Kontrola KRiBSI od 28 października: jakie dokumenty przygotować

👁 121 przeczytań

Od 28 października 2026 Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może kontrolować firmy, które tworzą albo używają AI. Kontrola zaczyna się nie wcześniej niż 7 dni po doręczeniu zawiadomienia i z zasady jest zdalna, więc liczy się to, co masz w plikach. Poniżej checklista dokumentów, przebieg kontroli krok po kroku i terminy, które warto znać, zanim przyjdzie pismo.

Od kiedy i kogo KRiBSI może kontrolować

Ustawa weszła w życie 11 sierpnia 2026, ale przepisy o kontroli, postępowaniu, karach i opiniach indywidualnych stosuje się od 28 października 2026 (art. 127 pkt 2). Komisja może sprawdzać przestrzeganie AI Act i ustawy (art. 48 ust. 1). W praktyce dotyczy to:

• dostawców, czyli firm, które rozwijają system AI i wprowadzają go pod swoją nazwą (art. 3 pkt 3 AI Act),
• podmiotów stosujących, czyli każdej firmy, która używa AI w działalności zawodowej (art. 3 pkt 4) - także jednoosobowej działalności, która pisze w czacie oferty dla klientów,
• importerów i dystrybutorów systemów AI.

Kto nadzoruje AI w Polsce i jak zbudowana jest Komisja, opisałem w tekście AI Act w Polsce, a o przewodniczącej Pameli Krzypkowskiej - w tekście o KRiBSI i jej szefowej.

Co trafi do pierwszego planu kontroli

Kontrola odbywa się według planu zatwierdzonego przez Komisję albo na podstawie informacji, które do niej dotarły, np. ze skargi (art. 48 ust. 2). Pierwsze posiedzenie Komisja musi odbyć do 11 listopada 2026 (art. 125 ust. 3), więc formalny plan raczej nie powstanie przed tą datą. Na przesłuchaniu w Senacie 15 września 2026 Krzypkowska zapowiedziała jako pierwsze tematy:

• rozpoznawanie emocji w miejscu pracy - zakazane od 2 lutego 2025 (art. 5 ust. 1 lit. f AI Act),
• narzędzia do tworzenia materiałów CSAM i „rozbierania” zdjęć - zakaz z Omnibusa stosuje się od 2 grudnia 2026,
• oznaczanie deepfake’ów - obowiązek z art. 50 działa od 2 sierpnia 2026.

Dla przeciętnej firmy z ChatGPT i Copilotem to dobra wiadomość: na start priorytetem nie są biurowe czaty. Kontrola może jednak wyniknąć ze skargi klienta albo kandydata do pracy, a skargę od 28.10 może złożyć każdy (art. 59 ust. 1). Zakazane praktyki opisałem w osobnym tekście o art. 5 AI Act.

Jak przebiega kontrola krok po kroku

1. Zawiadomienie o wszczęciu kontroli. Kontrola zaczyna się nie wcześniej niż po 7 dniach od jego doręczenia (art. 49 ust. 2). Wyjątek: przy uzasadnionym podejrzeniu szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych Komisja może skrócić ten termin i przyjść na miejsce (art. 49 ust. 4).
2. Upoważnienie. Kontrolujący doręcza imienne upoważnienie z podstawą prawną, zakresem przedmiotowym, datą rozpoczęcia i przewidywanym końcem kontroli oraz pouczeniem o prawach (art. 51 ust. 2). Zakres mówi, czego będą dotyczyć pytania - to pierwsza rzecz do przeczytania.
3. Czynności zdalne. Kontrola lub jej części odbywają się na odległość, środkami komunikacji elektronicznej (art. 49 ust. 3).
4. Żądanie dokumentów i wyjaśnień. Kontrolujący może żądać materiałów, dokumentów i korespondencji, w tym przechowywanych u innego podmiotu, np. w chmurze, robić kopie i nagrywać czynności po uprzedzeniu (art. 52 ust. 1). Firma ma obowiązek udzielić informacji i potwierdzić zgodność kopii z oryginałem (art. 52 ust. 2).
5. Tajemnica adwokacka. Korespondencję z adwokatem lub radcą prawnym możesz zastrzec - kontrolujący zostawia ją na miejscu, a spór rozstrzyga sąd ochrony konkurencji i konsumentów (art. 54).
6. Protokół. Kontrolujący sporządza protokół elektronicznie (art. 56 ust. 5). Masz 14 dni na podpis albo pisemne zastrzeżenia, a brak reakcji oznacza odmowę podpisu (art. 56 ust. 6 i 8).
7. Zalecenia pokontrolne. Przy nieprawidłowościach Komisja wzywa do ich usunięcia i wyznacza termin - co do zasady nie krótszy niż 30 dni (art. 57). Dopiero niewykonanie zaleceń otwiera drogę do postępowania (art. 57 ust. 5).

Do przedsiębiorców stosuje się dodatkowo rozdział 5 Prawa przedsiębiorców, z wyjątkiem art. 51 ust. 3a (art. 48 ust. 3 ustawy). Utrudnianie kontroli jest wykroczeniem (art. 112), więc lepiej mieć dokumenty pod ręką niż tłumaczyć się z opóźnień.

Checklista: jakie dokumenty przygotować

Ani AI Act, ani ustawa nie podają zamkniętej listy dokumentów dla zwykłej firmy, która używa gotowych narzędzi. Poniższa lista to moja propozycja, ułożona pod obowiązki, które dziś realnie dotyczą większości firm. Przy każdej pozycji podaję przepis, z którego wynika potrzeba.

Polityki nie musisz pisać od zera - szkielet w 10 punktach dałem w tekście o polityce korzystania z AI w firmie. Do rejestru narzędzi przyda się gotowy wzór rejestru narzędzi AI z szablonem CSV z mojego serwisu Biegli w AI.

Kompetencje w kontroli: o co mogą zapytać

Ustawa przewiduje, że przewodniczący Komisji określi w zarządzeniu „sposób i metodę sprawdzania poziomu wiedzy i kompetencji podmiotów kontrolowanych” (art. 25 pkt 3), a coroczne sprawozdanie dla Sejmu ma opisywać ogólny poziom kompetencji kontrolowanych firm (art. 26 ust. 2 pkt 2). Treści tego zarządzenia na 13.10.2026 nie znalazłem.

Dla spokoju: art. 4 AI Act nie ma własnego progu kary w art. 99 ust. 3-5, a od lipca 2026 nie wymaga zapewnienia konkretnego poziomu wiedzy. Wymaga podejmowania środków, które wspierają kompetencje. Dlatego w kontroli liczy się to, czy firma pokaże, co zrobiła i kiedy: szkolenie z datą, listę osób, politykę z wersją. Więcej o tym w tekście o art. 4 AI Act.

Tydzień od zawiadomienia: mój plan

Jeśli zawiadomienie przyjdzie, a teczki nie ma, 7 dni wystarczy na podstawy. Tak bym je rozłożył:

• Dzień 1: przeczytaj zakres kontroli w zawiadomieniu, wyznacz osobę kontaktową, zdecyduj, czy potrzebny jest prawnik.
• Dzień 2: spisz narzędzia AI w działach objętych zakresem - wersja, zastosowanie, dane.
• Dzień 3: zbierz umowy, regulaminy i ustawienia kont firmowych.
• Dzień 4: zbierz dowody szkoleń i obowiązujące zasady; jeśli ich nie ma, nie dopisuj dat wstecz - opisz stan faktyczny i plan.
• Dzień 5: sprawdź oznaczenia chatbotów i treści AI na stronie i w kanałach społecznościowych.
• Dzień 6: uporządkuj pliki w jednym folderze, nazwij je i zrób spis.
• Dzień 7: próbna rozmowa: osoba kontaktowa odpowiada na pytania „czego używacie, kto to zatwierdził, jak szkolicie”.

Jak daleko jesteś od tej listy, sprawdzisz bez zawiadomienia w 10 pytaniach w teście gotowości na kontrolę KRiBSI. Test jest darmowy, a odpowiedzi zostają w przeglądarce.

Czego nie robić

• Nie dopisuj dat wstecz. Dokument z datą sprzed kontroli, który powstał po zawiadomieniu, łatwo podważyć, a nieprawdziwe informacje dla organu to osobny próg kary w art. 99 ust. 5 AI Act.
• Nie kupuj „certyfikatu AI Act”. Takiego dokumentu przepisy nie przewidują.
• Nie ignoruj protokołu. 14 dni na zastrzeżenia to jedyna chwila, żeby poprawić ustalenia bez postępowania.
• Nie wysyłaj wszystkiego. Odpowiadaj w granicach zakresu z upoważnienia i zastrzegaj korespondencję z prawnikiem.

Gdy masz wątpliwość, czy dane narzędzie jest np. systemem wysokiego ryzyka, od 28.10 możesz zapytać Komisję o opinię indywidualną: opłata 150 zł, termin 30 dni, a w sprawach skomplikowanych 60 dni (art. 11-12). Szerzej o tym, czy państwo zdąży z kontrolami, pisałem w tekście KRiBSI: czy państwo nadąży.

Najczęstsze pytania

Od kiedy KRiBSI może kontrolować firmy?

Od 28 października 2026. Tego dnia zaczynają obowiązywać rozdziały ustawy o kontroli, postępowaniu i karach (art. 127 pkt 2 ustawy o systemach sztucznej inteligencji).

Ile czasu mam od zawiadomienia do kontroli?

Co najmniej 7 dni od doręczenia zawiadomienia (art. 49 ust. 2). Krótszy termin jest możliwy tylko przy uzasadnionym podejrzeniu szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 49 ust. 4).

Czy kontrola KRiBSI odbywa się w siedzibie firmy?

Z zasady nie. Kontrola jest zdalna (art. 49 ust. 3). Czynności na miejscu Komisja może zarządzić postanowieniem w wyjątkowych sytuacjach.

Czy za brak szkolenia AI grozi kara?

Art. 4 AI Act nie ma własnej stawki w art. 99 ust. 3-5, a polska ustawa jej nie dodaje. KRiBSI może jednak sprawdzić kompetencje w kontroli i wydać zalecenia, a brak szkoleń może obciążyć firmę przy innym naruszeniu (art. 99 ust. 7). Szczegóły w tekście o karach w AI Act.

Jakie dokumenty są obowiązkowe?

Dla zwykłej firmy, która używa gotowych narzędzi, przepisy nie podają zamkniętej listy. Obowiązki dotyczą działań (kompetencje, oznaczanie, zakazy), a dokumenty są dowodem, że je podjęto. Dla systemów wysokiego ryzyka wymogi dokumentacyjne są szczegółowe, ale stosuje się je od 2.12.2027.

To nie jest porada prawna - przy kontroli w konkretnej sprawie skonsultuj się z prawnikiem.