Rejestracja w bazie danych UE według aktu o AI: czego wymaga artykuł 49 i od kiedy ma zastosowanie

Artykuł 49 aktu w sprawie sztucznej inteligencji zobowiązuje dostawcę systemu AI wysokiego ryzyka wymienionego w załączniku III do zarejestrowania siebie i tego systemu w bazie danych UE przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Dostawcy, którzy uznają, że ich system z załącznika III nie jest systemem wysokiego ryzyka, również się rejestrują, przy czym ich wpis jest krótszy. Tak samo organy publiczne, które takiego systemu używają.

Baza danych nie została jeszcze uruchomiona. Data, od której obowiązek rejestracji realnie zaczyna działać, przesunęła się w lipcu 2026, a rozporządzenie zmieniające zostawiło lukę redakcyjną, z której wzięły się dwie interpretacje tego, od kiedy stosuje się art. 49. Poniżej stan na 2 października 2026.

Kto musi się zarejestrować

Dostawcy systemów wysokiego ryzyka z załącznika III: art. 49 ust. 1

Załącznik III obejmuje osiem obszarów: biometrię; infrastrukturę krytyczną; kształcenie i szkolenie zawodowe; zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia; dostęp do podstawowych usług prywatnych oraz podstawowych usług i świadczeń publicznych, a także korzystanie z nich; ściganie przestępstw; zarządzanie migracją, azylem i kontrolą graniczną; oraz sprawowanie wymiaru sprawiedliwości i procesy demokratyczne. System przeznaczony do jednego z konkretnych przypadków wykorzystania wymienionych w tych obszarach jest systemem wysokiego ryzyka na podstawie art. 6 ust. 2, chyba że wyłącza go art. 6 ust. 3.

Przed wprowadzeniem takiego systemu do obrotu lub oddaniem go do użytku dostawca „lub, w stosownych przypadkach, jego upoważniony przedstawiciel” rejestruje siebie i system.

Poza art. 49 ust. 1 pozostają dwie kategorie. Systemy infrastruktury krytycznej z załącznika III pkt 2 rejestruje się na poziomie krajowym, zgodnie z art. 49 ust. 5. Natomiast systemy AI wysokiego ryzyka w produktach regulowanych objętych załącznikiem I w ogóle nie są rejestrowane na podstawie art. 49, ponieważ art. 49 ust. 1 wymienia wyłącznie załącznik III.

Dostawcy, którzy uznają, że ich system nie jest systemem wysokiego ryzyka: art. 49 ust. 2

Artykuł 6 ust. 3 pozwala dostawcy uznać, że system z załącznika III nie jest systemem wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, w tym poprzez brak znaczącego wpływu na wynik procesu decyzyjnego. Musi przy tym być spełniony jeden z czterech warunków. System wykonuje wąsko określone zadanie proceduralne. Poprawia wynik zakończonej uprzednio czynności wykonywanej przez człowieka. Wykrywa wzorce podejmowania decyzji lub odstępstwa od nich i nie ma zastępować zakończonej uprzednio oceny dokonanej przez człowieka ani wpływać na nią bez odpowiedniej weryfikacji przez człowieka. Albo wykonuje zadanie przygotowawcze w kontekście oceny istotnej z punktu widzenia przypadków wykorzystania wymienionych w załączniku III.

System, który dokonuje profilowania osób fizycznych, jest zawsze systemem wysokiego ryzyka, niezależnie od tego, który warunek spełnia.

Zgodnie z art. 6 ust. 4 dostawca dokumentuje tę ocenę przed wprowadzeniem systemu do obrotu, przedstawia dokumentację na wniosek właściwego organu krajowego i rejestruje się na podstawie art. 49 ust. 2.

Wniosek Komisji w sprawie Digital Omnibus przewidywał skreślenie art. 49 ust. 2. Tę zmianę odrzucono, więc dostawcy korzystający z wyłączenia nadal się rejestrują, według sekcji B załącznika VIII. Omnibus skrócił jednak sekcję B: punkty 7 i 9 (krótkie podsumowanie powodów takiej oceny oraz państwa członkowskie, w których system jest dostępny) zostały usunięte. Wpis nadal wskazuje warunek z art. 6 ust. 3, na który powołuje się dostawca, a uzasadnienie znajduje się wyłącznie w dokumentacji z art. 6 ust. 4, której organ może zażądać. Wyłączenie nie trzyma Cię poza bazą danych. Umieszcza Twoje stanowisko w publicznym rejestrze, a pisemna ocena, na której się ono opiera, musi istnieć, zanim system trafi do klientów.

Organy publiczne stosujące systemy wysokiego ryzyka: art. 49 ust. 3

Podmioty stosujące będące organami publicznymi albo instytucjami, organami lub jednostkami organizacyjnymi Unii, a także osoby działające w ich imieniu, rejestrują się przed oddaniem do użytku lub wykorzystaniem systemu wysokiego ryzyka wymienionego w załączniku III (ponownie z wyjątkiem pkt 2). Rejestrują siebie, wybierają system w bazie danych i rejestrują jego wykorzystanie.

Artykuł 26 ust. 8 dodaje regułę, która ma największe znaczenie dla firm sprzedających takie systemy. Podmiot stosujący z sektora publicznego, który stwierdzi, że system, który zamierza wykorzystywać, nie został zarejestrowany, nie może go wykorzystywać i informuje o tym dostawcę lub dystrybutora. Jego własny wpis, według sekcji C załącznika VIII, wymaga adresu URL wpisu dostawcy. Klient z sektora publicznego nie dokończy swojej rejestracji, dopóki nie istnieje Twój wpis.

Podmioty stosujące z sektora prywatnego nie mają obowiązku rejestracji na podstawie art. 49.

Systemy z pkt 1, 6 i 7 załącznika III w obszarach ścigania przestępstw oraz zarządzania migracją, azylem i kontrolą graniczną trafiają do bezpiecznej, niepublicznej części bazy danych (art. 49 ust. 4). Wszystko inne, co zarejestrowano na podstawie art. 49, jest publicznie dostępne zgodnie z art. 71 ust. 4.

Dostawcy spoza UE: art. 22

Dostawca mający siedzibę poza Unią musi, na podstawie pisemnego pełnomocnictwa, ustanowić upoważnionego przedstawiciela mającego siedzibę w Unii, zanim udostępni system wysokiego ryzyka na rynku Unii. W przypadku systemów z załącznika III obowiązek ten stosuje się od 2 grudnia 2027. Dane przedstawiciela wpisuje się w pkt 3 sekcji A lub B, a art. 22 ust. 3 lit. e) powierza przedstawicielowi zadanie w samej rejestracji.

Za naruszenie art. 22 grożą kary na podstawie art. 99 ust. 4 lit. b): do 15 mln EUR lub do 3% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, a w przypadku MŚP i małych spółek o średniej kapitalizacji ta, która jest niższa.

Osoba, która składa wpis za dostawcę, nie staje się przez to jego upoważnionym przedstawicielem. Załącznik VIII wymienia osobę przekazującą informacje (pkt 2) i przedstawiciela (pkt 3) osobno, a złożenie wpisu w czyimś imieniu nie spełnia wymogu art. 22.

Od kiedy obowiązuje rejestracja

Co zmieniło rozporządzenie (UE) 2026/1744

Digital Omnibus dotyczący AI stał się rozporządzeniem (UE) 2026/1744 z dnia 8 lipca 2026, opublikowanym w Dzienniku Urzędowym 24 lipca i obowiązującym od 27 lipca 2026. Nadało ono nowe brzmienie art. 113 akapit trzeci lit. c), która przewidywała stosowanie art. 6 ust. 1 od 2 sierpnia 2027. Nowa lit. c) stanowi, że sekcje 1, 2 i 3 rozdziału III, z wyjątkiem art. 6 ust. 5, stosuje się od 2 grudnia 2027 do systemów z załącznika III i od 2 sierpnia 2028 do systemów z załącznika I.

To stałe daty. Wniosek Komisji wiązał początek stosowania przepisów o wysokim ryzyku z dostępnością norm zharmonizowanych i z tego mechanizmu zrezygnowano. Skonsolidowany tekst art. 113 opublikowany przez Komisję pokazuje przyjętą wersję, ale część FAQ AI Act Service Desk wciąż opisuje stary mechanizm.

Luka redakcyjna wokół art. 49

Artykuł 49 znajduje się w sekcji 5 rozdziału III, która obejmuje normy, ocenę zgodności, certyfikaty i rejestrację. Nowa lit. c) wymienia tylko sekcje 1 do 3. Przy dosłownej wykładni sekcja 5 pozostała przy ogólnej dacie rozpoczęcia stosowania, czyli 2 sierpnia 2026.

Ta interpretacja ma niewiele oparcia. Artykuł 49 ust. 1 dotyczy systemów wysokiego ryzyka wymienionych w załączniku III, a stosowanie art. 6, który nadaje im status wysokiego ryzyka, zostało odroczone. Odroczono też przepisy, które nakładają obowiązek rejestracji na poszczególne podmioty: na dostawcę w art. 16 lit. i), na upoważnionego przedstawiciela w art. 22 ust. 3 lit. e) i na podmiot stosujący z sektora publicznego w art. 26 ust. 8. Kary z art. 99 ust. 4 są powiązane z tymi przepisami, a nie z samym art. 49. Do tego nie ma bazy danych, w której można by się zarejestrować.

Komentatorzy są podzieleni. Co najmniej jedna interpretacja trzyma się litery przepisu i wskazuje 2 sierpnia 2026; odpowiedź AI Act Service Desk Komisji, o której pisał Euractiv, wskazuje na grudzień 2027. Przyjmujemy datę 2 grudnia 2027, ale i tak odnotowalibyśmy tę lukę w dokumentacji zgodności.

Systemy już wprowadzone do obrotu: art. 111 ust. 2

Po zmianie art. 111 ust. 2 obejmuje system wysokiego ryzyka wprowadzony do obrotu przed datą stosowania rozdziału III tylko wtedy, gdy później nastąpią istotne zmiany w jego projekcie, oceniane odrębnie dla każdego typu i modelu. W przypadku systemu, który jest wciąż aktywnie rozwijany, ta ulga trwa tylko do pierwszej istotnej zmiany w projekcie. Dostawcy i podmioty stosujące systemy wysokiego ryzyka przeznaczone do wykorzystania przez organy publiczne muszą w każdym razie zapewnić zgodność do 2 sierpnia 2030.

Daty

Gdzie się rejestrujesz: baza danych z art. 71

Zgodnie z art. 71 Komisja we współpracy z państwami członkowskimi tworzy i prowadzi bazę danych UE. Baza nie działa. Odpowiedź AI Act Service Desk z 9 lipca 2026, o której pisał Euractiv, brzmiała: „Ta baza danych nie jest jeszcze otwarta ani nie działa”. Spodziewane uruchomienie wskazano na III kwartał 2027 (omówienie odpowiedzi). To źródło wtórne. Komisja nie opublikowała daty uruchomienia.

Dziś nikt nie może zarejestrować systemu. Jeśli ktoś to oferuje, zapytaj, co dokładnie miałby złożyć i gdzie.

Co zawiera wpis: załącznik VIII

• Większość sekcji A powtarza dokumenty, które i tak musisz mieć. Instrukcja obsługi (art. 13) i deklaracja zgodności UE (art. 47) opisują ten sam system i to samo przeznaczenie, a wpis nie powinien opisywać ich inaczej.
• Niewielu dostawców z załącznika III wskaże jednostkę notyfikowaną. Zgodnie z art. 43 ust. 2 do punktów 2 do 8 stosuje się procedurę kontroli wewnętrznej z załącznika VI. Systemy biometryczne z pkt 1 mogą wymagać udziału jednostki notyfikowanej.
• Opis danych i logiki działania będzie publiczny. Pisz go z myślą o publicznym czytelniku, w tym o konkurencji.
• Pole statusu żyje dłużej niż samo zgłoszenie. Ktoś musi odpowiadać za wpis, gdy system zostanie wycofany z obrotu lub z użytku.

Składanie wpisu w imieniu dostawcy

Załącznik VIII zakłada, że wpis może złożyć ktoś inny niż dostawca. Punkt 2 sekcji A i B wymaga, „w przypadku gdy w imieniu dostawcy informacje przekazuje inna osoba”, imienia i nazwiska, adresu i danych kontaktowych tej osoby; pkt 2 sekcji C przewiduje to samo dla podmiotów stosujących. Zgodnie z art. 71 ust. 5 baza danych zawiera imiona i nazwiska oraz dane kontaktowe osób fizycznych odpowiedzialnych za rejestrację, które „są upoważnione do reprezentowania dostawcy” lub podmiotu stosującego.

Rozporządzenie przewiduje więc składanie wpisu przez osobę trzecią działającą z upoważnienia dostawcy. Nie rozstrzyga jednak kwestii praktycznych. Komisja nie powiedziała, jak portal będzie identyfikował osobę przekazującą informacje, jak trzeba będzie wykazać umocowanie do złożenia wpisu ani czy jedna organizacja będzie mogła składać wpisy za inną przez własny dostęp. Nic z tego nie zostało jeszcze potwierdzone.

Rozsądny plan uwzględnia oba scenariusze: pisemne upoważnienie ze wskazaną osobą fizyczną, która ma umocowanie do reprezentowania dostawcy, oraz dokumentację na tyle kompletną, żeby Twoi pracownicy mogli złożyć wpis sami, bez zaczynania od nowa.

Co zrobić przed uruchomieniem portalu

1. Zinwentaryzuj i sklasyfikuj. Dla każdego systemu AI zapisz punkt załącznika III, pod który podpada (jeśli w ogóle), oraz to, czy jesteś jego dostawcą, czy podmiotem stosującym.
2. Przygotuj dokumentację z art. 6 ust. 4 już teraz dla każdego systemu, który traktujesz jako niebędący systemem wysokiego ryzyka. Wskaż warunek z art. 6 ust. 3, wyjaśnij, dlaczego system nie ma znaczącego wpływu na wynik procesu decyzyjnego, i wprost odnieś się do profilowania.
3. Zestaw harmonogram wydań z datą 2 grudnia 2027. System wprowadzony do obrotu po raz pierwszy od tego dnia albo system już obecny na rynku, którego projekt istotnie się zmienia, potrzebuje wpisu, zanim trafi do klientów.
4. Przygotuj projekt treści według załącznika VIII i uzgodnij go z instrukcją obsługi i deklaracją zgodności. Jeśli prace nad zgodnością wciąż trwają, projekt wcześnie pokaże, gdzie dokumenty sobie przeczą.
5. Jeśli działasz spoza UE, wybierz upoważnionego przedstawiciela. Jego dane trafiają do wpisu.
6. Powiedz klientom z sektora publicznego, kiedy mogą spodziewać się Twojego wpisu. Ich wpis w sekcji C wymaga Twojego adresu URL, a art. 26 ust. 8 zabrania im korzystania z niezarejestrowanego systemu.
7. Wskaż osoby: osobę z umocowaniem prawnym do reprezentowania Twojej firmy, osobę przekazującą informacje, jeśli to ktoś inny, i osobę, która będzie potem odpowiadać za wpis.

Za wpisem stoją dokumentacja techniczna, rejestrowanie zdarzeń i dowody zgodności: to prace nad zgodnością z aktem o AI, które prowadzimy jako projekty inżynierskie. Artykuł 50 to osobna ścieżka, opisana w naszym przewodniku po obowiązkach przejrzystości.

Dokumentacja gotowa już teraz

Za stałą opłatą od każdego systemu AI sprawdzamy klasyfikację względem załącznika III i art. 6 ust. 3, przygotowujemy dokumentację z art. 6 ust. 4 tam, gdzie ma zastosowanie, i już teraz kompletujemy pełną dokumentację rejestracyjną według załącznika VIII, a po uruchomieniu bazy składamy wpis na podstawie Twojego upoważnienia. Jeśli baza danych nie będzie przyjmować wpisów składanych w imieniu dostawcy, zwracamy część opłaty obejmującą złożenie wpisu i przeprowadzamy Cię przez samodzielne złożenie. Pełnienie funkcji Twojego upoważnionego przedstawiciela z art. 22 nie jest częścią usługi. Szczegóły znajdziesz na stronie naszej usługi przygotowania dokumentacji rejestracyjnej, możesz też umówić rozmowę.