Art. 50 AI Act od 2 sierpnia 2026: co obowiązuje przy własnym LLM

Czas czytania: około 7 minut

Spis treści

1. Co realnie zaczęło obowiązywać 2 sierpnia
2. Provider czy deployer, gdy hostujesz własny LLM
3. Cztery obowiązki z art. 50 i kogo dotyczą
4. Dlaczego założenie „to sprawa dostawcy SaaS” się wykłada
5. FAQ
6. Czego tu nie pokrywam
7. Disclosure i biases

Odpowiedź najpierw

Od 2 sierpnia 2026 obowiązuje art. 50 AI Act, czyli obowiązki transparentności: system, który rozmawia z człowiekiem, musi ujawnić, że jest AI, a treść generowana (tekst, obraz, audio, wideo) ma nieść maszynowo czytelne oznaczenie, że powstała sztucznie. Digital Omnibus przesunął obowiązki dla systemów wysokiego ryzyka z Załącznika III na 2 grudnia 2027, ale art. 50 z tego przesunięcia wyłączył: transparentność ruszyła w pierwotnym terminie. Jeśli hostujesz własny model on-prem, kluczowe pytanie nie brzmi „czy nas to dotyczy”, tylko „w jakiej roli”. Przy self-hostingu bardzo często jesteś jednocześnie providerem i deployerem w rozumieniu AI Act, a to dwa różne zestawy obowiązków. Cała popularna dyskusja o art. 50 zakłada, że czytelnik kupuje gotowy SaaS. Przy własnym LLM to założenie nie działa.

Co realnie zaczęło obowiązywać 2 sierpnia

AI Act po pakiecie Digital Omnibus wszedł w życie 27 lipca 2026. Omnibus przesunął w czasie najcięższą część, czyli obowiązki dla systemów wysokiego ryzyka z Załącznika III (nowy termin 2 grudnia 2027) i z Załącznika I (2 sierpnia 2028). Z 2 sierpnia 2026 zostały dwie rzeczy, które warto rozdzielić: obowiązki transparentności z art. 50 oraz zdolność organów nadzoru do nakładania kar.

To rozróżnienie jest częstym źródłem błędu. „AI Act przesunięty” to skrót myślowy dotyczący high-risk. Warstwa transparentności nie została przesunięta i od 2 sierpnia jest egzekwowalna przez krajowe organy nadzoru rynku.

Element AI Act	Data	Status na 3.08.2026
Wejście w życie po Omnibusie	27.07.2026	obowiązuje
Art. 50, obowiązki transparentności	2.08.2026	obowiązuje
Kary za naruszenia (m.in. art. 50)	2.08.2026	egzekwowalne
Systemy wysokiego ryzyka, Załącznik III	2.12.2027	przesunięte
Systemy wysokiego ryzyka, Załącznik I	2.08.2028	przesunięte

Jest jeden bufor: generatywne systemy obecne na rynku przed 2 sierpnia 2026 mają czas do 2 grudnia 2026 na spełnienie wymogu maszynowo czytelnego oznaczania treści z art. 50 ust. 2. To okno techniczne na dostosowanie znakowania, nie zwolnienie z pozostałych obowiązków.

Provider czy deployer, gdy hostujesz własny LLM

AI Act nakłada obowiązki w zależności od roli. Provider to podmiot, który rozwija system AI albo model i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą. Deployer to podmiot, który używa systemu AI w ramach swojej działalności zawodowej.

W modelu SaaS te role są rozdzielone: dostawca chmury jest providerem, ty jesteś deployerem. Przy self-hostingu granica się zaciera. Jeśli bierzesz model otwartowagowy, dostrajasz go, budujesz wokół niego aplikację i udostępniasz ją użytkownikom pod własną marką, w wielu scenariuszach wchodzisz w rolę providera dla tego konkretnego systemu, a jednocześnie pozostajesz deployerem, bo sam go używasz. To nie jest niuans prawniczy dla ozdoby. Provider i deployer mają w art. 50 różne obowiązki, więc jedna organizacja może odpowiadać za oba końce łańcucha naraz.

Praktyczny wniosek: zanim ocenisz, co musisz zrobić, ustal rolę per system, a nie per firma. Ten sam zespół może być deployerem wewnętrznego asystenta i providerem narzędzia wystawionego klientom.

Cztery obowiązki z art. 50 i kogo dotyczą

Art. 50 opisuje cztery główne sytuacje. Poniżej w skrócie, z zaznaczeniem, po której stronie leży obowiązek.

Sytuacja	Obowiązek	Rola
System rozmawia bezpośrednio z człowiekiem (chatbot, asystent)	Poinformować, że rozmówca ma do czynienia z AI, chyba że to oczywiste z kontekstu	Provider
Generowanie treści (tekst, obraz, audio, wideo)	Oznaczyć wynik maszynowo czytelnie jako wygenerowany lub zmanipulowany sztucznie	Provider
Deepfake, czyli treść łudząco podobna do realnych osób, miejsc, zdarzeń	Ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana	Deployer
Rozpoznawanie emocji lub kategoryzacja biometryczna	Poinformować osoby, których to dotyczy, o działaniu systemu	Deployer

Dla wdrożenia on-prem oznacza to konkret. Jeśli wystawiasz asystenta rozmawiającego z klientem, jako provider odpowiadasz za informację „to jest AI” i za oznaczanie generowanej treści. Jeśli używasz wewnętrznie modelu, który tworzy materiały mogące trafić na zewnątrz, wracasz na stronę deployera z obowiązkiem ujawnienia. Znakowanie treści (art. 50 ust. 2) ma być maszynowo czytelne, więc nie wystarczy dopisek w stopce interfejsu, potrzebne jest oznaczenie na poziomie samego artefaktu.

Dlaczego założenie „to sprawa dostawcy SaaS” się wykłada

Większość poradników do art. 50 pisana jest z perspektywy firmy, która kupuje gotowy produkt i pyta, czego wymagać od dostawcy. Przy self-hostingu ta perspektywa prowadzi na manowce z trzech powodów.

Po pierwsze, nie ma zewnętrznego providera, na którego zrzucisz obowiązek oznaczania. Jeśli sam wprowadzasz system do użytku pod własną nazwą, obowiązek providera jest twój.

Po drugie, kary są realne od pierwszego dnia. Za naruszenie obowiązków providera i deployera, w tym art. 50, organy mogą nakładać kary do 15 mln euro lub 3 procent światowego rocznego obrotu, zależnie od tego, która wartość jest wyższa. Egzekucja jest możliwa od 2 sierpnia 2026, a nie dopiero od terminów high-risk.

Po trzecie, kontrola nad architekturą on-prem, którą traktuje się jako atut, przy art. 50 zamienia się w odpowiedzialność. Skoro to ty trzymasz wagi modelu i budujesz warstwę aplikacji, to ty odpowiadasz za to, że oznaczanie i informowanie faktycznie działa w produkcie, a nie że „dostawca to załatwił”.

FAQ

Czy art. 50 AI Act został przesunięty przez Digital Omnibus? Nie. Omnibus przesunął obowiązki dla systemów wysokiego ryzyka z Załącznika III na 2 grudnia 2027 i z Załącznika I na 2 sierpnia 2028. Art. 50 obowiązuje od 2 sierpnia 2026.

Hostuję model on-prem tylko na potrzeby wewnętrzne. Czy dotyczy mnie art. 50? Zależy od zastosowania. Jeśli system rozmawia z ludźmi albo generuje treść, która trafia na zewnątrz, obowiązki transparentności mogą cię dotyczyć nawet przy użyciu wewnętrznym. Rolę ustala się per system.

Czy przy własnym LLM jestem providerem czy deployerem? Często oboma naraz. Jeśli wprowadzasz system do użytku pod własną nazwą, wchodzisz w rolę providera, a używając go pozostajesz deployerem. To dwa różne zestawy obowiązków.

Jaka jest maksymalna kara za naruszenie art. 50? Do 15 mln euro lub 3 procent światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa.

Do kiedy mam czas na maszynowo czytelne oznaczanie treści? Systemy generatywne obecne na rynku przed 2 sierpnia 2026 mają czas do 2 grudnia 2026 na spełnienie wymogu z art. 50 ust. 2.

// co tu nie pokrywamCzego tu nie pokrywam

Ten tekst dotyczy wyłącznie obowiązków transparentności z art. 50 i podziału ról provider/deployer w kontekście self-hostingu. Nie omawiam obowiązków dla systemów wysokiego ryzyka z Załącznika III ani wymogów dla modeli ogólnego przeznaczenia (GPAI). Nie jest to porada prawna: konkretna kwalifikacja twojego systemu wymaga analizy z prawnikiem znającym twój przypadek. Nie rozstrzygam też sporów interpretacyjnych, które będą się wykluwać z praktyki krajowych organów nadzoru w kolejnych miesiącach.

// disclosure i biasesDisclosure i biases

aionprem prowadzi treści o AI on-prem i compliance, więc mamy wbudowany interes w tym, żeby self-hosting wyglądał na wykonalny. Staram się to równoważyć: art. 50 pokazuję jako obowiązek, który przy self-hostingu bywa cięższy niż przy SaaS, a nie lżejszy. Daty i progi kar podaję za tekstem rozporządzenia i publikacjami kancelarii, z linkami w źródłach. Tam, gdzie status jest nieostry (np. kwalifikacja konkretnego systemu jako high-risk), zaznaczam to zamiast upraszczać.

Następny krok

Jeśli chcesz zobaczyć, jak art. 50 zazębia się z NIS2, RODO i ISO 27001 bez trzykrotnego robienia tej samej pracy, przeczytaj Cross-mapping NIS2, AI Act, RODO, ISO 27001 bez dublowania.

Powiązane

• AI Act w produkcji: klasyfikacja high-risk i co to znaczy dla wdrożenia
• Cross-mapping NIS2, AI Act, RODO, ISO 27001 bez dublowania
• DPA dla AI vendora: 8 klauzul, których brak wywróci audyt
• NIS2 plus AI: mapowanie Art. 21 na konkretne kontrole, jedna ściąga

Źródła

• Tekst i przewodnik po art. 50 na EU Artificial Intelligence Act potwierdzają zakres obowiązków transparentności.
• Analiza kancelarii Sidley „EU AI Act Transparency Obligations: Preparing for Compliance by 2 August 2026” opisuje terminy i zakres.
• Nota Cloud Security Alliance o wejściu art. 50 w życie omawia egzekucję i pakiet Omnibus.

Fryderyk Pryjma. Zajmuje się wdrożeniami AI on-prem dla europejskiej produkcji i pisze o styku architektury, compliance i regulacji.