Zmiany w prawie, 21-27 czerwca 2026: Omnibus przesuwa terminy AI Act, rejestracja NIS2 do 3 października
Ostatni tydzień czerwca przyniósł porządkowanie kalendarza wokół sztucznej inteligencji i cyberbezpieczeństwa. Omnibus do AI Act przesuwa obowiązki dla systemów wysokiego ryzyka na grudzień 2027, ale to nie znaczy, że sierpień 2026 przestaje mieć znaczenie: obowiązki przejrzystości i oznaczania treści generowanych przez AI zostają na 2 sierpnia. W cyberbezpieczeństwie najważniejsza jest data 3 października, do której podmioty objęte NIS2 muszą złożyć wniosek o wpis do wykazu. Poniżej zbieram to, co dotyczy firm korzystających z AI, podmiotów objętych cyberbezpieczeństwem i pracodawców, z praktycznym wnioskiem przy każdej zmianie.
Omnibus przesuwa terminy AI Act, ale przejrzystość zostaje na 2 sierpnia
Po porozumieniu politycznym z początku maja, które Rada potwierdziła 13 maja 2026, zmienił się harmonogram obowiązków dla systemów wysokiego ryzyka. Systemy z Załącznika III, czyli między innymi rekrutacja, scoring kredytowy, edukacja, egzekwowanie prawa i kontrola graniczna, mają osiągnąć zgodność do 2 grudnia 2027. Systemy wbudowane w produkty regulowane z Załącznika I, na przykład wyroby medyczne, maszyny i pojazdy, dostają czas do 2 sierpnia 2028. Formalne przyjęcie i publikacja w Dzienniku Urzędowym UE są spodziewane w lipcu 2026.
Łatwo z tego wyczytać, że obowiązki AI Act odsuwają się w czasie, ale to tylko część obrazu. Obowiązki przejrzystości z art. 50, dotyczące między innymi systemów generatywnych i materiałów typu deepfake, zostają na dotychczasowym terminie 2 sierpnia 2026. Nie zmieniły się też dwie rzeczy, które obowiązują już od 2 lutego 2025: wymóg kompetencji w zakresie AI (art. 4) oraz zakaz praktyk wymienionych w art. 5.
Praktyczny wniosek: jeśli ktoś liczył, że sierpień 2026 zdejmie z niego wszystkie obowiązki, warto to zweryfikować. Systemy wysokiego ryzyka, w tym narzędzia do selekcji CV i oceny kandydatów, dostają więcej czasu, ale obowiązki przejrzystości wobec użytkowników i kandydatów zostają na sierpień 2026. Dopóki Omnibus nie zostanie formalnie ogłoszony, dotychczasowe terminy pozostają wiążące.
Źródła: Rada UE, analiza Gibson Dunn. plusydlabiznesu.pl
Oznaczanie treści generowanych przez AI: jest finalny kodeks praktyk
Komisja Europejska opublikowała finalny Kodeks Praktyk dotyczący oznaczania i etykietowania treści generowanych przez AI. To dobrowolny instrument, który ma pomóc dostawcom i podmiotom wdrażającym generatywne systemy AI w spełnieniu obowiązków przejrzystości z art. 50 AI Act. Kodeks wymaga między innymi maszynowo czytelnego oznaczania materiałów audio, wideo, grafiki i tekstu jako wygenerowanych przez AI, cyfrowych metadanych oraz niewidocznego znaku wodnego. Oznaczanie materiałów typu deepfake staje się obowiązkowe od 2 sierpnia 2026.
Praktyczny wniosek: temat dotyczy przede wszystkim firm, które publikują materiały tworzone z udziałem AI, czyli branży mediów, reklamy i marketingu. Jeśli generujesz grafiki, wideo lub teksty z użyciem AI, warto już teraz ustalić, jak chcesz je oznaczać, bo termin obowiązków z art. 50 i wejście obowiązkowego oznaczania deepfake'ów przypadają na ten sam dzień, 2 sierpnia 2026, czyli za nieco ponad pięć tygodni.
Cyberbezpieczeństwo: rejestracja w wykazie KSC do 3 października
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026. Od 7 maja 2026 działa samorejestracja podmiotów w wykazie KSC, a termin na złożenie wniosku o wpis upływa 3 października 2026. Regulacja obejmuje, według szacunków z raportu, około 42 tysięcy polskich firm, co jest skokowym wzrostem wobec poprzedniego stanu. Zarządy ponoszą osobistą odpowiedzialność za wdrożenie środków, a kary sięgają 10 milionów euro lub 2% przychodu. Kolejny etap to dostosowanie systemów i procedur do 3 kwietnia 2027.
Praktyczny wniosek: pierwszym krokiem jest ustalenie, czy firma jest podmiotem kluczowym lub ważnym w rozumieniu ustawy, bo obowiązek rejestracji nie czeka na wezwanie z urzędu. Jeśli tak, do 3 października trzeba złożyć wniosek, a do kwietnia 2027 mieć wdrożone środki techniczne i organizacyjne. Osobista odpowiedzialność zarządu sprawia, że to nie jest już wyłącznie temat działu IT.
Źródła: https://networkexpert.pl/samorejestracja-w-wykazie-ksc/, https://www.biznes.gov.pl/pl/portal/005120.
RODO: UODO składa kasację do NSA w sprawie Poczty Polskiej
Prezes UODO zaskarżył do Naczelnego Sądu Administracyjnego wyrok WSA w Warszawie, który uchylił karę ponad 27 milionów złotych nałożoną na Pocztę Polską za przetwarzanie danych przy organizacji wyborów korespondencyjnych w 2020 roku. WSA uznał, że decyzja Prezesa Rady Ministrów z kwietnia 2020 roku nie stanowiła wystarczającej podstawy prawnej do przetwarzania danych. UODO nie zgadza się z tym stanowiskiem i kieruje sprawę wyżej.
Praktyczny wniosek: to spór o coś więcej niż jedną karę. Rozstrzygnięcie NSA może ustawić standard tego, kiedy polecenie organu władzy publicznej wystarcza za podstawę prawną przetwarzania danych w trybie pilnym. Dla podmiotów, które przetwarzają dane na polecenie administracji, wynik tej sprawy będzie ważnym punktem odniesienia.
Źródło: https://uodo.gov.pl/pl/138/4409
Jawność wynagrodzeń: pełna ustawa później, obowiązki rekrutacyjne już teraz
Termin wdrożenia unijnej dyrektywy 2023/970 o transparentności wynagrodzeń upłynął 7 czerwca 2026, a Polska nie przyjęła przepisów na czas. Nowy projekt ustawy przewiduje dla pracodawców dodatkowe sześć miesięcy, co przesuwa pełne wdrożenie mniej więcej na przełom 2026 i 2027 roku. Część obowiązków jednak już obowiązuje: informowanie kandydatów o wynagrodzeniu na etapie rekrutacji weszło wraz z nowelizacją Kodeksu pracy z grudnia 2025. Projektowane sankcje to grzywna od 3 000 do 50 000 złotych.
Praktyczny wniosek: opóźnienie pełnej ustawy nie znaczy, że temat można odłożyć. Obowiązki rekrutacyjne działają już dziś, a pełne wymogi, w tym raportowanie luki płacowej w większych firmach, i tak nadejdą. Najprostszy krok dla pracodawcy to przegląd ogłoszeń o pracę pod kątem informacji o wynagrodzeniu.
Na horyzoncie: dyrektywa o pracy platformowej do grudnia 2026
Dyrektywę 2024/2831 o warunkach pracy na platformach cyfrowych Polska ma transponować do 2 grudnia 2026, a projektu ustawy implementacyjnej jeszcze nie ma. Dyrektywa wprowadza unijne reguły zarządzania algorytmicznego wobec pracowników: obowiązek informowania o systemach automatycznych, zakaz przetwarzania danych o emocjach i stanie psychicznym, obowiązkowy nadzór człowieka nad decyzjami o zawieszeniu konta lub rozwiązaniu współpracy oraz prawo zaskarżenia decyzji podjętej przez algorytm.
Praktyczny wniosek: temat dotyczy nie tylko platform gig economy. Każdy pracodawca, który używa narzędzi automatycznie oceniających lub przydzielających pracę, powinien już teraz przyjrzeć się, jak te systemy działają i kto nadzoruje ich decyzje. Brak polskiego projektu nie zatrzymuje terminu unijnego.
Źródło: https://iuslaboris.com/insights/eu-platform-work-directive-which-countries-have-implemented/.
Sklepy internetowe: obowiązkowy przycisk i formularz odstąpienia od umowy
Od 19 czerwca 2026 obowiązują przepisy wdrażające dyrektywę 2023/2673 o sprzedaży online. Sklepy działające w modelu B2C muszą udostępnić widoczny przycisk „Odstąpienie od umowy", formularz odstąpienia online, dwuetapowe potwierdzenie oraz automatyczny e-mail potwierdzający przyjęcie odstąpienia. Nadzór nad tymi obowiązkami sprawuje w Polsce UOKiK. Przepisy obejmują również usługi finansowe oferowane na etapie składania zamówienia.
Praktyczny wniosek: to konkretna zmiana w interfejsie sklepu, nie tylko w regulaminie. Jeśli prowadzisz sprzedaż online, warto przejść ścieżkę zakupu i odstąpienia tak, jak robi to klient, i sprawdzić, czy przycisk, formularz i e-mail potwierdzający faktycznie działają. Obowiązek działa już od kilku tygodni, więc to raczej kwestia weryfikacji niż przygotowań.
Źródło: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32023L2673
Co z tym zrobić?
Jeśli Twoja firma korzysta z narzędzi AI, pomagam ustalić, czy i które systemy podlegają obowiązkom AI Act, w której kategorii ryzyka się mieszczą i co trzeba przygotować przed 2 sierpnia 2026: politykę używania AI, ocenę ryzyka, rejestr systemów AI oraz sposób oznaczania treści generowanych przez AI. Politykę używania AI piszę pod to, jak naprawdę pracują Twoi ludzie, a nie jako szablon z internetu. Jeśli temat dotyczy też rejestracji NIS2 albo obiegu danych w firmie, powiem Ci wprost, od czego zacząć i czy w Twoim przypadku to ma sens.
Które z tych terminów dotyczą Ciebie?
Przesunięcia terminów w AI Act i rejestracja w KSC wyglądają inaczej w firmie produkcyjnej, inaczej w sklepie internetowym. Sprawdzam, które obowiązki realnie obejmują daną działalność i w jakiej kolejności je domknąć. Zobacz ofertę dla firm albo napisz do mnie.
Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.
Źródła
- AI Act Omnibus, przesunięcie terminów systemów wysokiego ryzyka - porozumienie Rady UE potwierdzone 13 maja 2026, publikacja w Dzienniku Urzędowym UE spodziewana w lipcu 2026. Rada UE, analiza Gibson Dunn (z raportu monitoringu).
- AI Act w rekrutacji, nowe terminy dla systemów HR - omówienie skutków Omnibusa dla narzędzi rekrutacyjnych. [plusydlabiznesu.pl](https://plusydlabiznesu.pl/aktualnosci/9000/ue-przesuwa-czesc-przepisow-ai-act-rekrutacja-pod-szczegolnym-nadzorem)
- Kodeks Praktyk dotyczący oznaczania treści generowanych przez AI - finalna wersja, obowiązki przejrzystości z art. 50 od 2 sierpnia 2026. [Komisja Europejska](https://digital-strategy.ec.europa.eu/en/news/commission-publishes-code-practice-marking-and-labelling-ai-generated-content)
- Wytyczne KE dotyczące klasyfikacji systemów wysokiego ryzyka - projekt z 19 maja 2026, konsultacje zamknięte 23 czerwca. [digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems)
- NIS2 i KSC, samorejestracja podmiotów - termin wniosku o wpis do 3 października 2026, dostosowanie do 3 kwietnia 2027. [networkexpert.pl](https://networkexpert.pl/samorejestracja-w-wykazie-ksc/), [Biznes.gov.pl](https://www.biznes.gov.pl/pl/portal/005120)
- UODO, kasacja do NSA w sprawie Poczty Polskiej - zaskarżenie wyroku WSA o podstawie prawnej przetwarzania danych. [uodo.gov.pl](https://uodo.gov.pl/pl/138/4409)
- EROD, Wytyczne 1/2026 o przetwarzaniu danych w badaniach naukowych - konsultacje zamknięte 25 czerwca 2026. [edpb.europa.eu](https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/guidelines-12026-processing-personal-data_en)
- Jawność wynagrodzeń, opóźnienie wdrożenia dyrektywy 2023/970 - dodatkowe sześć miesięcy dla pracodawców, obowiązki rekrutacyjne od grudnia 2025. [rp.pl](https://www.rp.pl/praca-emerytury-i-renty/art44448431-rewolucja-w-prawie-pracy-przesunieta-kiedy-wynagrodzenia-beda-jawne)
- Dyrektywa o pracy platformowej 2024/2831 - termin transpozycji 2 grudnia 2026, brak polskiego projektu. [iuslaboris.com](https://iuslaboris.com/insights/eu-platform-work-directive-which-countries-have-implemented/)
- Nowe zasady odstąpienia od umowy w e-commerce - dyrektywa 2023/2673 o sprzedaży online, obowiązuje od 19 czerwca 2026, nadzór UOKiK. [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32023L2673)
