Zmiany w prawie, 14-20 czerwca 2026: Digital Omnibus uchwalony i termin NIS2 na karku

Tydzień od 14 do 20 czerwca przyniósł dwie poważne decyzje wokół sztucznej inteligencji. 16 czerwca Parlament Europejski przyjął Digital Omnibus i przesunął część terminów AI Act dla systemów wysokiego ryzyka. Wcześniej, 11 czerwca, Sejm uchwalił polską ustawę o systemach AI, która powołuje krajowy organ nadzoru i czeka teraz w Senacie. Do tego dochodzi termin, który biegnie niezależnie od AI: 30 czerwca podmioty objęte ustawą o krajowym systemie cyberbezpieczeństwa muszą mieć wdrożony pełen zakres środków technicznych. Poniżej zbieram to, co dotyczy firm korzystających z AI, sklepów internetowych i pracodawców, z praktycznym wnioskiem przy każdej zmianie.

Parlament Europejski przyjął Digital Omnibus

16 czerwca Parlament Europejski uchwalił pakiet Digital Omnibus zmieniający AI Act, stosunkiem głosów 423 za, 57 przeciw, 174 wstrzymujące się. Pakiet przesuwa najważniejsze terminy. Obowiązki dla samodzielnych systemów wysokiego ryzyka z Załącznika III, czyli między innymi biometrii, infrastruktury krytycznej, edukacji, zatrudnienia i scoringu, przechodzą na 2 grudnia 2027. Obowiązki dla AI wbudowanego w produkty z Załącznika I przechodzą na 2 sierpnia 2028.

Nie wszystko jednak się przesuwa. Obowiązki transparentności z art. 50, dotyczące między innymi systemów generatywnych i materiałów typu deepfake, zostają na dotychczasowym terminie 2 sierpnia 2026. Pakiet wprowadza też zakaz aplikacji do generowania intymnych wizerunków bez zgody (nudifier apps), który wchodzi w życie 2 grudnia 2026. Akt musi jeszcze formalnie przyjąć Rada i ogłosić go w Dzienniku Urzędowym UE przed 2 sierpnia 2026.

Praktyczny wniosek: jeśli ktoś liczył, że sierpień 2026 zdejmie z niego wszystkie obowiązki AI Act, warto to zweryfikować. Systemy wysokiego ryzyka dostają więcej czasu, ale obowiązki transparentności wobec użytkowników i kandydatów zostają na sierpień 2026. Dopóki Rada nie przyjmie pakietu formalnie, dotychczasowe terminy pozostają wiążące.

Źródła: Parlament Europejski (komunikat o głosowaniu z 16 czerwca), tekst AI Act w EUR-Lex.

Polska ustawa o systemach AI czeka w Senacie

11 czerwca Sejm przyjął ustawę o systemach sztucznej inteligencji, która wdraża AI Act do polskiego porządku prawnego. Za głosowało 421 posłów, przeciw trzech, 18 wstrzymało się od głosu. Ustawa trafiła do Senatu i może jeszcze zmienić brzmienie.

Najważniejszy element to nowy organ. Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru rynku i pojedynczy punkt kontaktowy z Unią. W jej skład wchodzą przedstawiciele UKE, UOKiK, KNF i KRRiT. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. Tempo prac ma znaczenie praktyczne: jeżeli ustawa wejdzie w życie przed 2 sierpnia 2026, Polska zdąży wyznaczyć organ nadzoru przed terminem wynikającym z AI Act.

Praktyczny wniosek: to dobry moment, żeby ustalić, czy systemy AI używane w firmie podlegają obowiązkom AI Act i w której kategorii ryzyka się mieszczą. Im wcześniej to wiadomo, tym mniej kosztuje dostosowanie przed terminami z sierpnia 2026 i grudnia 2027.

Źródła: rp.pl, ITwiz, projekt w RCL.

Znakowanie treści generowanych przez AI: jest finalny kodeks praktyk

10 czerwca Urząd UE do spraw AI (AI Office) opublikował finalną wersję kodeksu praktyk dotyczącego transparentności treści generowanych przez AI. Kodeks opisuje dwa mechanizmy znakowania: metadane podpisane cyfrowo oraz niewidzialny znak wodny, przy czym fingerprinting pozostaje opcjonalny. Sygnatariusze zobowiązują się dodatkowo do widocznego oznaczania treści generowanych przez AI zestandaryzowanymi ikonami przygotowanymi przez AI Office.

Dla firm, które publikują materiały tworzone przez AI, najważniejsza jest data. Termin na dołączenie do listy pierwszych sygnatariuszy upływa 22 lipca 2026 o godzinie 18:00 CEST. Lista ma zostać ogłoszona przed 2 sierpnia 2026, czyli przed wejściem w życie obowiązków transparentności z art. 50 AI Act.

Praktyczny wniosek: temat dotyczy przede wszystkim branży mediów, reklamy i marketingu. Jeśli generujesz grafiki, wideo lub teksty z użyciem AI, warto już teraz sprawdzić, czy i jak chcesz oznaczać te materiały, bo termin sygnatariuszy i termin art. 50 są blisko siebie.

Źródło: Urząd UE do spraw AI, ramy regulacyjne AI.

Cyberbezpieczeństwo: 30 czerwca mija termin pełnego wdrożenia NIS2

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026. Do 30 czerwca 2026 podmioty kluczowe i ważne muszą wdrożyć pełen zakres środków technicznych: zaawansowany monitoring bezpieczeństwa, testy penetracyjne oraz system zgłaszania incydentów. Kierownicy podmiotów kluczowych ponoszą za to osobistą odpowiedzialność, sięgającą 300% wynagrodzenia.

Praktyczny wniosek: to najpilniejszy termin tego wydania, bo zostało kilka dni. Jeśli firma może być podmiotem kluczowym lub ważnym, pierwszym krokiem jest ustalenie tego statusu, a drugim sprawdzenie, czy środki techniczne są wdrożone w wymaganym zakresie. Odpowiedzialność osobista kierownictwa robi z tego nie tylko temat działu IT.

Źródła: inteca.com, PwC (analizy terminów NIS2 z raportu monitoringu).

Nowe zasady zwrotów w e-commerce od 19 czerwca

Od 19 czerwca 2026 obowiązują przepisy wdrażające dyrektywę 2023/2673 o sprzedaży online. Sklepy działające w modelu B2C muszą udostępnić widoczny przycisk „Odstąpienie od umowy", formularz odstąpienia online, dwuetapowe potwierdzenie oraz automatyczny e-mail potwierdzający przyjęcie odstąpienia. Nadzór nad tymi obowiązkami sprawuje w Polsce UOKiK. Przepisy obejmują również usługi finansowe oferowane na etapie składania zamówienia.

Praktyczny wniosek: to konkretna zmiana w interfejsie sklepu, nie tylko w regulaminie. Jeśli prowadzisz sprzedaż online, warto przejść ścieżkę zakupu i odstąpienia tak, jak robi to klient, i sprawdzić, czy przycisk, formularz i e-mail potwierdzający faktycznie działają.

Źródło: dyrektywa 2023/2673 w EUR-Lex.

Jawność wynagrodzeń: Polska nie zdążyła na 7 czerwca

Termin wdrożenia unijnej dyrektywy 2023/970 o transparentności wynagrodzeń upłynął 7 czerwca 2026, a Polska nie przyjęła przepisów na czas. Trwają prace nad projektem ustawy UC127 nowelizującym Kodeks pracy, który przewiduje dla pracodawców dodatkowe sześć miesięcy vacatio legis. W grudniu 2025 wdrożono jedynie część dyrektywy dotyczącą rekrutacji. Przekroczenie terminu unijnego może skutkować postępowaniem Komisji Europejskiej.

Praktyczny wniosek: opóźnienie ustawy nie znaczy, że temat można odłożyć. Część obowiązków dotyczących rekrutacji już obowiązuje, a pełne wymogi, w tym raportowanie luki płacowej w większych firmach, i tak nadejdą. Jeśli rekrutujesz, najprostszy krok to przegląd ogłoszeń o pracę pod kątem widełek wynagrodzenia.

Źródła: rp.pl, kadry.infor.pl.

Terminy konsultacji, które jeszcze biegną

Dwie konsultacje warto mieć w kalendarzu, bo kończą się w najbliższych dniach. Komisja Europejska zbiera uwagi do projektu wytycznych w sprawie klasyfikacji systemów wysokiego ryzyka (art. 6 AI Act) do 23 czerwca 2026. Europejska Rada Ochrony Danych prowadzi konsultacje wytycznych 1/2026 o przetwarzaniu danych w badaniach naukowych do 25 czerwca 2026. Osobno biegnie dłuższy termin dla pracodawców: dyrektywę o pracy platformowej (2024/2831), która reguluje zarządzanie algorytmiczne wobec pracowników, Polska ma wdrożyć do 2 grudnia 2026.

Praktyczny wniosek: jeśli oceniasz swoje systemy AI albo przetwarzasz dane do badań, finalne wytyczne dadzą pewniejszy grunt niż dzisiejsze projekty. Firmy i organizacje branżowe mogą jeszcze zgłosić uwagi przed zamknięciem konsultacji.

Źródło: Komisja Europejska, ramy regulacyjne AI.

Co to dla mnie znaczy?

Jeśli Twoja firma korzysta z narzędzi AI, pomagam ustalić, czy i które systemy podlegają obowiązkom AI Act, w jakiej kategorii ryzyka się mieszczą i jakich dokumentów wymagają: polityki używania AI, oceny ryzyka i rejestru systemów AI. Przygotowuję politykę używania AI dopasowaną do tego, jak naprawdę pracują Twoi pracownicy. Jeśli chcesz wiedzieć, od czego zacząć przed terminami z sierpnia i grudnia, napisz do mnie.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Jeśli chcesz to przełożyć na swoją sytuację, zobacz ofertę dla firm albo napisz do mnie.

Źródła

• Parlament Europejski przyjął Digital Omnibus - głosowanie z 16 czerwca 2026 nad zmianami do AI Act. Parlament Europejski (komunikat prasowy).

• Tekst AI Act - rozporządzenie UE 2024/1689 w EUR-Lex. eur-lex.europa.eu

• Sejm przyjął ustawę o systemach AI - relacja o uchwaleniu ustawy 11 czerwca i o powołaniu KRiBSI. rp.pl, ITwiz

• Projekt ustawy o systemach AI - karta projektu w Rządowym Centrum Legislacji. RCL

• Kodeks praktyk dotyczący transparentności treści AI - finalna wersja z 10 czerwca, AI Office. digital-strategy.ec.europa.eu

• NIS2, termin 30 czerwca - analizy zakresu środków technicznych i odpowiedzialności kierownictwa. inteca.com, PwC

• Nowe przepisy e-commerce - dyrektywa 2023/2673 o sprzedaży online, obowiązuje od 19 czerwca. eur-lex.europa.eu

• Jawność wynagrodzeń nie weszła 7 czerwca - omówienie opóźnienia i projektu ustawy UC127. rp.pl, kadry.infor.pl

• Konsultacje wytycznych KE i wytyczne EDPB 1/2026 - klasyfikacja wysokiego ryzyka (do 23 czerwca) i dane w badaniach naukowych (do 25 czerwca). digital-strategy.ec.europa.eu