Ustawa o systemach sztucznej inteligencji: kary od 28.10

👁 350 przeczytań

Ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) obowiązuje od 11 sierpnia 2026, ale jej najostrzejsza część zaczyna działać 28 października 2026. Od tego dnia Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może kontrolować firmy, przyjmować skargi, prowadzić postępowania i nakładać kary. Przeczytałem tekst ogłoszony w ISAP i zebrałem, co się zmienia, z numerami artykułów.

Podaję numery artykułów, żeby każdy mógł sprawdzić je sam. Szerszy obraz unijnych przepisów jest w moim przewodniku po AI Act, a to, jak cały system działa w praktyce, opisałem w tekście AI Act w Polsce.

Mapa ustawy: 10 rozdziałów i daty wejścia w życie

Ustawa ma 127 artykułów. Weszła w życie 14 dni po ogłoszeniu (27.07.2026), czyli 11 sierpnia 2026, ale art. 127 odroczył część przepisów o 3 miesiące od ogłoszenia - do 28 października 2026.

Obowiązki z samego AI Act działają niezależnie od ustawy: zakazy od 2 lutego 2025, przejrzystość z art. 50 od 2 sierpnia 2026. Ustawa daje organ, który może to egzekwować. Pełny kalendarz unijnych dat jest w tekście AI Act: terminy.

Kogo dotyczy ustawa

Art. 3 odsyła do art. 2 ust. 1 AI Act. W praktyce ustawa obejmuje:

• dostawców systemów AI,
• firmy i instytucje, które używają takich systemów w swojej działalności (podmioty stosujące),
• importerów, dystrybutorów i przedstawicieli dostawców spoza UE,
• dostawców modeli ogólnego przeznaczenia - przepisy o systemach AI stosuje się do nich odpowiednio (art. 3 ust. 2).

Ustawa nie obejmuje osoby prywatnej, która używa AI wyłącznie do celów osobistych, niezwiązanych z działalnością gospodarczą, zarobkową ani rolniczą (art. 3 ust. 1 pkt 1). Jednoosobowa firma, która pisze w ChatGPT oferty dla klientów, prowadzi już działalność. Wyłączone są też sprawy obronności, bezpieczeństwa narodowego i służb specjalnych oraz badania naukowe poza testami w warunkach rzeczywistych (art. 2 ust. 1).

KRiBSI: kto to jest i co kontroluje

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to polski organ nadzoru rynku AI i pojedynczy punkt kontaktowy dla Unii (art. 5). Ma 7 członków (art. 19):

• przewodniczącą, powoływaną przez Sejm za zgodą Senatu na 5 lat (art. 28),
• dwóch zastępców wybranych w otwartym naborze (art. 31),
• po jednym przedstawicielu Prezesa UOKiK, KNF, KRRiT i Prezesa UKE.

Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji, czyli ciało doradcze z 9-15 członków wskazanych m.in. przez Rzecznika Praw Obywatelskich, Rzecznika Praw Dziecka, Rzecznika MŚP, Głównego Inspektora Pracy, izby gospodarcze i uczelnie (art. 45). Rada może wnioskować o wszczęcie postępowania (art. 58 pkt 2 lit. c).

Przewodnicząca jest już powołana. Sejm wybrał Pamelę Krzypkowską 18.09.2026 (271 głosów za, 24 przeciw, 140 wstrzymujących się), a Senat zgodził się 24.09.2026 (uchwały opublikowane 25.09.2026: M.P. 2026 poz. 945 i 946). Ustawowy termin mijał 11.10.2026 (art. 125 ust. 2), więc został dotrzymany. Krzypkowska kierowała wcześniej Departamentem Badań i Innowacji w Ministerstwie Cyfryzacji i odpowiadała m.in. za model PLLuM. Zastępców na 1.10.2026 nie ogłoszono.

Na przesłuchaniu w Senacie zapowiedziała, co trafi do pierwszego planu kontroli: zakazane systemy rozpoznające emocje w miejscu pracy oraz narzędzia do tworzenia CSAM i aplikacje „rozbierające” zdjęcia (rp.pl, 15.09.2026). Po wyborze dodała oznaczanie deepfake’ów (rp.pl, 18.09.2026).

Jak wygląda kontrola

• Komisja zawiadamia firmę co najmniej 7 dni przed kontrolą (art. 49 ust. 2).
• Kontrola jest z zasady zdalna (art. 49 ust. 3). Wejście do siedziby i kontrola bez uprzedzenia są możliwe, gdy system może zaszkodzić życiu, zdrowiu, bezpieczeństwu lub prawom ludzi (art. 49 ust. 4).
• Kontrolujący może żądać dokumentów, korespondencji elektronicznej, dostępu do systemów informatycznych i chmury oraz wyjaśnień, a także nagrywać czynności (art. 52).
• Kto utrudnia kontrolę albo czynności w postępowaniu, podlega karze ograniczenia wolności albo grzywny (art. 112). Tak samo, kto nie wykonuje decyzji o wycofaniu groźnego systemu (art. 113). Orzeka sąd w trybie wykroczeniowym (art. 114).

Kary: ile i za co

Polska ustawa nie wymyśla własnych stawek. Art. 104 ust. 1 odsyła do rozdziału XII AI Act, a euro przelicza się po średnim kursie NBP z 28 stycznia danego roku (art. 104 ust. 4). W 2026 r. to 4,2009 zł (tabela NBP 018/A/NBP/2026).

Małe i średnie firmy płacą niższą z dwóch kwot, a nie wyższą (art. 99 ust. 6 AI Act). Po Digital Omnibus (rozporządzenie 2026/1744) tę samą ulgę przy dwóch niższych progach dostały też małe spółki o średniej kapitalizacji, czyli firmy większe od MŚP, ale wciąż niewielkie (nowy art. 99 ust. 6a). Szczegóły opisałem w tekście AI Act: kary.

Co łagodzi karę

Ustawa daje trzy mechanizmy obniżki. Różnią się momentem, w którym firma musi działać:

• Szybka naprawa po karze. Jeśli firma w ciągu 3 miesięcy od doręczenia decyzji o karze wykona działania wskazane wcześniej w ostrzeżeniu, a naruszenie nie spowodowało śmierci ani poważnego uszczerbku na zdrowiu, kara może spaść o 10-50% (art. 107 ust. 1).
• Układ w trakcie postępowania. Firma, która przestała naruszać przepisy i ujawniła wszystkie istotne okoliczności, może zawrzeć układ z Komisją. Kara spada wtedy o 20-70% (art. 70 ust. 4 i 6).
• Układ po samozgłoszeniu. Gdy postępowanie wszczęto na podstawie informacji przekazanych przez samą firmę, która wcześniej zakończyła naruszenie, obniżka wynosi 30-90% (art. 70 ust. 6 i art. 84 ust. 1).

W wyjątkowych okolicznościach, np. gdy firma usunęła skutki naruszenia, układ może nawet przewidywać odstąpienie od sankcji (art. 70 ust. 9). Układu nie da się zawrzeć, gdy naruszenie doprowadziło do śmierci lub poważnej szkody dla zdrowia, poważnego zakłócenia infrastruktury krytycznej albo poważnej szkody w mieniu lub środowisku (art. 70 ust. 1 w związku z art. 3 pkt 49 lit. a, b i d AI Act). Do tego dochodzą raty i odroczenie na wniosek (art. 107 ust. 2). Moim zdaniem samozgłoszenie z art. 84 to najmocniejsze narzędzie dla firmy, która sama wykryje u siebie problem.

Ostrzeżenie, decyzja, odwołanie

• Przed decyzją Komisja może wydać ostrzeżenie z listą działań naprawczych; firma ma 21 dni, żeby odpowiedzieć, co zrobiła (art. 61).
• Decyzja o naruszeniu nakazuje usunąć skutki w 14 dni; wykonanie w terminie Komisja uwzględnia przy karze (art. 62 ust. 2-3).
• Karę płaci się w 30 dni od uprawomocnienia decyzji (art. 104 ust. 5). Jeśli firma nie poda danych o obrocie w 14 dni od żądania, Komisja oszacuje je sama (art. 105).
• Odwołanie wnosi się za pośrednictwem Komisji do Sądu Okręgowego w Warszawie - sądu ochrony konkurencji i konsumentów (art. 109) w terminie miesiąca od doręczenia decyzji (nowy art. 479^88b Kodeksu postępowania cywilnego, art. 115 ustawy). Opłata wynosi 1000 zł, od zażalenia 500 zł (art. 120).
• Decyzje trafiają do BIP, a Komisja prowadzi publiczny wykaz ukaranych systemów z nazwą systemu i operatora (art. 66).

Skarga na system AI: jak ją złożyć

Od 28.10.2026 skargę do KRiBSI może złożyć każdy: osoba prywatna, firma albo organizacja (art. 59 ust. 1). Skarga powinna zawierać (art. 59 ust. 2):

1. nazwę lub opis systemu AI i, jeśli się da, nazwę i adres firmy, która za nim stoi,
2. opis faktów i powód, dla którego uważasz, że system narusza AI Act lub ustawę,
3. inne informacje, np. zrzuty ekranu i daty.

Skargę składa się elektronicznie, papierowo tylko wyjątkowo (art. 59 ust. 3). Jeśli uzna, że mogło dojść do naruszenia, wszczyna postępowanie z urzędu (art. 58 pkt 1 lit. b), które może trwać najwyżej 6 miesięcy (art. 60 ust. 3). Gdy system stwarza ryzyko w rozumieniu art. 79 AI Act, postępowanie trwa najwyżej 7 dni (art. 63 ust. 4), a przy bezpośrednim zagrożeniu Komisja może nakazać wycofanie systemu z natychmiastową wykonalnością (art. 63 ust. 2).

Opinia indywidualna za 150 zł

To w mojej ocenie najbardziej praktyczne narzędzie ustawy. Firma, która nie wie, czy jej system podlega danemu obowiązkowi, może zapytać KRiBSI o wiążącą opinię (art. 8-18):

• wniosek dotyczy jednego zagadnienia: stanu faktycznego albo zdarzenia przyszłego, z własnym stanowiskiem wnioskodawcy (art. 9 ust. 2-3),
• opłata: 150 zł, zwracana m.in. przy wycofaniu wniosku albo przekroczeniu terminu przez Komisję (art. 11),
• termin: 30 dni, w sprawach szczególnie skomplikowanych 60 dni (art. 12 ust. 1),
• brak odpowiedzi w terminie oznacza opinię zgodną ze stanowiskiem wnioskodawcy (art. 12 ust. 3),
• opinia wiąże Komisję i inne organy w tej sprawie (art. 13), a zastosowanie się do niej nie może zaszkodzić wnioskodawcy (art. 15 ust. 5),
• nie dostaniesz jej w sprawie, która jest już przedmiotem postępowania (art. 14), a kolejny wniosek złożysz najwcześniej po 30 dniach (art. 9 ust. 5).

Piaskownica regulacyjna

Przepisy o piaskownicy działają od 11 sierpnia. Firma wybrana w konkursie testuje system AI przez 6-12 miesięcy z odstępstwem od części wymogów albo ze wsparciem we wdrażaniu zgodności (art. 91). Mikro, małe i średnie firmy nie płacą za udział (art. 93 ust. 1). Samorządy zapłacą najwyżej dwukrotność płacy minimalnej, pozostali najwyżej czterokrotność, czyli przy płacy minimalnej 4806 zł w 2026 r. odpowiednio do 9612 zł i 19 224 zł. Dokładne stawki ustali rozporządzenie ministra (art. 93 ust. 4). Po zakończeniu udziału firma może w ciągu 90 dni poprosić o opinię indywidualną - bez opłaty, z terminem 14 dni (art. 101). Unia wymaga, żeby każdy kraj miał działającą piaskownicę AI do 2 sierpnia 2027 (art. 57 AI Act po Omnibusie).

Jak przygotować firmę na kontrolę i postępowanie

Moja lista pod firmy, które używają gotowych narzędzi AI, a nie budują własnych modeli. Skupiam się na procedurze.

1. Wyznacz osobę kontaktową dla KRiBSI. Kontrola może zacząć się już po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2).
2. Przygotuj elektroniczną teczkę: listę systemów AI z dostawcami i celami, umowy, instrukcje, zapisy o szkoleniach z art. 4. Kontrola zdalna oznacza dokumenty w formie cyfrowej.
3. Sprawdź zakazy z art. 5 AI Act. Rozpoznawanie emocji pracowników czy kandydatów jest zakazane (poza celami medycznymi i bezpieczeństwa) i będzie w pierwszym planie kontroli.
4. Oznacz chatboty i treści AI zgodnie z art. 50. Szczegóły są w tekście o oznaczaniu deepfake’ów.
5. Ustal procedurę na ostrzeżenie: kto w 21 dni przygotuje odpowiedź (art. 61 ust. 3) i kto w 14 dni poda dane o obrocie (art. 105).
6. W sprawach granicznych złóż wniosek o opinię indywidualną od 28.10. Za 150 zł masz wiążącą odpowiedź.
7. Gdy wykryjesz naruszenie sam, zakończ je i rozważ samozgłoszenie (art. 84) - to otwiera drogę do obniżki do 90%.

Kolejne daty po 28.10: pierwsze posiedzenie KRiBSI do 11.11.2026 (art. 125 ust. 3), unijny zakaz aplikacji „rozbierających” od 2.12.2026 i pierwsze sprawozdanie Komisji dla Sejmu do 31.03.2027 (art. 26). Wszystkie terminy AI, także premiery modeli, zbieram w kalendarzu AI.

Punkt 2 możesz sprawdzić na sobie: w moim serwisie Biegli w AI jest darmowy test gotowości na kontrolę KRiBSI - 10 pytań o narzędzia, zasady i dokumenty w firmie. Przebieg kontroli i checklistę dokumentów rozpisałem w tekście kontrola KRiBSI: jakie dokumenty przygotować.

Najczęstsze pytania

Od kiedy obowiązuje ustawa o systemach sztucznej inteligencji?

Od 11 sierpnia 2026. Przepisy o kontrolach, skargach, karach i opiniach indywidualnych działają od 28 października 2026 (art. 127).

Jakie kary grożą za naruszenie ustawy o AI?

Do 35 mln euro albo 7% światowego obrotu za zakazane praktyki, do 15 mln euro albo 3% za inne obowiązki i do 7,5 mln euro albo 1% za mylące informacje. MŚP płacą niższą z kwot.

Czy ustawa dotyczy mnie, jeśli używam ChatGPT prywatnie?

Nie. Ustawa wyłącza osoby, które używają AI wyłącznie do celów osobistych, niezwiązanych z działalnością gospodarczą ani zarobkową (art. 3 ust. 1 pkt 1).

Jak złożyć skargę na system AI?

Od 28.10.2026 elektronicznie do KRiBSI. Podaj nazwę systemu, firmę, jeśli ją znasz, opis faktów i powód, dla którego uważasz, że system narusza przepisy (art. 59).

Ile można zyskać na układzie z KRiBSI?

Kara spada o 20-70%, a gdy postępowanie zaczęło się od samozgłoszenia firmy - o 30-90% (art. 70 ust. 6). W nadzwyczajnych okolicznościach układ może przewidywać odstąpienie od sankcji.

To nie jest porada prawna - w konkretnej sprawie skonsultuj się z prawnikiem albo złóż wniosek o opinię indywidualną do KRiBSI.