AI Act, RODO i e-Doręczenia: przegląd najważniejszych zmian w prawie (październik 2026)

Stan prawny na dzień 12 października 2026.

Od 2 sierpnia 2026 r. AI Act dysponuje już pełnym mechanizmem egzekwowania, a 2 grudnia zaczną obowiązywać nowe zakazy dotyczące generowania intymnych wizerunków bez zgody oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Odroczenie przepisów o systemach wysokiego ryzyka nie zwalnia firm z tego, co już obowiązuje, a największym problemem pozostaje dziś AI używana w organizacji bez wiedzy zarządu. W tym samym tygodniu UODO wyjaśnił, kiedy naruszeń ochrony danych nie trzeba zgłaszać, TSUE orzekł o urlopie przy dwóch umowach z jednym pracodawcą, a przedsiębiorcy z CEIDG muszą już posiadać adres do e-Doręczeń.

Co obowiązuje w AI Act od 2 sierpnia 2026 r.?

Rozporządzenie 2024/1689, czyli AI Act, wchodzi w życie etapami. Zakazane praktyki z art. 5 obowiązują już od 2 lutego 2025 r., ale dopiero od 2 sierpnia 2026 r. Komisja Europejska i organy krajowe zyskały pełne narzędzia do ich egzekwowania. Komisja, działając przez Urząd ds. AI (AI Office), nadzoruje dostawców modeli AI ogólnego przeznaczenia: może żądać informacji, prowadzić oceny bezpieczeństwa, nakazywać działania naprawcze, a nawet wycofać model z rynku. Kary nakładane na tych dostawców sięgają 3% rocznego światowego obrotu. Obowiązek dotyczy przede wszystkim firm, które budują lub oferują własny model AI, a nie zwykłego użytkownika korzystającego z gotowego narzędzia, takiego jak ChatGPT. Pozostałe obowiązki, w tym wymogi przejrzystości z art. 50 dotyczące chatbotów, treści syntetycznych i deepfake'ów, egzekwują krajowe organy nadzoru rynku.

Harmonogram zmieniło rozporządzenie 2026/1744, zwane Digital Omnibus on AI. Zostało opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 r. i weszło w życie 27 lipca. Przesunęło ono terminy wdrożenia wymogów dla systemów wysokiego ryzyka, rozszerzając jednocześnie katalog zakazów w art. 5.

AI Act po zmianach z rozporządzenia 2026/1744

Nowy zakaz od 2 grudnia obejmuje wprowadzanie do obrotu, oddawanie do użytku i wykorzystywanie systemów AI generujących lub modyfikujących realistyczne wizerunki intymne rozpoznawalnej osoby bez jej wyraźnej, świadomej zgody. Dotyczy to nie tylko aplikacji stworzonych wprost do „rozbierania” zdjęć. Zakaz obejmie każdego dostawcę, którego system może w dający się przewidzieć sposób wygenerować takie treści, chyba że wdrożył on skuteczne zabezpieczenia techniczne, które niezawodnie blokują taki rezultat. Dla firm budujących własne narzędzia graficzne w oparciu o cudze modele oznacza to konieczność zadania dostawcy konkretnego pytania: jakimi filtrami dysponuje model i w jaki sposób zostało to udokumentowane.

Kiedy firma używająca cudzego narzędzia AI staje się jego dostawcą?

Firma, która jedynie korzysta z gotowego systemu, ma w świetle AI Act status „podmiotu stosującego” i podlega węższym obowiązkom niż dostawca. Granica ta bywa jednak cieńsza, niż zakłada wiele działów zakupów. Zgodnie z art. 25 ust. 1 AI Act podmiot stosujący przejmuje pełne obowiązki dostawcy systemu wysokiego ryzyka, jeżeli umieszcza na nim swoją nazwę lub znak towarowy, wprowadza w nim istotną zmianę albo modyfikuje przeznaczenie systemu w taki sposób, że zaczyna on kwalifikować się jako system wysokiego ryzyka. Ta ostatnia reguła dotyczy także modeli ogólnego przeznaczenia.

Najczęstszy scenariusz wygląda następująco: dział HR bierze ogólnodostępny model językowy, integruje go z bazą CV i zleca mu selekcję kandydatów. Nikt nie kupował dedykowanego „systemu do rekrutacji”, jednak w świetle AI Act firma zmieniła przeznaczenie narzędzia tak, że weszło ono w reżim wysokiego ryzyka. Obowiązki dotyczące tych systemów zaczną wiązać dopiero 2 grudnia 2027 r., ale rozwiązania wdrażane dzisiaj będą wówczas oceniane według tych właśnie przepisów. Lepiej uświadomić to sobie teraz, niż przebudowywać proces rekrutacji pod presją uciekającego czasu.

Czy odroczenie przepisów AI Act o wysokim ryzyku pozwala odłożyć wdrożenie?

Ten argument pada często: skoro najbardziej rygorystyczne obowiązki przesunięto na grudzień 2027 i sierpień 2028 r., to dokumentacja może poczekać. To błąd z trzech powodów. Po pierwsze, zakazy z art. 5 już obowiązują i podlegają egzekucji, a od 2 grudnia ich katalog ulegnie rozszerzeniu. Po drugie, obowiązki przejrzystości z art. 50 dotyczą codziennych zastosowań, takich jak chatbot na stronie internetowej czy grafiki generowane na potrzeby kampanii. Po trzecie, nie da się ocenić ryzyka narzędzi, o których istnieniu zarząd w ogóle nie wie.

Największym zagrożeniem dla przedsiębiorstw nie jest dziś brak dokumentacji systemu wysokiego ryzyka, lecz brak wiedzy o tym, gdzie i przez kogo AI jest już w firmie wykorzystywana. Dział sprzedaży korzysta z jednego asystenta, obsługa klienta z drugiego, a w księgowości ktoś wkleja faktury do kolejnego narzędzia. Zapewnienie dostawcy, że „narzędzie jest zgodne z AI Act”, nie zwalnia firmy z własnej oceny: brak wiedzy o tym, jak narzędzie jest faktycznie używane, utrudnia wykazanie zgodności i zarządzanie obowiązkami wynikającymi z roli firmy wobec tego narzędzia.

Jak RODO ogranicza korzystanie z AI w firmie?

AI Act nie zastępuje RODO, a dwa wyroki TSUE wyraźnie pokazują, gdzie oba reżimy się przenikają. W wyroku z 7 grudnia 2023 r. w sprawie SCHUFA Holding (C-634/21) Trybunał uznał, że zautomatyzowane wyliczenie wartości scoringowej stanowi „zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach” w rozumieniu art. 22 ust. 1 RODO, jeżeli od tej wartości decydująco zależy, czy inny podmiot nawiąże, wykona lub rozwiąże umowę z daną osobą. Ma to bezpośrednie przełożenie na systemy AI oceniające kandydatów do pracy, pracowników czy wnioski klientów. Jeżeli człowiek jedynie formalnie zatwierdza wynik, a faktycznie nigdy go nie koryguje, obrona oparta na „udziale człowieka w procesie” traci rację bytu.

Drugi wyrok rozwiewa powszechne złudzenie, że dane używane do testowania lub trenowania modelu stają się automatycznie „anonimowe”. W wyroku EIOD przeciwko SRB (C-413/23 P) z września 2025 r. Trybunał analizował rozporządzenie 2018/1725, które reguluje przetwarzanie danych przez instytucje unijne i jest unijnym odpowiednikiem RODO. Wskazał, że dane spseudonimizowane nie muszą stanowić danych osobowych dla każdego ich odbiorcy. Dla administratora, który dysponuje kluczem do identyfikacji, pozostają one jednak danymi osobowymi.

Przykład: firma przekazuje dostawcy AI tabelę bez imion i nazwisk, a dostawca ma dostęp do innej bazy, z którą może zestawić identyfikatory. W takiej sytuacji dane mogą dla niego nadal być danymi osobowymi. Wniosek praktyczny: najpierw trzeba sprawdzić, jakimi zasobami i bazami dysponuje odbiorca, a dopiero potem oceniać, czy RODO przestaje mieć zastosowanie do przekazanego zbioru.

Europejska Rada Ochrony Danych przyjęła 7 lipca 2026 r. projekt wytycznych 03/2026 w sprawie web scrapingu na potrzeby trenowania generatywnej AI. Dotyczą one firm, które samodzielnie pobierają dane z sieci. EROD wskazuje w nich prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO jako główną podstawę prawną takiego przetwarzania. Zakup gotowego zbioru danych od brokera to odrębna sytuacja: wymaga własnej analizy źródła danych, podstawy prawnej i relacji kontraktowej z dostawcą zbioru, a wytyczne 03/2026 jej nie obejmują. Konsultacje trwają do 30 października 2026 r., przedsiębiorstwa trenujące lub dostrajające modele mają więc jeszcze czas na zgłoszenie uwag.

Czy każde naruszenie ochrony danych trzeba zgłosić do UODO?

Nie. Prezes UODO opublikował 5 października komunikat zatytułowany „Nie każde naruszenie ochrony danych wymaga zgłoszenia do Prezesa UODO”. Urząd nawiązał w nim do incydentów związanych z nieuprawnionym dostępem do baz kontrahentów oraz systemów fakturowych. Objęły one tysiące podmiotów, z których wiele przesyłało zgłoszenia mechanicznie, bez wcześniejszej analizy.

Punktem wyjścia pozostaje art. 33 ust. 1 RODO: administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, „chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych”. UODO przypomina, że o konieczności notyfikacji decyduje rzetelna ocena ryzyka, przeprowadzana oddzielnie przy każdym incydencie.

Firmy nierzadko popadają w skrajności: albo zgłaszają każde zdarzenie ze strachu, nie stosując żadnej metodyki oceny, albo nie zgłaszają niczego, wychodząc z błędnego założenia, że „to przecież tylko dane firmowe kontrahentów”. W bazach kontrahentów znajdują się jednak dane osób prowadzących jednoosobową działalność gospodarczą, będące danymi osób fizycznych. Prawidłowa procedura powinna obejmować zwięzły formularz oceny ryzyka, wyznaczenie osoby odpowiedzialnej za podjęcie decyzji oraz precyzyjne liczenie terminu: od chwili stwierdzenia incydentu, a nie od momentu zakończenia wewnętrznych ustaleń.

Jak liczyć urlop, gdy pracownik ma dwie umowy z tym samym pracodawcą?

8 października 2026 r. TSUE wydał wyrok w sprawie C-706/23 (Şcoala gimnazială „Mihai Eminescu”). Czternastu rumuńskich nauczycieli było zatrudnionych na pełny etat na podstawie umowy na czas nieokreślony, a równolegle prowadziło u tego samego pracodawcy zajęcia na terminowej umowie w niepełnym wymiarze, rozliczanej godzinowo. W latach 2019-2022 pracodawca ustalał ich świadczenia urlopowe oraz dodatek żywieniowy wyłącznie na podstawie umowy na pełny etat, całkowicie pomijając godziny przepracowane w ramach drugiej umowy. Trybunał orzekł, że prawo Unii sprzeciwia się takiej praktyce: przepisy krajowe nakazujące naliczanie tych świadczeń wyłącznie z umowy na pełny etat naruszają zasadę niedyskryminacji z dyrektyw 97/81/WE (praca w niepełnym wymiarze godzin) i 1999/70/WE (praca na czas określony), a uprawnienia pracownicze należy ustalać z uwzględnieniem łącznej pracy wykonanej i wynagrodzenia pobranego z obu umów.

Mimo że sprawa toczyła się w Rumunii, orzeczenie wiąże również polskie sądy przy interpretacji przepisów wdrażających te dyrektywy. Dotyczy to przede wszystkim firm, w których ta sama osoba łączy etat z dodatkową umową o pracę na część etatu lub na czas określony u tego samego pracodawcy. W takiej sytuacji należy sprawdzić, jak system kadrowo-płacowy nalicza wynagrodzenie urlopowe i inne świadczenia powiązane z czasem pracy, a w szczególności czy uwzględnia obie umowy, czy tylko umowę główną. Jeżeli uwzględnia wyłącznie umowę główną, ewentualne roszczenia pracowników za kilka lat wstecz mogą stać się realnym obciążeniem finansowym.

Od kiedy pismo w e-Doręczeniach uznaje się za doręczone?

Od 1 października 2026 r. adres do doręczeń elektronicznych muszą posiadać także przedsiębiorcy zarejestrowani w CEIDG przed 1 stycznia 2025 r. Nowi przedsiębiorcy wskazują adres do e-Doręczeń albo składają o niego wniosek już przy rejestracji działalności, a każdy, kto aktualizuje swój wpis w CEIDG po 30 czerwca 2025 r., musi mieć adres już w chwili aktualizacji. Spółki wpisane do KRS objęto tym obowiązkiem już 1 kwietnia 2025 r. Skrzynkę zakłada się na portalu biznes.gov.pl przy użyciu profilu zaufanego lub podpisu kwalifikowanego.

Samo utworzenie adresu to jednak dopiero początek. Znacznie większym wyzwaniem organizacyjnym pozostaje jego bieżąca obsługa. Zgodnie z art. 41 ust. 1 pkt 3 ustawy o doręczeniach elektronicznych obowiązuje fikcja doręczenia: jeżeli podmiot publiczny (np. urząd skarbowy, ZUS czy sąd) prześle pismo na adres przedsiębiorcy, a adresat go nie odbierze, dowód otrzymania powstaje z mocy prawa po upływie 14 dni od dnia wpłynięcia korespondencji. Od tej daty bezwzględnie biegną terminy na wniesienie odpowiedzi, odwołania czy uregulowanie należności, nawet jeśli nikt nie zapoznał się z treścią dokumentu.

Ustaw w systemie powiadomienia na regularnie sprawdzany adres e-mail, wyznacz zastępcę na czas nieobecności i kontroluj skrzynkę co najmniej w każdy dzień roboczy, a dodatkowo rozważ nadanie upoważnienia księgowej bądź profesjonalnemu pełnomocnikowi. Dla przedsiębiorcy wyjeżdżającego na trzytygodniowy urlop brak takiej procedury może oznaczać bezpowrotną utratę terminów w postępowaniu podatkowym. Obsługa e-Doręczeń to stały element wewnętrznego obiegu pism, a nie jednorazowa formalność.

Czy brak kar w KSeF oznacza brak ryzyka?

Ministerstwo Finansów zapowiedziało 16 września 2026 r. prace nad projektem ustawy, który ma wydłużyć okres bez sankcji za błędy w stosowaniu Krajowego Systemu e-Faktur do 31 grudnia 2027 r. Na razie to jedynie deklaracja: wprowadzenie zmian wymaga nowelizacji przepisów, która musi przejść całą ścieżkę legislacyjną.

Resort jednoznacznie zaznacza przy tym, że odroczenie kar nie zwalnia z samego obowiązku korzystania z systemu. 31 grudnia 2026 r. zakończą się okresy przejściowe dla wybranych grup podatników, a od 1 stycznia 2027 r. KSeF stanie się obowiązkowy dla wszystkich przedsiębiorców, w tym podmiotów najmniejszych. Właśnie ich potrzebami ministerstwo motywuje propozycję rocznego moratorium na kary.

Brak sankcji karnoskarbowych nie jest równoznaczny z brakiem ryzyka gospodarczego. Błędnie wystawiona faktura nadal wymaga formalnej korekty, kontrahent wciąż może z jej powodu wstrzymać płatność, a postanowienia umowne przewidujące wysyłkę faktur e-mailem lub uzależniające termin zapłaty od „otrzymania faktury” muszą zostać dostosowane do nowego obiegu. Pozostaje również kwestia zarządzania dostępami do KSeF: wyznaczenie osób uprawnionych do wystawiania i pobierania faktur oraz procedury natychmiastowego odbierania tych uprawnień odchodzącym pracownikom. Tych procesów nie można odkładać do 2028 r.

Wdrożenie AI i compliance w twojej firmie

Pomagam firmom uporządkować korzystanie z AI, zanim zainteresuje się tym organ nadzoru. Przygotowuję rejestr narzędzi i ocenę ryzyka według wymogów AI Act, opracowuję politykę korzystania z AI dopasowaną do realnego trybu pracy zespołu oraz weryfikuję umowy z dostawcami pod kątem bezpieczeństwa danych, trenowania modeli i podziału odpowiedzialności. Prowadzę również wdrożenia procedur RODO, w tym mechanizmów oceny i ewidencjonowania naruszeń, a także pomagam w bezpiecznym zorganizowaniu elektronicznego obiegu dokumentacji: obsłudze e-Doręczeń, wdrożeniu podpisów kwalifikowanych i automatyzacji procesów. Szczegółowy zakres wsparcia opisuję na stronie oferty dla przedsiębiorców, a jeśli chcesz omówić sytuację w Twojej organizacji, skontaktuj się ze mną.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst w EUR-Lex. link

• Komisja Europejska, strona o egzekwowaniu AI Act. link

• Komisja Europejska, „Safer and more transparent AI”, komunikat z 2 sierpnia 2026 r. o rozpoczęciu egzekwowania. link

• Hunton Andrews Kurth, omówienie wejścia w życie rozporządzenia 2026/1744 (Digital Omnibus on AI). link

• Future of Privacy Forum, harmonogram AI Act po zmianach z Digital Omnibus. link

• Covington, Inside Privacy, nowe zakazy i przesunięcie terminów w AI Act. link

• Wyrok TSUE z 7 grudnia 2023 r., SCHUFA Holding, C-634/21, EUR-Lex. link

• Wyrok TSUE w sprawie EIOD przeciwko SRB, C-413/23 P, EUR-Lex. link

• TSUE, komunikat prasowy w sprawie C-413/23 P. link

• Europejska Rada Ochrony Danych, informacja o anonimizacji i web scrapingu dla generatywnej AI. link

• Digital Policy Alert, konsultacje projektu wytycznych EROD 03/2026 o web scrapingu. link

• Rozporządzenie (UE) 2016/679 (RODO), tekst w EUR-Lex. link

• Urząd Ochrony Danych Osobowych, aktualności, w tym komunikat z 5 października 2026 r. link

• GDPR.pl, omówienie incydentu w systemie fakturowym i obowiązku zgłoszenia. link

• TSUE, komunikat prasowy w sprawie C-706/23 z 8 października 2026 r. link

• EU Law Live, omówienie wyroku C-706/23. link

• Biznes.gov.pl, adres do doręczeń elektronicznych dla przedsiębiorców. link

• Ustawa z dnia 18 listopada 2020 r. o doręczeniach elektronicznych, ISAP. link

• Ministerstwo Finansów, przedłużenie odroczenia kar za błędy w stosowaniu KSeF do końca 2027 r. link

• Grant Thornton, co odroczenie kar w KSeF oznacza dla zarządów i dyrektorów finansowych. link