3 min. czytania
Nowe obowiązki compliance 2026 – pierwszy termin mija za niecały miesiąc
Drugi zegar tyka wokół sztucznej inteligencji. Od sierpnia 2026 r. stosuje się kolejne obowiązki dotyczące przejrzystości systemów AI. Ich zakres zależy od roli organizacji i rodzaju rozwiązania. Inne wymagania dotyczą dostawców systemów generujących treści, inne podmiotów wykorzystujących chatboty, deepfake’i lub treści generowane przez AI w sprawach leżących w interesie publicznym. Nie każda treść przygotowana przy użyciu AI podlega więc identycznemu obowiązkowi oznaczenia.
11 sierpnia weszła w życie zasadnicza część polskiej ustawy o systemach sztucznej inteligencji, która powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji
Dla firm istotniejsza jest jednak data 28 października. Wtedy zaczynają obowiązywać przepisy o kontrolach, postępowaniach, opiniach indywidualnych i administracyjnych karach pieniężnych. Sama Komisja, ze względu na terminy powołania członków, rozpocznie pracę najwcześniej w listopadzie. Za praktyki zakazane AI Act przewiduje kary sięgające 35 mln euro albo 7 proc. światowego obrotu.
Część obowiązków została przy tym przesunięta. Pakiet Digital Omnibus odroczył wymogi dla samodzielnych systemów wysokiego ryzyka z załącznika III do 2 grudnia 2027 roku, a dla systemów wbudowanych w produkty regulowane do sierpnia 2028. To odroczenie, nie zniesienie.
Wdrażanie po jednej regulacji naraz przestaje działać
Problem większości organizacji nie polega na nieznajomości przepisów, lecz na sposobie ich wdrażania. NIS2, AI Act, RODO, DORA czy CSRD trafiają do osobnych zespołów, które budują osobne rejestry ryzyk, polityki i plany ciągłości działania. Powstaje kilka równoległych projektów kończących się w momencie audytu, a organizacja i tak nie potrafi wykazać zgodności danymi.
Właśnie temu problemowi poświęcona jest książka „Nowa architektura compliance. Zgodność, ryzyko, cyberbezpieczeństwo i sztuczna inteligencja”, opublikowana przez C.H.Beck pod redakcją Weroniki Czaplewskiej. Jej autorzy pokazują, jak zastąpić osobne projekty dotyczące NIS2, AI Act, RODO, DORA czy ESG jednym systemem zarządzania odpowiedzialnością, ryzykiem, kontrolami i dowodami.
Nadzór nad AI rusza 28 października
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Podmioty kluczowe i ważne po przeprowadzeniu samooceny mają czas do 3 października na złożenie wniosku o wpis do wykazu przez system S46. Na wdrożenie samych środków technicznych i organizacyjnych przewidziano rok od wejścia ustawy w życie.
Zmiana o największym ciężarze jest jednak zarządcza. Przepisy wprowadzają odpowiedzialność kierowników podmiotów za realizację zadań z zakresu cyberbezpieczeństwa. Cyberbezpieczeństwo przestaje być sprawą działu IT.
Sztuczna inteligencja po obu stronach stołu
AI występuje dziś w compliance w trzech rolach naraz: jako narzędzie usprawniające pracę zespołów, jako źródło ryzyka i jako przedmiot regulacji. Najbardziej podstępna jest pierwsza rola. Automatyzacja potrafi dać poczucie kontroli, które nie ma pokrycia w dowodach: dashboard świeci na zielono, a organizacja nie umie wskazać, kto zatwierdził politykę i na jakich danych oparto ocenę ryzyka.
Osobnym ryzykiem jest niekontrolowane użycie modeli językowych przez pracowników. Dane trafiają do narzędzi, których nie ma w żadnym rejestrze.
Od czego zacząć przed paźdz iernikiem
Trzy działania da się wykonać w kilka tygodni. Sprawdzić, czy organizacja podlega pod znowelizowaną ustawę o KSC, i złożyć wniosek o wpis. Spisać rejestr systemów AI faktycznie używanych w firmie, łącznie z tymi wdrożonymi oddolnie. Wskazać z imienia i nazwiska osoby odpowiedzialne za oba obszary, bo w razie kontroli to pytanie pada jako jedno z pierwszych.
Źródła
1. „Nowa architektura compliance. Zgodność, ryzyko, cyberbezpieczeństwo i sztuczna inteligencja”, opublikowana przez C.H.Beck pod redakcją Weroniki Czaplewskiej.
