EU AI Act Omnibus 2026: Nowe terminy zgodności wyjaśnione

Digital Omnibus 2026 dotyczący AI przedłużył dwa krytyczne terminy EU AI Act: samodzielne systemy z Annex III do 2 grudnia 2027 r. i wbudowane systemy z Annex I do 2 sierpnia 2028 r. Oto co się zmieniło, dlaczego i co Twój program zgodności musi teraz robić.

Co zmienia Digital Omnibus 2026 dotyczący AI

Digital Omnibus dotyczący AI zmienił dwie centralne daty stosowania w Rozporządzeniu UE 2024/1689 (EU AI Act):

Żadne inne główne terminy nie zostały zmienione. Zakazane praktyki (2 lutego 2025 r.), przepisy dotyczące GPAI (2 sierpnia 2025 r.) i obowiązki przejrzystości dla oznaczania treści GPAI (2 sierpnia 2025 r.) pozostają w mocy w swoich pierwotnych datach.

Dlaczego omnibus odroczył terminy AI wysokiego ryzyka

Komisja Europejska wskazała trzy przesłanki:

1. Dostosowanie do aktów wykonawczych — normy techniczne i zharmonizowane normy dla oceny AI wysokiego ryzyka (program prac CEN/CENELEC) nie zostały sfinalizowane na czas przed sierpniem 2026 r. Oceny zgodności wymagają tych norm.
2. Luka w infrastrukturze zgodności — jednostki notyfikowane, krajowe właściwe organy i Biuro AI UE potrzebowały dodatkowego czasu na przygotowanie. Bez operacyjnej infrastruktury egzekwowania termin sierpniowy 2026 byłby nieegzekwowalny w praktyce.
3. Gotowość MŚP — mniejsi dostawcy, szczególnie w medtech, HR tech i usługach finansowych, zgłaszali niewystarczający czas na zakończenie implementacji QMS i dokumentacji technicznej przy równoległych obowiązkach DORA i NIS2.

Przedłużenie to okres karencji, a nie zmniejszenie zakresu. Wszystkie obowiązki pozostają; zmienia się tylko ich harmonogram.

Annex III — samodzielny AI wysokiego ryzyka (termin: 2 grudnia 2027 r.)

Samodzielny Annex III obejmuje systemy AI, które są same w sobie wprowadzane do obrotu lub oddawane do użytku jako systemy wysokiego ryzyka, nie będąc składnikiem bezpieczeństwa innego produktu. Przykłady:

• AI rekrutacyjny i przesiewowy HR (ranking CV, analiza rozmów)
• AI do scoringu kredytowego i oceny zdolności kredytowej
• Kategoryzacja biometryczna (nie identyfikacja w czasie rzeczywistym, która jest zakazana)
• AI stosowany w zarządzaniu infrastrukturą krytyczną
• AI w ocenie edukacyjnej i szkolenia zawodowego
• AI stosowany przez organy ścigania i organy ds. migracji

Obowiązki dostawcy do 2 grudnia 2027 r.:

1. Zakończenie oceny zgodności na podstawie Art. 43
2. Wdrożenie systemu zarządzania jakością (Art. 17)
3. Zebranie dokumentacji technicznej (Art. 11 + Annex IV)
4. Rejestracja systemu w unijnej bazie danych AI (Art. 71)
5. Afiszowanie oznakowania CE (Art. 48)
6. Mianowanie przedstawiciela UE, jeśli podmiot ma siedzibę poza UE

Obowiązki podmiotów wdrażających (również do 2 grudnia 2027 r.):

1. Przeprowadzenie oceny wpływu na prawa podstawowe (FRIA) dla podmiotów wdrażających będących organami publicznymi
2. Wdrożenie środków nadzoru człowieka (Art. 26)
3. Dokumentowanie wejść i wyjść (Art. 26 ust. 6)
4. Informowanie pracowników, gdy decyzje wspomagane przez AI ich dotyczą

Annex I — wbudowany AI wysokiego ryzyka (termin: 2 sierpnia 2028 r.)

Wbudowany Annex I obejmuje AI stanowiący składnik bezpieczeństwa produktu już regulowanego na podstawie istniejącego unijnego prawodawstwa dotyczącego bezpieczeństwa produktów. Zgodność z EU AI Act jest zintegrowana z istniejącą procedurą oceny zgodności dla tego produktu. Przykłady:

• Składniki AI w wyrobach medycznych (MDR/IVDR)
• AI w systemach motoryzacyjnych (ramy homologacji)
• AI w maszynach (Rozporządzenie w sprawie maszyn)
• AI w komponentach lotniczych
• AI w zabawkach i produktach konsumenckich (niskie napięcie/EMC)

Dodatkowe przedłużenie o dwa lata (w porównaniu z 16 miesiącami dla Annex III) odzwierciedla warstwową złożoność oceny zgodności w ramach dwóch reżimów regulacyjnych jednocześnie.

Co się zmieniło to termin — nie obowiązki

Powszechne błędne odczytanie omnibus: przedłużenie terminu oznacza złagodzenie obowiązków. Nie są złagodzone.

Wymagania dotyczące oceny zgodności, QMS, dokumentacji technicznej, oznakowania CE i rejestracji są identyczne z tym, czego wymagano do sierpnia 2026 r. Omnibus nie zmniejsza zakresu, nie tworzy wyłączeń ani nie dodaje przejściowych derogacji. Przesuwa linię mety.

Praktyczna implikacja: Organizacje, które wykorzystują przedłużenie jako pretekst do wstrzymania programów zgodności, staną przed trudniejszym pośpiechem pod koniec 2027 r. Bardziej produktywne wykorzystanie dodatkowego czasu to zakończenie implementacji QMS, testowanie stresowe dokumentacji technicznej w stosunku do wersji roboczych zharmonizowanych norm i wczesne angażowanie jednostek notyfikowanych — ich przepustowość będzie ograniczona w miarę zbliżania się terminu grudniowego 2027 r.

Zakazane praktyki, które już obowiązują

Zakazy te na podstawie Art. 5 obowiązują od 2 lutego 2025 r. i nie zostały naruszone przez omnibus:

• Manipulacja podprogowa — techniki AI, które wykorzystują podświadome podatności w celu zmiany zachowania wbrew interesom użytkowników
• Wykorzystywanie podatności — celowanie w dzieci, osoby starsze lub grupy defaworyzowane
• Scoring społeczny — scoring ogólnego przeznaczenia osób fizycznych oparty na AI przez organy publiczne
• Zdalna identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznie dostępnych przez organy ścigania (z wąskimi wyjątkami)
• Rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych
• Systemy kategoryzacji biometrycznej wnioskujące cechy wrażliwe (rasa, poglądy polityczne, przynależność do związków zawodowych, orientacja seksualna, religia) — chyba że do uzasadnionych celów egzekwowania prawa z zezwoleniem sądowym
• NCII/CSAM — generowanie lub manipulowanie obrazami intymnymi bez zgody lub materiałami o charakterze seksualnym przedstawiającymi małoletnich przy użyciu AI jest zakazane

Niezgodność z zakazami Art. 5 od 2 lutego 2025 r. niesie kary do 35 mln EUR lub 7% globalnych rocznych obrotów, w zależności od tego, która kwota jest wyższa.

Przepisy dotyczące modeli GPAI: już obowiązują

Obowiązki GPAI z rozdziału 5 mają zastosowanie od 2 sierpnia 2025 r.:

• Wszyscy dostawcy GPAI muszą spełniać obowiązki przejrzystości (Art. 53)
• Dostawcy modeli GPAI z ryzykiem systemowym (powyżej 10²⁵ FLOPs mocy obliczeniowej trenowania) podlegają dodatkowym obowiązkom, w tym testom odpornościowym i zgłaszaniu incydentów
• Oznaczanie treści generowanych przez AI (watermarking) dla mediów syntetycznych ma zastosowanie do generatywnych systemów GPAI

Konwergencja z DORA i NIS2

Organizacje z sektora usług finansowych muszą spełniać potrójny ciężar obowiązków wynikających z EU AI Act, DORA i NIS2 przy nakładających się harmonogramach. Kluczowe punkty przecięcia:

• Zarządzanie ryzykiem ICT na podstawie DORA (Art. 5–16) musi obejmować systemy ICT oparte na AI — DORA nie zwalnia narzędzi AI z ram zarządzania ryzykiem ICT
• Zgłaszanie incydentów na podstawie DORA (Art. 19–23) ma zastosowanie do incydentów spowodowanych przez systemy AI lub z ich udziałem
• Środki bezpieczeństwa NIS2 (Art. 21) obejmują cyberryzyka związane z AI w zakresie stosowania
• Zarządzanie ryzykiem Art. 9 EU AI Act dla AI wysokiego ryzyka znacznie pokrywa się z zarządzaniem ryzykiem ICT DORA — podwójne mapowanie jest możliwe i zalecane w celu uniknięcia powielającej się dokumentacji

Zapoznaj się z naszą pełną analizą konwergencji → lub naszą siostrzaną stroną regulation-dora.eu dla treści specyficznych dla DORA.