AI Act w Polsce: kto nadzoruje, co musi zrobić firma i od kiedy grożą kary

👁 226 przeczytań

AI Act obowiązuje w Polsce bezpośrednio, jak każde rozporządzenie UE: zakazy od 2 lutego 2025, przejrzystość od 2 sierpnia 2026. Do egzekwowania potrzebna była krajowa ustawa i mamy ją od 11 sierpnia 2026 - ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) tworzy organ nadzoru, Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Od 28 października 2026 KRiBSI może kontrolować firmy, przyjmować skargi i nakładać kary.

Dwa poziomy prawa: rozporządzenie i ustawa

Częste nieporozumienie: „AI Act nie obowiązuje w Polsce, bo nie było ustawy”. Rozporządzenie 2024/1689 stosuje się bezpośrednio we wszystkich państwach UE. Polska ustawa nie powtarza obowiązków z AI Act i moim zdaniem nie dokłada firmom nowych obowiązków merytorycznych. Organizuje egzekwowanie: wskazuje organ, procedury i sposób liczenia kar.

Szczegóły ustawy, artykuł po artykule, opisałem w tekście o ustawie o systemach sztucznej inteligencji. Tutaj opisuję, jak system działa w praktyce.

KRiBSI - kto nadzoruje AI w Polsce

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jest organem nadzoru rynku w rozumieniu AI Act i pojedynczym punktem kontaktowym dla instytucji unijnych (art. 5 ustawy). Obsługę biurową zapewnia Ministerstwo Cyfryzacji (art. 43). W skład Komisji wchodzi 7 osób (art. 19):

• przewodniczący - powoływany przez Sejm za zgodą Senatu na 5 lat, najwyżej na dwie kadencje (art. 28),
• dwóch zastępców - wybieranych przez przewodniczącego w otwartym naborze (art. 31),
• czterech członków - po jednym wskazanym przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE.

Przewodniczącą jest Pamela Krzypkowska, wcześniej dyrektor Departamentu Badań i Innowacji w Ministerstwie Cyfryzacji. Sejm wybrał ją 18 września 2026, Senat zgodził się 24 września. Zastępców na 1 października 2026 nie ogłoszono, a Komisja nie ma jeszcze własnej strony ani BIP. Pierwsze posiedzenie musi się odbyć do 11 listopada 2026 (art. 125 ust. 3), a ministerstwo zapowiada start prac w listopadzie.

Ustawa ogranicza wydatki budżetu na swoje wykonanie (art. 126). W 2026 r. to 9,30 mln zł, od 2027 r. ponad 23 mln zł rocznie:

Na przesłuchaniu w Senacie Krzypkowska zapowiedziała, co trafi do pierwszego planu kontroli: rozpoznawanie emocji w miejscu pracy oraz narzędzia do tworzenia CSAM i „rozbierania” zdjęć. Po wyborze dodała oznaczanie deepfake’ów.

Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji - od 9 do 15 osób na 2-letnią kadencję (art. 45). Kandydatów zgłaszają m.in. Rzecznik Praw Obywatelskich, Rzecznik Praw Dziecka, Rzecznik Praw Pacjenta, Rzecznik MŚP, Główny Inspektor Pracy, związki zawodowe i izby gospodarcze. Rada może wnioskować o wszczęcie postępowania (art. 58 pkt 2 lit. c), a gdy przewodniczący złamie zakazy z art. 35-36 (m.in. dodatkowe zatrudnienie, partia, udziały w nadzorowanych firmach) - o jego odwołanie (art. 30 ust. 2).

KRiBSI i inne urzędy: kto za co odpowiada

Nadzór nad AI nie zastępuje dotychczasowych regulatorów. Art. 20 ustawy wylicza 12 instytucji, z którymi KRiBSI współpracuje. Najważniejsze dla firm:

Wśród partnerów KRiBSI są też URPL (wyroby medyczne), Główny Inspektor Farmaceutyczny, koordynator do spraw usług cyfrowych, Urząd Patentowy i Prokurator Generalny.

Co polska firma musi zrobić teraz

Ustawa wyłącza tylko osoby, które używają AI wyłącznie prywatnie (art. 3 ust. 1 pkt 1). Jednoosobowa firma, która pisze w ChatGPT oferty dla klientów, jest już podmiotem stosującym. Moja lista na październik 2026:

1. Ustal swoją rolę. Dostawca (art. 3 pkt 3 AI Act) to ten, kto rozwija system i wprowadza go pod swoją nazwą; podmiot stosujący (art. 3 pkt 4) to ten, kto go używa w działalności. Od roli zależą obowiązki.
2. Spisz systemy AI w firmie: czaty, asystenci w CRM, narzędzia HR, monitoring, generatory grafik.
3. Wyklucz zakazane praktyki z art. 5, zwłaszcza rozpoznawanie emocji pracowników. Lista zakazów jest w tekście o zakazanych praktykach.
4. Oznacz chatboty i deepfake’i zgodnie z art. 50 - to obowiązuje od 2 sierpnia 2026.
5. Udokumentuj szkolenia z AI dla pracowników (art. 4). Wystarczy wewnętrzny rejestr, certyfikat nie jest potrzebny.
6. Trzymaj dokumenty w formie elektronicznej. Kontrola KRiBSI jest z zasady zdalna (art. 49 ust. 3).
7. Zaplanuj wysokie ryzyko, jeśli używasz AI w rekrutacji lub ocenie kredytowej. Termin to 2 grudnia 2027 - pełny kalendarz jest w tekście AI Act: terminy.

Ile punktów z tej listy masz już za sobą, sprawdzisz w 10 pytaniach w teście gotowości na kontrolę KRiBSI - to darmowe narzędzie w moim serwisie Biegli w AI. Co dokładnie przygotować przed kontrolą, opisałem w checkliście dokumentów na kontrolę KRiBSI.

Opinia indywidualna za 150 zł

Od 28 października 2026 firma, która nie wie, czy jej system podlega danemu przepisowi, może zapytać KRiBSI o wiążącą opinię. Opłata wynosi 150 zł (art. 11), termin 30 dni, w sprawach szczególnie skomplikowanych 60 dni (art. 12 ust. 1). Jeśli Komisja nie zdąży, opinię uznaje się za zgodną ze stanowiskiem wnioskodawcy (art. 12 ust. 3), a opłata wraca (art. 11 ust. 4). Moim zdaniem to najtańsze zabezpieczenie prawne w całej ustawie, np. przy pytaniu, czy narzędzie HR to już system wysokiego ryzyka.

Piaskownica regulacyjna: MŚP za darmo

Przepisy o piaskownicy działają od 11 sierpnia 2026. Firma wybrana w konkursie testuje system przez 6-12 miesięcy (art. 91 ust. 7) z odstępstwem od części wymogów albo ze wsparciem we wdrażaniu zgodności. Koszty uczestnictwa:

• mikro, małe i średnie firmy - bezpłatnie (art. 93 ust. 1),
• samorządy - najwyżej dwukrotność płacy minimalnej, w 2026 r. 9612 zł (art. 93 ust. 2),
• pozostali - najwyżej czterokrotność, w 2026 r. 19 224 zł (art. 93 ust. 3).

Dokładne stawki ustali rozporządzenie ministra. Konkurs ogłasza Komisja (art. 94), a rozstrzyga w drodze uchwał (art. 21), więc moim zdaniem nie ma co się go spodziewać przed jej pierwszym posiedzeniem.

Skargi obywateli

Od 28 października 2026 skargę do KRiBSI może złożyć każdy: osoba prywatna, firma albo organizacja (art. 59 ust. 1). Wystarczy nazwa lub opis systemu, dane firmy, jeśli są znane, i opis faktów. Skargę składa się elektronicznie, papierowo tylko wyjątkowo (art. 59 ust. 3). Komisja prowadzi rejestr skarg i może na ich podstawie wszcząć postępowanie, które trwa najwyżej 6 miesięcy (art. 60 ust. 3). Dla firm to oznacza, że kontrola nie musi wyniknąć z planu urzędu - wystarczy niezadowolony klient albo kandydat do pracy.

Przykłady z polskiego rynku

Zebrałem przypadki, o które najczęściej pytają mnie czytelnicy.

Przy chatbotach jedna uwaga: AI Act każe poinformować klienta, że rozmawia z maszyną, ale nie daje ogólnego prawa do rozmowy z człowiekiem. Jak ten problem wygląda w obsłudze klienta, opisałem w tekście o prawie do rozmowy z człowiekiem. Wysokość kar za każdy z przypadków rozpisałem w tekście AI Act: kary.

Polska ustawa a RODO i UODO

AI Act nie zastępuje RODO. Jeśli system AI przetwarza dane osobowe, firma odpowiada równolegle przed dwoma organami: przed KRiBSI za AI Act i przed Prezesem UODO za RODO. Kary się nie wykluczają - RODO przewiduje do 20 mln euro albo 4% obrotu (art. 83 ust. 5 RODO).

Ustawa łączy oba systemy w kilku miejscach:

• do ustawy o ochronie danych osobowych dodano art. 59a: Prezes UODO współpracuje z KRiBSI (art. 123 ustawy),
• Prezes UODO przedstawia opinie o przetwarzaniu danych osobowych w piaskownicy regulacyjnej (art. 92),
• KRiBSI sama przetwarza dane zebrane w nadzorze i usuwa je po 10 latach od zakończenia postępowania (art. 40-41).

Omnibus dodał też art. 4a AI Act: dostawcy systemów wysokiego ryzyka mogą wyjątkowo przetwarzać szczególne kategorie danych osobowych, żeby wykrywać i korygować stronniczość, ale tylko przy spełnieniu wszystkich warunków z tego artykułu. Czytam to tak: przy rekrutacji z AI trzeba dziś sprawdzać zgodność i z RODO, i z AI Act, a od grudnia 2027 także z wymogami dla wysokiego ryzyka.

Pełny obraz przepisów zebrałem w przewodniku po AI Act.

Najczęstsze pytania

Czy AI Act obowiązuje w Polsce?

Tak. Jako rozporządzenie UE stosuje się bezpośrednio: zakazy od 2 lutego 2025, przejrzystość od 2 sierpnia 2026. Polska ustawa z 3 lipca 2026 organizuje nadzór i kary.

Kto nadzoruje AI Act w Polsce?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Przewodniczącą jest Pamela Krzypkowska, a w składzie są też przedstawiciele UOKiK, KNF, KRRiT i UKE.

Od kiedy w Polsce grożą kary za AI Act?

Od 28 października 2026. Wtedy wchodzą w życie przepisy ustawy o kontroli, postępowaniu i karach (art. 127 pkt 2).

Czy UODO może ukarać za naruszenie AI Act?

Nie. Za AI Act karze KRiBSI. UODO nadal karze za naruszenia RODO, także przy systemach AI, i współpracuje z KRiBSI.

Ile kosztuje opinia KRiBSI?

150 zł. Komisja ma 30 dni na odpowiedź, w sprawach skomplikowanych 60 dni, a jej milczenie oznacza zgodę ze stanowiskiem wnioskodawcy.

Czy mogę złożyć skargę na system AI?

Tak, od 28 października 2026, elektronicznie do KRiBSI. Skarga może dotyczyć każdego systemu, który Twoim zdaniem narusza AI Act lub ustawę (art. 59).

To nie jest porada prawna - tekst opisuje przepisy według stanu na 1 października 2026.

// czytaj dalejAllbirds porzucił buty dla AI. Nowa firma Smartbird ma CEO, plan i zero pracownikówNewsyFirma z Kuala Lumpur, której AI nie zjadło - tylko nakarmiłoNewsyKiedy dostaniesz GPT-6 Astra? Etapy udostępniania, plany i co zrobić, gdy modelu nie widaćMagazyn