Lista kontrolna zgodności z EU AI Act w formie pytań i odpowiedzi: zakres, pozostałe terminy, klasyfikacja ryzyka, praktyki zakazane, GPAI, zgodność systemów wysokiego ryzyka oraz podział obowiązków dostawcy i podmiotu wdrażającego.

Ten przewodnik odpowiada na pytania o zgodność w kolejności, w jakiej naprawdę się pojawiają: czy rozporządzenie mnie obejmuje, co wiąże mnie już dziś, które z moich systemów są systemami wysokiego ryzyka, co muszę wytworzyć i ile kosztuje pomyłka. Każda odpowiedź jest oparta na podstawie prawnej, którą można zacytować w notatce wewnętrznej.

Narzędzie interaktywne: skorzystaj z weryfikatora zgodności z AI Act, aby otrzymać spersonalizowaną listę kontrolną i wynik dopasowany do Twojej roli i typu systemu.

Kto powinien przejść tę listę kontrolną?

Każda organizacja, która rozwija, wdraża, importuje lub dystrybuuje system AI wykorzystywany w UE — niezależnie od miejsca siedziby. Art. 2 obejmuje dostawców i podmioty wdrażające z państw trzecich, gdy wynik działania systemu jest wykorzystywany w Unii: amerykański dostawca SaaS z europejskimi klientami mieści się w zakresie tak samo jak bank w Warszawie.

Cztery pytania wyznaczają Twój zestaw obowiązków i wszystkie cztery są potrzebne, zanim lista kontrolna nabierze sensu:

Pytanie Co przesądza
Zbudowałeś go sam czy używasz cudzego? Dostawca albo podmiot wdrażający (art. 3, art. 25)
System AI czy model AI ogólnego przeznaczenia? Rozdział III albo rozdział V
Która kategoria z załącznika III lub załącznika I? Wysokie ryzyko albo nie (art. 6)
Czy wchodzi w interakcję z ludźmi albo generuje treści? Przejrzystość z art. 50, niezależnie od poziomu ryzyka

Ostatni wiersz umyka większości inwentaryzacji. Obowiązki przejrzystości dotykają systemów, które w ogóle nie są systemami wysokiego ryzyka: chatbot obsługi klienta ma dziś obowiązek, nie mając nic z ciężaru zgodności, któremu poświęcona jest reszta tej listy.

Co wiąże Cię już dziś, a co dopiero nadejdzie?

Pięć dat rozpoczęcia stosowania już minęło; główna praca nad zgodnością przypada na grudzień 2027 r. Poniższe daty są zgodne ze zbiorem danych o terminach publikowanym przez ten serwis, który uwzględnia przesunięcia wprowadzone rozporządzeniem (UE) 2026/1744.

Obowiązek Stosuje się od Status
Praktyki zakazane (art. 5) 2 lutego 2025 r. Obowiązuje
Kompetencje w zakresie AI (art. 4) 2 lutego 2025 r. Obowiązuje
Modele ogólnego przeznaczenia (rozdział V) 2 sierpnia 2025 r. Obowiązuje
Obowiązki przejrzystości (art. 50) 2 sierpnia 2026 r. Obowiązuje
Uprawnienia Komisji wobec GPAI (art. 101) 2 sierpnia 2026 r. Obowiązuje
Znakowanie istniejących systemów generatywnych 2 grudnia 2026 r. Nadchodzi
Zakaz generowania materiałów CSAM 2 grudnia 2026 r. Nadchodzi
Działające piaskownice regulacyjne 2 sierpnia 2027 r. Nadchodzi
Wysokie ryzyko — systemy samodzielne z załącznika III 2 grudnia 2027 r. Nadchodzi
Wysokie ryzyko — systemy wbudowane z załącznika I 2 sierpnia 2028 r. Nadchodzi

Digital Omnibus przesunął cztery z tych dat i przeredagował art. 4; pełny rejestr „przed i po" publikujemy na /changes/. Nie usunął żadnego obowiązku i nie stworzył zwolnień, więc program zbudowany na pierwotnych datach pozostaje właściwy — ma po prostu więcej czasu na rozbieg.

Krok 1 — Czy Twój inwentarz AI jest kompletny?

Bez pełnego inwentarza nic z dalszych kroków nie jest do obrony. Utwórz rejestr wszystkich systemów AI, z którymi styka się organizacja:

Dla każdego: nazwa, funkcja, dane wejściowe i wyjściowe, kontekst użycia, wpływ decyzji, populacja objęta oddziaływaniem. Oznacz systemy o niepewnej klasyfikacji — wymagają przeglądu prawnego, a nie odpowiedzi inżynierskiej.

Dwie kategorie są systematycznie niedoliczane: funkcje AI dostarczane w narzędziach SaaS, za które firma już płaci, oraz modele zbudowane przez zespoły poza procesem zakupowym. Poproś finanse o listę dostawców, a inżynierię o rejestr modeli; suma obu jest bliższa prawdzie niż każda z osobna.

Krok 2 — Czy prowadzisz już coś nielegalnego?

Przejdź art. 5 przed jakąkolwiek klasyfikacją ryzyka, bo systemu zakazanego nie da się doprowadzić do zgodności. Zestaw każdy system z listą:

→ Wycofać albo zaprojektować od nowa. Zakazy te obowiązują od 2 lutego 2025 r. i mieszczą się w progu kar 35 mln EUR / 7 %. Przewodnik po praktykach zakazanych omawia wąskie wyjątki dla każdego z nich.

Od 2 grudnia 2026 r. dochodzi zakaz obejmujący systemy generujące materiały przedstawiające seksualne wykorzystywanie dzieci lub intymne obrazy bez zgody.

Krok 3 — Czy jesteś dostawcą modelu ogólnego przeznaczenia?

Jeżeli organizacja rozwija i publikuje model podstawowy, obowiązki rozdziału V stosuje się od 2 sierpnia 2025 r. Trzy testy:

Jeśli tak: dokumentacja modelu dla Urzędu ds. AI i dla dostawców niższego szczebla, polityka w zakresie prawa autorskiego oraz dostatecznie szczegółowe publiczne streszczenie treści treningowych. Powyżej 10²⁵ FLOPs mocy obliczeniowej treningu domniemywa się ryzyko systemowe, co dodaje ocenę modelu, testy adwersarialne, zgłaszanie incydentów i cyberbezpieczeństwo. Zob. przewodnik po obowiązkach GPAI.

Od 2 sierpnia 2026 r. ten rozdział egzekwuje bezpośrednio Komisja, a nie organy krajowe, z karami do 15 mln EUR albo 3 %.

Krok 4 — Które z Twoich systemów są systemami wysokiego ryzyka?

Sklasyfikuj względem załącznika III i załącznika I, zastosuj filtr art. 6 ust. 3 i zapisz wynik. Załącznik III wymienia osiem samodzielnych kategorii: biometria, infrastruktura krytyczna, kształcenie i szkolenie zawodowe, zatrudnienie i zarządzanie pracownikami, dostęp do podstawowych usług prywatnych i publicznych, ściganie przestępstw, migracja i kontrola granic oraz sprawowanie wymiaru sprawiedliwości. Załącznik I obejmuje AI działającą jako element bezpieczeństwa produktu już regulowanego unijnym prawem bezpieczeństwa produktów.

Wyjątek z art. 6 ust. 3 uwalnia system, który wprawdzie mieści się w kategorii z załącznika III, ale nie stwarza istotnego ryzyka: wąskie zadanie proceduralne, ulepszenie wyniku zakończonej czynności człowieka, wykrywanie wzorców decyzyjnych bez zastępowania oceny człowieka albo praca czysto przygotowawcza. Nigdy nie działa przy profilowaniu osób fizycznych. Ocenę trzeba udokumentować przed wprowadzeniem do obrotu, a obowiązek rejestracji pozostaje.

Decyzje klasyfikacyjne to najczęściej kontrolowany artefakt tej listy. Zapisz rozważaną kategorię, tok rozumowania, dowody, datę i osobę odpowiedzialną.

Krok 5 — Jesteś dostawcą czy podmiotem wdrażającym?

Rola przesądza o około 80 % obciążenia i nie jest ustalona umową zakupu. Art. 25 czyni Cię dostawcą systemu wysokiego ryzyka, którego nie zbudowałeś, jeśli umieścisz na nim swoją nazwę lub znak, dokonasz istotnej zmiany albo przekierujesz jego przeznaczenie tak, że stanie się systemem wysokiego ryzyka. Dostrojenie modelu producenta na własnych danych i dostarczenie go pod własną marką to typowy sposób odziedziczenia nieprzewidzianych w budżecie obowiązków dostawcy.

Dostawca Podmiot wdrażający
Zarządzanie ryzykiem (art. 9) Wymagane —
Zarządzanie danymi (art. 10) Wymagane Tylko adekwatność danych wejściowych
Dokumentacja techniczna (załącznik IV) Wymagana —
Ocena zgodności + oznakowanie CE Wymagane —
Rejestracja w bazie danych UE Wymagana Podmioty publiczne rejestrują swoje użycie
Nadzór ludzki Zaprojektować (art. 14) Sprawować (art. 26)
Rejestry zdarzeń Umożliwić (art. 12) Przechowywać ≥ 6 miesięcy (art. 26)
Ocena skutków dla praw podstawowych (art. 27) — Sektor publiczny, kredyt, ubezpieczenia
Zgłaszanie incydentów Art. 73 Dostawca + organ

Przewodnik dostawca a podmiot wdrażający omawia przypadki graniczne, w tym importerów i dystrybutorów, którzy mają obowiązki weryfikacyjne, a nie obowiązki zgodności.

Kroki 6–10 — Co właściwie wytwarza program dla systemów wysokiego ryzyka?

Sześć artefaktów w kolejności zależności. Każdy jest wejściem dla kolejnego, dlatego program zaczynający od dokumentacji i cofający się do ładu korporacyjnego grzęźnie.

  1. System zarządzania jakością (art. 17) — polityki, odpowiedzialności, kontrola zmian, zarządzanie danymi, monitorowanie po wprowadzeniu do obrotu i procedury incydentów. O to organ nadzoru rynku pyta najpierw.
  2. Zapisy zarządzania ryzykiem (art. 9) — iteracyjny cykl identyfikacji, szacowania i ograniczania ryzyka, prowadzony przez cały cykl życia, a nie zatwierdzony raz.
  3. Dowody zarządzania danymi (art. 10) — pochodzenie, reprezentatywność, badanie i ograniczanie uprzedzeń dla zbiorów treningowych, walidacyjnych i testowych.
  4. Dokumentacja techniczna z załącznika IV — zbiór opisany w przewodniku po dokumentacji technicznej, wraz z badaniami względem wymogów dokładności, solidności i cyberbezpieczeństwa z art. 15.
  5. Ocena zgodności i deklaracja — samoocena zgodnie z załącznikiem VI albo jednostka notyfikowana tam, gdzie wymaga tego biometria lub prawo produktowe z załącznika I. Zob. przewodnik po ocenie zgodności.
  6. Rejestracja, oznakowanie CE i monitorowanie — wpis do bazy danych UE przed wprowadzeniem do obrotu, oznakowanie CE na dokumentacji, następnie plan monitorowania po wprowadzeniu do obrotu i zgłaszanie poważnych incydentów na podstawie art. 73.

Celuj w 2 grudnia 2027 r. dla systemów samodzielnych z załącznika III i w 2 sierpnia 2028 r. dla systemów wbudowanych z załącznika I. Realistyczny program dla jednego systemu wysokiego ryzyka trwa 12–24 miesiące: start pod koniec 2026 r. mieści się w oknie bez zapasu, a zdolności jednostek notyfikowanych będą się kurczyć w miarę zbliżania się terminu.

A jeśli używasz wyłącznie cudzej AI?

Jesteś podmiotem wdrażającym, a Twoja lista jest krótka, ale nie pusta. Tu znajduje się większość organizacji: żadnego własnego modelu, kilkanaście funkcji AI konsumowanych przez SaaS i API.

Praktycznym mechanizmem kontrolnym jest badanie dostawcy: uzyskaj deklarację zgodności, instrukcję obsługi i informacje, które art. 13 nakazuje dostawcy przekazać. Przewodnik po AI stron trzecich precyzuje, czego żądać w umowie.

Co zmienia się w zależności od sektora?

Obowiązki są identyczne; wyniki klasyfikacji i nakładające się reżimy już nie.

Przewodniki sektorowe omawiają dziewięć branż w tej samej strukturze.

Ile kosztuje brak zgodności?

Trzy progi, a dla zwykłego przedsiębiorstwa najważniejszy jest środkowy. Art. 99 ustala 35 mln EUR albo 7 % światowego obrotu za zakazy z art. 5, 15 mln EUR albo 3 % za większość pozostałych obowiązków — w tym przejrzystość z art. 50 i cały blok wysokiego ryzyka — oraz 7,5 mln EUR albo 1 % za informacje wprowadzające w błąd przekazane organom. MŚP są ograniczone do kwoty niższej.

Trzeci próg zasługuje na uwagę nieproporcjonalną do swojej wysokości: karze złą odpowiedź udzieloną organowi niezależnie od jakiegokolwiek naruszenia materialnego. To dokumentacja zamienia stanowisko możliwe do obrony w stanowisko możliwe do wykazania. Przewodnik po karach przeprowadza obliczenie ekspozycji.

Co zrobić w ciągu najbliższych 90 dni

  1. Zamknąć lukę inwentaryzacyjną — lista dostawców z finansów ∪ rejestr modeli z inżynierii.
  2. Przepuścić cały park przez filtr art. 5. To jedyny krok z już obowiązującym progiem 7 %.
  3. Wdrożyć informacje z art. 50 wszędzie tam, gdzie system styka się z użytkownikiem; obowiązek jest w mocy, nie nadchodzi.
  4. Udowodnić kompetencje z art. 4: kto, z czego i kiedy był szkolony. Przewodnik po kompetencjach AI wyjaśnia, czego wymaga przeredagowany artykuł.
  5. Sklasyfikować kandydatów z załącznika III i zapisać rozumowanie, w tym rozstrzygnięcia na podstawie art. 6 ust. 3.
  6. Dla każdego potwierdzonego systemu wysokiego ryzyka uruchomić system zarządzania jakością. Grudzień 2027 r. jest ograniczeniem, a kolejka w jednostkach notyfikowanych jest przed Tobą, nie za Tobą.

Robocze szablony inwentarza, rejestru ryzyka, dokumentacji technicznej i badania dostawców znajdują się w pakietach zgodności; Akademia AI Act obejmuje ten sam materiał w formie ustrukturyzowanego szkolenia z certyfikacją.

Powiązane strony

AI Act meets DORA and NIS2

Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.

The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗

Frequently Asked Questions

Dotyczy dostawców, podmiotów wdrażających, importerów, dystrybutorów i upoważnionych przedstawicieli systemów AI wprowadzanych do obrotu w UE lub wykorzystywanych w UE, a także dostawców modeli AI ogólnego przeznaczenia. Siedziba poza UE nie zwalnia: art. 2 ust. 1 lit. c) obejmuje dostawców i podmioty wdrażające z państw trzecich, gdy wynik działania systemu jest wykorzystywany w Unii.

System mieści się w zakresie, jeżeli jest systemem AI w rozumieniu art. 3 ust. 1 — systemem maszynowym, który wnioskuje wyniki takie jak prognozy, rekomendacje, decyzje lub treści — i jest wprowadzany do obrotu w UE albo wykorzystywany w UE. Modele czysto badawcze, nieudostępniane na zewnątrz, pozostają poza zakresem.

Pierwszym krokiem jest inwentaryzacja systemów AI: skatalogowanie wszystkich systemów, które organizacja rozwija, wdraża, importuje lub dystrybuuje. Dla każdego należy udokumentować funkcję, dostawcę, kontekst użycia i populację, na którą system oddziałuje. Bez pełnej inwentaryzacji klasyfikacja ryzyka nie może się rozpocząć.

Cztery bloki są już w mocy: praktyki zakazane z art. 5 od 2 lutego 2025 r., obowiązek kompetencji w zakresie AI z art. 4 od 2 lutego 2025 r., obowiązki rozdziału V ciążące na dostawcach modeli ogólnego przeznaczenia od 2 sierpnia 2025 r. oraz obowiązki przejrzystości z art. 50 — informowanie o chatbocie, oznaczanie deepfake'ów, znakowanie treści syntetycznych w formacie odczytywalnym maszynowo — od 2 sierpnia 2026 r.

Przesunął cztery daty rozpoczęcia stosowania i przeredagował art. 4; nie stworzył żadnego nowego obowiązku ani nie przyznał zwolnienia sektorowego lub ze względu na wielkość. Samodzielne systemy wysokiego ryzyka z załącznika III stosuje się teraz od 2 grudnia 2027 r. zamiast od 2 sierpnia 2026 r., AI wbudowaną w produkty z załącznika I od 2 sierpnia 2028 r., piaskownice regulacyjne od 2 sierpnia 2027 r., a przejściowy obowiązek znakowania systemów generatywnych już obecnych na rynku od 2 grudnia 2026 r.

Dostawca opracowuje system AI i wprowadza go do obrotu w UE lub oddaje do użytku. Podmiot wdrażający wykorzystuje system AI pod własną odpowiedzialnością w ramach działalności zawodowej. Bank kupujący narzędzie do scoringu kredytowego jest podmiotem wdrażającym; producent oprogramowania jest dostawcą. Dostawca ponosi główny ciężar zgodności, podmiot wdrażający — nadzór ludzki, monitorowanie i przejrzystość.

Tak, i to jest punkt pomijany najczęściej. Zgodnie z art. 25 podmiot wdrażający staje się dostawcą systemu wysokiego ryzyka, jeżeli umieści na nim swoją nazwę lub znak towarowy, dokona istotnej zmiany albo zmieni przeznaczenie tak, że system stanie się systemem wysokiego ryzyka. Dostrojenie zakupionego modelu na własnych danych i dostarczenie go pod własną marką prawie zawsze uruchamia to przejście.

Tak, częściowo. Oddanie do użytku obejmuje także wdrożenie wewnętrzne, gdy system oddziałuje na ludzi — decyzje kadrowe, monitorowanie pracowników, wewnętrzna ocena zdolności kredytowej. AI służąca wyłącznie obliczeniom technicznym, bez wyniku kierowanego do osób, może pozostawać poza zakresem, ale wymaga to udokumentowanej analizy prawnej. Art. 4 (kompetencje w zakresie AI) dotyczy wszystkich, niezależnie od poziomu ryzyka.

Art. 5 zakazuje technik podprogowych i manipulacyjnych, wykorzystywania słabości, scoringu społecznego przez organy publiczne, nieukierunkowanego pozyskiwania wizerunków twarzy, wnioskowania o emocjach w pracy i w edukacji, kategoryzacji biometrycznej w celu wywiedzenia cech wrażliwych oraz większości zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania. Obowiązuje od 2 lutego 2025 r. Dodatkowy zakaz generowania materiałów przedstawiających seksualne wykorzystywanie dzieci i intymnych obrazów bez zgody stosuje się od 2 grudnia 2026 r.

Dwiema drogami. Załącznik III wymienia osiem samodzielnych kategorii: biometria, infrastruktura krytyczna, edukacja, zatrudnienie, dostęp do podstawowych usług publicznych i prywatnych, ściganie przestępstw, migracja i kontrola granic oraz sprawowanie wymiaru sprawiedliwości. Załącznik I obejmuje AI wykorzystywaną jako element bezpieczeństwa produktu objętego już unijnym prawem bezpieczeństwa produktów. Poza tymi dwiema drogami system nie jest systemem wysokiego ryzyka — pozostają co najwyżej przejrzystość i kompetencje.

Art. 6 ust. 3 pozwala systemowi mieszczącemu się w kategorii z załącznika III uniknąć kwalifikacji jako system wysokiego ryzyka, jeżeli nie stwarza on istotnego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych — na przykład gdy wykonuje wąskie zadanie proceduralne, ulepsza wynik zakończonej już czynności człowieka albo ma charakter czysto przygotowawczy. Wyjątek nigdy nie działa przy profilowaniu osób fizycznych. Ocenę trzeba udokumentować przed wprowadzeniem do obrotu, a system nadal podlega rejestracji.

Dokumentacji technicznej z załącznika IV: opis systemu, specyfikacje projektowe, zarządzanie ryzykiem (art. 9), zarządzanie danymi (art. 10), wyniki badań, środki nadzoru ludzkiego (art. 14), dokładność i cyberbezpieczeństwo (art. 15) oraz plan monitorowania po wprowadzeniu do obrotu. Do tego dochodzą system zarządzania jakością (art. 17), automatyczne rejestry zdarzeń (art. 12), instrukcja obsługi (art. 13), deklaracja zgodności UE (art. 47) i oznakowanie CE (art. 48).

Dla większości systemów z załącznika III nie: dostawca przeprowadza samoocenę zgodnie z załącznikiem VI. Jednostka notyfikowana jest wymagana dla systemów biometrycznych, gdy nie zastosowano normy zharmonizowanej, oraz dla wbudowanej AI z załącznika I wszędzie tam, gdzie właściwe prawo produktowe i tak wymaga oceny przez stronę trzecią. Ponieważ zdolności są ograniczone, termin należy zarezerwować na długo przed 2 grudnia 2027 r.

Art. 26 nakazuje używać systemu zgodnie z instrukcją, powierzyć nadzór kompetentnym osobom mającym uprawnienie do zmiany decyzji, zapewnić adekwatność danych wejściowych, przechowywać rejestry zdarzeń przez co najmniej sześć miesięcy, poinformować przedstawicieli pracowników przed wdrożeniem w miejscu pracy oraz zgłaszać poważne incydenty dostawcy i organowi nadzoru rynku.

Ocena skutków dla praw podstawowych (art. 27) dokumentuje kontekst wdrożenia, osoby, na które system oddziałuje, ryzyka dla praw podstawowych, rozwiązania w zakresie nadzoru ludzkiego oraz dostępne środki odwoławcze. Jest obowiązkowa dla podmiotów publicznych i podmiotów prywatnych świadczących usługi publiczne, a także dla każdego podmiotu wdrażającego systemy z załącznika III wykorzystywane do oceny zdolności kredytowej lub do ustalania cen ubezpieczeń na życie i zdrowotnych. Poprzedza pierwsze użycie.

Jesteś podmiotem wdrażającym, a nie dostawcą, dopóki używasz narzędzia w postaci dostarczonej i zgodnie z jego przeznaczeniem. Obowiązki to kompetencje z art. 4, przejrzystość z art. 50 wobec osób wchodzących w interakcję z systemem lub otrzymujących jego wyniki oraz — jeżeli przypadek użycia mieści się w załączniku III — pełny zestaw z art. 26 od 2 grudnia 2027 r. Badanie dostawcy nie jest odrębnym obowiązkiem prawnym, ale to jedyny sposób wykazania, że podmiot wyżej w łańcuchu wypełnił swoje.

Art. 4 obowiązuje od 2 lutego 2025 r. każdego dostawcę i każdy podmiot wdrażający, na wszystkich poziomach ryzyka. Digital Omnibus przekształcił go ze zobowiązania rezultatu w zobowiązanie starannego działania: trzeba podjąć środki wspierające rozwój wystarczającego poziomu kompetencji w zakresie AI wśród personelu obsługującego systemy, przy czym żadnemu pojedynczemu człowiekowi nie trzeba gwarantować określonego poziomu. Organ nadzoru poprosi o dowód zaprojektowania, przeprowadzenia i zasięgu szkoleń.

Art. 50 obowiązuje od 2 sierpnia 2026 r. Dostawcy muszą projektować systemy tak, by ludzie wiedzieli, że rozmawiają z AI, oraz znakować syntetyczne audio, obrazy, wideo i tekst w formacie odczytywalnym maszynowo. Podmioty wdrażające muszą ujawniać rozpoznawanie emocji i kategoryzację biometryczną oraz oznaczać deepfake'i i teksty generowane publikowane w celu informowania opinii publicznej. Systemy generatywne obecne na rynku przed 2 sierpnia 2026 r. mają czas na spełnienie obowiązku znakowania do 2 grudnia 2026 r.

Trzy progi w art. 99: 35 mln EUR albo 7 % światowego rocznego obrotu za naruszenie zakazów z art. 5, 15 mln EUR albo 3 % za większość pozostałych obowiązków, w tym obowiązki przejrzystości z art. 50, oraz 7,5 mln EUR albo 1 % za przekazanie organom informacji nieprawidłowych lub wprowadzających w błąd. Dla MŚP i start-upów pułapem jest kwota niższa z dwóch, a nie wyższa.

Dla samodzielnego systemu z załącznika III realistyczny program trwa 12–24 miesiące: 3–6 miesięcy analizy luk i projektowania systemu zarządzania jakością, 6–12 miesięcy dokumentacji technicznej, zarządzania danymi i oceny zgodności oraz 3–6 miesięcy rejestracji w bazie danych UE i oznakowania CE. Przy terminie 2 grudnia 2027 r. program rozpoczęty teraz mieści się w oknie, ale bez zapasu.

Nie. Digital Omnibus nie wprowadził żadnego zwolnienia ze względu na wielkość. MŚP otrzymują trzy ułatwienia: uproszczoną dokumentację techniczną na podstawie art. 11 ust. 1, priorytetowy dostęp do piaskownic regulacyjnych oraz pułap kary ustalony na kwocie niższej. Wszystkie obowiązki materialne stosuje się w pełni.

Nie. Lista wyznacza zakres prac i dowodzi, że ocena została przeprowadzona; zgodność wykazuje się artefaktami — dokumentacją techniczną z załącznika IV, systemem zarządzania jakością, zapisami zarządzania ryzykiem, wynikami badań, deklaracją zgodności i raportami z monitorowania po wprowadzeniu do obrotu. Lista jest spisem treści zbioru dokumentów, który musi istnieć.

Take compliance further with the AI Act Academy

A free course, a server-graded exam, a verifiable certificate — and the working templates.

Free course, certificate included → Sit the exam straight away