Kary AI Act: do 35 mln euro albo 7% obrotu - progi, MŚP i kary w Polsce

👁 183 przeczytań

Najwyższa kara w AI Act to 35 mln euro albo 7% całkowitego rocznego światowego obrotu - za zakazane praktyki z art. 5. Po kursie NBP, którego wymaga polska ustawa (4,2009 zł), to około 147 mln zł. Kolejne progi to 15 mln euro / 3% i 7,5 mln euro / 1%, a dla małych firm liczy się niższa z dwóch kwot. W Polsce kary nakłada KRiBSI od 28 października 2026 - na dzień 1 października 2026 nikt w Polsce kary z AI Act jeszcze nie dostał.

Wszystkie progi kar w AI Act

Kwoty w złotych przeliczyłem tak, jak każe art. 104 ust. 4 ustawy o systemach sztucznej inteligencji: po średnim kursie euro NBP z 28 stycznia danego roku. Dla 2026 to 4,2009 zł (tabela 018/A/NBP/2026).

Obrót to całkowity roczny światowy obrót z poprzedniego roku obrotowego - całej firmy, nie działu, który używa AI. Próg 15 mln euro z art. 99 ust. 4 obejmuje obowiązki:

• dostawców (art. 16) i upoważnionych przedstawicieli (art. 22),
• importerów (art. 23) i dystrybutorów (art. 24),
• podmiotów stosujących, czyli firm używających systemów (art. 26),
• jednostek notyfikowanych (art. 31, 33 i 34),
• przejrzystości z art. 50,
• od 27 lipca 2026 także łańcucha dostaw systemów wysokiego ryzyka z art. 25 ust. 2 i 4 (nowa lit. da).

Digital Omnibus (rozporządzenie 2026/1744) nie zmienił żadnej z tych maksymalnych kwot. Zmienił zasady dla mniejszych firm i dał nowe uprawnienia Urzędowi ds. AI.

Wyższa czy niższa kwota - duże firmy, MŚP i SMC

SMC to firma, która wyrosła z definicji MŚP, ale nie jest jeszcze korporacją - AI Act odsyła do zalecenia Komisji (UE) 2025/1099 (art. 3 pkt 14b). Omnibus dopisał też do art. 99 ust. 1 obowiązek uwzględniania sytuacji ekonomicznej MŚP i SMC. Na liczbach:

1. MŚP z obrotem 10 mln euro, zakazana praktyka: 7% to 700 tys. euro, mniej niż 35 mln, więc limit wynosi ok. 2,94 mln zł.
2. Ta sama firma, chatbot bez informacji z art. 50: 3% to 300 tys. euro, ok. 1,26 mln zł.
3. Ta sama firma, nieprawdziwe dane podczas kontroli: 1% to 100 tys. euro, ok. 420 tys. zł.
4. SMC z obrotem 120 mln euro, naruszenie art. 50: limit to 3%, czyli 3,6 mln euro (ok. 15,1 mln zł), a nie 15 mln euro jak w dużej firmie. Przy zakazanej praktyce ta sama SMC ma już limit 35 mln euro.
5. Koncern z obrotem 2 mld euro, zakazana praktyka: 7% to 140 mln euro, więcej niż 35 mln, więc limit wynosi ok. 588 mln zł.

To górne granice, a nie przewidywane kary. Realna kwota zależy od przesłanek z art. 99 ust. 7.

Od czego zależy wysokość kary - art. 99 ust. 7

Organ bierze pod uwagę wszystkie istotne okoliczności, w tym:

1. charakter, wagę i czas trwania naruszenia, cel systemu, liczbę poszkodowanych i rozmiar szkody,
2. kary nałożone już przez inne organy nadzoru rynku za to samo naruszenie,
3. kary za inne przepisy (np. RODO) wynikające z tego samego działania,
4. wielkość operatora, roczny obrót i udział w rynku,
5. inne okoliczności, np. osiągnięte korzyści albo uniknięte straty,
6. stopień współpracy z organem,
7. stopień odpowiedzialności, z uwzględnieniem wdrożonych środków technicznych i organizacyjnych,
8. sposób, w jaki organ dowiedział się o naruszeniu, w tym czy firma sama je zgłosiła,
9. umyślność albo niedbalstwo,
10. działania łagodzące szkodę poszkodowanych.

KRiBSI musi wskazać te przesłanki w uzasadnieniu decyzji (art. 104 ust. 3 ustawy). Jeśli firma w 14 dni nie poda danych o obrocie, Komisja oszacuje go sama (art. 105).

Kto karze i od kiedy

• KRiBSI - firmy działające w Polsce, od 28 października 2026, kiedy wchodzą rozdziały 3-5 i 8 ustawy (art. 127). Więcej w tekście o polskiej ustawie o sztucznej inteligencji.
• Komisja Europejska - dostawcy modeli GPAI, na podstawie art. 101 stosowanego od 2 sierpnia 2026. Zobacz tekst o modelach ogólnego przeznaczenia.
• Urząd ds. AI - po Omnibusie systemy z art. 75 ust. 1, czyli zbudowane na modelu GPAI przez tego samego dostawcę oraz bardzo duże platformy i wyszukiwarki z DSA (art. 75c ust. 4 odsyła do art. 99 ust. 3-7).
• Europejski Inspektor Ochrony Danych - instytucje UE (art. 100).

Okresowe kary i kary dla modeli GPAI

Art. 75c to nowość z Omnibusa. Urząd ds. AI może nałożyć okresowe kary do 5% średniego dziennego obrotu za każdy dzień, aby zmusić firmę m.in. do udzielenia informacji, poddania się kontroli albo wykonania decyzji. Przy rocznym obrocie 3,65 mld euro średni dzienny obrót to 10 mln euro, więc dzienna kara może sięgnąć 500 tys. euro. Odwołanie rozpatruje Trybunał Sprawiedliwości UE, przedawnienie wynosi 5 lat, a decyzje są publikowane z wysokością kary (art. 75c ust. 6 i 8, art. 75d ust. 4).

Dostawcę modelu GPAI Komisja może ukarać kwotą do 15 mln euro albo 3% obrotu, jeśli umyślnie lub przez zaniedbanie naruszył obowiązki, nie wykonał żądania dokumentów (art. 91), środków (art. 93) albo nie dał dostępu do modelu (art. 92). Procedurę opisuje rozporządzenie wykonawcze 2026/1755. Według Agence Europe, relacjonującej briefing KE z 1 września 2026, Komisja wysłała pierwsze żądania informacji do ponad 30 firm AI.

AI Act a RODO

Jedno działanie, np. system analizujący twarze pracowników, może naruszyć oba akty. Wtedy kara z RODO wpływa na wymiar kary z AI Act (art. 99 ust. 7 lit. c).

Polskie mechanizmy: ostrzeżenie, układ, obniżka, raty

Ustawa nie tworzy własnych stawek - KRiBSI karze „w przypadkach, wysokości i na warunkach” z rozdziału XII AI Act (art. 104 ust. 1). Dodaje za to procedury i furtki:

Przykład: kara 1 mln zł po układzie może spaść do 300-800 tys. zł, a przy samodzielnym zgłoszeniu do 100-700 tys. zł. Układu nie będzie, gdy naruszenie spowodowało śmierć lub poważną szkodę dla zdrowia, poważne zakłócenie infrastruktury krytycznej albo poważną szkodę majątkową lub środowiskową (art. 70 ust. 1). Art. 110 wyłącza art. 189f Kodeksu postępowania administracyjnego, więc ogólne „odstąpienie od kary przy znikomej wadze” tu nie działa.

Wykroczenia: utrudnianie kontroli i niewykonanie decyzji

Utrudnianie kontroli lub postępowania (art. 112) i niewykonanie decyzji o wycofaniu systemu zagrażającego (art. 113) grozi karą ograniczenia wolności albo grzywny. Orzeka się w trybie Kodeksu postępowania w sprawach o wykroczenia (art. 114), więc to wykroczenia, nie przestępstwa. Odpowiada też osoba działająca w imieniu firmy. Nieprawdziwe informacje z art. 99 ust. 5 AI Act są z tego wyłączone (art. 112 ust. 3).

Czy jest kara za brak szkoleń z art. 4?

Art. 4 nie jest wymieniony w art. 99 ust. 3-5, a polska ustawa nie dodaje osobnej kary. Moim zdaniem samodzielna kara za sam brak szkoleń jest mało prawdopodobna, ale KRiBSI może sprawdzić kompetencje w kontroli, a brak przeszkolenia obciąży firmę przy innym naruszeniu (art. 99 ust. 7 lit. g). Szerzej w tekście o kompetencjach AI z art. 4.

Czy ktoś już dostał karę?

W Polsce - nie. KRiBSI dostanie uprawnienia kontrolne i karne 28 października 2026, a pierwsze posiedzenie ma się odbyć do 11 listopada 2026. Nie znam też oficjalnie potwierdzonej kary Komisji Europejskiej dla dostawcy modelu GPAI. Informacji o rzekomych karach z sierpnia 2026, które krążą w sieci, nie znalazłem w komunikatach KE.

Za co najłatwiej dostać karę w latach 2026-2027

To moja ocena. Wymogi dla wysokiego ryzyka z załącznika III działają dopiero od 2 grudnia 2027, więc do tego czasu realne ryzyko dotyczy przepisów, które już obowiązują:

1. Brak oznaczeń - chatbot bez informacji, że to AI, albo nieoznaczony deepfake (art. 50). Zobacz, jak oznaczać treści AI.
2. Zakazane praktyki - np. analiza emocji pracowników, a od 2 grudnia 2026 aplikacje „rozbierające” zdjęcia. Pełna lista zakazów z art. 5.
3. Nieprawdziwe informacje podane KRiBSI podczas kontroli.

Terminy i obowiązki zebrałem w przewodniku po AI Act.

Najczęstsze pytania

Jaka jest najwyższa kara w AI Act?

35 mln euro albo 7% całkowitego rocznego światowego obrotu - za zakazane praktyki z art. 5. Dla dużych firm liczy się wyższa z kwot. W złotych to ok. 147 mln zł.

Od kiedy w Polsce można dostać karę za AI Act?

Od 28 października 2026, kiedy wchodzą przepisy ustawy o kontroli, postępowaniu i karach. Dostawców modeli GPAI Komisja Europejska może karać od 2 sierpnia 2026.

Jakie kary grożą małej firmie?

Te same progi, ale MŚP płaci według niższej z dwóch wartości. Przy obrocie 10 mln euro limit za brak oznaczeń z art. 50 to 300 tys. euro, czyli ok. 1,26 mln zł.

Ile wynosi kara za brak oznaczenia treści AI?

Do 15 mln euro albo 3% obrotu (art. 99 ust. 4 lit. g), a dla MŚP i SMC - niższa z tych wartości.

Czy można odwołać się od kary KRiBSI?

Tak, do Sądu Okręgowego w Warszawie - sądu ochrony konkurencji i konsumentów. Opłata od odwołania wynosi 1000 zł.

To nie jest porada prawna - przy konkretnej sprawie skonsultuj się z prawnikiem albo od 28 października 2026 zapytaj KRiBSI o opinię indywidualną.

// czytaj dalejKara z AI Act kosztuje polską firmę 150,5 mln zł. Policzyłem, od jakiego obrotu próg procentowy bije kwotowyMagazyn6 procent obrotu za chatbota udającego przyjaciela. Policzyłem, ile to znaczy dla firm działających w PolsceMagazynElektryczny kompostownik nie robi kompostu - robi suchy mielony odpadWarsztat