AI Act po Digital Omnibus – najważniejsze zmiany i nowe terminy

2 sierpnia 2026 stanowi istotną datę na osi czasu AI Act – z tym dniem rozpoczęło się stosowanie istotnej części przepisów rozporządzenia. Za sprawą Digital Omnibus ich zakres jest jednak węższy niż pierwotnie planowano, przede wszystkim ze względu na przesunięcie terminów dotyczących systemów AI wysokiego ryzyka. Na tym jednak zmiany się nie kończą. Digital Omnibus porządkuje również zasady dotyczące systemów wykorzystywanych w produktach regulowanych, dodaje nowe praktyki zakazane, modyfikuje niektóre obowiązki oraz wzmacnia kompetencje Urzędu ds. AI. W artykule podsumujemy najistotniejsze zmiany, na jakie przedsiębiorcy powinni zwrócić uwagę oraz ich praktyczne znaczenie.

Czym jest Digital Omnibus?

Na początek warto wskazać kontekst unijnej koncepcji „omnibus”. Jest to przyjęta w prawie unijnym technika legislacyjna, polegająca na zmianie kilku powiązanych regulacji jednym aktem prawnym. W przypadku tzw. Omnibus VII pakiet obejmuje dwa odrębne projekty. Pierwszy dotyczy unijnego prawa cyfrowego, w tym regulacji dotyczących danych, e-prywatności i cyberbezpieczeństwa (aktualnie przez cały czas jest procedowany). Drugi – Digital Omnibus dotyczący AI[1] – koncentruje się na zmianach w rozporządzeniu AI Act. Prace nad drugim z projektów przebiegły stosunkowo szybko, ponieważ zmiany miały zostać przyjęte przed 2 sierpnia 2026 r., czyli pierwotną datą rozpoczęcia stosowania wielu przepisów AI Act.

Jednym z głównych impulsów do wprowadzenia zmian były problemy ujawnione podczas przygotowań do stosowania kolejnych przepisów aktu. Wiązały się one przede wszystkim z opóźnieniami w opracowaniu norm zharmonizowanych, wyznaczaniu adekwatnych organów krajowych oraz tworzeniu infrastruktury potrzebnej do przeprowadzania ocen zgodności. Przesunęło się również przygotowanie wytycznych i innych narzędzi wspierających stosowanie AI Act. Według Komisji Europejskiej te przestoje groziły zwiększeniem kosztów zapewniania zgodności, zwłaszcza w odniesieniu do systemów AI wysokiego ryzyka.

Finalnie Digital Omnibus dotyczący AI został opublikowany w Dzienniku Urzędowym UE 24 lipca 2026 r. i wszedł w życie 27 lipca 2026 r. Jednym z jego najważniejszych skutków jest zmiana harmonogramu stosowania AI Act.

Zmiany terminów AI Act po Digital Omnibus

AI Act wprowadza obowiązki stopniowo, tj. w kilku etapach rozłożonych w czasie. Digital Omnibus zmienił część tego harmonogramu, przesuwając przede wszystkim terminy dla systemów AI wysokiego ryzyka. Nowe daty graniczne przedstawia poniższa tabela:

W praktyce dodatkowy czas warto wykorzystać na dalsze przygotowanie organizacji do stosowania obowiązków dotyczących systemów AI wysokiego ryzyka, w szczególności identyfikację systemów, ustalenie ról poszczególnych podmiotów i wstępną klasyfikację ryzyka. Pozwoli to określić, które rozwiązania rzeczywiście skorzystają z przesuniętych terminów.

Co ważne, przesunięcie terminów wydłuża również okres przejściowy przewidziany w art. 111 AI Act dla systemów AI wprowadzonych do obrotu lub oddanych do użytku przed nowymi datami granicznymi. Co do zasady nie będą one od razu podlegały pełnym wymogom dla systemów wysokiego ryzyka. Obowiązek dostosowania pojawi się dopiero wtedy, gdy po nowych datach system AI zostanie istotnie zmieniony.

Nowe zakazy wprowadzone przez Digital Omnibus

W świetle zmian technologicznych i społecznych, jakie zaszły od czasu przyjęcia AI Act, podjęto także decyzję o rozszerzeniu katalogu zakazanych praktyk. Digital Omnibus dodaje do art. 5 AI Act dwa nowe zakazy, dotyczące przede wszystkim wykorzystywania generatywnej AI do tworzenia treści o charakterze seksualnym.

Pierwszy zakaz obejmuje wprowadzanie do obrotu, oddawanie do użytku lub wykorzystywanie systemu AI, który generuje lub manipuluje realistycznymi obrazami, materiałami wideo lub innymi podobnymi treściami o charakterze seksualnym dotyczącymi możliwej do zidentyfikowania osoby. Zakaz dotyczy przypadków, w których materiały te przedstawiają intymne części ciała tej osoby albo tę osobę podczas czynności o charakterze jednoznacznie seksualnym i zostały stworzone bez jej dobrowolnej, konkretnej, świadomej, jednoznacznej i wyraźnej zgody.

Na mocy nowego art. 5 ust. 1b AI Act, manipulacji nie stanowi takie działanie systemu AI, które nie zwiększa ekspozycji przedstawionych intymnych części ciała ani nie zmienia charakteru przedstawionych czynności seksualnych. Czyli przykładowo poprawienie istniejącego obrazu przedstawiającego części intymne czy dodanie nagłówka tekstowego nie będzie stanowiło zakazanej praktyki.

Drugi zakaz dotyczy systemów generujących lub modyfikujących materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych (CSAM)[2]. Przewidziano przy tym jedynie wąskie wyjątki, m.in. dla działań podejmowanych zgodnie z prawem w celu prowadzenia postępowania karnego przez adekwatne organy lub zapobiegania przestępstwom.

Co ważne, zakaz po stronie dostawcy systemu AI nie obejmuje automatycznie każdego modelu lub systemu, który technicznie umożliwia generowanie takich treści. Znajdzie on zastosowanie tylko wtedy, gdy tworzenie takich materiałów jest przeznaczeniem systemu albo stanowi racjonalnie przewidywalny i odtwarzalny wynik jego działania niewymagający znaczących modyfikacji technicznych. Przy ocenie bierze się pod uwagę m.in. projekt systemu, sposób jego trenowania, architekturę, zdolności oraz funkcje skierowane do użytkownika. Dodatkowo znaczenie ma to, czy dostawca wdrożył odpowiednie środki bezpieczeństwa pozwalające zapobiegać generowaniu lub manipulowaniu takimi materiałami. Motywy Digital Omnibus wskazują jako takie środki m.in. czyszczenie danych, uczenie odmowy udzielania odpowiedzi, bezpieczne projektowanie promptów, mechanizmy klasyfikowania i filtrowania treści czy mechanizmy wykrywania nadużyć.

W przypadku podmiotu stosującego system AI, zakazane będzie natomiast świadome i zamierzone wykorzystywanie go w celu wygenerowania lub manipulowania takimi materiałami. Przypadkowe wygenerowanie tego typu treści nie powinno więc oznaczać naruszenia przepisu.

Nowe zakazy mają być stosowane od 2 grudnia 2026 r. Ich naruszenie może skutkować karą do 35 mln euro albo, w przypadku przedsiębiorstwa, do 7% całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego, zależnie od tego, która z tych kwot jest wyższa.

Systemy AI jako produkty lub elementy produktów objętych unijnym prawodawstwem harmonizacyjnym

Kolejny istotny obszar zmian dotyczy systemów AI wykorzystywanych w produktach objętych unijnym prawodawstwem harmonizacyjnym. Digital Omnibus zmierza tu przede wszystkim do ograniczenia nakładania się wymagań AI Act i regulacji sektorowych.

Aby lepiej osadzić te zmiany w kontekście, warto przypomnieć, iż zgodnie z art. 6 ust. 1 AI Act system AI związany z produktem objętym przepisami wskazanymi w załączniku I może być uznany za system wysokiego ryzyka, o ile – w uproszczeniu – (1) pełni w nim funkcję związaną z bezpieczeństwem albo sam jest takim produktem, oraz (2) produkt ten podlega ocenie zgodności przez stronę trzecią. Digital Omnibus doprecyzowuje oba te warunki, a jednocześnie wprowadza rozwiązania, które mają ograniczyć dublowanie obowiązków wynikających z AI Act i przepisów sektorowych.

Znaczenie ma przy tym nie tylko to, czy dany produkt jest objęty załącznikiem I, ale również to, do której części tego załącznika należy adekwatna dla niego regulacja. Akty prawne wymienione w załączniku I do AI Act zostały podzielone na dwie grupy – sekcję A i sekcję B. Sekcja A obejmuje m.in. regulacje dotyczące zabawek, urządzeń radiowych czy wyrobów medycznych, natomiast sekcja B – m.in. regulacje dotyczące pojazdów, kolei i lotnictwa. W przypadku produktów objętych regulacjami z sekcji A co do zasady równolegle stosuje się wymogi AI Act oraz adekwatne regulacje sektorowe. Natomiast w przypadku sekcji B większa część wymagań dotyczących AI jest włączana do odpowiednich regulacji sektorowych, a sam AI Act znajduje zastosowanie jedynie w ograniczonym zakresie wskazanym w art. 2 ust. 2 AI Act.

Doprecyzowanie funkcji bezpieczeństwa w Digital Omnibus

Digital Omnibus doprecyzowuje też, jak należy rozumieć „funkcję bezpieczeństwa”. Ma to najważniejsze znaczenie przy ocenie, czy system AI stanowi związany z bezpieczeństwem element produktu, a w konsekwencji – czy może zostać zakwalifikowany jako system wysokiego ryzyka.

W definicji „elementu bezpieczeństwa” dodano, iż taki element pełni funkcję bezpieczeństwa tylko „jeżeli jego przeznaczeniem jest zapobieganie zagrożeniom dla zdrowia i bezpieczeństwa osób lub mienia lub ograniczanie tych zagrożeń”[3].

Ponadto, AI Act wskazuje teraz wprost, iż systemów wykorzystywanych wyłącznie do funkcji pomocniczych lub operacyjnych, które nie są związane z bezpieczeństwem, nie należy kwalifikować jako elementów bezpieczeństwa. Dotyczy to np. systemów służących do pomocy użytkownikom, optymalizacji działania, poprawy efektywności usług czy kontroli jakości. Jednocześnie, jeżeli awaria lub nieprawidłowe działanie systemu zagrażałoby zdrowiu i bezpieczeństwu, system AI będzie uznawany za element bezpieczeństwa.

Doprecyzowanie to powinno ułatwić ocenę, czy samo wykorzystanie AI w produkcie regulowanym rzeczywiście prowadzi do kwalifikacji systemu jako wysokiego ryzyka. Sama integracja AI z takim produktem nie będzie wystarczająca.

Digital Omnibus doprecyzowuje również drugi warunek kwalifikacji systemu AI jako systemu wysokiego ryzyka na podstawie art. 6 ust. 1 AI Act, dotyczący oceny zgodności produktu przez stronę trzecią. Po zmianach wprowadzonych przez Digital Omnibus znaczenie ma również to, z jakiego rodzaju ryzykiem wiąże się obowiązek przeprowadzenia takiej oceny. o ile wynika on wyłącznie z ryzyk niezwiązanych ze zdrowiem lub bezpieczeństwem, warunek ten nie będzie uznany za spełniony.

Ograniczanie nakładania się wymogów

Digital Omnibus przewiduje również możliwość ograniczenia stosowania określonych wymagań z art. 9–15 oraz 17–25 AI Act w odniesieniu do systemów wysokiego ryzyka objętych prawodawstwem harmonizacyjnym z sekcji A załącznika I AI Act. Będzie to możliwe wtedy, gdy adekwatne przepisy sektorowe zapewniają równoważny albo wyższy poziom ochrony zdrowia, bezpieczeństwa lub praw podstawowych.

Celem tej zmiany jest ograniczenie sytuacji, w których przedsiębiorca musiałby realizować zbliżone obowiązki równolegle na podstawie AI Act i regulacji sektorowych. Nie będzie to jednak automatyczne zwolnienie – konkretne uproszczenia będą zależały od aktów delegowanych Komisji Europejskiej. KE ma przyjąć odpowiednie akty w tym zakresie do 2 sierpnia 2027 r.

Szczególne rozwiązanie dla AI w maszynach

Na podstawie Digital Omnibus, rozporządzenie w sprawie maszyn[4] przeniesione zostało z sekcji A do sekcji B załącznika I do AI Act. W praktyce oznacza to więc zmianę modelu regulacyjnego w odniesieniu do systemów AI związanych z maszynami objętymi tym rozporządzeniem. Tylko wybrane przepisy AI Act będą do nich stosowane bezpośrednio, natomiast zasadnicze wymogi dotyczące systemów wysokiego ryzyka mają zostać wprowadzone do rozporządzenia maszynowego.

Ponadto, na Komisję Europejską nałożony został obowiązek przyjmowania aktów delegowanych zmieniających Załącznik III do rozporządzenia maszynowego. Ich celem będzie włączenie do tego reżimu odpowiednich wymagań AI Act i zapewnienie poziomu ochrony odpowiadającego standardom wynikającym z tego rozporządzenia.

Wprowadzana zmiana nie oznacza więc wyłączenia stosowanych w maszynach systemów AI spod wymagań dotyczących AI. Chodzi raczej o przeniesienie zasadniczego ciężaru zgodności do sektorowego systemu oceny produktu, co ma ograniczyć nakładanie się przepisów czy dublowanie dokumentacji i procedur.

Zmiany dotyczące obowiązku zapewniania kompetencji w zakresie AI

Digital Omnibus wprowadza również zmiany w już obowiązującym (od 2 lutego 2025 r.) art. 4 AI Act dotyczącym tzw. AI Literacy. Dotychczas przepis ten wymagał, aby: „Dostawcy i podmioty stosujące systemy AI podejmowali środki w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu (…)”.

Digital Omnibus łagodzi to postanowienie i przesuwa jego środek ciężkości. Dostawcy i podmioty stosujące systemy AI mają teraz podejmować środki wspierające rozwój kompetencji w zakresie AI, a nie zapewniać osiągnięcie określonego poziomu kompetencji przez poszczególne osoby w ramach organizacji.

Co więcej, Digital Omnibus doprecyzowuje, iż Komisja Europejska i państwa członkowskie mają wspierać i ułatwiać realizację obowiązku z art. 4 AI Act. Komisja ma publikować praktyczne przykłady zgodności, a Rada ds. AI – przyjmować zalecenia i określać wspólne cele w tym zakresie.

Rozszerzone kompetencje Urzędu ds. AI

Digital Omnibus wzmacnia również rolę Urzędu ds. AI, przyznając mu wyłączne kompetencje w zakresie nadzoru i egzekwowania obowiązków w odniesieniu do wybranych kategorii systemów AI, tj.:

1. systemów AI opartych na modelach AI ogólnego przeznaczenia (GPAI), o ile model i system zostały opracowane przez tego samego dostawcę lub przez dostawców wchodzących w skład tego samego przedsiębiorstwa co ten dostawca. Przewidziano tu jednak wyjątki, m.in. dla systemów związanych z produktami objętymi przepisami harmonizacyjnymi z załącznika I czy systemów AI z pkt 2 załącznika III do AI Act, tj. dotyczących infrastruktury krytycznej.
2. systemów AI, które stanowią lub są zintegrowane z bardzo dużą platformą internetową (VLOP) lub bardzo dużą wyszukiwarkę internetową (VLOSE) w rozumieniu rozporządzenia (UE) 2022/2065, tj. aktu o usługach cyfrowych.

W zakresie nowych kompetencji Urzędu wobec wskazanych systemów znajdują się m.in. możliwość wnioskowania o udzielenie informacji, przeprowadzania kontroli, nakazania zapewnienia dostępu do systemu AI czy przedstawienia wyjaśnień dotyczących jego działania. Urząd ds. AI może również wydawać decyzje stwierdzające naruszenie przepisów AI Act, nakazywać działania naprawcze oraz nakładać administracyjne kary pieniężne.

Udogodnienia dla podmiotów SMC w AI Act

Digital Omnibus rozszerza też część uproszczeń przewidzianych dotychczas dla MŚP na kategorię „small mid-cap enterprises (SMC)”, określaną jako małe spółki o średniej kapitalizacji. SMC to podmiot, który nie jest MŚP, zatrudnia mniej niż 750 osób i osiąga roczny obrót nieprzekraczający 150 mln euro albo sumę bilansową nieprzekraczającą 129 mln euro.

Po zmianach AI Act przewiduje dla SMC m.in. możliwość korzystania z uproszczonego wzoru dokumentacji technicznej dla systemów AI wysokiego ryzyka, proporcjonalnego wdrażania elementów systemu zarządzania jakością oraz uwzględnienie ich interesów i sytuacji ekonomicznej przy nakładaniu kar. W przypadku niektórych kar zastosowanie znajdzie też niższa z dwóch wartości – kwota nominalna albo procent obrotu.

Przetwarzanie szczególnych kategorii danych osobowych

AI Act przewiduje możliwość przetwarzania szczególnych kategorii danych osobowych na potrzeby wykrywania i korygowania stronniczości systemów AI, jeżeli takie przetwarzanie jest bezwzględnie konieczne do tego celu. Chodzi tu o tzw. dane wrażliwe, np. dane dotyczące zdrowia, pochodzenia rasowego lub etnicznego czy poglądów politycznych. Dotychczas możliwość ta dotyczyła wyłącznie dostawców systemów AI wysokiego ryzyka. Digital Omnibus rozszerza ją również na podmioty stosujące systemy AI wysokiego ryzyka oraz dostawców i podmioty stosujące inne systemy AI lub modele AI.

Takie przetwarzanie będzie jednak dopuszczalne tylko w zakresie bezwzględnie koniecznym do wykrywania i korygowania stronniczości, która może wpływać na zdrowie lub bezpieczeństwo osób, negatywnie wpływać na prawa podstawowe albo prowadzić do dyskryminacji zakazanej na mocy prawa UE. Co istotne, przepis wyraźnie wskazuje, iż nie ma obowiązku prowadzenia takich działań.

Rozporządzenie utrzymuje przy tym restrykcyjne zabezpieczenia. Przed sięgnięciem po szczególne kategorie danych trzeba m.in. wykazać, iż ww. celu nie można skutecznie osiągnąć z wykorzystaniem innych danych, w tym danych syntetycznych lub zanonimizowanych. Należy również spełnić pozostałe warunki wskazane w tym przepisie.

Na co jeszcze zwrócić uwagę w związku z wejściem w życie Digital Omnibus?

Digital Omnibus wzmacnia również obowiązki współpracy w sytuacji, gdy podmiot, który nie był pierwotnym dostawcą systemu AI, zaczyna być traktowany jak dostawca na gruncie art. 25 AI Act. Może się tak stać np. wtedy, gdy istotnie zmodyfikuje system albo wprowadzi go do obrotu pod własną nazwą. Taki podmiot przejmuje wówczas obowiązki dostawcy wynikające z AI Act, choć nie ma dostępu do wszystkich informacji potrzebnych do ich spełnienia.

W takim przypadku pierwotny dostawca powinien przekazać mu dokumentację techniczną do oceny zgodności z wymogami określonymi w art. 16 AI Act, poinformować o znanych ograniczeniach i trybach awarii oraz zapewnić ukierunkowany dostęp techniczny i wsparcie potrzebne do spełnienia obowiązków wynikających z AI Act.

Uproszczono również wymogi związane z rejestracją systemów AI w unijnej bazie danych. Zmiana dotyczy systemów wymienionych w załączniku III do AI Act, które co do zasady należałyby do kategorii wysokiego ryzyka, ale dostawca uznał, iż nie stwarzają znaczącego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych. W ich przypadku ograniczono zakres informacji, które trzeba przekazywać do bazy.

Digital Omnibus wprowadza również nowe odesłania mające na celu uspójnienie technologicznego krajobrazu regulacyjnego. Na mocy nowych przepisów, jeżeli system wysokiego ryzyka AI wchodzi w zakres stosowania Cyber Resilience Act (CRA) i spełnia wymagania z art. 12 ust. 1 CRA, będzie uznawany za zgodny z wymogami w zakresie cyberbezpieczeństwa określonymi w art. 15 AI Act.

Praktyczne uproszczenie wprowadzono także w relacji między FRIA a DPIA. o ile odpowiednie elementy oceny skutków dla praw podstawowych zostały już przeanalizowane w ramach DPIA, podmiot stosujący może w FRIA odwołać się do odpowiednich części DPIA lub wykorzystać ich treść. Nie znosi to obowiązku przeprowadzenia FRIA, ale pozwala uniknąć powtarzania tej samej analizy.

Digital Omnibus przesunął również na 2 sierpnia 2027 roku termin, do którego państwa członkowskie powinny zapewnić funkcjonowanie co najmniej jednej piaskownicy regulacyjnej w zakresie AI. Urząd ds. AI może ponadto utworzyć piaskownicę regulacyjną na poziomie UE dla systemów objętych jego kompetencją nadzorczą, z priorytetowym dostępem dla MŚP, w tym startupów oraz SMC.

Digital Omnibus rozszerza także możliwości testowania systemów AI wysokiego ryzyka w warunkach rzeczywistych poza piaskownicami regulacyjnymi. Dotychczas rozwiązanie to obejmowało systemy wymienione w załączniku III do AI Act. Po zmianach będzie można w ten sposób testować również systemy wysokiego ryzyka związane z produktami objętymi prawodawstwem harmonizacyjnym, wskazanym w sekcji A załącznika I AI Act. W odniesieniu do systemów objętych sekcją B załącznika I, państwa członkowskie będą mogły dopuścić takie testy po ustanowieniu odpowiednich ram ich prowadzenia w warunkach rzeczywistych.

Podsumowanie

Choć ustawodawca unijny dał organizacjom trochę więcej czasu w zapewnienie zgodności w obszarze systemów wysokiego ryzyka, nie można zapomnieć, iż w dniu publikacji tego artykułu znaczna część przepisów AI Act jest już stosowana. Dotyczy to między innymi dotychczasowych zakazanych praktyk oraz obowiązków w zakresie przejrzystości z art. 50 AI Act.

Prac nad wdrożeniem AI Act nie należy więc wstrzymywać, a jeżeli jeszcze się nie rozpoczęły, warto je podjąć teraz. Digital Omnibus nie zmienia kierunku regulacji, a raczej porządkuje sposób zapewniania z nią pełnej zgodności – część obowiązków odracza, część upraszcza, a część integruje z innymi reżimami regulacyjnymi.

Dla przedsiębiorców oznacza to konieczność ponownego spojrzenia na przyjęte plany wdrożenia AI Act, a nie tylko przesunięcia w nich dat. Częściowo zmieniły się bowiem założenia dotyczące klasyfikacji systemów, zakresu obowiązków oraz relacji AI Act z regulacjami sektorowymi. Nowy harmonogram dla systemów wysokiego ryzyka warto z kolei potraktować jako okazję do bardziej przemyślanego, a przez to bardziej efektywnego dostosowania organizacji do wymagań AI Act.

Jeżeli chcieliby Państwo sprawdzić, jak AI Act wpływa na Państwa działalność i zaplanować dalsze kroki po Digital Omnibus, zapraszamy do kontaktu. Wspieramy organizacje w przełożeniu wymagań na praktyczne rozwiązania: od inwentaryzacji i klasyfikacji systemów AI, przez ustalenie ról i obowiązków, po przygotowanie dokumentacji i planu wdrożenia.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji.

[2] W rozumieniu art. 2 pkt c) i e) dyrektywy 2011/93/UE.

[3] Art. 3 pkt 14 AI Act.

[4] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1230 z dnia 14 czerwca 2023 r. w sprawie maszyn.