowe narzędzie, zdejmujecie cudze logo, dokładacie swoje i sprzedajecie dalej jako własny produkt.
2. Istotna przeróbka. Nie zmiana ustawień, tylko zmiana sposobu działania systemu.
3. Nowe przeznaczenie. Narzędzie kupione do jednego zadania trafia do procesu, który ocenia albo selekcjonuje ludzi.

Ta ostatnia sytuacja jest najbardziej niedoceniana, bo dzieje się bez żadnej decyzji zakupowej. Nikt nic nie kupił, a rola się zmieniła. Warto wiedzieć, że nowelizacja z 2026 roku, czyli rozporządzenie (UE) 2026/1744, podniosła górną granicę kar za naruszenie artykułu 25 do 15 mln euro lub 3 procent światowego obrotu.

Jakie obowiązki ma podmiot stosujący już dziś?

Nie w 2027, tylko teraz.

• Przejrzystość (art. 50), od 2 sierpnia 2026. Jeśli klient rozmawia z Waszym chatbotem albo dostaje treść wygenerowaną przez model, ma o tym wiedzieć.
• Kompetencje w zakresie AI (art. 4). Po nowelizacji jest to obowiązek starannego działania, a nie gwarantowania konkretnego poziomu. Sprawdzalny jest ślad: zakres szkolenia, data, lista obecności, wewnętrzna polityka korzystania z AI. Zespół przeszkolony bez śladu po szkoleniu jest z punktu widzenia nadzoru zespołem nieprzeszkolonym.
• Zakazane praktyki (art. 5), od 2 lutego 2025. To nie jest przyszłość, to półtora roku wstecz.

Terminy dla systemów wysokiego ryzyka są dalej, bo Załącznik III przesunięto na 2 grudnia 2027, a Załącznik I na 2 sierpnia 2028. Cały kalendarz po nowelizacji rozpisaliśmy we wpisie Terminy AI Act po Digital Omnibus.

W Polsce dochodzi do tego organ i tryb. Kontrole, postępowania i kary KRiBSI zaczynają obowiązywać 28 października 2026 (art. 127 ustawy, Dz.U. 2026 poz. 1003). Jak wygląda sama kontrola i jakie są terminy reakcji, opisaliśmy we wpisie Polska ustawa o AI: KRiBSI, zdalne kontrole i terminy dla MŚP.

Co zrobić, żeby rozstrzygnąć to u siebie?

Cztery kroki, w tej kolejności.

1. Wypiszcie systemy AI, które faktycznie działają. Nie tylko kupione oficjalnie. Narzędzia dokładane przez zespoły na własną rękę są najczęstszym źródłem zaskoczenia przy pierwszym przeglądzie.
2. Przy każdym systemie zapiszcie, czyja nazwa jest na zewnątrz. To jedno pole rozstrzyga rolę w większości przypadków.
3. Zaznaczcie te, które oceniają albo selekcjonują ludzi. Rekrutacja, ocena pracownicza, zdolność kredytowa. Tu granica ryzyka biegnie inaczej niż przy narzędziach biurowych.
4. Rozdzielcie role na papierze, jeśli macie obie. Dwa zestawy obowiązków w jednym dokumencie zawsze kończą się tym, że stosuje się łagodniejszy.

Jeśli chcecie mieć wstępną odpowiedź od razu, narzędzie AI Act składa ją na podstawie 7 pytań, tu na stronie i bez podawania maila. A jeśli wolicie przejść to na własnych systemach i własnych umowach, robimy to w ramach przeglądu zarządczego Ład AI.

Stan prawny na 8 września 2026. Numery artykułów i terminy zweryfikowane w tekstach rozporządzeń (UE) 2024/1689 i (UE) 2026/1744 w Dzienniku Urzędowym Unii Europejskiej oraz w oficjalnym rekordzie Dz.U. 2026 poz. 1003. Wpis zaktualizujemy przy zmianie przepisów lub po pojawieniu się wytycznych krajowych.

Prawie każda rozmowa o AI w małej firmie zaczyna się od tego samego pytania: „którego narzędzia użyć". To pytanie jest złe nie dlatego, że jest głupie, tylko dlatego, że jest ostatnie w kolejności, a nie pierwsze.

Poniżej jest kolejność, która działa, i powód, dla którego każdy krok stoi tam, gdzie stoi.

Dlaczego wybór narzędzia jest złym pierwszym krokiem?

Bo to jedyna decyzja w całym wdrożeniu, którą da się cofnąć w tydzień. Subskrypcję się wyłącza, konto się kasuje, zespół zapomina o narzędziu po miesiącu.

Nie da się natomiast cofnąć źle wybranego procesu. Jeśli zaczniecie od zadania, które zdarza się raz na kwartał, to po kwartale nadal nie będziecie wiedzieli, czy to działa, a zespół w międzyczasie straci zainteresowanie. Jeśli zaczniecie od zadania, którego nikt nie umie opisać, spędzicie trzy tygodnie na opisywaniu i ani jednego dnia na oszczędzaniu czasu.

Kolejność jest więc odwrotna do intuicyjnej: proces, potem pomiar, potem zasady, a narzędzie na końcu.

Który proces wziąć na pierwszy ogień?

Taki, który ma trzy cechy naraz. Brak którejkolwiek z nich to zły kandydat, nawet jeśli proces wygląda kusząco.

1. Powtarza się co tydzień. Nie co kwartał. Częstotliwość jest ważniejsza niż wielkość, bo tylko przy powtarzalności zdążycie zobaczyć różnicę w rozsądnym czasie.
2. Da się go zmierzyć w godzinach. Ktoś musi umieć powiedzieć „to zajmuje mniej więcej 6 godzin tygodniowo". Szacunek wystarczy, dokładność co do minuty nie jest potrzebna.
3. Jest nudny. Przepisywanie, porządkowanie, streszczanie, przygotowywanie tego samego dokumentu w piętnastu wariantach. Zadania, które wymagają osądu i odpowiedzialności, zostawcie na później.

Typowi kandydaci w polskiej firmie usługowej albo produkcyjnej: przygotowanie ofert z powtarzalnych bloków, odpowiedzi na te same pytania klientów, streszczanie długich dokumentów przed decyzją, porządkowanie notatek ze spotkań, przygotowanie raportu, który i tak co miesiąc wygląda tak samo.

Skąd wiedzieć, czy to w ogóle zadziałało?

Z pomiaru zrobionego przed wdrożeniem, nie po. To jest krok, który wypada najczęściej, i bez niego cała reszta jest kwestią opinii.

Wystarczy prosty pomiar przez 2 tygodnie: ile godzin tygodniowo zajmuje wybrany proces i kto go wykonuje. Bez tego po trzech miesiącach będziecie mieli dokładnie taką rozmowę, jaką ma większość firm: jednym się wydaje, że jest szybciej, innym że to samo, i nikt nie ma czym tego rozstrzygnąć.

Drugi pomiar, który warto ustalić od razu, to jakość. Model potrafi uzupełnić lukę w danych treścią, która brzmi rozsądnie i jest nieprawdziwa. Sprawdziliśmy to na własnym narzędziu, opisując wynik we wpisie AI nie zmyśla losowo, zmyśla wtedy, gdy zabraknie mu danych. Wniosek praktyczny na start: przy pierwszym procesie ktoś musi czytać wyniki, zanim wyjdą z firmy.

Co zrobić, zanim ktokolwiek wpisze pierwszy prompt?

Dwie rzeczy, obie zajmują po godzinie.

Spiszcie, czego zespół już używa. Nie tego, co firma kupiła, tylko tego, co ludzie faktycznie mają otwarte. To jest zwykle najbardziej zaskakująca lista w całym procesie i jednocześnie punkt wyjścia do wszystkiego dalej. Jak z tego zrobić zasady, które ktoś przeczyta, rozpisaliśmy we wpisie Pracownicy używają AI na prywatnych kontach: jak to poukładać w 5 krokach.

Ustalcie, co nie wychodzi z firmy. Jedno zdanie wystarczy na start: dane osobowe klientów i dokumenty objęte umową o poufności nie trafiają do narzędzi zewnętrznych. Reszta może poczekać do pierwszego przeglądu.

Przy okazji warto wiedzieć, że spis narzędzi nie jest tylko dobrą praktyką. Artykuł 4 rozporządzenia (UE) 2024/1689 obowiązuje od 2 lutego 2025 i wymaga podejmowania środków wspierających rozwój kompetencji AI u personelu. Polska ustawa o systemach sztucznej inteligencji nie przewiduje progu wielkości firmy, poniżej którego przepisy nie obowiązują, a kontrole ruszają 28 października 2026. Ten sam spis obsługuje więc dwie sprawy naraz.

Czego nie robić w pierwszym miesiącu?

• Nie zaczynajcie od integracji z systemem firmowym. To najdroższy możliwy pierwszy krok i najłatwiejszy sposób na to, żeby po dwóch miesiącach nie mieć żadnego wyniku.
• Nie kupujcie licencji dla całego zespołu na start. Dwie albo trzy osoby na jednym procesie dają ten sam wniosek za dziesiątą część kosztu.
• Nie ogłaszajcie wdrożenia na zebraniu. Ogłoszenie przed pierwszym wynikiem zamienia eksperyment w projekt, którego nie wypada zamknąć.
• Nie mierzcie sukcesu liczbą wygenerowanych tekstów. Jedyna liczba, która coś znaczy, to godziny na procesie przed wdrożeniem i po nim.

Jeśli chcecie przejść tę kolejność u siebie zamiast czytać o niej, tak wygląda audyt wykorzystania AI: 2 do 3 tygodni, rozmowy z osobami, które faktycznie używają narzędzi, potem raport z oceną dojrzałości w 5 wymiarach, plan na 90 dni i biblioteka 6-8 promptów pod Wasze procesy. Plan piszemy tak, żeby dało się go wykonać Waszymi siłami.

Ten wpis opisuje metodę pracy, nie przepisy. Odwołania do artykułu 4 rozporządzenia (UE) 2024/1689 oraz do ustawy o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) zweryfikowane w źródłach pierwotnych 3 września 2026.

To jest jedno z najczęstszych pytań, które słyszymy o PPWR, i jedno z niewielu, na które uczciwa odpowiedź brzmi „w rozporządzeniu tego nie ma". Nie dlatego, że przepis jest łagodny. Dlatego, że stawki ustala się gdzie indziej.

Poniżej rozkładamy to na części: co mówi sam tekst, skąd wzięła się liczba, która krąży po polskim internecie, i co realnie grozi Waszej firmie wcześniej niż jakakolwiek kara.

Ile wynosi kara za brak zgodności z PPWR?

W rozporządzeniu (UE) 2025/40 nie ma ani jednej kwoty. Artykuł 68 zawiera konstrukcję znaną z wielu aktów unijnych: państwa członkowskie ustalają przepisy o karach za naruszenie rozporządzenia, a kary mają być skuteczne, proporcjonalne i odstraszające. Termin na ustalenie tych przepisów mija 12 lutego 2027.

Skutek praktyczny jest niewygodny, ale prosty. Dopóki polskie stawki nie zostaną ogłoszone, każda konkretna kwota podana jako „kara za PPWR w Polsce" jest cudzą prognozą albo stawką z innego kraju. Budżet oparty na takiej liczbie jest budżetem opartym na zgadywaniu.

Jedna rzecz jest w rozporządzeniu przesądzona. Za naruszenia artykułów 24-29, czyli między innymi celów ponownego użycia, kary muszą obejmować administracyjne kary pieniężne (art. 68 ust. 2). Tu ustawodawca krajowy nie ma swobody co do rodzaju sankcji, tylko co do jej wysokości.

Skąd się wzięła liczba 4 procent obrotu?

Z RODO. Rozporządzenie 2016/679 zna górny pułap kary liczony jako procent światowego obrotu i ta konstrukcja tak mocno weszła do języka, że bywa doklejana do każdego nowego rozporządzenia unijnego.

W PPWR nie ma progu procentowego. Nie ma też pułapu kwotowego. Jeśli widzicie artykuł, który podaje takie liczby jako „kary z PPWR", to jest sygnał, że autor nie sprawdził tekstu, a nie że znalazł przepis, którego Wy nie znacie.

Za co konkretnie można dostać karę?

Nie za „brak zgodności" w ogóle, tylko za konkretne, nazwane obowiązki. Cztery, które w małej i średniej firmie pojawiają się najczęściej:

1. Brak deklaracji zgodności. Dla każdego typu opakowania wprowadzanego na rynek potrzebna jest pisemna deklaracja (art. 39 i załącznik VIII). Ocena zgodności idzie w module A, czyli w wewnętrznej kontroli produkcji (art. 38 i załącznik VII).
2. Brak wpisu do rejestru producentów. Rejestry są krajowe (art. 44), a rejestracja obowiązuje w każdym kraju, w którym wprowadzacie opakowania na rynek (art. 45). Nie ma jednego numeru na całą Unię.
3. Brak albo błędne oznakowanie. Zharmonizowana etykieta konsumencka to art. 12.
4. Niedotrzymanie terminu okazania dokumentacji. Na uzasadnione żądanie organu macie 10 dni i wymagany język (art. 15 ust. 10).

Zwróćcie uwagę na proporcje. Trzy z tych czterech pozycji to dokumenty, nie zmiana produktu. Ich brak jest tani do naprawienia z wyprzedzeniem i drogi do naprawienia pod terminem.

Co grozi Wam wcześniej niż kara?

Utrata kontraktu, i to jest realniejszy scenariusz na najbliższe miesiące niż wizyta organu.

Dystrybutor, zanim udostępni opakowanie, ma obowiązek zweryfikować, że producent jest wpisany do rejestru producentów (art. 44) i że opakowanie jest oznakowane zgodnie z art. 12. To znaczy, że pytanie o Waszą zgodność przyjdzie od kontrahenta, nie od urzędu, i przyjdzie w momencie składania zamówienia. Firma, która nie ma czego pokazać, wypada z rozmowy bez żadnego postępowania i bez żadnej kary.

Ten mechanizm już działa, bo PPWR jest stosowane od 12 sierpnia 2026. Kalendarz pozostałych progów rozpisaliśmy we wpisie Od kiedy obowiązuje PPWR w Polsce: kalendarz obowiązków.

Co zrobić, zanim poznamy polskie stawki?

Kolejność jest odwrotna do intuicyjnej. Nie zaczyna się od kar, tylko od ustalenia, kim jesteście wobec rozporządzenia.

1. Nazwijcie swoje role. PPWR nie przypisuje firmie jednej etykiety. Ta sama firma bywa jednocześnie wytwórcą opakowań własnej marki i dystrybutorem cudzych. Od roli zależy zakres obowiązków, więc to jest pierwsze rozstrzygnięcie, nie ostatnie.
2. Zbierzcie deklaracje od dostawców opakowań. Nawet jeśli ciężar dokumentacji leży po ich stronie, to Wy odpowiadacie klientowi, który zapyta.
3. Sprawdźcie swoją rejestrację. W Polsce punktem wyjścia jest BDO, bo krajowy rejestr producentów w wersji PPWR w większości państw jeszcze nie powstał: każde ma na to 18 miesięcy od pierwszego aktu wykonawczego wydanego na podstawie art. 44 ust. 14.
4. Wyznaczcie właściciela procesu. Sporządzając deklarację, wytwórca bierze na siebie odpowiedzialność za zgodność opakowania (art. 39 ust. 4). Dokument bez nazwiska pod spodem to dokument, którego nikt nie odświeży.

Jeśli chcecie zobaczyć, które z tych obowiązków dotyczą akurat Was, raport gotowości PPWR składa taką listę na podstawie 6 pytań, tu na stronie i bez podawania maila. A jeśli wolicie przejść to na własnych opakowaniach i własnych umowach, robimy to w ramach przeglądu gotowości PPWR.

Stan prawny na 31 sierpnia 2026. Numery artykułów i terminy zweryfikowane w tekście rozporządzenia (UE) 2025/40 w Dzienniku Urzędowym Unii Europejskiej oraz w wytycznych Ministerstwa Klimatu i Środowiska. Wpis zaktualizujemy, gdy zostaną ogłoszone polskie przepisy o karach.

„Czy to nie zmyśla" jest najczęstszym pytaniem, jakie słyszymy od właścicieli firm. Zwykle pada w formie zarzutu, a jest dobrym pytaniem technicznym.

Odpowiedź brzmi: zmyśla, ale nie losowo i nie zawsze tak samo. Zmyślenie pojawia się w konkretnym miejscu i da się przewidzieć, gdzie.

Co pokazał test na 2 modelach?

Budujemy narzędzie, które na podstawie ankiety o firmie pisze raport o tym, gdzie zastosować AI. 29 lipca 2026 sprawdziliśmy, jak ten sam materiał zniosą 2 modele o różnej cenie.

Warunki były identyczne: te same odpowiedzi z ankiety, ten sam skopiowany materiał wejściowy, ta sama firma testowa. Firma testowa była zmyślona celowo: hurtownia elektryczna spod Radomia, 4–9 osób, bez własnej strony. Nie ma jej w internecie, więc materiał wejściowy nie zawierał o niej żadnych znalezisk.

I tu zaczyna się różnica.

Tańszy model napisał, że firma ma działającą bazę stałych klientów i dobrą reputację w sieci instalatorów, oraz że jest praktycznie niewidoczna w wyszukiwaniach. Dopisał też kanał kontaktu z klientami, którego w ankiecie nie było. Nic z tego nie pochodziło z materiału.

Droższy model napisał wprost, że nie miał dostępu do polskich wyników wyszukiwania i opiera się wyłącznie na tym, co firma podała w ankiecie.

Struktura obu raportów była podobna. Liczby i szacunki w obu trzymały się kupy. Różnica dotyczyła jednej rzeczy: co model robi, gdy nie ma danych.

Dlaczego AI zmyśla akurat w tym miejscu?

Model językowy nie sprawdza faktu. Dobiera treść najbardziej prawdopodobną w danym miejscu tekstu.

Kiedy pytacie o coś, co zostało opisane tysiące razy, „najbardziej prawdopodobne" i „prawdziwe" to zwykle to samo zdanie. Kiedy pytacie o firmę, o której nie ma nic, te dwie rzeczy się rozjeżdżają. Model dalej ma napisać akapit o reputacji tej firmy, więc pisze akapit, który brzmi jak akapit o reputacji.

Dlatego zmyślenie jest przewidywalne. Siada tam, gdzie polecenie wymaga konkretu, a materiału nie ma. Nazwy, liczby, daty, cytaty, referencje.

I dlatego jest groźne. Nie brzmi jak błąd. Brzmi jak zdanie, które pasuje do reszty tekstu.

Jak sprawdzić, czy AI zmyśliło?

1. Poproście o źródło i sprawdźcie, czy istnieje. Nie „podaj źródła" na końcu, tylko przy konkretnym zdaniu: skąd to wiesz. Jeżeli odpowiedzią jest ogólnik w rodzaju „z powszechnie dostępnych informacji", traktujcie to zdanie jak niepotwierdzone. Jeżeli pada adres strony, otwórzcie go. To zajmuje kilkanaście sekund i rozstrzyga sprawę.

2. Zadajcie to samo pytanie jeszcze raz, w nowej rozmowie. Nie w tej samej, bo tam model widzi swoją poprzednią odpowiedź i będzie jej bronił. W nowej rozmowie fakt prawdziwy zwykle wraca taki sam, a zmyślony potrafi wrócić inny. Rozbieżność między dwiema odpowiedziami to nie dowód, ale bardzo dobry sygnał, gdzie patrzeć.

3. Zapytajcie wprost, czego nie wie. „Czego w tym materiale brakuje, żeby odpowiedzieć pewnie" i „które zdania w Twojej odpowiedzi są niepewne". Model, który potrafi wskazać własne luki, jest wart więcej niż ten, który zawsze brzmi pewnie. W naszym teście to była cała różnica między dwoma raportami.

Gdzie zmyślenie kosztuje najwięcej?

Nie tam, gdzie się tego spodziewacie. Nie w wielkich tematach, tylko w drobiazgach, które idą do klienta bez czytania.

Oferta z parametrem produktu, którego ten produkt nie ma. Mail z terminem, którego nikt nie potwierdzał. Opis usługi z referencją, która brzmi wiarygodnie i nie istnieje. Podsumowanie spotkania z ustaleniem, którego na spotkaniu nie było.

Każda z tych rzeczy jest drobna. Każda kosztuje wiarygodność u konkretnej osoby, a nie „ryzyko reputacyjne" w ogóle.

Czy przepisy każą sprawdzać, co napisało AI?

Żaden przepis nie mówi wprost „sprawdzaj odpowiedzi modelu". Dwa schodzą się jednak w tym samym miejscu.

Artykuł 4 rozporządzenia (UE) 2024/1689 mówi o kompetencjach w zakresie AI i obowiązuje od 2 lutego 2025. Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744, które obowiązuje od 27 lipca 2026, jest to obowiązek starannego działania: dostawca i podmiot stosujący mają podejmować środki wspierające rozwój kompetencji personelu, bez gwarantowania konkretnego poziomu. Wiedza, że model uzupełnia luki, oraz nawyk sprawdzania konkretów są dokładnie tą kompetencją.

Artykuł 50 rozporządzenia 2024/1689 obowiązuje od 2 sierpnia 2026 i dotyczy przejrzystości: chatbot ma się przedstawiać, a treść wygenerowana przez AI ma być oznaczona. Wytyczne Komisji Europejskiej do tego artykułu są z 20 lipca 2026. Cały kalendarz rozpisaliśmy we wpisie Terminy AI Act po Digital Omnibus.

Krajowo pilnuje tego KRiBSI, na podstawie ustawy z 3 lipca 2026 o systemach sztucznej inteligencji. Przepisy o kontrolach i karach zaczynają obowiązywać 28 października 2026.

Ani artykuł 4, ani artykuł 50 nie każą Wam czytać każdej odpowiedzi modelu. Oba zakładają, że ktoś w firmie wie, co to narzędzie potrafi zmyślić.

Kto odpowiada za tekst, który napisało AI?

Nie oddawajcie oceny.

Wszystko, co wychodzi z firmy na zewnątrz, czyta człowiek i to on odpowiada za każdą liczbę w środku. AI skraca drogę do wersji roboczej i to jest jej realna wartość. Ostatni krok zostaje po Waszej stronie.

Druga rzecz, prostsza i niedoceniana: dajcie materiał zamiast liczyć na wiedzę ogólną. Model, który dostał Wasz cennik, Waszą ofertę i Waszego maila od klienta, ma z czego pisać. Model, który ma zgadywać z pamięci, będzie zgadywał, bo o to go poprosiliście.

To jest ta sama zasada, którą opisaliśmy przy zasadach korzystania z AI w firmie: narzędzie działa dobrze wtedy, gdy dostaje kontekst i ma jasne granice.

Jeżeli chcecie sprawdzić przy okazji, które terminy z ustawy o AI dotyczą Waszej firmy, mamy na to bezpłatną wstępną orientację: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Test opisany wyżej wykonaliśmy na własnym narzędziu, na fikcyjnej firmie przygotowanej specjalnie do tego porównania. Żadne dane rzeczywistej firmy nie były w nim użyte.

Tydzień temu pisaliśmy, że pierwszy krok po wejściu ustawy o AI nie jest prawny, tylko inwentaryzacyjny: spis, gdzie w firmie AI już jest. Powiedzmy, że spis leży wypełniony. W kolumnie „konto firmowe czy prywatne" większość wierszy mówi „prywatne".

Co teraz.

Czy zakazać AI na prywatnych kontach?

Pierwsza reakcja właściciela na taki spis brzmi: zakazujemy do czasu wyjaśnienia.

To zrozumiałe i nie działa. Praca zostaje do zrobienia, termin się nie przesuwa, a narzędzie jest dostępne za darmo z telefonu. Zakaz nie kończy więc używania AI. Kończy Wasz wgląd w to, jak jest używane.

Po zakazie ta sama osoba robi to samo, tylko nie pyta i nie mówi. Wcześniej mieliście szansę o tym usłyszeć. Po zakazie nie macie już nawet tego.

Alternatywa jest prosta w opisie i wymaga jednej decyzji: dajcie zespołowi narzędzie, na którym wolno pracować, i powiedzcie, jak z niego korzystać. Poniżej 5 kroków w kolejności, która ma znaczenie.

Krok 1. Od czego zacząć: od konta firmowego czy od zasad?

Kolejność jest tu ważniejsza niż treść.

Jeżeli zaczniecie od zasad, powstanie dokument mówiący ludziom, czego im nie wolno, w sytuacji gdy nie dostali nic w zamian. Taki dokument jest odbierany dokładnie tak, jak wygląda: jako kontrola. Jeżeli zaczniecie od narzędzia, zasady są instrukcją do rzeczy, którą ktoś właśnie dostał.

Praktycznie: wybierzcie jednego dostawcę i wykupcie plan firmowy dla osób, które i tak używają AI codziennie. Zwykle są to 2–3 osoby, a nie cały zespół. Reszta dołącza, gdy zgłosi, że ma do czego.

Jedno pytanie zadajcie przed zakupem, a nie po: jak dostawca traktuje dane wprowadzane na koncie firmowym i czym to się różni od konta darmowego. Odpowiedź jest w regulaminie usługi. Plany firmowe mają inne zasady przetwarzania niż konta osobiste, ale szczegóły różnią się między dostawcami i zmieniają w czasie, więc sprawdzenie należy do Was i zajmuje kwadrans.

Przy okazji rozwiązuje się rzecz, o której mało kto myśli na starcie: konto firmowe zostaje w firmie, gdy pracownik odchodzi. Konto prywatne odchodzi razem z nim, wraz z całą historią tego, co tam wklejał.

Krok 2. Co ma się znaleźć w zasadach korzystania z AI?

Zasada, której nikt nie przeczyta, nie chroni niczego.

Mieści się na jednej stronie i odpowiada na 4 pytania:

1. Czego nie wolno wklejać. Dane osobowe klientów, treści umów z nazwami stron i kwotami, życiorysy kandydatów, dane finansowe, hasła i dostępy.
2. Co robić, gdy trzeba pracować na czymś z tej listy. Zanonimizować przed wklejeniem. Zamiast nazwy klienta „Firma A", zamiast dokładnej kwoty rząd wielkości. Odpowiedź będzie równie dobra.
3. Na czym wolno pracować. Szkice tekstów bez danych, pytania ogólne, informacje i tak publiczne, własne notatki po zamianie nazw.
4. Do kogo iść z wątpliwością. Imię i nazwisko, nie „do przełożonego".

Tyle. Jeżeli dokument rośnie do 12 stron, to znaczy, że przestaliście pisać zasadę, a zaczęliście zabezpieczać się na wypadek sporu. To jest inne zadanie i inny moment.

Napiszcie ją dopiero teraz, po kroku 1, a nie przed. Zanim wiecie, z czego zespół korzysta i na czym ma pracować, każda zasada jest zgadywanką.

Krok 3. Jak przekazać zasady zespołowi?

Mail z załącznikiem załatwia obowiązek poinformowania i nie zmienia niczego w zachowaniu.

Godzina przy jednym ekranie zmienia, bo pytania padają dopiero, gdy ludzie widzą narzędzie w działaniu. Prawie zawsze te same: czy to zapamiętuje, co ja tu piszę. Czy szef widzi moje rozmowy. Czy to się myli. Czy mogę tu wkleić maila od klienta.

Pokażcie 3 rzeczy, które ktoś w firmie robi codziennie, i zróbcie je razem na tym narzędziu. Nie prezentację o możliwościach AI, tylko konkretne zadanie z zeszłego tygodnia.

Ta godzina ma jeszcze jeden efekt uboczny, cenniejszy niż samo szkolenie. Dowiecie się, do czego zespół już używa AI, dokładniej niż z jakiegokolwiek spisu. Ludzie mówią o tym swobodnie, gdy jest jasne, że wolno.

Krok 4. Kto odpowiada na pytanie „czy mogę to wkleić"?

Wątpliwość rozstrzygnięta w 2 minuty przez kogoś z firmy prawie zawsze wygrywa z zasadą sprzed miesiąca.

Ta osoba nie musi być informatykiem ani znać przepisów. Musi wiedzieć, gdzie leży spis, jak brzmi zasada z kroku 2 i kiedy pytanie jest na tyle poważne, że idzie do Was.

Jeżeli spisaliście już osobę do kontaktu na potrzeby ustawy, to zwykle ta sama osoba. Nie mnóżcie ról tam, gdzie firma ma 10 osób.

Krok 5. Kiedy wrócić do spisu?

Sprawdzianem nie jest podpisane oświadczenie ani przeczytany regulamin. Sprawdzianem jest kolumna „konto firmowe czy prywatne" w spisie z kroku pierwszego.

Po miesiącu otwórzcie ten sam arkusz i przejdźcie wiersz po wierszu. Wiersze, które przewróciły się na „firmowe", to jest cały efekt. Wiersze, które zostały na „prywatne", mówią jedną z dwóch rzeczy: albo ktoś nie dostał dostępu, albo narzędzie firmowe nie umie tego, czego ta osoba potrzebuje.

Oba przypadki są informacją, nie wykroczeniem. Pierwszy załatwia się dostępem, drugi rozmową o tym, jakiego narzędzia brakuje.

Co wygląda na porządek, a nim nie jest?

Licencje dla wszystkich naraz. Wygląda na decyzję, jest wydatkiem. Większość kont pozostanie nieużywana, a Wy stracicie argument przy kolejnym zakupie. Zacznijcie od tych, którzy już używają.

Jedna osoba „od AI", która ma ogarnąć temat. Zwykle najmłodsza w zespole i zwykle bez mandatu do podejmowania decyzji. Efekt jest taki, że przez pół roku nic się nie dzieje, a potem okazuje się, że i tak każdy robi po swojemu.

Wpisanie AI do umowy o pracę i uznanie tematu za zamknięty. Zapis w umowie jest po Waszej stronie stołu. Zachowanie zmienia narzędzie plus zasada plus rozmowa, w tej kolejności.

Co to ma wspólnego z ustawą o AI?

Więcej, niż wygląda, ale nie dlatego, że przepis nakazuje akurat te kroki.

Ustawa o AI obowiązuje od 11 sierpnia 2026, a przepisy o kontrolach, postępowaniach i karach zaczynają działać 28 października 2026. Pierwszy dokument, o który poprosi kontrola, to spis systemów AI używanych w firmie. Kroki opisane wyżej robią z tego spisu dokument, który opisuje stan faktyczny, a nie stan sprzed zakazu, którego nikt nie przestrzega.

Ustawa nie zna progów zatrudnienia ani obrotu, więc firma 5- czy 250-osobowa ma tu tę samą pracę do wykonania (art. 3).

Drugi przepis dotyczy Was jeszcze bardziej bezpośrednio. Artykuł 4 rozporządzenia (UE) 2024/1689 obowiązuje od 2 lutego 2025 i mówi o kompetencjach personelu w zakresie AI. Po zmianie z 27 lipca 2026 jest to obowiązek starannego działania: macie podejmować środki wspierające rozwój tych kompetencji, bez gwarantowania konkretnego poziomu. Godzina przy ekranie z kroku 3, data i lista obecności to dokładnie ten ślad, o który chodzi.

Jeżeli chcecie sprawdzić, które terminy dotyczą akurat Waszej firmy, przygotowaliśmy bezpłatną wstępną orientację po ustawie: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Stan prawny na 17 sierpnia 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003).

Przez półtora roku PPWR funkcjonowało w polskich firmach jako data na slajdzie. 12 sierpnia 2026 ta data mija. Rozporządzenie (UE) 2025/40 zaczyna być stosowane i robi to bez polskiej ustawy wdrażającej, bo rozporządzenie unijne obowiązuje wprost.

Poniżej kalendarz: co obowiązuje od 12 sierpnia 2026, co przychodzi później i czego w PPWR nie ma.

Od kiedy PPWR obowiązuje w polskiej firmie?

Trzy daty, regularnie mylone:

• 22 stycznia 2025: publikacja w Dzienniku Urzędowym UE (CELEX 32025R0040).
• 11 lutego 2025: wejście w życie, 20 dni po publikacji (art. 71).
• 12 sierpnia 2026: początek stosowania (art. 71). To jest data operacyjna.

Wejście w życie i stosowanie to dwie różne rzeczy i tylko druga generuje obowiązki. Od 12 sierpnia 2026 PPWR dotyczy każdej firmy, która wprowadza na rynek UE opakowanie albo zapakowany towar. Definicja producenta z art. 3 pkt 15 obejmuje podmiot, który pierwszy udostępnia opakowanie na rynku danego państwa. Nie trzeba produkować opakowań, żeby podlegać. Wystarczy pakować własny wyrób i go wysyłać.

Co zaczyna obowiązywać 12 sierpnia 2026?

Pięć rzeczy, wszystkie od pierwszego dnia:

1. Deklaracja zgodności dla każdego typu opakowania (art. 39 i Załącznik VIII), po ocenie zgodności modułem A (art. 38 i Załącznik VII). Jedna deklaracja to jeden typ opakowania, nie jedna firma. Liczba typów jest tu mnożnikiem pracy.
2. Metale ciężkie do 100 mg/kg jako suma stężeń ołowiu, kadmu, rtęci i chromu sześciowartościowego (art. 5 ust. 4). Sam limit nie jest nowy, przeszedł z dyrektywy 94/62/WE, ale teraz trzeba go udowodnić dokumentem.
3. Zakaz PFAS w opakowaniach do kontaktu z żywnością (art. 5 ust. 5).
4. Zakaz sztucznego zawyżania objętości: podwójne ścianki, fałszywe dna, zbędne wypełnienie (art. 10 ust. 2).
5. Ogólny wymóg recyklowalności (art. 6 ust. 1).

Do tego termin operacyjny: na uzasadnione żądanie organu deklarację i dokumentację techniczną trzeba okazać w 10 dni, w języku tego organu (art. 15 ust. 10). Dokumentację przechowuje się 5 lat dla opakowań jednorazowych i 10 lat dla wielokrotnego użytku.

Czy opakowania wyprodukowane wcześniej trzeba wycofać?

Tego, co trafiło do obrotu przed 12 sierpnia 2026, nikt nie każe wycofywać. Ale granica nie biegnie tam, gdzie zwykle się ją stawia: rozstrzyga moment wprowadzenia do obrotu, a nie data produkcji. Wprowadzenie do obrotu to pierwsze udostępnienie opakowania na rynku unijnym (art. 3). Opakowanie wyprodukowane w lipcu 2026, a wprowadzone do obrotu we wrześniu, podlega więc pełnym wymogom. Rozporządzenie nie daje żadnego okresu na wyprzedaż zapasów, a przepisy przejściowe z artykułu 70 dotyczą wygaszania dyrektywy 94/62/WE, nie magazynu.

Problemem jest pierwsza dostawa po tej dacie, przy której odbiorca poprosi o deklarację zgodności. To zresztą najszybsza sankcja, wcześniejsza niż jakakolwiek kara: bez deklaracji nie wolno wprowadzić opakowania na rynek, więc odbiorca nie przyjmie towaru. Utrzymująca się niezgodność formalna kończy się nakazem wycofania partii z rynku UE na koszt firmy (art. 62).

Co przychodzi po 2026 roku?

Progi klas są zapisane na twardo w Załączniku II: klasa A od 95%, B od 80%, C od 70%. Poniżej 70% opakowanie od 2030 roku nie wejdzie na rynek. Akty delegowane, z terminem do 1 stycznia 2028, ustalą wyłącznie metodologię liczenia, nie same progi.

W całej tabeli zmiany samego produktu wymagają dwie daty: 2030 i, w dużo dalszej perspektywie, 2040. Reszta to etykiety, raporty i dowody.

Ile wynosi kara za brak zgodności z PPWR?

Rozporządzenie nie podaje ani kwoty, ani procentu. Artykuł 68 zobowiązuje państwa członkowskie do ustanowienia kar skutecznych, proporcjonalnych i odstraszających w terminie do 12 lutego 2027, a za naruszenia z artykułów 24-29 kary administracyjne są obowiązkowe.

Krążąca po szkoleniach liczba „do 4 procent obrotu" nie pochodzi z PPWR. To analogia do RODO. Budżet ryzyka liczony z tego progu nie ma podstawy.

W Polsce kwoty poda dopiero ustawa krajowa. Projekt UC100 przewiduje do 2 000 000 zł za wprowadzenie opakowań niespełniających wymogów artykułów 5-12. To wciąż projekt, nie prawo.

Co z polską ustawą o ROP?

Projekt ustawy o opakowaniach i odpadach opakowaniowych trafił na RCL 13 sierpnia 2025, wersję zrewidowaną opublikowano 20 marca 2026 i nadal nie został uchwalony. Wersja pierwotna zakładała wejście w 2026 roku i pełny ROP w 2028, wersja marcowa przesuwa to na 1 stycznia 2027 i 2029. Żadnej z tych dat nie warto traktować jako pewnej.

Obowiązki opakowaniowe w Polsce istnieją natomiast już dziś, na podstawie ustawy z 13 czerwca 2013 roku: wpis do rejestru BDO, roczne sprawozdanie do 15 marca za rok poprzedni, poziomy odzysku i recyklingu albo opłata produktowa. Firma, która nie ma domkniętego BDO, nie ma od czego zacząć PPWR.

Od czego zacząć w tym tygodniu?

1. Spiszcie typy opakowań, w których wysyłacie towar. Palety, skrzynie, karton, folia, taśmy. Liczba typów to liczba deklaracji, czyli wycena całego zadania.
2. Ustalcie rolę według art. 3 pkt 15: producent, wytwórca opakowań, importer. Firma pakująca własny wyrób jest producentem, nawet jeśli nigdy nie sprzedała ani jednego opakowania.
3. Wyślijcie do dostawców żądanie oświadczeń o metalach ciężkich i składzie materiałowym. Tego dowodu nie da się wytworzyć u siebie, a bez niego deklaracja z art. 39 nie ma podstawy.
4. Sprawdźcie status BDO i ostatnie sprawozdanie.
5. Wyznaczcie osobę, która podpisze deklarację. Podpis z art. 39 ust. 4 oznacza przyjęcie odpowiedzialności za zgodność, więc to decyzja zarządu, nie zadanie dla działu jakości.

Gdzie stoicie, pokaże kwestionariusz PPWR. Jeżeli wolicie przejść ten kalendarz na własnych opakowaniach, robimy to w ramach przeglądu gotowości.

Ten sam układ dwóch warstw, unijnej i krajowej, opisaliśmy przy AI Act: Terminy AI Act po Digital Omnibus oraz Ustawa o AI weszła w życie.

Stan prawny na 9 września 2026. Korekta z 9 września 2026: wcześniejsza wersja mówiła, że opakowania wyprodukowane przed 12 sierpnia 2026 mogą być w obrocie jeszcze 36 miesięcy. Takiego przepisu w rozporządzeniu nie ma. Sprawdzone w pełnym tekście 2025/40: ani okresu na wyprzedaż zapasów, ani terminu liczonego od daty produkcji, a przepisy przejściowe z artykułu 70 dotyczą wygaszania dyrektywy 94/62/WE. Rozstrzyga moment wprowadzenia do obrotu. Daty i numery artykułów zweryfikowane w tekście rozporządzenia (UE) 2025/40 oraz w wytycznych Komisji Europejskiej C(2026) 3702 final z 5 czerwca 2026. Ten wpis wraca do przeglądu co kwartał i przy każdej zmianie przepisów.

Od dziś w Polsce obowiązuje ustawa o systemach sztucznej inteligencji. Została ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003) i weszła w życie po 14 dniach.

To nie znaczy, że od dziś ktokolwiek może przyjść na kontrolę. Przepisy o kontrolach, postępowaniach i karach mają własny termin: 28 października 2026. Między jednym a drugim jest 11 tygodni.

Ten wpis nie tłumaczy ustawy. Od tego jest osobny tekst o KRiBSI, kontrolach i terminach. Ten wpis mówi, co zrobić w tym tygodniu, jeżeli prowadzicie małą firmę i nie macie działu prawnego.

Czy „my nie używamy AI" jest w ogóle prawdą?

To zdanie pada w rozmowach najczęściej. I prawie zawsze oznacza co innego, niż mówi.

Firma nie kupiła narzędzia AI, nie podpisała umowy i nie ma tego w budżecie. Zgoda. Ale pracownicy używają AI od około 2 lat, na prywatnych kontach, bo nikt im nie dał firmowego. Ktoś wkleja umowę do czatu, żeby ją streścić. Ktoś generuje opisy produktów. Ktoś przepuszcza życiorysy kandydatów przez narzędzie, które podpowiada, kogo zaprosić na rozmowę.

Zjawisko ma nazwę: shadow AI. Nie bierze się ze złej woli. Bierze się stąd, że praca jest do zrobienia, narzędzie jest za darmo, a nikt nie powiedział, że nie wolno.

Różnica między firmami nie polega więc na tym, czy używają AI. Polega na tym, czy właściciel o tym wie i czy ustalił zasady.

Dlatego pierwszy krok nie jest prawny. Jest inwentaryzacyjny.

Krok 1. Gdzie w firmie jest dziś AI?

Otwórzcie arkusz. Pięć kolumn:

Potem zadajcie zespołowi jedno pytanie, sformułowane tak, żeby nikt się nie bał odpowiedzieć: „nie szukam winnych, chcę wiedzieć, z czego korzystacie, żeby dać Wam coś lepszego i bezpieczniejszego".

To jest ważniejsze niż brzmi. Jeżeli pytanie zabrzmi jak kontrola, dostaniecie pustą tabelę i fałszywe poczucie porządku.

Ostatnia kolumna jest najistotniejsza. Narzędzie na prywatnym koncie oznacza, że dane Waszej firmy i Waszych klientów wyszły poza firmę, a Wy nie macie do nich żadnych praw ani wglądu.

Czas: 1-2 godziny plus tydzień na spływające odpowiedzi.

Krok 2. Jesteście dostawcą czy podmiotem stosującym?

Unijne rozporządzenie (UE) 2024/1689 rozróżnia dwie sytuacje i od tego zależy prawie wszystko inne.

Podmiot stosujący to Wy, jeżeli używacie gotowego narzędzia zrobionego przez kogoś innego. Kupiliście dostęp, wpisujecie tam swoje dane, korzystacie z wyniku. Tak działa większość małych firm.

Dostawca to Wy, jeżeli budujecie własne narzędzie AI albo bierzecie cudze, oznaczacie własną marką i udostępniacie klientom. Obowiązków jest wtedy znacznie więcej.

Granica bywa cieńsza, niż się wydaje. Firma, która zrobiła sobie czatbota na stronie i sprzedaje do niego dostęp innym, przestaje być tylko użytkownikiem.

Wpiszcie tę odpowiedź na górze arkusza z kroku 1. To pierwsze pytanie, które padnie w każdej rozmowie o zgodności.

Czas: 15 minut, jeżeli nie budujecie własnych narzędzi.

Krok 3. Kto odbierze zawiadomienie o kontroli?

Kontrola zawiadamia z wyprzedzeniem i przeprowadza czynności nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2).

Siedem dni to cały czas na przygotowanie, jaki dostajecie. Mija szybciej, niż się wydaje, gdy zawiadomienie wpada na skrzynkę, której nikt nie sprawdza, albo gdy w firmie nie wiadomo, kto odpowiada za temat.

Ta osoba nie musi znać się na przepisach. Musi wiedzieć, gdzie leży arkusz z kroku 1 i kto w firmie odpowiada za które narzędzie.

Jest jeszcze jeden powód, dla którego warto to zrobić dziś. Kontrola jest domyślnie zdalna (art. 49 ust. 3). Fizyczna wizyta w siedzibie to wyjątek, wymagający osobnego postanowienia. Nikt nie zapuka do drzwi. Przyjdzie pismo z prośbą o dokumentację w formie elektronicznej. Segregator w sekretariacie jest w tym modelu bezużyteczny.

Czas: 10 minut.

Krok 4. Czy któreś narzędzie jest wysokiego ryzyka?

Większość zastosowań w małej firmie nie jest. Pisanie tekstów, streszczanie notatek, podpowiadanie odpowiedzi w skrzynce, generowanie opisów produktów: to zwykłe użycie.

Ale kilka obszarów unijne przepisy traktują poważniej, bo decyzja dotyczy człowieka. Przejrzyjcie arkusz pod kątem trzech pytań:

1. Czy AI pomaga wybierać kandydatów do pracy albo oceniać pracowników?
2. Czy AI wpływa na to, komu przyznajecie kredyt, odroczoną płatność albo limit kupiecki?
3. Czy AI decyduje o dostępie do usługi, z której ktoś może zostać wykluczony?

Jeżeli na którekolwiek pada „tak", zaznaczcie to w arkuszu na czerwono i potraktujcie jako temat na osobną rozmowę. Nie musicie dziś rozstrzygać, czy formalnie mieści się to w kategorii wysokiego ryzyka. Musicie wiedzieć, że tam jest.

Rekrutacja jest tu najczęstszym przypadkiem i najczęściej niezauważonym, bo narzędzie do selekcji życiorysów wygląda jak zwykły filtr w arkuszu.

Czas: 30 minut.

Krok 5. Czego jeszcze nie wiecie?

Ostatnia kolumna arkusza, tym razem jedna: pytania bez odpowiedzi.

„Czy nasz czatbot na stronie to jeszcze użycie, czy już dostarczanie?" „Czy narzędzie do sortowania życiorysów podlega pod te przepisy?" „Czy dostawca naszego oprogramowania w ogóle wie o tej ustawie?"

Ta lista ma wartość praktyczną, nie porządkową. Od końca października działa mechanizm, o którym mówi się najmniej, a który jest dla małej firmy najbardziej użyteczny: opinia indywidualna Komisji (art. 8-17). Opłata 150 zł, jedno zagadnienie na wniosek, odpowiedź w 30 dni. Najciekawszy jest art. 12 ust. 3: jeżeli Komisja nie odpowie w terminie, uznaje się, że wydała opinię zgodną z Waszym stanowiskiem.

Milczenie urzędu działa więc na Waszą korzyść. To rzadkie rozwiązanie i wprost zachęca do pytania.

Za 150 zł kupujecie rozstrzygnięcie wątpliwości, które inaczej wisiałaby latami. Warunek jest jeden: trzeba wiedzieć, o co zapytać. Dlatego lista powstaje dziś, a nie w listopadzie.

Czas: tyle, ile zajmie zapisanie pytań w miarę, jak przychodzą do głowy przez tydzień.

Czego w tym tygodniu nie robić?

Trzy rzeczy, które wyglądają na produktywne i nie są.

Nie piszcie polityki korzystania z AI. Zanim wiecie, z czego zespół korzysta, każda polityka jest zgadywanką i po tygodniu leży w folderze, którego nikt nie otwiera. Polityka jest krokiem szóstym, nie pierwszym.

Nie kupujcie certyfikatu. Dla zwykłej firmy używającej AI nie ma czegoś takiego jak certyfikat zgodności z ustawą. Jeżeli ktoś Wam taki oferuje, poproście o wskazanie podstawy prawnej, na której go wydaje.

Nie zakazujcie AI bez dania alternatywy. Zakaz bez narzędzia firmowego nie kończy shadow AI. Przenosi je na prywatne telefony, gdzie nie widzicie już nawet tego, co widzieliście wcześniej.

Co jest w kalendarzu dalej?

28 października 2026 zaczynają obowiązywać przepisy o kontrolach, postępowaniach i karach, a także o opiniach indywidualnych i o wykazie systemów, wobec których nałożono karę. Do tego czasu Komisja się organizuje: przewodniczącego powołuje Sejm w ciągu 2 miesięcy od wejścia ustawy w życie, pierwsze posiedzenie ma się odbyć w ciągu 3 miesięcy (art. 125).

Równolegle biegnie kalendarz unijny, rozpisany we wpisie Terminy AI Act po Digital Omnibus. Kar nie opisujemy tu szerzej, bo na tym etapie nie są najważniejsze i nie są dobrym powodem do działania. Ustawa nie ustala własnych kwot, tylko odsyła do widełek unijnych (art. 104 ust. 1).

Ważniejsze jest co innego. Wszystkie pięć kroków powyżej to praca, którą firma i tak powinna wykonać, żeby wiedzieć, co się u niej dzieje z danymi. Termin jest tylko powodem, żeby zabrać się za to teraz.

Jeżeli chcecie zobaczyć, które terminy dotyczą akurat Waszej firmy, przygotowaliśmy bezpłatną wstępną orientację po ustawie: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Stan prawny na 11 sierpnia 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Daty dzienne pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw.

O AI Act mówiło się w Polsce przez dwa lata jako o czymś, co dopiero nadejdzie. To się właśnie skończyło. 27 lipca 2026 w Dzienniku Ustaw ogłoszono ustawę z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Od tego momentu Polska ma organ z nazwą, procedurą kontrolną i kalendarzem.

Ten tekst nie jest o terminach, którymi można straszyć. Jest o tym, jak wygląda procedura i ile czasu realnie dostaje firma, gdy się w niej znajdzie. Bez interpretacji na wyrost.

Kontekst unijny opisaliśmy osobno we wpisie Terminy AI Act po Digital Omnibus. Krótko: rozporządzenie (UE) 2026/1744 przesunęło obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028. Polska ustawa dotyczy czegoś innego: tego, kto i jak te przepisy egzekwuje.

Kto od teraz pilnuje AI w Polsce?

Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI (art. 5). Obsługę zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43). To nie jest nowy wielki urząd zbudowany od zera, tylko organ osadzony przy resorcie cyfryzacji.

Harmonogram powołania jest zapisany w ustawie. Przewodniczącego powołuje Sejm za zgodą Senatu w ciągu 2 miesięcy od wejścia ustawy w życie (art. 125 ust. 2). Pierwsze posiedzenie Komisji ma się odbyć w ciągu 3 miesięcy (art. 125 ust. 3).

Praktyczny wniosek dla firmy: przez najbliższe miesiące organ się organizuje. To nie jest powód do spokoju, tylko okno czasowe.

Od kiedy działają przepisy o kontroli?

Ustawa wchodzi w życie po upływie 14 dni od ogłoszenia (art. 127). Oficjalny rekord aktu w Dzienniku Ustaw podaje konkretną datę: 11 sierpnia 2026. Ale najbardziej dotkliwa część ma własny termin.

Artykuły 8-18 oraz rozdziały 3, 4, 5, 8 i 9 wchodzą w życie po upływie 3 miesięcy od ogłoszenia. Rekord Dziennika Ustaw wskazuje tu 28 października 2026. To dokładnie ta część, która dotyczy kontroli, postępowań, układów, kar administracyjnych i odwołań do SOKiK. Od sierpnia działają natomiast piaskownice regulacyjne i przepisy o jednostkach notyfikowanych, a od 28 lipca 2026 minister cyfryzacji tworzy komórkę obsługującą Komisję (art. 125 ust. 4).

Innymi słowy: sierpień to organizacja, 28 października to uruchomienie narzędzi nadzorczych. Między jednym a drugim mieści się kwartał, w którym firma może zrobić przegląd we własnym tempie, bez zegara odliczającego 14 dni na odpowiedź.

Jak wygląda kontrola KRiBSI?

Tutaj ustawa zaskakuje najbardziej i warto to wiedzieć, zanim ktoś zacznie opowiadać o inspektorach pukających do drzwi.

Kontrola jest domyślnie zdalna. Artykuł 49 ust. 3 brzmi:

Kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron, z wykorzystaniem jednego środka lub większej liczby środków porozumiewania się na odległość, w tym środków komunikacji elektronicznej.

Fizyczna obecność w siedzibie firmy wymaga osobnego postanowienia i uzasadnionego podejrzenia szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych osób fizycznych (art. 49 ust. 4).

To zmienia praktyczne znaczenie słowa „gotowość". Segregator w sekretariacie w modelu zdalnym jest bezużyteczny. Liczy się to, czy dokumentację da się udostępnić elektronicznie, w komplecie i w terminie.

Kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2). Siedem dni to cały czas na przygotowanie, jaki firma dostaje.

Zakres żądań jest szeroki. Kontrolujący może żądać dostępu do systemów teleinformatycznych, korespondencji elektronicznej, a także do danych w chmurze innego podmiotu w takim zakresie, w jakim kontrolowany ma do niej dostęp (art. 52 ust. 1 pkt 1). Do tego dochodzi czynny obowiązek współpracy po stronie kontrolowanego (art. 52 ust. 2).

Tajemnica zawodowa chroni tylko komunikację z adwokatem, radcą prawnym albo prawnikiem z innego państwa Unii (art. 54), a wykazanie, że konkretny dokument jest nią objęty, obciąża kontrolowanego (art. 54 ust. 4). Notatka wewnętrzna działu IT nie jest chroniona.

Utrudnianie kontroli jest zagrożone karą ograniczenia wolności albo grzywną w trybie wykroczeniowym, a odpowiada osoba działająca w imieniu osoby prawnej (art. 112-114). To wykroczenie, nie przestępstwo, ale odpowiada człowiek, nie firma.

Ile czasu firma ma na reakcję?

To jest sedno całego tekstu. Terminy w ustawie są krótkie i liczone od doręczenia, nie od momentu, w którym ktoś w firmie znajdzie na to czas.

Dwa zastrzeżenia. Po pierwsze, minimum 30 dni na zalecenia może zostać skrócone przy powtórnym naruszeniu (art. 57 ust. 4). Po drugie, jeśli firma nie przekaże danych finansowych w terminie, Komisja szacuje podstawę wymiaru kary samodzielnie (art. 105).

Żadnego z tych terminów nie da się dotrzymać, improwizując. Czternaście dni wystarcza na zebranie dokumentacji, która już istnieje. Nie wystarcza na jej wytworzenie: rejestru systemów AI, opisu, kto jest dostawcą, a kto podmiotem stosującym, śladu po szkoleniach, polityki korzystania z AI. To jest cała różnica między kontrolą uciążliwą a kontrolą kosztowną.

Czym firma realnie ryzykuje?

Ustawa nie ustala własnych kwot kar. Artykuł 104 ust. 1 odsyła do rozdziału XII rozporządzenia 2024/1689, czyli do widełek unijnych. Reguluje natomiast tryb: przeliczenie euro na złote następuje według tabeli NBP z 28 stycznia (art. 104 ust. 4), a odwołanie do Sądu Ochrony Konkurencji i Konsumentów wstrzymuje wykonanie kary (art. 67).

Konkretniejsze od abstrakcyjnych milionów jest jednak co innego. Artykuł 66 ust. 2 nakazuje Komisji udostępniać w Biuletynie Informacji Publicznej wykaz systemów sztucznej inteligencji, wobec których wydano decyzję o nałożeniu kary. Zawartość tego wykazu ustawa wylicza wprost. Pierwsza pozycja z art. 66 ust. 3 brzmi:

nazwę systemu oraz operatora, którego dotyczy decyzja

Dalej wykaz zawiera charakterystykę i opis działania systemu wraz ze wskazaniem naruszonych przepisów, informację o decyzjach wobec tego samego operatora lub podmiotu z nim powiązanego wydanych przez organy nadzoru innych państw członkowskich albo Komisję Europejską, a także o decyzjach innych organów nadzoru rynku w Polsce dotyczących tego samego systemu. Osobno publikowana jest informacja o niezastosowaniu się do ostrzeżenia (art. 61 ust. 4 pkt 3).

Dla firmy średniej wielkości publiczna, wyszukiwalna wzmianka obok nazwy własnego systemu bywa dotkliwsza niż sama kara. Zwłaszcza w przetargach i due diligence.

Jest jeszcze narzędzie szybsze niż kara. Przy bezpośrednim ryzyku Komisja może nakazać wyłączenie systemu z rygorem natychmiastowej wykonalności (art. 63), w trybie liczonym w dniach, maksymalnie 7 (art. 63 ust. 4).

Skąd bierze się sprawa?

Nie tylko z inicjatywy urzędu. Skargę może złożyć każdy: osoba fizyczna, osoba prawna i jednostka organizacyjna nieposiadająca osobowości prawnej, elektronicznie (art. 59). Skarga może uruchomić postępowanie z urzędu (art. 58), a Komisja prowadzi rejestr skarg (art. 6 pkt 12). Samo postępowanie ma trwać nie dłużej niż 6 miesięcy (art. 60 ust. 3).

Realny scenariusz to nie nalot kontrolerów, tylko niezadowolony kandydat do pracy, klient albo konkurent, który wypełnia formularz.

Odrębna sprawa to poważne incydenty. Ustawa nie tworzy własnej procedury zgłaszania. Obowiązuje art. 73 rozporządzenia 2024/1689, a adresatem zgłoszenia jest Komisja jako organ nadzoru rynku.

Co ustawa daje, a nie tylko zabiera?

Trzy rzeczy, o których w relacjach medialnych mówi się najmniej, a które są dla MŚP najbardziej użyteczne.

Opinie indywidualne (art. 8-17, dostępne od końca października). Opłata 150 zł, jedno zagadnienie na wniosek, jeden wniosek na 30 dni. Komisja odpowiada w 30 dni, a w sprawach szczególnie skomplikowanych w 60 dni. Najciekawszy jest art. 12 ust. 3:

Niewydanie opinii indywidualnej w terminach, o których mowa w ust. 1, uznaje się za wydanie opinii indywidualnej zgodnej ze stanowiskiem, które podmiot przedstawił we wniosku o wydanie tej opinii.

Milczenie organu działa więc na korzyść pytającego, co jest rozwiązaniem rzadkim i wprost zachęcającym do zadawania pytań. Opinia wiąże Komisję i organy, ale nie wiąże samego wnioskodawcy. Publikowana jest po anonimizacji w BIP. To jest tania ścieżka rozstrzygnięcia wątpliwości bez czekania na spór.

Piaskownica regulacyjna (art. 91-101, od sierpnia). Dla MŚP udział jest bezpłatny, trwa od 6 do 12 miesięcy, wejście odbywa się w drodze konkursu. Po zakończeniu uczestnik dostaje bezpłatną opinię w terminie 14 dni.

Obniżki kar. Układ z Komisją pozwala obniżyć karę o 20 do 70 procent (art. 70 ust. 6). Samodzielne ujawnienie naruszenia z dowodami połączone z wcześniejszym zaprzestaniem naruszenia daje obniżkę od 30 do 90 procent (art. 84 w związku z art. 70 ust. 6). Wykonanie działań wskazanych w ostrzeżeniu w ciągu 3 miesięcy od decyzji daje obniżkę od 10 do 50 procent (art. 107). Wniosek jest prosty: firma, która sama zgłasza problem, płaci ułamek tego, co firma przyłapana.

A małe firmy?

Nie ma dla nich osobnego reżimu. Artykuł 3 nie zna progów zatrudnienia ani obrotu. Ustawa nie zawiera też przepisów przejściowych dla systemów już używanych, więc narzędzie wdrożone w 2024 roku podlega tym samym zasadom co uruchomione jutro.

Jedyne realne udogodnienie to bezpłatna piaskownica dla MŚP. Reszta obowiązków jest taka sama dla firmy dziesięcioosobowej i dla korporacji.

Co zrobić w czwartym kwartale 2026?

Kalendarz sam podpowiada kolejność. Do 28 października przepisy kontrolne jeszcze nie działają. To jest okno, nie zaproszenie do zwłoki.

1. Ustalcie rolę. Dostawca czy podmiot stosujący. To rozstrzyga o wszystkich pozostałych obowiązkach i jest pierwszym pytaniem, które padnie.
2. Zróbcie rejestr systemów AI. Łącznie z narzędziami dołożonymi przez zespoły bez pytania. Przy zdalnej kontroli to jest pierwszy dokument, o który poproszą.
3. Wyznaczcie osobę do kontaktu. Siedem dni od zawiadomienia (art. 49 ust. 2) mija szybciej, gdy nikt nie wie, kto odpowiada.
4. Uporządkujcie dostępy i korespondencję. Zakres z art. 52 obejmuje systemy IT, pocztę i chmurę. Warto wiedzieć wcześniej, co tam jest.
5. Wątpliwości zamieńcie na wniosek o opinię indywidualną. Od końca października, 150 zł, z ochroną wynikającą z art. 12 ust. 3.

Te pięć punktów rozpisaliśmy krok po kroku, już po wejściu ustawy w życie, we wpisie Ustawa o AI weszła w życie: 5 rzeczy, które mała firma powinna zrobić w tym tygodniu.

Jeżeli nie wiecie, czy Wasze narzędzia w ogóle mieszczą się w zakresie ustawy, to jest właściwa pierwsza rozmowa. Nie wdrażanie procedur, tylko ustalenie, czy i w jakiej roli dotyczą Was obowiązki. Prowadzimy ją w ramach przeglądu zarządczego Ład AI.

Stan prawny na 29 lipca 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Ustawa określa terminy wejścia w życie liczbą dni i miesięcy od ogłoszenia (art. 127), a nie datami kalendarzowymi; daty dzienne podane w tekście pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw, nie z naszego przeliczenia. Ten wpis będzie aktualizowany, gdy pojawią się akty wykonawcze albo pierwsze rozstrzygnięcia Komisji.

Przez ostatnie miesiące większość polskich publikacji o AI Act powtarzała jedną datę: 2 sierpnia 2026. Ta data nadal jest ważna, ale znaczy dziś co innego, niż znaczyła w maju. 24 lipca 2026 w Dzienniku Urzędowym Unii Europejskiej ukazało się rozporządzenie (UE) 2026/1744 z 8 lipca 2026, potocznie zwane Digital Omnibus na AI. Weszło w życie 27 lipca 2026, czyli trzeciego dnia po publikacji.

Ten tekst porządkuje, co dokładnie się przesunęło, a co zostało nietknięte. Bez interpretacji na wyrost i bez straszenia.

Co się właściwie stało 8 lipca 2026?

Digital Omnibus to pierwsza istotna nowelizacja AI Act od jego przyjęcia w 2024 roku. Zmienia trzy rozporządzenia naraz: sam AI Act, czyli rozporządzenie (UE) 2024/1689, a także przepisy o lotnictwie cywilnym i o maszynach.

Droga legislacyjna była nietypowo szybka. Komisja Europejska przedstawiła projekt 19 listopada 2025. Porozumienie trójstronne zapadło 7 maja 2026, Parlament Europejski zatwierdził je 16 czerwca 2026 (423 głosy za, 57 przeciw, 174 wstrzymujące się), a Rada dała ostateczną zgodę 29 czerwca 2026.

Powód pośpiechu jest w samym rozporządzeniu: motyw 46 tłumaczy wejście w życie już trzeciego dnia po publikacji koniecznością zapewnienia pewności prawa przed 2 sierpnia 2026.

Które terminy się przesunęły?

Przesunięcie dotyczy jednej kategorii: systemów wysokiego ryzyka. Osiągnięto je przez przepisanie artykułu 113 AI Act.

Dla Załącznika III to szesnaście miesięcy więcej. Uzasadnieniem były realne trudności z operacjonalizacją wymogów, które opierają się na normach zharmonizowanych, a te nie są jeszcze gotowe.

Ważny szczegół: odroczenie obejmuje sekcje 1, 2 i 3 rozdziału III, ale nie artykuł 6 ust. 5. Innymi słowy przesunięto obowiązki, nie samą klasyfikację.

Czego Omnibus NIE przesunął?

To jest część, którą najłatwiej przeoczyć, bo nagłówki mówiły wyłącznie o opóźnieniu.

Obowiązuje od 2 lutego 2025: zakazane praktyki z artykułu 5 oraz kompetencje w zakresie AI z artykułu 4. Półtora roku temu, nie w przyszłości.

Obowiązuje od 2 sierpnia 2025: obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), przepisy o organach i o karach.

Zaczyna obowiązywać 2 sierpnia 2026: ogólne stosowanie AI Act, w tym obowiązki przejrzystości z artykułu 50. Chatbot ma się przedstawiać, treść wygenerowana przez AI ma być oznaczona. Komisja Europejska przyjęła 20 lipca 2026 wytyczne do artykułu 50, stosowane właśnie od 2 sierpnia.

Zaczyna obowiązywać 2 grudnia 2026: nowy zakaz z artykułu 5, dotyczący generowania intymnych materiałów bez zgody osoby oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Tego dnia mija też okres przejściowy na maszynowe oznaczanie treści przez systemy wprowadzone na rynek przed 2 sierpnia 2026. Systemy wprowadzane po tej dacie muszą spełniać wymóg od razu.

Krótko: kalendarz się nie rozluźnił, on się rozwarstwił.

Czy obowiązek szkoleń z AI zniknął?

Nie, ale zmienił charakter i to jest zmiana, o której warto wiedzieć, zanim ktoś sprzeda Wam szkolenie strachem.

Artykuł 4 w pierwotnym brzmieniu wymagał, żeby dostawcy i podmioty stosujące zapewnili wystarczający poziom kompetencji w zakresie AI u swojego personelu. Po nowelizacji mają podejmować środki wspierające rozwój tych kompetencji. Przepis wprost zastrzega, że nie wymaga to gwarantowania żadnego konkretnego poziomu.

Z obowiązku rezultatu zrobił się obowiązek starannego działania, oceniany przez pryzmat wiedzy technicznej personelu, jego doświadczenia, wykształcenia oraz kontekstu, w jakim systemy AI są używane.

Praktyczna konsekwencja dla firmy jest taka, że nikt nie sprawdzi Wam pracowników z testu. Sprawdzi natomiast, czy coś zrobiliście i czy potraficie to pokazać. Lista obecności, zakres programu, data, materiały, wewnętrzna polityka korzystania z AI. To jest dokładnie ten rodzaj dowodu, który albo istnieje, albo go nie ma.

Warto też zauważyć, co Omnibus dodał. Nowy artykuł 4a tworzy podstawę prawną do przetwarzania szczególnych kategorii danych osobowych, gdy jest to ściśle niezbędne do wykrywania i korygowania stronniczości systemu AI, pod sześcioma kumulatywnymi warunkami. Nowelizacja podniosła też górną granicę kar za naruszenie artykułu 25 do 15 mln euro lub 3 procent światowego obrotu, przenosząc obowiązki z artykułu 25 ust. 2 i 4 do katalogu z artykułu 99 ust. 4 AI Act.

Co zmienia polska ustawa i KRiBSI?

Równolegle domknęła się krajowa część układanki. Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 została ogłoszona w Dzienniku Ustaw 27 lipca 2026 (poz. 1003). Wchodzi w życie 11 sierpnia 2026. Przepisy o kontrolach, postępowaniach, karach i opiniach indywidualnych zaczynają obowiązywać 28 października 2026 (art. 127 ustawy, daty za oficjalnym rekordem Dz.U. 2026 poz. 1003). Szczegółowo opisujemy ją we wpisie Polska ustawa o AI: KRiBSI, zdalne kontrole i terminy dla MŚP.

Krajowym organem nadzoru rynku i pojedynczym punktem kontaktowym wobec instytucji unijnych zostaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. W składzie znajdą się przedstawiciele UOKiK, KNF, KRRiT i UKE.

Dla firmy istotne są trzy rzeczy. Po pierwsze, jest wreszcie adres: konkretny organ, do którego można złożyć wniosek i który wydaje decyzje, także w sprawie poważnych incydentów. Po drugie, KRiBSI będzie wydawać opinie indywidualne w konkretnych sprawach (opłata 150 zł, termin 30 dni), czyli powstaje ścieżka rozstrzygania wątpliwości bez czekania na spór. Po trzecie, ten sam organ prowadzi krajowe piaskownice regulacyjne, dla mikro, małych i średnich firm nieodpłatne.

Co zrobić w firmie w najbliższych tygodniach?

Przesunięcie terminów dla wysokiego ryzyka nie zmienia listy zadań, tylko kolejność.

1. Sprawdźcie, czy w ogóle jesteście dostawcą, czy podmiotem stosującym. To rozstrzyga o niemal wszystkim innym. Firma, która wyłącznie korzysta z gotowych narzędzi, ma zupełnie inny zestaw obowiązków niż firma, która wypuszcza własny system pod swoją marką.
2. Zinwentaryzujcie systemy AI, które już działają. Nie tylko te kupione oficjalnie. Narzędzia dokładane przez zespoły na własną rękę są najczęstszym źródłem zaskoczenia przy pierwszym przeglądzie.
3. Zamknijcie temat artykułu 4 dowodem, nie deklaracją. Przeszkolony zespół bez śladu po szkoleniu jest z punktu widzenia nadzoru zespołem nieprzeszkolonym.
4. Obowiązki przejrzystości działają od 2 sierpnia 2026, czyli już teraz. Jeśli klient rozmawia z Waszym chatbotem albo dostaje treść wygenerowaną przez model, musi to wiedzieć. To już nie jest przygotowanie do terminu, tylko sprawdzenie stanu faktycznego.
5. Systemy z Załącznika III potraktujcie jak projekt na 2027, nie jak temat zamknięty. Szesnaście miesięcy brzmi komfortowo do momentu, w którym trzeba skompletować dokumentację techniczną i ocenę zgodności.

Jeżeli nie wiecie, do której kategorii trafiacie, to jest dokładnie ta rozmowa, od której warto zacząć. Nie od wdrażania procedur, tylko od ustalenia, czy w ogóle Was dotyczą.

Polska ustawa weszła w życie 11 sierpnia 2026. Listę kroków dla małej firmy, rozpisaną już po tej dacie, zebraliśmy we wpisie Ustawa o AI weszła w życie: 5 rzeczy, które mała firma powinna zrobić w tym tygodniu.

Jeżeli chcecie przejść ten kalendarz na własnych systemach, a nie na przykładach, robimy to w ramach przeglądu zarządczego Ład AI.

Stan prawny na 28 lipca 2026. Terminy zweryfikowane w Dzienniku Urzędowym Unii Europejskiej oraz w komunikatach Parlamentu Europejskiego. Ten wpis będzie aktualizowany, gdy zmienią się przepisy lub gdy pojawią się wytyczne krajowe.