Przepisy o AI i cyberbezpieczeństwie w Polsce
Najważniejsze obowiązki z aktów, które dotyczą firm w Polsce, i kalendarz terminów. Każdy punkt z cytatem z oficjalnego tekstu.
Przegląd i ściągę pisze AI z oficjalnych tekstów, a program sprawdza każdą datę w źródle. To nie porada prawna. Jak to działa
Otwórz w serwisie: filtr obowiązków dla Twojej roli i cotygodniowy przegląd zmian
Akty
- AI ActRozporządzenie ma wspierać rynek wewnętrzny i rozwój godnej zaufania AI oraz chronić zdrowie, bezpieczeństwo i prawa podstawowe.
- RODORODO chroni ludzi, gdy firmy i większość instytucji publicznych przetwarzają ich dane osobowe.
- NIS2/KSCUstawa wdraża unijną dyrektywę dotyczącą wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii.
- Data ActRozporządzenie ustala wspólne zasady udostępniania użytkownikom danych z połączonych produktów i powiązanych usług.
- DSAAkt ma tworzyć bezpieczniejsze środowisko internetowe dla konsumentów i firm w Unii Europejskiej.
- CRARozporządzenie ma na celu wzmocnienie cyberbezpieczeństwa w całej Unii Europejskiej.
- ustawa o AIUstawa określa, jak zorganizowany jest nadzór nad rynkiem systemów sztucznej inteligencji i modeli ogólnego przeznaczenia.
Kalendarz terminów
Nadchodzi
- 28 października 2026ustawa o AI
Dokładnie w przepisie
Wejście w życie art. 8–18 oraz rozdziałów 3–5, 8 i 9: przepisów o kontroli, postępowaniu przed organem nadzoru rynku, układach łagodzących sankcje, administracyjnych karach pieniężnych, przepisach karnych i zmianach w przepisach.
art. 8–18 oraz rozdziałów 3–5, 8 i 9, które wchodzą w życie po upływie 3 miesięcy od dnia ogłoszenia.
Rozdział 3 Kontrola przestrzegania przepisów o sztucznej inteligencji
Rozdział 4 Postępowanie przed organem nadzoru rynku
Rozdział 5 Układ w sprawie warunków nadzwyczajnego złagodzenia sankcji
Rozdział 8 Przepisy o administracyjnych karach pieniężnych i przepisy karne
Rozdział 9 Zmiany w przepisach
Jak policzono: ogłoszenie ustawy 27.07.2026 + 3 miesiące, obowiązuje od następnego dnia.
- 28 października 2026NIS2/KSC
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Data wejścia w życie z oficjalnych danych Dziennika Ustaw.
- 2 grudnia 2026AI Act
Dostawcy systemów AI generujących syntetyczne dźwięki, obrazy, wideo lub tekst, wprowadzonych do obrotu przed 2 sierpnia 2026 r.
Dokładnie w przepisie
Dostawcy systemów AI generujących syntetyczne dźwięki, obrazy, wideo lub tekst, wprowadzonych do obrotu przed 2 sierpnia 2026 r., muszą podjąć niezbędne kroki, by spełnić wymogi dotyczące przejrzystości do 2 grudnia 2026 r.
generujących treści w postaci syntetycznych dźwięków, obrazów, wideo lub tekstu, które wprowadzono do obrotu przed dniem 2 sierpnia 2026 r., podejmują niezbędne kroki w celu zapewnienia zgodności z art. 50 ust. 2 do dnia 2 grudnia 2026 r.
Artykuł 111 Systemy AI już wprowadzone do obrotu lub oddane do użytku oraz modele AI ogólnego przeznaczenia już wprowadzone do obrotu
Artykuł 50 Obowiązki w zakresie przejrzystości dla dostawców i podmiotów stosujących niektóre systemy AI
- 2 grudnia 2026AI Act
Zaczynają obowiązywać niektóre przepisy zakazujące praktyk w zakresie AI.
Dokładnie w przepisie
Rozpoczyna się stosowanie niektórych przepisów zakazujących praktyk w zakresie AI.
z wyjątkiem art. 5 ust. 1 akapit pierwszy lit. ba) i bb) oraz art. 5 ust. 1a i 1b, które stosuje się od dnia 2 grudnia 2026 r.;
Artykuł 5 Zakazane praktyki w zakresie AI
- 11 stycznia 2027NIS2/KSC
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Data wejścia w życie z oficjalnych danych Dziennika Ustaw.
- 12 stycznia 2027Data Act
Dostawcy usług przetwarzania danych
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Całkowity zakaz nakładania opłat z tytułu zmiany dostawcy usług przetwarzania danych.
Od dnia 12 stycznia 2027 r. dostawcy usług przetwarzania danych nie nakładają na klienta opłat z tytułu zmiany dostawcy za procedurę zmiany dostawcy.
Artykuł 29 Stopniowe wycofywanie opłat z tytułu zmiany dostawcy
- 2 kwietnia 2027RODO
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w oficjalnym streszczeniu
Zaczynają być stosowane przepisy proceduralne dotyczące transgranicznego egzekwowania RODO.
Przepisy proceduralne dotyczące transgranicznego egzekwowania prawa określone w rozporządzeniu (UE) 2025/2518 stosuje się od 2 kwietnia 2027 r.
Rozporządzenie (UE) 2025/2518 (przyjęte dnia 26 listopada 2025 r. i opublikowane w Dzienniku Urzędowym dnia 12 grudnia 2025 r. ) ustanawia przepisy proceduralne dotyczące egzekwowania RODO w sprawach transgranicznych (gdy zaangażowany jest więcej niż jeden organ UE / Europejskiego Obszaru Gospodarczego ).
- 3 kwietnia 2027NIS2/KSC
Bazy danych dotyczące rejestracji nazw domen muszą zostać dostosowane do wymagań.
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Obowiązek dostosowania baz danych dotyczących rejestracji nazw domen do wymagań określonych w ustawie.
dostosowuje bazy danych dotyczących rejestracji nazw domen do wymagań określonych w art. 16b ustawy zmienianej w art. 1, w terminie 12 miesięcy od dnia wejścia w życie niniejszej ustawy;
Jak policzono: wejście ustawy w życie 3.04.2026 + 12 miesięcy - ostatni dzień terminu.
- 3 kwietnia 2027NIS2/KSC
Obowiązki określone w rozdziale 3 muszą zostać wykonane w wyznaczonym terminie.
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Realizacja obowiązków określonych w rozdziale 3 ustawy w terminie 12 miesięcy od dnia jej wejścia w życie.
realizują obowiązki określone w rozdziale 3 ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą, w terminie 12 miesięcy od dnia wejścia w życie niniejszej ustawy.
Jak policzono: wejście ustawy w życie 3.04.2026 + 12 miesięcy - ostatni dzień terminu.
- 2 sierpnia 2027AI Act
Dostawcy modeli AI ogólnego przeznaczenia wprowadzonych do obrotu przed 2 sierpnia 2025 r.
Dokładnie w przepisie
Termin na spełnienie obowiązków wynikających z rozporządzenia dla modeli AI ogólnego przeznaczenia wprowadzonych do obrotu przed 2 sierpnia 2025 r.
Dostawcy modeli AI ogólnego przeznaczenia, które zostały wprowadzone do obrotu przed dniem 2 sierpnia 2025 r., podejmują niezbędne kroki w celu spełnienia obowiązków ustanowionych w niniejszym rozporządzeniu do dnia 2 sierpnia 2027 r.
Artykuł 111 Systemy AI już wprowadzone do obrotu lub oddane do użytku oraz modele AI ogólnego przeznaczenia już wprowadzone do obrotu
ROZDZIAŁ V MODELE AI OGÓLNEGO PRZEZNACZENIA
- 12 września 2027Data Act
Przedsiębiorstwa będące stronami umów zawartych na czas nieokreślony lub wygasających co najmniej 10 lat po dniu 11 stycznia 2024 r.
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Rozpoczęcie stosowania przepisów o nieuczciwych postanowieniach umownych do określonych umów zawartych do dnia 12 września 2025 r. włącznie
Rozdział IV ma zastosowanie od dnia 12 września 2027 r. do umów zawartych do dnia 12 września 2025 r. włącznie, pod warunkiem że: a) zostały zawarte na czas nieokreślony; lub b) wygasają co najmniej 10 lat po dniu 11 stycznia 2024 r.
ROZDZIAŁ IV NIEUCZCIWE POSTANOWIENIA UMOWNE MIĘDZY PRZEDSIĘBIORSTWAMI DOTYCZĄCE DOSTĘPU DO DANYCH I ICH WYKORZYSTYWANIA
- 2 grudnia 2027AI Act
Zaczynają obowiązywać przepisy o systemach AI wysokiego ryzyka wymienionych w załączniku III.
Dokładnie w przepisie
Rozpoczęcie stosowania przepisów dotyczących systemów AI wysokiego ryzyka wymienionych w załączniku III.
2 grudnia 2027 r. w odniesieniu do systemów AI sklasyfikowanych jako systemy wysokiego ryzyka zgodnie z art. 6 ust. 2 i załącznikiem III
ROZDZIAŁ III SYSTEMY AI WYSOKIEGO RYZYKA
ZAŁĄCZNIK III Systemy AI wysokiego ryzyka, o których mowa w art. 6 ust. 2
- 11 grudnia 2027CRA
Wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi zaczynają obowiązywać.
Dokładnie w oficjalnym streszczeniu
Rozpoczęcie stosowania rozporządzenia w sprawie horyzontalnych wymagań cyberbezpieczeństwa.
Rozporządzenie ma zastosowanie od 11 grudnia 2027 r.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi
- 3 kwietnia 2028NIS2/KSC
Pierwszy audyt wymagany ustawą musi zostać przeprowadzony w wyznaczonym terminie.
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Pierwszy audyt, o którym mowa w ustawie, należy przeprowadzić w terminie 24 miesięcy od jej wejścia w życie.
przeprowadzają pierwszy audyt, o którym mowa w art. 15 ust. 1 ustawy zmienianej w art. 1, w brzmieniu nadanym niniejszą ustawą, w terminie 24 miesięcy od dnia wejścia w życie niniejszej ustawy.
Jak policzono: wejście ustawy w życie 3.04.2026 + 24 miesiące - ostatni dzień terminu.
- 4 kwietnia 2028NIS2/KSC
Po raz pierwszy można nakładać kary pieniężne.
Trwają prace nad zmianą tego aktu - termin może się przesunąć.
Dokładnie w przepisie
Termin, od którego kary pieniężne mogą być po raz pierwszy nałożone.
Kary pieniężne, o których mowa w art. 73 ust. 1–4 oraz art. 73a–73c i art. 76b ustawy zmienianej w art. 1 w brzmieniu nadanym niniejszą ustawą mogą być po raz pierwszy nałożone po upływie 2 lat od dnia wejścia w życie ustawy.
Jak policzono: wejście ustawy w życie 3.04.2026 + 2 lata, obowiązuje od następnego dnia.
- 2 sierpnia 2028AI Act
Dokładnie w przepisie
Rozpoczęcie stosowania przepisów dotyczących systemów AI wysokiego ryzyka sklasyfikowanych zgodnie z unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I.
2 sierpnia 2028 r. w odniesieniu do systemów AI sklasyfikowanych jako systemy wysokiego ryzyka zgodnie z art. 6 ust. 1 i załącznikiem I
ROZDZIAŁ III SYSTEMY AI WYSOKIEGO RYZYKA
ZAŁĄCZNIK I Wykaz unijnego prawodawstwa harmonizacyjnego
- 2 sierpnia 2030AI Act
Dostawcy i podmioty stosujące systemy AI wysokiego ryzyka dla organów publicznych
Dokładnie w przepisie
Termin na podjęcie kroków w celu zapewnienia zgodności z wymogami dla systemów AI wysokiego ryzyka przeznaczonych do wykorzystywania przez organy publiczne
dostawcy systemów AI wysokiego ryzyka i podmioty stosujące takie systemy, które są przeznaczone do wykorzystywania przez organy publiczne, podejmują niezbędne kroki w celu zapewnienia zgodności z wymogami i spełnienia obowiązków ustanowionych w niniejszym rozporządzeniu do dnia 2 sierpnia 2030 r.
Artykuł 111 Systemy AI już wprowadzone do obrotu lub oddane do użytku oraz modele AI ogólnego przeznaczenia już wprowadzone do obrotu
- 31 grudnia 2030AI Act
Dokładnie w przepisie
Termin zapewnienia zgodności z rozporządzeniem dla systemów AI będących elementami wielkoskalowych systemów informatycznych utworzonych na podstawie aktów prawnych Unii.
do dnia 31 grudnia 2030 r. zapewnia się zgodność z niniejszym rozporządzeniem w odniesieniu do systemów AI, które stanowią elementy wielkoskalowych systemów informatycznych utworzonych na podstawie aktów prawnych wymienionych w załączniku X
ZAŁĄCZNIK X Akty prawne Unii dotyczące wielkoskalowych systemów informatycznych w przestrzeni wolności, bezpieczeństwa i sprawiedliwości
Już obowiązuje
- 12 września 2026Data Act
Obowiązki dotyczą udostępniania danych z nowych produktów skomunikowanych i powiązanych usług.
Dokładnie w przepisie
Rozpoczęcie stosowania obowiązku udostępniania danych z produktów skomunikowanych i powiązanych usług wprowadzonych na rynek po tej dacie.
Obowiązki wynikające z art. 3 ust. 1 mają zastosowanie do produktów skomunikowanych i usług z nimi powiązanych wprowadzonych na rynek po dniu 12 września 2026 r.
Artykuł 3 Obowiązek udostępniania danych z produktu i z usługi powiązanej użytkownikowi
Artykuł 50 Wejście w życie i rozpoczęcie stosowania
- 11 września 2026CRA
Producenci
Dokładnie w oficjalnym streszczeniu
Rozpoczęcie stosowania obowiązku zgłaszania poważnych incydentów dotyczących cyberbezpieczeństwa i aktywnie wykorzystywanych luk w zabezpieczeniach.
obowiązki sprawozdawcze dotyczące aktywnie wykorzystywanych luk w zabezpieczeniach i poważnych incydentów mają zastosowanie od 11 września 2026 r.
Zgłaszanie incydentów Producenci muszą: bez zbędnej zwłoki zgłaszać poważne incydenty dotyczące cyberbezpieczeństwa i aktywnie wykorzystywane luki w zabezpieczeniach odpowiednim organom krajowym i Agencji Unii Europejskiej ds. Cyberbezpieczeństwa
- 11 sierpnia 2026ustawa o AI
Zaczyna obowiązywać ustawa o sztucznej inteligencji.
Dokładnie w przepisie
Wejście w życie ustawy.
Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia
Jak policzono: ogłoszenie ustawy 27.07.2026 + 14 dni, obowiązuje od następnego dnia.
- 2 sierpnia 2026AI Act
Od tego dnia zaczyna być stosowane rozporządzenie o sztucznej inteligencji.
Dokładnie w przepisie
Ogólne rozpoczęcie stosowania rozporządzenia w sprawie sztucznej inteligencji.
Niniejsze rozporządzenie stosuje się od dnia 2 sierpnia 2026 r.
Artykuł 113 Wejście w życie i rozpoczęcie stosowania
- 4 lipca 2026NIS2/KSC
Data wejścia w życie z oficjalnych danych Dziennika Ustaw.
- 3 kwietnia 2026NIS2/KSC
Dokładnie w przepisie
Wejście w życie ustawy nowelizującej system cyberbezpieczeństwa.
Ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia.
Jak policzono: ogłoszenie ustawy 2.03.2026 + 1 miesiąc, obowiązuje od następnego dnia.
- 12 września 2025Data Act
Zasady o nieuczciwych warunkach dotyczą umów między firmami o dostępie do danych i ich używaniu.
Przedsiębiorstwa zawierające umowy dotyczące dostępu do danych i ich wykorzystywania
Dokładnie w przepisie
Rozpoczęcie stosowania przepisów o nieuczciwych postanowieniach umownych do umów zawartych po tej dacie
Rozdział IV ma zastosowanie do umów zawartych po dniu 12 września 2025 r.
ROZDZIAŁ IV NIEUCZCIWE POSTANOWIENIA UMOWNE MIĘDZY PRZEDSIĘBIORSTWAMI DOTYCZĄCE DOSTĘPU DO DANYCH I ICH WYKORZYSTYWANIA
- 12 września 2025Data Act
Posiadacze danych zobowiązani do udostępniania danych na podstawie prawa Unii lub prawa krajowego zgodnego z prawem Unii
Dokładnie w przepisie
Rozdział III ma zastosowanie wyłącznie do obowiązków udostępniania danych ustanowionych przez prawo Unii lub prawo krajowe zgodne z prawem Unii, które wchodzi w życie po tej dacie.
Rozdział III ma zastosowanie wyłącznie do obowiązków udostępniania danych ustanowionych na mocy prawa Unii lub prawa krajowego przyjętego zgodnie z prawem Unii, które to prawo Unii lub prawo krajowe przyjęte zgodnie z prawem Unii wchodzi w życie po dniu 12 września 2025 r.
ROZDZIAŁ III OBOWIĄZKI POSIADACZY DANYCH ZOBOWIĄZANYCH DO UDOSTĘPNIANIA DANYCH ZGODNIE Z PRAWEM UNII
- 12 września 2025Data Act
Od tego dnia przepisy rozporządzenia zaczynają być stosowane.
Dokładnie w przepisie
Ogólne rozpoczęcie stosowania przepisów rozporządzenia.
Niniejsze rozporządzenie stosuje się od dnia 12 września 2025 r.
Artykuł 50 Wejście w życie i rozpoczęcie stosowania
- 2 sierpnia 2025AI Act
Zaczynają obowiązywać przepisy dotyczące modeli AI ogólnego przeznaczenia.
Dokładnie w przepisie
Rozpoczyna się stosowanie przepisów dotyczących modeli AI ogólnego przeznaczenia.
rozdział III sekcja 4, rozdział V, rozdział VII i rozdział XII oraz art. 78 stosuje się od dnia 2 sierpnia 2025 r., z wyjątkiem art. 101;
ROZDZIAŁ V MODELE AI OGÓLNEGO PRZEZNACZENIA
- 2 lutego 2025AI Act
Zaczynają być stosowane przepisy ogólne i większość przepisów zakazujących praktyk w zakresie AI.
Dokładnie w przepisie
Przepisy ogólne i dotyczące zakazanych praktyk zaczynają być stosowane, z wyjątkiem niektórych przepisów zakazujących praktyk w zakresie AI.
rozdziały I i II stosuje się od dnia 2 lutego 2025 r., z wyjątkiem art. 5 ust. 1 akapit pierwszy lit. ba) i bb) oraz art. 5 ust. 1a i 1b, które stosuje się od dnia 2 grudnia 2026 r.;
ROZDZIAŁ II ZAKAZANE PRAKTYKI
- 18 października 2024NIS2/KSC
Zasady dyrektywy dotyczącej cyberbezpieczeństwa zaczynają obowiązywać.
Dokładnie w oficjalnym streszczeniu
Rozpoczęcie stosowania zasad wynikających z unijnej dyrektywy NIS2.
Zasady obowiązują od 18 października 2024 r.
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r.
OD KIEDY PRZEPISY TE MAJĄ ZASTOSOWANIE?
- 17 lutego 2024DSA
Od tego dnia rozporządzenie o usługach cyfrowych zaczyna mieć zastosowanie.
Dokładnie w oficjalnym streszczeniu
Rozporządzenie zaczyna mieć zastosowanie.
Rozporządzenie ma zastosowanie od 17 lutego 2024 r.
Rozporządzenie (UE) 2022/2065 w sprawie jednolitego rynku usług cyfrowych oraz zmiany dyrektywy 2000/31/WE (akt o usługach cyfrowych)
- 11 stycznia 2024Data Act
Dostawcy usług przetwarzania danych
Dokładnie w przepisie
Dostawcy usług przetwarzania danych mogą nakładać na klienta obniżone opłaty za procedurę zmiany dostawcy.
Od dnia 11 stycznia 2024 r. do dnia 12 stycznia 2027 r. dostawcy usług przetwarzania danych mogą nakładać na klienta obniżone opłaty z tytułu zmiany dostawcy za procedurę zmiany dostawcy.
Artykuł 29 Stopniowe wycofywanie opłat z tytułu zmiany dostawcy
- 16 listopada 2022DSA
Bardzo duże platformy internetowe (VLOP) i bardzo duże wyszukiwarki internetowe (VLOSE)
Dokładnie w oficjalnym streszczeniu
Rozpoczęcie stosowania niektórych przepisów, m.in. dotyczących obowiązków sprawozdawczych i audytów
Niektóre przepisy dotyczące VLOP i VLOSE stosuje się od 16 listopada 2022 r. , w tym obowiązki sprawozdawcze, niezależne audyty
w tym obowiązki sprawozdawcze, niezależne audyty, udostępnianie danych i nadzór (w tym opłaty), czynności sprawdzające, egzekwowanie i monitorowanie.
- 25 maja 2018RODO
RODO zaczyna obowiązywać firmy i większość instytucji publicznych przetwarzających dane osobowe.
Podmioty prywatne i większość podmiotów publicznych przetwarzających dane osobowe.
Dokładnie w oficjalnym streszczeniu
Rozporządzenie RODO zaczyna obowiązywać.
RODO obowiązuje od 25 maja 2018 r.
Rozporządzenie (UE) 2016/679 , czyli ogólne rozporządzenie o ochronie danych (RODO), chroni osoby fizyczne w związku z przetwarzaniem ich danych przez podmioty prywatne oraz przez większość podmiotów publicznych.
Każdy punkt karty ma cytat, który program odnalazł w oficjalnym tekście, a drugi model innej firmy sprawdza, czy opis nie mówi więcej niż cytat. Daty z przepisu stoją w cytacie albo liczy je program z okresu podanego w przepisie; daty nowelizacji pochodzą z danych Sejmu. Wiąże zawsze pełny tekst aktu. To przegląd, nie porada prawna.