Ustawa o systemach sztucznej inteligencji 2026 — co się zmienia dla firm i jak przygotować się na kontrolę?

W skrócie: 24 lipca 2026 r. Prezydent podpisał ustawę o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). W mediach można przeczytać, że ustawa wchodzi w życie 11 sierpnia. W rzeczywistości jednak wejście w życie obejmuje trzy różne terminy, a dla firm przygotowujących się do kontroli KRiBSI szczególne znaczenie ma 28 października — choć część obowiązków AI Act stosuje się już wcześniej.

Od tej daty Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji dostaje prawo do kontroli i nakładania kar, które za poszczególne naruszenia mogą wynosić do 35 mln EUR albo 7% światowego obrotu (art. 99 ust. 3 AI Act w odniesieniu do praktyk zakazanych).

Jeśli dana firma czekała z wdrożeniem części obowiązków z AI Act do chwili „wdrożenia polskiej ustawy", to był to błąd. Obowiązek dotyczący kompetencji w zakresie AI obowiązuje od 2 lutego 2025 r. (art. 4 AI Act) bez względu na to, czy w Polsce był uregulowany organ nadzoru. Warto przy tym odnotować, że Digital Omnibus złagodził brzmienie tego przepisu, o czym piszę w dalszej części.

Czym ta ustawa jest, a czym nie jest

AI Act to rozporządzenie unijne (rozporządzenie 2024/1689), a nie dyrektywa. Obowiązuje bezpośrednio we wszystkich państwach członkowskich i nie wymaga transpozycji do prawa krajowego.

Polska ustawa nie zastępuje więc AI Act i nie tworzy własnego katalogu zasadniczych wymogów dotyczących systemów AI. Ustanawia natomiast krajowe obowiązki organizacyjne, proceduralne, kontrolne i sankcyjne — m.in. obowiązki kontrolowanego w toku kontroli, obowiązki uczestnika piaskownicy oraz odpowiedzialność za utrudnianie kontroli. Zadaniem tego aktu prawnego jest zapewnienie krajowych warunków stosowania rozporządzenia, tj. m.in. wskazanie organu, procedur i sankcji.

Ustawa reguluje w szczególności:

• organizację nadzoru nad rynkiem systemów AI,
• status, skład i kompetencje KRiBSI,
• zasady współpracy z innymi organami,
• procedurę kontroli przedsiębiorców,
• postępowanie w sprawie naruszenia AI Act,
• zasady nakładania administracyjnych kar pieniężnych,
• możliwość występowania o opinie indywidualne,
• funkcjonowanie piaskownic regulacyjnych.

Maksymalne poziomy administracyjnych kar pieniężnych wynikają z AI Act, natomiast ustawa krajowa określa procedurę ich nakładania i wprowadza dodatkowo odpowiedzialność wykroczeniową za niektóre zachowania.

Trzy terminy zamiast jednego

Ustawa z 3 lipca 2026 r. została ogłoszona 27 lipca 2026 r. Wchodzi w życie etapami:

• 28 lipca 2026 r. — art. 125 ust. 4, który zobowiązuje ministra do podjęcia działań niezbędnych do utworzenia komórki organizacyjnej oraz rozpoczęcia działalności Komisji i jej przewodniczącego;
• 11 sierpnia 2026 r. — zasadnicza część ustawy;
• 28 października 2026 r. — przepisy o opiniach indywidualnych, kontrolach, postępowaniach w sprawie naruszeń, układach, administracyjnych karach pieniężnych oraz zaskarżaniu rozstrzygnięć Komisji.

Dla przedsiębiorcy praktyczne znaczenie ma przede wszystkim ostatnia data, ponieważ dopiero od 28 października Komisja będzie wyposażona w mechanizm do nakładania kar oraz sankcji.

Kto będzie nadzorował rynek AI w Polsce?

Głównym krajowym organem nadzoru rynku systemów AI będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Ustawa określa ją jako organ nadzoru rynku oraz pojedynczy punkt kontaktowy.

Komisja będzie organem administracji publicznej, a jej obsługę zapewni wyodrębniona komórka urzędu obsługującego ministra właściwego do spraw informatyzacji. Osoby wchodzące w skład Komisji mają być niezależne w wykonywaniu swoich funkcji.

KRiBSI będzie liczyć siedem osób, tj. przewodniczącego, dwóch zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE. W skład Komisji nie wejdą przy tym osobiście prezesi tych organów — ustawa przewiduje wyznaczenie przez nich członków.

Przewodniczącego powoła Sejm za zgodą Senatu na pięcioletnią kadencję. Przy Komisji ma działać Społeczna Rada do spraw Sztucznej Inteligencji, czyli organ opiniodawczo-doradczy liczący od 9 do 15 członków.

Kiedy KRiBSI faktycznie zacznie działać?

Przewodniczący powinien zostać powołany w terminie dwóch miesięcy od zasadniczego wejścia ustawy w życie, a więc do 11 października 2026 r. Pierwsze posiedzenie Komisji powinno zostać zwołane w ciągu trzech miesięcy, czyli do 11 listopada 2026 r.

Podstawą są tu przepisy przejściowe: Sejm za zgodą Senatu powołuje Przewodniczącego w terminie 2 miesięcy od wejścia ustawy w życie, a pierwsze posiedzenie Komisji jej Przewodniczący zwołuje w terminie 3 miesięcy (art. 125 ust. 2 i 3 ustawy). Są to terminy instrukcyjne, a wybór Przewodniczącego przez Sejm za zgodą Senatu pozostaje procedurą polityczną — planując wdrożenie, realniej liczyć się z poślizgiem niż z przyspieszeniem.

Wcześniejsze ukonstytuowanie Komisji nie uruchomi całego systemu, ponieważ przepisy o kontrolach, postępowaniach i karach zaczynają obowiązywać dopiero 28 października 2026 r.

Czy to znaczy, że do 28 października AI Act w ogóle w Polsce nie będzie stosowany?

Odpowiedź na powyższe pytanie jest negatywna. Podmioty powinny stosować AI Act od daty wejścia w życie określonego przepisu, niezależnie od tego, czy krajowy organ nadzoru został już utworzony.

Czy egzekwowanie ich później to karanie „z mocą wsteczną"? Odpowiedź wymaga rozdzielenia dwóch kwestii. AI Act obowiązuje zgodnie z własnym harmonogramem, niezależnie od daty uruchomienia polskiego organu nadzoru, co oznacza, że obowiązek materialny mógł powstać znacznie wcześniej. Nie przesądza to jednak automatycznie, że każda sankcja administracyjna może objąć zachowanie zakończone przed wejściem w życie krajowych przepisów proceduralnych i sankcyjnych, ponieważ jest to odrębne zagadnienie intertemporalne. Inaczej należy przy tym oceniać trwający stan niezgodności, który Komisja może badać i nakazać jego usunięcie po uzyskaniu kompetencji.

Warto przy tym odnotować, że opóźnienie w wyznaczeniu organu nadzoru nie jest polską specyfiką. AI Act zobowiązywał państwa członkowskie do wskazania krajowego organu do 2 sierpnia 2025 r., a terminu tego nie dotrzymała część państw członkowskich.

Jakie uprawnienia kontrolne otrzyma Komisja?

Od 28 października 2026 r. KRiBSI będzie mogła prowadzić kontrole przestrzegania przepisów o sztucznej inteligencji oraz postępowania w sprawie naruszeń.

Kontrola nie ograniczy się do samego oprogramowania. Komisja będzie mogła badać m.in.:

• dokumentację systemu AI,
• sposób jego wdrożenia i wykorzystywania,
• dane i informacje pozostające pod kontrolą przedsiębiorcy,
• dostęp do systemów informatycznych i usług chmurowych,
• procedury wewnętrzne,
• rozwiązania dotyczące nadzoru człowieka,
• sposób reagowania na ryzyka i incydenty,
• wykonywanie obowiązków informacyjnych i dokumentacyjnych.

W praktyce oznacza to, że kontrola może sięgać nie tylko do samego systemu, ale też do umów z dostawcami, logów i procedur wewnętrznych. Uprawnienia obejmują dokumenty, korespondencję elektroniczną, nośniki, urządzenia i systemy teleinformatyczne, a w zakresie dostępu przysługującego kontrolowanemu, także zasoby w chmurze należącej do innego podmiotu.

Co do zasady kontrola rozpoczyna się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia o jej wszczęciu i co do zasady jest prowadzona zdalnie, przy użyciu środków komunikacji elektronicznej. Czynności w siedzibie kontrolowanego wymagają szczególnej podstawy, związanej z podejrzeniem szkody albo znacznym prawdopodobieństwem jej wystąpienia. Z punktu widzenia firmy oznacza to, że warto mieć jedno miejsce, z którego da się sprawnie pobrać dokumentację, korespondencję, logi oraz informacje uzyskane od dostawców.

W terminie 14 dni kontrolowany podpisuje protokół i doręcza go Komisji albo składa pisemne zastrzeżenia. Brak którejkolwiek z tych czynności uznaje się za odmowę podpisania protokołu.

Kontrolerów obowiązuje poufność, a ochroną mają zostać objęte również tajemnica przedsiębiorstwa i inne tajemnice prawnie chronione.

Dla przypadków bezpośredniego zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych ustawa przewiduje odrębny tryb. Komisja może wtedy nakazać operatorowi zaprzestanie stosowania systemu albo jego wycofanie z rynku lub z użytkowania, a takiej decyzji może nadać rygor natychmiastowej wykonalności (art. 63 ust. 2 ustawy). To rozgraniczenie ma znaczenie: w toku prac legislacyjnych zrezygnowano z nakazów tego rodzaju w trybie zwykłym, więc w uchwalonym tekście nakaz zaprzestania stosowania albo wycofania systemu z rynku pozostał wyłącznie w trybie bezpośredniego ryzyka.

W zwykłym postępowaniu decyzja stwierdzająca naruszenie zawiera natomiast środki nakazujące usunięcie skutków naruszenia w terminie 14 dni od jej doręczenia — jest to element obligatoryjny, a nie fakultatywny. Maksymalny czas postępowania Komisji wobec jednej firmy został w toku prac legislacyjnych skrócony z roku do sześciu miesięcy, liczonych od doręczenia stronie postanowienia o wszczęciu postępowania (art. 60 ust. 3 ustawy).

W zakresie nieuregulowanym ustawa odsyła do Kodeksu postępowania administracyjnego (art. 64 ustawy), co przesądza o uprawnieniach strony w toku postępowania. Odwołania od decyzji oraz zażalenia na postanowienia wskazane w ustawie rozpoznaje Sąd Okręgowy w Warszawie, czyli sąd ochrony konkurencji i konsumentów (art. 65 ustawy oraz art. 479⁸⁸ᵃ i nast. Kodeksu postępowania cywilnego).

Czy do KRiBSI będzie można złożyć skargę?

Ustawa przewiduje możliwość złożenia skargi dotyczącej naruszenia przepisów AI Act, przy czym uprawnienie to przysługuje zarówno osobom fizycznym, jak i innym podmiotom.

Samo złożenie skargi nie przesądza jednak o wszczęciu postępowania ani o nałożeniu kary, ponieważ Komisja ocenia najpierw zakres swojej właściwości, charakter zgłoszonego problemu oraz to, czy zachodzą podstawy do podjęcia czynności kontrolnych.

Najważniejsze terminy AI Act

Harmonogram wejścia w życie poszczególnych obowiązków z AI Act nie pokrywa się z harmonogramem obowiązywania przepisów polskiej ustawy. Są to dwa różne kalendarze i warto je rozdzielić.

Obowiązek dotyczący kompetencji w zakresie AI, czyli AI literacy (art. 4 AI Act), obowiązuje od 2 lutego 2025 r. i nie powstaje dopiero w sierpniu 2026 r., jak często mówi się w mediach. U Klientów, którzy trafiają do nas z pytaniem o AI Act, jest to najczęściej przeoczony obowiązek.

Warto przy tym zwrócić uwagę na zmianę, której nie odnotowuje większość opracowań. Digital Omnibus zmienił brzmienie art. 4 AI Act w ten sposób, że organizacje mają podejmować środki wspierające rozwój kompetencji w zakresie AI, bez obowiązku zagwarantowania określonego poziomu wiedzy każdej osobie. Data rozpoczęcia stosowania pozostaje bez zmian, natomiast sam standard został złagodzony, co ma znaczenie przy ocenie, czy firma dochowała należytej staranności.

Co zmienił AI Omnibus

Projekt zmian przedstawiono 19 listopada 2025 r. Parlament Europejski przyjął pakiet 16 czerwca 2026 r., Rada zatwierdziła go 29 czerwca, przewodniczący obu instytucji podpisali akt 8 lipca, a rozporządzenie (UE) 2026/1744 ukazało się w Dzienniku Urzędowym 24 lipca i weszło w życie 27 lipca 2026 r.

Dla przedsiębiorców najważniejsze jest przesunięcie terminów dla systemów wysokiego ryzyka. Wymogi dla systemów z załącznika III, obejmujących m.in. część rozwiązań stosowanych w rekrutacji, edukacji, infrastrukturze krytycznej, ocenie dostępu do usług oraz migracji, będą stosowane od 2 grudnia 2027 r. Dla systemów powiązanych z produktami regulowanymi odrębnymi przepisami termin przesunięto do 2 sierpnia 2028 r.

Omnibus rozszerzył też katalog praktyk zakazanych z art. 5 AI Act o systemy przeznaczone do generowania lub manipulowania intymnymi wizerunkami bez zgody oraz materiałów przedstawiających seksualne wykorzystywanie małoletnich, przy czym na wdrożenie zabezpieczeń technicznych przewidziano okres przejściowy do 2 grudnia 2026 r.

Przesunięcie terminów nie jest jednak powodem, żeby wstrzymać wdrażanie AI ACT. Klasyfikacja systemów, ustalenie ról w łańcuchu dostaw, dokumentacja, ocena dostawców są procesem ciągłym, który wymaga znacznego nakładu czasu. Formalne wypełnienie tych obowiązków przy kontroli może okazać się niewystarczające.

Kiedy trzeba informować, że to AI?

Od 2 sierpnia 2026 r. stosuje się zasadnicze obowiązki przejrzystości z art. 50 AI Act. Obowiązek nie obejmuje przy tym każdej firmy korzystającej z AI ani każdej wygenerowanej treści.

Dobrze obrazuje to przykład chatbota zakupionego na firmową stronę. W przypadku gdy firma kupuje gotowe narzędzie i wdraża je bez zmian, obowiązek poinformowania użytkownika obciąża co do zasady dostawcę. Sama konfiguracja gotowego rozwiązania nie przesądza przy tym o przejęciu roli dostawcy. Ryzyko takiej zmiany rośnie natomiast wtedy, gdy firma oferuje system pod własną nazwą lub znakiem towarowym, dokonuje kwalifikowanej modyfikacji systemu wysokiego ryzyka albo zmienia jego przeznaczenie w sposób powodujący objęcie go reżimem systemów wysokiego ryzyka (art. 25 AI Act).

Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem powinien zapewnić, by użytkownik został poinformowany, że kontaktuje się z systemem AI, chyba że wynika to jasno z okoliczności. Dostawca systemu generującego treści powinien z kolei zapewnić techniczne oznaczenie danych wyjściowych w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2 AI Act).

Przy tym drugim obowiązku Digital Omnibus wprowadził rozróżnienie, które w praktyce przesądza o terminie. Systemy wprowadzane do obrotu od 2 sierpnia 2026 r. muszą spełniać wymóg maszynowo odczytywalnego oznaczania od razu, natomiast dla systemów wprowadzonych do obrotu przed tą datą obowiązek stosuje się dopiero od 2 grudnia 2026 r. Data wprowadzenia systemu do obrotu decyduje więc o tym, który reżim obowiązuje.

Podmiot stosujący ma własne obowiązki, dotyczące m.in.:

• systemów rozpoznawania emocji (art. 50 ust. 3 AI Act),
• systemów kategoryzacji biometrycznej,
• deepfake'ów (art. 50 ust. 4 AI Act),
• określonych tekstów generowanych lub modyfikowanych przez AI i publikowanych po to, by informować społeczeństwo o sprawach interesu publicznego.

Najpierw trzeba więc ustalić, czy firma jest dostawcą, podmiotem stosującym (czyli tym, kto z systemu korzysta w swojej działalności), importerem, dystrybutorem czy producentem produktu zawierającego system AI.

Ile realnie zapłaci firma?

Art. 99 AI Act ustanawia trzy pułapy kar.

Do 35 mln EUR albo 7% obrotu. Najwyższy próg dotyczy naruszenia zakazów z art. 5 AI Act (art. 99 ust. 3 AI Act). Jeżeli sprawcą jest przedsiębiorstwo, kara może wynieść do 7% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego albo do 35 mln EUR, przy czym stosuje się wartość wyższą.

Do 15 mln EUR albo 3% obrotu. Drugi próg obejmuje m.in. naruszenia obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmiotów stosujących i jednostek notyfikowanych, a także obowiązków przejrzystości z art. 50. W praktyce może chodzić o brak informacji o kontakcie z AI, nieprawidłowe oznaczenie deepfake'a albo niewykonanie obowiązków dotyczących systemu wysokiego ryzyka po rozpoczęciu ich stosowania.

Do 7,5 mln EUR albo 1% obrotu. Trzeci próg (art. 99 ust. 5 AI Act) dotyczy przekazania organom informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd.

Czy MŚP podlegają takim samym karom?

Mikro, małe i średnie przedsiębiorstwa nie są zwolnione ze stosowania AI Act. Rozporządzenie ogranicza jednak pułap ich odpowiedzialności: dla MŚP maksymalna kara = niższa z dwóch wartości, czyli kwota nominalna albo procent obrotu.

Przy rocznym światowym obrocie 1 mln EUR maksymalna kara w najwyższej kategorii wyniosłaby więc co do zasady 70 tys. EUR, ponieważ 7% obrotu jest wartością niższą niż 35 mln EUR. Dla dużego podmiotu powyższa reguła będzie działać w sposób odwrotny.

Kary w maksymalnej wysokości nie będą nakładane automatycznie. Organ będzie musiał uwzględnić m.in. charakter, wagę i czas trwania naruszenia, liczbę osób dotkniętych, rozmiar szkody, wielkość i udział rynkowy przedsiębiorcy, umyślność, wcześniejsze naruszenia, działania naprawcze, poziom współpracy oraz inne sankcje związane z tym samym zdarzeniem.

Kwoty wyrażone w euro będą przeliczane na złote według średniego kursu NBP z 28 stycznia danego roku albo z najbliższej późniejszej tabeli, a samą karę należy uiścić w terminie 30 dni od uprawomocnienia się decyzji.

Ryzyko, które bywa dotkliwsze niż sama kara

Konsekwencje nie kończą się na kwocie. Decyzje Komisji mają być publikowane w Biuletynie Informacji Publicznej, po usunięciu informacji stanowiących tajemnice prawnie chronione. Komisja ma ponadto prowadzić wykaz systemów, wobec których wydano decyzję o nałożeniu kary, obejmujący nazwę systemu i operatora, opis działania oraz naruszone przepisy.

Dla firmy technologicznej oznacza to, że skutki sięgają relacji z klientami, procesów zakupowych u większych kontrahentów oraz rozmów o finansowaniu. Kara finansowa jest jednorazowa, natomiast wpis w jawnym wykazie pozostaje elementem, który kontrahent sprawdzi przy due diligence.

Czy członek zarządu odpowiada osobiście?

Ustawa nie wprowadza ogólnej zasady, według której zarząd odpowiadałby własnym majątkiem za każdą karę administracyjną nałożoną na spółkę.

Przewiduje jednak odrębną odpowiedzialność wykroczeniową, m.in. za utrudnianie lub udaremnianie kontroli, utrudnianie czynności w postępowaniu oraz niewykonanie decyzji wydanej w razie bezpośredniego ryzyka dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 63 ust. 2 ustawy). Odpowiedzialność może objąć również osobę działającą w imieniu lub interesie osoby prawnej.

W praktyce liczy się więc nie tylko zgodność samych systemów, ale też procedura reagowania na kontrolę i korespondencja z Komisją.

Piaskownica regulacyjna

KRiBSI ustanawia piaskownicę regulacyjną, w której wybrane podmioty przetestują rozwiązania AI w kontrolowanych warunkach — ustawa nakłada tu na Komisję obowiązek, a nie tylko uprawnienie. Fakultatywne pozostaje natomiast ustanowienie piaskownicy wspólnie z innymi organami. W ramach piaskownicy będzie można uzyskać zgodę na czasowe odstępstwo od stosowania niektórych przepisów wskazanych w ustawie.

Dla mikro, małych i średnich przedsiębiorców udział będzie nieodpłatny. Dla pozostałych podmiotów ustawa przewiduje opłatę za uczestnictwo i określa jej maksymalną wysokość, a szczegółową wysokość oraz sposób wnoszenia pozostawia rozporządzeniu ministra właściwego do spraw informatyzacji.

Udział w piaskownicy nie następuje przy tym na sam wniosek. Wybór projektów odbywa się w drodze konkursu organizowanego przez Komisję, oceny dokonuje zespół konkursowy, a preferowane są podmioty z Unii Europejskiej. Podmiotowi, który nie został zakwalifikowany, przysługuje odwołanie w terminie 7 dni. Dla planowania po stronie przedsiębiorcy oznacza to, że piaskownicy nie da się potraktować jako rozwiązania dostępnego od ręki.

AI Omnibus przesunął termin uruchomienia przez państwa członkowskie co najmniej jednej krajowej piaskownicy regulacyjnej do 2 sierpnia 2027 r. (art. 57 AI Act). Samo uchwalenie polskiej ustawy nie przesądza zatem, że piaskownica już działa, w związku z czym aktualny stan jej wdrożenia warto weryfikować w komunikatach KRiBSI i ministra właściwego do spraw informatyzacji.

Jak to może wyglądać w praktyce. Startup medyczny rozwija narzędzie wspomagające analizę obrazów diagnostycznych, które prawdopodobnie będzie systemem wysokiego ryzyka, a przy tym może podlegać równolegle przepisom o wyrobach medycznych. Testowanie takiego rozwiązania w warunkach rzeczywistych, czyli na realnych danych pacjentów, rodzi ryzyko naruszenia obowiązków, których zakres nie jest jeszcze przesądzony. Udział w piaskownicy pozwala prowadzić testy pod nadzorem organu i uzyskać zgodę na czasowe odstępstwo od stosowania niektórych przepisów wskazanych w ustawie, na czas określony w decyzji. Dla podmiotu spełniającego kryteria MŚP udział pozostaje nieodpłatny, co przy kilkumiesięcznym procesie ma realne znaczenie dla budżetu wdrożenia. Trzeba jednak pamiętać, że wejście do piaskownicy poprzedza konkurs, a nie samo zgłoszenie.

Opinia indywidualna, czyli interpretacja w sprawie AI

Od 28 października 2026 r. podmiot objęty AI Act, a także planujący działalność, która może zostać objęta tymi przepisami, będzie mógł wystąpić do Komisji o opinię indywidualną.

Wniosek może dotyczyć istniejącego stanu faktycznego, zdarzenia przyszłego, zakresu zastosowania AI Act lub ustawy krajowej, a także obowiązków związanych z planowanym wdrożeniem systemu.

Opłata wyniesie 150 zł. Komisja powinna wydać opinię w ciągu 30 dni, a w sprawie szczególnie skomplikowanej w ciągu 60 dni, a jeżeli nie wyda jej w terminie, stanowisko wnioskodawcy uznaje się za prawidłowe (rozwiązanie bardzo podobne do interpretacji podatkowych).

Opinia będzie wiążąca dla Komisji i organów uczestniczących w jej wydaniu, a zastosowanie się do niej przed zmianą, uchyleniem albo wygaśnięciem nie może szkodzić wnioskodawcy.

Ochrona ta nie jest jednak bezwzględna i bezterminowa. Opinia może zostać zmieniona lub uchylona, np. po zmianie prawa albo orzecznictwa, Jeżeli rzeczywisty stan faktyczny różni się od opisanego we wniosku, opinia nie wiąże w odniesieniu do tego odmiennego stanu, a złożenie fałszywego oświadczenia o braku innych postępowań sprawia, że opinia nie wywołuje skutków prawnych.

Jak to może wyglądać w praktyce. Spółka z branży HR-tech planuje wdrożenie narzędzia wspierającego selekcję kandydatów i nie ma pewności, czy będzie ono systemem wysokiego ryzyka z załącznika III do AI Act. Zamiast wdrażać rozwiązanie i czekać na stanowisko organu przy ewentualnej kontroli, spółka opisuje planowane zdarzenie przyszłe we wniosku o opinię indywidualną i wnosi opłatę w wysokości 150 zł. Jeżeli Komisja nie wyda opinii w terminie 30 dni, albo 60 dni, gdy wcześniej poinformuje spółkę, że sprawa jest szczególnie skomplikowana, stanowisko przedstawione przez spółkę uznaje się za prawidłowe. Otrzymana opinia wiąże Komisję, więc spółka wdraża system, wiedząc, jakie obowiązki dokumentacyjne będą od niej wymagane, a nie ustalając tego dopiero w toku postępowania kontrolnego.

Warto pamiętać, że ten sam podmiot nie może złożyć kolejnego wniosku o opinię indywidualną wcześniej niż po upływie 30 dni od poprzedniego wniosku, co ogranicza możliwość „testowania" kilku wariantów jednocześnie.

Kto jeszcze może kontrolować AI w firmie?

Powstanie KRiBSI nie oznacza, że wszystkie sprawy związane z AI przejmie jeden organ. W zależności od sektora, rodzaju danych i zastosowania systemu istotne pozostaną kompetencje m.in. Prezesa UODO, Prezesa UOKiK, Prezesa UKE, Komisji Nadzoru Finansowego, KRRiT, organów cyberbezpieczeństwa oraz organów właściwych dla produktów leczniczych i wyrobów medycznych.

Jeden system może być objęty kilkoma reżimami jednocześnie. System oceniający pracowników może podlegać jednocześnie AI Act, przepisom o ochronie danych osobowych, prawu pracy i regulacjom antydyskryminacyjnym.

Sankcja na podstawie jednego reżimu nie wyłącza automatycznie odpowiedzialności na podstawie innych przepisów. Organy muszą uwzględniać proporcjonalność, wcześniejsze sankcje oraz zakaz ponownego karania za to samo naruszenie w zakresie, w jakim znajduje zastosowanie.

Kogo polska ustawa nie obejmuje

Ustawa nie ma zastosowania m.in. do określonych spraw z zakresu bezpieczeństwa narodowego i obronności, w tym działalności wskazanych służb specjalnych.

Wyłączenia dotyczą również badań naukowych i prac rozwojowych, o ile nie obejmują testowania systemów w warunkach rzeczywistych. Komercyjne wdrożenie albo pilotaż w realnym środowisku nie będzie więc automatycznie objęty wyłączeniem.

Osoba fizyczna korzystająca z AI wyłącznie w celach osobistych, niezwiązanych z działalnością gospodarczą, zawodową, rolniczą ani inną regulowaną, nie jest na gruncie polskiej ustawy traktowana jak podmiot stosujący.

Co firma powinna zrobić teraz

Najważniejszą kwestią jest ustalenie ról w łańcuchu dostaw. Nazwanie kogoś w umowie „użytkownikiem" albo „klientem" nie przesądza o jego statusie na gruncie AI Act. Firma może stać się dostawcą m.in. wtedy, gdy udostępnia system pod własną nazwą lub znakiem towarowym albo zmienia go w sposób powodujący przejęcie obowiązków dostawcy. Przejęcie obowiązków na podstawie art. 25 AI Act dotyczy przy tym systemów wysokiego ryzyka — w pozostałych przypadkach status dostawcy wynika wprost z definicji.

Jak przygotować się na kontrolę KRiBSI — 10 punktów

Kontrole na podstawie polskiej ustawy będą możliwe od 28 października 2026 r., a ich zakres obejmuje nie tylko sam system, lecz również dokumentację, procedury i sposób korzystania z narzędzia. Poniższa lista porządkuje przygotowania w kolejności, w jakiej warto je prowadzić.

1. Rejestr systemów AI. Spisanie wszystkich narzędzi wykorzystujących AI, wraz ze wskazaniem właściciela biznesowego, dostawcy i celu zastosowania. Bez tego nie da się ustalić ani ról, ani klasy ryzyka.
2. Ustalenie roli dla każdego systemu. Dostawca, podmiot stosujący, importer, dystrybutor albo producent produktu zawierającego system AI. Rola przesądza o zakresie obowiązków, przy czym przejęcie obowiązków dostawcy na podstawie art. 25 AI Act dotyczy systemów wysokiego ryzyka.
3. Klasyfikacja ryzyka. Ustalenie, czy dane zastosowanie nie należy do praktyk zakazanych (art. 5 AI Act), czy stanowi system wysokiego ryzyka (art. 6 ust. 1 AI Act oraz załączniki I i III), czy podlega wyłącznie obowiązkom przejrzystości (art. 50 AI Act).
4. Dokumentacja środków wspierających kompetencje w zakresie AI. Obowiązek ten stosuje się od 2 lutego 2025 r. (art. 4 AI Act), przy czym polega on na podejmowaniu adekwatnych środków, a nie wyłącznie na przeprowadzeniu formalnego szkolenia. Samo dokumentowanie nie jest odrębnym obowiązkiem ustawowym, ale przy kontroli pozostaje najprostszym dowodem wykonania tego obowiązku.
5. Polityka korzystania z AI wraz z potwierdzeniem zapoznania się przez pracowników. Dokument, którego nikt nie przeczytał, ma przy kontroli ograniczoną wartość dowodową.
6. Weryfikacja dostawców i dokumentacji technicznej. Ustalenie, czy dostawca udostępnia informacje niezbędne do wykonania obowiązków oraz w jakim terminie, ponieważ w toku kontroli czas na ich pozyskanie bywa krótki.
7. Klauzule umowne dotyczące AI. Podział obowiązków, dostęp do dokumentacji, zasady zgłaszania incydentów oraz odpowiedzialność za wady systemu.
8. Procedura incydentowa. Ustalenie, kto i w jakim terminie zgłasza poważny incydent oraz gdzie odnotowuje się przebieg zdarzenia.
9. Procedura reagowania na kontrolę. Wskazanie osób upoważnionych do kontaktu z organem, zasad udostępniania dokumentów, sposobu zastrzegania tajemnicy przedsiębiorstwa oraz trybu zgłaszania zastrzeżeń do protokołu w terminie 14 dni.
10. Przegląd okresowy. Ustalenie cyklu, w jakim rejestr systemów i klasyfikacja ryzyka będą aktualizowane, ponieważ katalog wykorzystywanych narzędzi zmienia się w firmach szybciej niż dokumentacja.

Z naszej praktyki wynika, że największe trudności sprawiają punkty 4 i 9, czyli wykazanie wykonania obowiązku szkoleniowego oraz uporządkowany przebieg samej kontroli. Formalne posiadanie dokumentów bez możliwości wykazania, że były stosowane, bywa przy kontroli niewystarczające.

Najczęściej zadawane pytania