Unijny Omnibus VII przesuwa wymogi AI Act wysokiego ryzyka na 2027

8 lipca 2026 roku Parlament Europejski i Rada Unii Europejskiej podpisały akt końcowy zmieniający rozporządzenie (UE) 2024/1689 (AI Act) oraz rozporządzenie (UE) 2018/1139 (EASA Basic Regulation) w ramach procedury 2025/0359(COD), znanej jako Digital Omnibus w sprawie AI lub Omnibus VII. Rada dała ostateczne zielone światło 29 czerwca 2026 roku, a ustawa ma teraz status zakończonej procedury, oczekując na publikację w Dzienniku Urzędowym Unii Europejskiej. Po opublikowaniu wejdzie ona w życie dwudziestego dnia po ogłoszeniu.

Zasadniczym skutkiem jest kalendarzowe zresetowanie głównych obowiązków wysokiego ryzyka wynikających z AI Act. Ogólna data rozpoczęcia stosowania dla większości obowiązków wysokiego ryzyka, pierwotnie ustalona na 2 sierpnia 2026 roku, przesuwa się na 2 grudnia 2027 roku dla samodzielnych systemów AI wysokiego ryzyka wymienionych w Annex III oraz na 2 sierpnia 2028 roku dla systemów AI wysokiego ryzyka wbudowanych w regulowane produkty objęte Annex I (maszyny, wyroby medyczne, diagnostyka in vitro, pojazdy, lotnictwo, sprzęt morski). Dla każdej osoby odpowiedzialnej za zgodność AI w UE jest to pierwsza istotna nowelizacja AI Act od jego przyjęcia w czerwcu 2024 roku, zmieniająca plan budowy i zgodności dla każdego systemu, który musiał zdążyć przed terminem wyznaczonym na sierpień 2026 roku.

Oficjalnym źródłem harmonogramu procedury, odniesień do współprawodawców i statusu aktu końcowego jest plik Obserwatorium Legislacyjnego Parlamentu Europejskiego dla 2025/0359(COD). Wniosek Komisji to COM(2025) 0836 z 19 listopada 2025 roku, stanowisko Parlamentu w pierwszym czytaniu to tekst T10-0198/2026 z 16 czerwca 2026 roku, a przyjęcie przez Radę odnotowano 29 czerwca 2026 roku. W niniejszym artykule wyjaśniamy, co uległo zmianie, kogo to dotyczy oraz jakie kroki należy podjąć w następnej kolejności.

Co w praktyce zmienia Digital Omnibus VII?

Omnibus to ukierunkowane uproszczenie, a nie całkowite przepisanie przepisów. Zmienia on dwa istniejące, wiążące rozporządzenia UE: AI Act (rozporządzenie (UE) 2024/1689) oraz EASA Basic Regulation (rozporządzenie (UE) 2018/1139). Ramy polityczne narzucone przez obu współprawodawców to "uproszczenie wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji", a głównym skutkiem prawnym jest odroczenie dat rozpoczęcia stosowania dla systemów wysokiego ryzyka w połączeniu z ograniczonymi, merytorycznymi wyjaśnieniami dotyczącymi granic reżimu wysokiego ryzyka oraz interakcji z sektorowym prawem bezpieczeństwa produktów.

Podstawa proceduralna ma znaczenie dla zespołów ds. zgodności: akt został przyjęty w ramach zwykłej procedury ustawodawczej (współdecyzja, Article 114 TFUE jako podstawa prawna rynku wewnętrznego), przy czym komisje IMCO (sprawozdawca KOKALARI, EPL) oraz LIBE (sprawozdawca MCNAMARA, Renew) były wspólnie odpowiedzialne w Parlamencie Europejskim. Trilog zakończył się w maju 2026 roku, Parlament przegłosował swoje stanowisko w pierwszym czytaniu 16 czerwca 2026 roku, Rada przyjęła je 29 czerwca 2026 roku, a akt końcowy został podpisany 8 lipca 2026 roku. Osiągnięty etap w pliku procedury to "Procedura zakończona, oczekuje na publikację w Dzienniku Urzędowym".

Kto musi zachować zgodność i do kiedy?

Każdy dostawca, podmiot wdrażający, importer, dystrybutor i upoważniony przedstawiciel systemu AI, który został wprowadzony na rynek UE lub którego wyniki są wykorzystywane w UE, jest objęty zakresem AI Act, niezależnie od miejsca siedziby dostawcy. Omnibus nie zawęża tego zakresu. Przesuwa on natomiast daty, od których rygorystyczne obowiązki dla systemów wysokiego ryzyka stają się egzekwowalne, pozostawiając reżim zakazanych praktyk, reżim przejrzystości sztucznej inteligencji ogólnego przeznaczenia (GPAI) oraz architekturę instytucjonalną (AI Office, AI Board, właściwe organy krajowe) w ich pierwotnych kalendarzach.

Konkretnie, zrewidowany harmonogram rozpoczęcia stosowania dla reżimu wysokiego ryzyka przedstawia się następująco:

Znacznik "Pod warunkiem publikacji w Dzienniku Urzędowym przed 2 sierpnia 2026" jest kluczowym elementem prawnym: odroczenia wchodzą w życie tylko wtedy, gdy omnibus zostanie opublikowany w Dzienniku Urzędowym przed pierwotną datą 2 sierpnia 2026 roku. Wraz z podpisaniem aktu końcowego 8 lipca 2026 roku warunek ten został w praktyce spełniony, jednak formalnym bodźcem jest publikacja, a nie sam podpis. Zespoły powinny śledzić datę publikacji w Dzienniku Urzędowym w rekordzie CELEX na platformie EUR-Lex dla aktu końcowego, która nastąpi w ciągu kilku dni od podpisania.

Które obowiązki z AI Act ulegają przesunięciu, a które pozostają w pierwotnym kalendarzu?

Odroczenie ma charakter selektywny. Trzy kategorie ulegają przesunięciu: obowiązki dotyczące samodzielnych systemów wysokiego ryzyka z Annex III (na 2 grudnia 2027 roku), obowiązki dotyczące systemów wysokiego ryzyka wbudowanych w produkty z Annex I (na 2 sierpnia 2028 roku) oraz dwa szczególne przepisy o przejrzystości (zakaz z Article 5 dotyczący obrazów intymnych i oznaczanie cyfrowe z Article 50(2), oba na 2 grudnia 2026 roku). Wszystko inne, w tym rdzeń zakazanych praktyk z Article 5, obowiązki w zakresie przejrzystości i dokumentacji dla GPAI, ścieżka Kodeksu Postępowania GPAI dla modeli o ryzyku systemowym oraz konfiguracja instytucjonalna AI Office i właściwych organów krajowych, pozostaje w pierwotnym kalendarzu.

Ten selektywny wzorzec ma znaczenie operacyjne. Dostawcy modeli GPAI nadal podlegają obowiązkom wynikającym z Article 53 dotyczącym dokumentacji i dostarczania informacji na kolejnych etapach łańcucha dostaw, które obowiązują od 2 sierpnia 2025 roku, a dostawcy modeli GPAI o ryzyku systemowym wciąż muszą realizować obowiązki wynikające z Article 55. Podmioty wdrażające systemy rozpoznawania emocji lub kategoryzacji biometrycznej nadal podlegają obowiązkom dotyczącym przejrzystości na mocy Article 50, które obowiązują od 2 sierpnia 2026 roku, z wyjątkiem węższego przepisu dotyczącego oznaczania cyfrowego, który przesuwa się na 2 grudnia 2026 roku. Prace nad zapewnieniem zgodności zaplanowane na 2025 i początek 2026 roku pozostają bez zmian. Omnibus daje dodatkowy czas wyłącznie na ocenę zgodności dla systemów wysokiego ryzyka, system zarządzania ryzykiem, zarządzanie danymi, sporządzanie dokumentacji technicznej i monitorowanie po wprowadzeniu do obrotu, które nakładają się na klasyfikację wysokiego ryzyka.

Co omnibus oznacza dla dostawców systemów AI wysokiego ryzyka?

Dla dostawcy systemu AI wysokiego ryzyka z Annex III (na przykład narzędzia do wstępnej selekcji kandydatów do pracy, systemu oceny zdolności kredytowej, komponentu infrastruktury krytycznej czy systemu weryfikacji uprawnień do edukacji lub podstawowych usług) praktycznym efektem jest wydłużenie okna na stworzenie rozwiązania o 16 miesięcy: z 2 sierpnia 2026 roku na 2 grudnia 2027 roku. To czas na zakończenie oceny zgodności, zbudowanie systemu zarządzania ryzykiem, skompletowanie dokumentacji technicznej, uruchomienie automatycznego rejestrowania zdarzeń i nadzoru ludzkiego oraz zawarcie umowy z jednostką notyfikowaną tam, gdzie jest to wymagane. Nie jest to czas na odkładanie pracy. Ocena zgodności w ramach AI Act to proces wymagający obszernej dokumentacji i dowodów, który zajmuje od 6 do 12 miesięcy w przypadku bardziej złożonych systemów, a nowy termin wciąż oddalony jest o 17 miesięcy.

Dla dostawców systemów AI wysokiego ryzyka wbudowanych w produkty z Annex I odroczenie następuje z 2 sierpnia 2027 roku na 2 sierpnia 2028 roku. Jest to kategoria pokrywająca się z sektorowym prawem dotyczącym bezpieczeństwa produktów: Machinery Regulation, Medical Devices Regulation (MDR), In Vitro Diagnostics Regulation (IVDR), ramami homologacji pojazdów silnikowych oraz EASA Basic Regulation. Omnibus zmienia EASA Basic Regulation właśnie w celu dostosowania przepisów dotyczących AI do nowej daty z sierpnia 2028 roku, dlatego rozporządzenie to pojawia się w oficjalnym tytule aktu prawnego. Dostawcy w tej grupie powinni na nowo zaplanować ocenę zgodności w taki sposób, aby przebiegała ona równolegle z procesem oznaczania CE dla danego sektora, a nie sekwencyjnie. Powinni oni również oczekiwać, że odpowiednie organy sektorowe (jednostki notyfikowane dla MDR/IVDR, organy ds. homologacji typu dla motoryzacji, EASA dla lotnictwa) będą współpracować z AI Office w warstwie AI Act.

Dla podmiotów wdrażających systemy AI wysokiego ryzyka (pracodawców, banków, szpitali, władz publicznych) przedłużenie terminu równomiernie opóźnia obowiązki po ich stronie: ocenę wpływu na prawa podstawowe na mocy Article 27, obowiązki nadzoru ludzkiego, rejestrację w publicznej bazie danych UE dla określonych podmiotów oraz obowiązek monitorowania po wprowadzeniu na rynek w celu zgłaszania poważnych incydentów. Podmioty wdrażające, które przygotowywały procesy z myślą o dacie wyznaczonej na sierpień 2026 roku, powinny kontynuować prace, wykorzystując dodatkowy czas na wdrożenie w skali całej instytucji, szkolenia i integrację z istniejącymi systemami zarządzania zgodnością.

Jak specjaliści ds. zgodności AI powinni na nowo zaplanować kolejne 18 miesięcy?

Cztery działania są obecnie kluczowe w czasie, a dodatkowe 16 miesięcy nie usuwa żadnego z nich. Po pierwsze, należy zaktualizować plan zgodności w oparciu o nowe daty 2 grudnia 2027 roku oraz 2 sierpnia 2028 roku, upewniając się, że spełniono warunek publikacji w Dzienniku Urzędowym przed uznaniem odroczenia za ostateczne. Po drugie, sporządzić inwentaryzację każdego systemu AI objętego zakresem i sklasyfikować go na podstawie zaktualizowanych przez omnibus list z Annex III i Annex I, ponieważ to od klasyfikacji zależy, który termin będzie miał zastosowanie. Po trzecie, rozpocząć lub kontynuować przygotowania do oceny zgodności, w tym do sporządzenia dokumentacji technicznej, ustanowienia systemu zarządzania ryzykiem, zebrania dowodów dotyczących zarządzania danymi oraz podjęcia współpracy z jednostką notyfikowaną w przypadku systemów wymagających oceny zgodności przez stronę trzecią. Po czwarte, monitorować proces tworzenia aktów wykonawczych: AI Office oraz Komisja wciąż publikują akty wykonawcze i delegowane (GPAI Code of Practice, wytyczne dotyczące podziału na poziomy wysokiego ryzyka, szczegółowe normy techniczne do Annex III), które uzupełniają szczegóły operacyjne reżimu wysokiego ryzyka i które wejdą w życie w okresie obowiązywania odroczenia.

Rejestr działalności lobbingowej dotyczącej procedury 2025/0359(COD) jest przydatnym sygnałem, wskazującym, gdzie znajdują się kolejne punkty nacisku. Rejestr służący przejrzystości Parlamentu Europejskiego dla procedury 2025/0359(COD) odnotowuje spotkania sprawozdawców i sprawozdawców-cieni z podmiotami takimi jak Mistral AI, Google, AI Chamber, noyb, European Digital Rights (EDRi), CCIA Europe, Allegro, Wolt, Inter Ikea, TIC Council, International Federation of the Phonographic Industry, brukselskimi biurami ARD i ZDF, European Tech Alliance, ALLAI, European FinTech Association oraz European Federation of Engineering Consultancy Associations. Ten szeroki zakres zaangażowania, obejmujący twórców AI, platformy internetowe, właścicieli praw, organizacje społeczeństwa obywatelskiego i zrzeszenia sektorowe, sygnalizuje duże zainteresowanie interesariuszy tym, w jaki sposób reżim wysokiego ryzyka oraz powiązane z nim akty wykonawcze będą funkcjonować w praktyce podczas okresu odroczenia. Rejestr odnotowuje, że spotkania miały miejsce. Nie zapisuje jednak zajętych stanowisk, w związku z czym niniejszy artykuł im ich nie przypisuje.

Co pozostało niezmienione, wbrew ewentualnym oczekiwaniom zespołów?

Warto zwrócić uwagę na trzy kwestie, których omnibus nie zmienił, ponieważ prasa branżowa czasami łączyła je z odroczeniem. Podstawowy reżim zakazanych praktyk z Article 5 (manipulacja podprogowa, ocena punktowa obywateli przez władze publiczne, nietargetowane pobieranie wizerunków twarzy, wnioskowanie o emocjach w miejscach pracy i szkołach, kategoryzacja biometryczna cech wrażliwych oraz zdalna identyfikacja biometryczna w czasie rzeczywistym przez władze publiczne) pozostaje w mocy i jest już egzekwowalny. Reżim przejrzystości GPAI również obowiązuje. Ponadto architektura instytucjonalna, w tym AI Office przy Komisji, European AI Board, forum doradcze oraz panel naukowy, pozostaje bez zmian. Omnibus jest ściśle ukierunkowany na odroczenie wymogów dla systemów wysokiego ryzyka oraz na modyfikację EASA Basic Regulation, nie stanowiąc ogólnego zawieszenia przepisów AI Act.

To właśnie tutaj ciągłe monitorowanie poszczególnych jurysdykcji przynosi wymierne korzyści. Sygnał, który przeszedł od "porozumienia w trilogu" do "przyjęcia przez Radę", "podpisania aktu końcowego" i w końcu do "publikacji w Dzienniku Urzędowym" w ciągu dwóch miesięcy, zmienił każdą unijną mapę drogową zgodności w zakresie AI. Obsidian śledzi ten ciąg zdarzeń od początku do końca, wykorzystując powiązania z przepisami, które łączą każdy krok proceduralny z konkretnym artykułem aktu bazowego. Sztuczna inteligencja jest zweryfikowanym asystentem prawnym, który nigdy nie zastąpi ludzkiego eksperta zatwierdzającego ocenę zgodności, ale stanowi najszybszy sposób na wykrycie zmian w momencie, gdy współprawodawca podejmuje działanie. Zobacz monitorowanie oraz stronę asystenta AI, aby sprawdzić, jak to działa w praktyce, a także cennik w celu zapoznania się ze strukturą planów.

Śledź ten temat w czasie rzeczywistym dzięki bezpłatnemu powiadomieniu o monitorowaniu

Na najbliższe 18 miesięcy lista zadań jest bardzo klarowna. Potwierdź datę publikacji w Dzienniku Urzędowym za pośrednictwem EUR-Lex w momencie jej ogłoszenia, dostosuj plany każdego projektu dotyczącego AI wysokiego ryzyka do nowych terminów: 2 grudnia 2027 roku (Annex III) lub 2 sierpnia 2028 roku (Annex I), realizuj działania z zakresu przejrzystości GPAI oraz zakazanych praktyk zgodnie z pierwotnym harmonogramem na lata 2025 i 2026, poinformuj na piśmie zespoły ds. produktu, dział prawny, inżynierów ML oraz zespoły ds. zamówień o nowych terminach, a także śledź proces wprowadzania aktów wykonawczych przez AI Office, które uzupełnią szczegóły operacyjne w okresie obowiązywania odroczenia. Obsidian będzie nadal zwracać uwagę na każdy merytoryczny krok dotyczący AI Act oraz ścieżki Digital Omnibus natychmiast, gdy tylko będzie on miał miejsce.