Unijny AI Act i amerykańskie rozporządzenie o AI: harmonogram dla kupujących

Kupujący IT, dostawcy MSP i osoby odpowiedzialne za zgodność, którzy śledzą regulacje dotyczące AI po obu stronach Atlantyku, mają do czynienia z dwoma systemami, które nie mają wspólnego kalendarza, zakresu ani podstawowej konstrukcji. Pomylenie ich może oznaczać zablokowanie projektu, który wciąż jest zgodny z prawem, albo przyjęcie deklaracji zgodności dostawcy, która się nie broni. Ten poradnik pokazuje, na jakim etapie według stanu na wrzesień 2026 są unijny AI Act i amerykańskie rozporządzenie wykonawcze dotyczące AI, co się zmieniło i co warto sprawdzić przed podpisaniem umowy.

Co już obowiązuje w UE

Obowiązki dotyczące przejrzystości z artykułu 50 AI Act — informowanie o chatbotach i oznaczanie treści generowanych przez AI — obowiązują od 2 sierpnia 2026 roku, a Urząd ds. AI Komisji Europejskiej ma już uprawnienia egzekucyjne wobec obowiązków dla modeli AI ogólnego przeznaczenia, które weszły w życie rok wcześniej. Zakazane praktyki z artykułu 5 oraz obowiązki w zakresie umiejętności korzystania z AI z artykułu 4 obowiązują jeszcze dłużej, od lutego 2025 roku. Nic z tego nie zmienił Digital Omnibus z 2026 roku.

Co zmieniło się w 2026 roku

To, co się zmieniło, to harmonogram dla systemów wysokiego ryzyka. Unijny Digital Omnibus dotyczący AI, zatwierdzony przez Parlament Europejski 16 czerwca 2026 roku i przez Radę 29 czerwca 2026 roku, przesunął zasadnicze obowiązki dla systemów wysokiego ryzyka. Samodzielne systemy z załącznika III — obejmujące m.in. zatrudnienie, edukację i biometrię — obowiązują od 2 grudnia 2027 roku zamiast od sierpnia 2026 roku, a systemy wbudowane w produkty z załącznika I przesuwają się na sierpień 2028 roku.

Podana przyczyna to brak gotowości zharmonizowanych norm technicznych, które miały dawać systemom wysokiego ryzyka domniemanie zgodności. Treść przepisów się nie zmieniła — zmieniła się tylko data, od której zaczynają obowiązywać.

Co faktycznie robi amerykańskie rozporządzenie wykonawcze

Stany Zjednoczone wybrały inną drogę. Prezydent Trump podpisał rozporządzenie wykonawcze Executive Order 14409, „Promoting Advanced Artificial Intelligence Innovation and Security”, 2 czerwca 2026 roku. Dotyczy ono agencji federalnych, a nie bezpośrednio firm prywatnych, i traktuje AI przede wszystkim jako kwestię cyberbezpieczeństwa i innowacji, a nie jako system zgodności oparty na poziomach ryzyka.

Rozporządzenie nakazuje agencjom nadanie priorytetu obronie cybernetycznej cywilnych systemów federalnych w ciągu 30 dni od podpisania, przy czym CISA ma wydać wytyczne przyspieszające te prace, i tworzy centrum wymiany informacji o cyberbezpieczeństwie AI — koordynowane przez Departament Skarbu, NSA i CISA — do dzielenia się informacjami o podatnościach i sposobach ich usuwania w systemach AI. Osobno tworzy dobrowolne ramy, w których twórcy mogą udostępniać rządowi „objęte nim modele czołowe” do oceny przed publicznym udostępnieniem.

Rozporządzenie wprost wyklucza obowiązkowe licencjonowanie: sekcja 3(c) stanowi, że nic w nim nie upoważnia do wprowadzenia obowiązkowego rządowego wymogu licencji, wcześniejszej zgody czy zezwolenia na tworzenie, publikowanie lub dystrybucję nowych modeli AI. To zobowiązanie polityczne zawarte w tym rozporządzeniu, a nie trwały zakaz prawny, ponieważ przyszłe rozporządzenie lub ustawa mogłyby taki wymóg jednak wprowadzić. Nie ma też systemu klasyfikacji podobnego do załącznika III ani odpowiednika unijnych obowiązków dla podmiotów wdrażających systemy wysokiego ryzyka.

Co to oznacza dla kupujących

Amerykańska postawa dostawcy w świetle EO 14409 nic nie mówi o jego gotowości do unijnego AI Act, i odwrotnie: oba systemy dotyczą innych zagadnień, innych podmiotów i innych harmonogramów. Dla europejskich szefów IT rozporządzenie nie ma bezpośredniej mocy prawnej, ale wskazuje na otoczenie, w którym działają amerykańscy dostawcy AI — dobrowolna, a nie obowiązkowa weryfikacja przed publikacją, przy czym obowiązki cyberbezpieczeństwa spoczywają na agencjach federalnych, a nie na komercyjnych produktach dostawców.

Warto sprawdzić, czy dostawca uczestniczy w dobrowolnych ramach dla modeli czołowych, zamiast zakładać, że to odpowiednik weryfikacji zgodnej z unijnym AI Act. Kto już zbiera dowody na potrzeby NIS2 i DORA, może zastosować tę samą dyscyplinę do terminów AI Act: Auris Comply zapewnia wsparcie w zakresie zgodności z NIS2/DORA oraz ścieżkę audytu dla tego rodzaju dokumentacji.

Co robić

Zanim deklaracja zgodności AI dostawcy zostanie uznana za wystarczającą, warto przejść przez krótką listę kontrolną:

• Zapytaj, który konkretny artykuł lub załącznik dostawca deklaruje spełniać, i sprawdź, od jakiej daty ten przepis faktycznie zaczął obowiązywać — część unijnych terminów się przesunęła, część nie.
• Traktuj przesunięcie załącznika III na grudzień 2027 jako dodatkowy czas, a nie zwolnienie: obowiązki przejrzystości z artykułu 50 obowiązują już niezależnie od tego, kiedy wejdzie w życie załącznik III.
• W przypadku dostawców z USA zapytaj, czy udostępniali modele w ramach dobrowolnych ram EO 14409, zamiast zakładać, że doszło do formalnej weryfikacji rządowej.
• Nie traktuj braku obowiązkowego licencjonowania w amerykańskim rozporządzeniu jako dowodu gotowości do unijnego AI Act: oba dokumenty regulują zupełnie inne kwestie.
• Prowadź osobno harmonogramy unijny i amerykański w umowach i dokumentacji audytowej, ponieważ przesunięcie po jednej stronie nie zmienia terminów po drugiej.

Źródła: artificialintelligenceact.eu, Biały Dom, Congressional Research Service.