Ustawa o systemach sztucznej inteligencji: KRiBSI i kary

15 września 2026 r., w dniu publikacji tego tekstu, Sejm przesłuchiwał jedyną kandydatkę na szefa urzędu, który od 28 października uzyska uprawnienia kontrolne wobec firm używających sztucznej inteligencji (druk sejmowy 3078). Do tego dnia Przewodniczący nie był powołany, a ustawowy termin powołania mija 11 października; jeśli czytasz ten tekst później, sprawdź, czy to się zmieniło. Sam urząd istnieje od 11 sierpnia 2026 r.

Piszę o tym nie dla ciekawostki proceduralnej, tylko dlatego, że te dwie daty mówią o tej ustawie więcej niż jej tytuł: instytucja dopiero się składa, a kalendarz uprawnień już biegnie. Firmy, z którymi rozmawiam, znają AI Act ze szkoleń i newsletterów. Polskiej ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji nie zna prawie nikt, choć to ona określa organ nadzoru i procedury: kto przychodzi, w jakim trybie i czego może zażądać. Maksymalne kary wynikają z AI Act; ustawa krajowa daje narzędzia do ich egzekwowania.

Przeczytałem ją w całości, od artykułu pierwszego do stu dwudziestego siódmego, i poniżej rozkładam ją na części, które mają znaczenie dla firmy używającej albo budującej narzędzia AI. Przy każdym twierdzeniu podaję numer artykułu, żeby dało się sprawdzić, czy nie zmyślam.

To autorska analiza praktyka wdrożeń AI, który nie jest prawnikiem. Materiał ogólny, nie rozstrzyga zgodności konkretnego wdrożenia. Stan przepisów na 15 września 2026 r. Przed wdrożeniem skonsultuj proces z prawnikiem lub inspektorem ochrony danych.

Spis treści

1. Co wprowadza ustawa o systemach sztucznej inteligencji
2. KRiBSI: kto kontroluje firmy używające AI
3. Opinia indywidualna: pytanie do urzędu za 150 złotych
4. Kontrola: kto przychodzi, po co i czego może zażądać
5. Jak wygląda postępowanie i odwołanie
6. Kary i terminy: co zmienia 28 października 2026
7. Piaskownica regulacyjna dla firm, które AI budują
8. Cztery rzeczy do przygotowania przed 28 października
9. Kalendarz tej ustawy
10. Najczęstsze pytania
11. Źródła

Co wprowadza ustawa o systemach sztucznej inteligencji

Zacznę od tego, czego w tej ustawie nie ma, bo to najczęstsze nieporozumienie. Nie ma w niej własnej definicji sztucznej inteligencji ani własnego katalogu tego, czego firmie nie wolno robić z AI. Artykuł 4 ustawy odsyła po kolei: system sztucznej inteligencji, ryzyko, dostawca, operator, wprowadzenie do obrotu, piaskownica regulacyjna. Wszystkie te pojęcia „w rozumieniu” odpowiednich punktów art. 3 AI Act. Zakazy i obowiązki materialne siedzą w rozporządzeniu unijnym, które w Polsce obowiązuje wprost. Opisałem je w mapie aktów prawnych dotyczących AI w firmie, a sam AI Act rozłożyłem na role i terminy w drugim tekście serii.

Ustawa krajowa robi pięć rzeczy i wylicza je w art. 1: określa organizację i sposób sprawowania nadzoru nad rynkiem systemów AI oraz modelami ogólnego przeznaczenia, postępowanie w sprawie naruszenia rozporządzenia i ustawy, warunki akredytacji i notyfikacji jednostek oceniających zgodność, działania wspierające rozwój systemów AI oraz zasady nakładania administracyjnych kar pieniężnych.

Jedno zastrzeżenie do popularnego skrótu „to ustawa wyłącznie proceduralna”. W rozdziale 8 są dwa przepisy karne, których w AI Act nie ma i które są wyłącznie polskie. Artykuł 112 przewiduje karę ograniczenia wolności albo grzywny dla tego, kto utrudnia lub udaremnia czynności kontrolne albo czynności w postępowaniu; ust. 2 rozciąga to na osobę działającą w imieniu lub w interesie spółki. Artykuł 113 przewiduje tę samą karę za niewykonanie decyzji nakazującej zaprzestanie stosowania systemu. Orzekają o tym sądy w trybie przepisów o wykroczeniach (art. 114). Czyli nowe zagrożenie karne jednak doszło, tylko dotyczy zachowania wobec organu, nie samego używania AI.

Kogo ustawa obejmuje. Artykuł 3 ust. 1 kieruje ją do podmiotów wskazanych w art. 2 ust. 1 AI Act, z wyłączeniem osób fizycznych stosujących system wyłącznie do celów osobistych, niepowiązanych z działalnością gospodarczą, zawodową ani rolniczą. Jeśli używasz generatora tekstu do pisania życzeń urodzinowych, jesteś poza ustawą; jeśli ten sam generator pisze oferty w firmie, trzeba sprawdzić, czy i w jakim zakresie to zastosowanie mieści się w AI Act i w tej ustawie. Ust. 2 dodaje, że przepisy o systemach AI stosuje się odpowiednio do modeli ogólnego przeznaczenia. Poza zakresem zostają sprawy obronności i bezpieczeństwa narodowego, działania służb specjalnych oraz badania naukowe i prace rozwojowe, o ile nie obejmują testów w warunkach rzeczywistych (art. 2 ust. 1).

Krótko o drodze, bo to tłumaczy, dlaczego temat przeszedł niezauważony. Rządowy projekt wpłynął do Sejmu 9 kwietnia 2026 r. jako druk nr 2443, pierwsze czytanie odbyło się 29 kwietnia, Sejm uchwalił ustawę 11 czerwca, Senat zajął stanowisko 25 czerwca, Sejm rozpatrzył je 3 lipca i przyjął część poprawek. Prezydent podpisał 24 lipca, ogłoszenie nastąpiło 27 lipca 2026 r. w Dz.U. poz. 1003. Wszystko to działo się między majówką a wakacjami.

Co Komisja egzekwuje, a co już obowiązuje z rozporządzenia

Dla porządku, bo bez tego cała reszta wisi w powietrzu: obowiązki materialne, których ta ustawa ma pilnować, wynikają z AI Act i część z nich działa od dawna. Obowiązek podejmowania działań na rzecz kompetencji AI wśród osób pracujących z tymi systemami (art. 4) obowiązuje od 2 lutego 2025 r., dotyczy też firm używających gotowych narzędzi i nie ma własnej, odrębnej kary. Od tej samej daty działa zakaz z art. 5 ust. 1 lit. f, czyli wnioskowania o emocjach osoby w miejscu pracy na podstawie danych biometrycznych, z wyjątkami dla zastosowań medycznych i związanych z bezpieczeństwem. Od 2 sierpnia 2026 r. stosuje się obowiązki przejrzystości z art. 50 (informowanie, że rozmówcą jest AI, oznaczanie i ujawnianie określonych treści), z terminem przejściowym do 2 grudnia 2026 r. dla dostawców starszych systemów generujących treści syntetyczne. Stosowanie przepisów o systemach wysokiego ryzyka wskazanych w załączniku III pkt 4, czyli między innymi rekrutacji, decyzji o warunkach pracy oraz monitorowania i oceny wydajności, przesunięto na 2 grudnia 2027 r.; razem z nimi przesunął się obowiązek z art. 26 ust. 7, czyli poinformowania pracowników i ich przedstawicieli przed użyciem takiego systemu. Wszystkie te przepisy rozłożyłem na role i terminy w drugim tekście serii.

Poza AI Act zostają dwa zestawy przepisów, których KRiBSI nie egzekwuje, a które przy AI wobec ludzi wchodzą najwcześniej: RODO, z prawem do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (art. 22) i oceną skutków przed przetwarzaniem wysokiego ryzyka (art. 35), oraz Kodeks pracy, gdzie monitoring wizyjny obejmuje obraz, nie dźwięk (art. 22²), a każda inna forma monitoringu wymaga celu, zapisu w regulaminie albo obwieszczeniu, dwóch tygodni uprzedzenia i informacji na piśmie (art. 22³). Obu tym aktom poświęcam osobne teksty w kolejnych częściach serii.

Wejście w życie: trzy daty

Ustawa wchodzi w życie etapami i to jest najważniejsza rzecz do zapamiętania z całego tego rozdziału. Artykuł 127 dzieli ją na trzy części. Zasadą jest wejście w życie po upływie 14 dni od ogłoszenia, czyli 11 sierpnia 2026 r. Wyjątek pierwszy to art. 125 ust. 4, obowiązujący od dnia następnego po ogłoszeniu, czyli od 28 lipca; to przepis nakazujący ministrowi utworzyć komórkę, która obsłuży Komisję. Wyjątek drugi obejmuje „art. 8–18 oraz rozdziałów 3–5, 8 i 9, które wchodzą w życie po upływie 3 miesięcy od dnia ogłoszenia” (art. 127 pkt 2), czyli 28 października 2026 r.

Pod tym drugim wyjątkiem kryje się cała praktyczna treść ustawy: opinie indywidualne i wyjaśnienia (art. 8–18), kontrola (rozdział 3), postępowanie przed organem (rozdział 4), układ w sprawie nadzwyczajnego złagodzenia sankcji (rozdział 5), kary (rozdział 8) i zmiany w innych ustawach (rozdział 9). Do 27 października Komisja działa, ale bez narzędzi kontrolnych i bez kar. Od 28 października zaczynają być stosowane przepisy, które przyznają jej jedne i drugie.

KRiBSI: kto kontroluje firmy używające AI

Organem jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Skrót, który zaczyna się pojawiać w prasie branżowej, to KRiBSI. Artykuł 5 ust. 1 czyni ją organem nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act, a ust. 2 pojedynczym punktem kontaktowym wobec instytucji unijnych. To odpowiedź na pytanie, które padało na każdym szkoleniu przez ostatnie dwa lata: kto to w Polsce będzie egzekwował.

Komisja jest ciałem kolegialnym. W jej skład wchodzą Przewodniczący, dwóch Zastępców i czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE (art. 19 ust. 1). Siedem osób, z których czterech deleguje inne urzędy regulacyjne. Rozstrzygnięcia zapadają w drodze uchwał, zwykłą większością głosów, w głosowaniu jawnym, przy obecności co najmniej pięciu osób (art. 21 ust. 3). Obsługę administracyjną i biurową zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43 ust. 1), czyli w praktyce Ministerstwo Cyfryzacji.

Zadania Komisji wylicza art. 6 w siedemnastu punktach. Dla firmy liczą się cztery: kontrola przestrzegania rozporządzenia i ustawy (pkt 1), wydawanie postanowień i decyzji w sprawach o naruszenie (pkt 6), prowadzenie rejestru skarg (pkt 12) oraz wydawanie opinii indywidualnych i wyjaśnień (pkt 13). Do tego dochodzi obowiązek, o którym warto wiedzieć przy planowaniu na przyszły rok: do 31 marca każdego roku Komisja udostępnia w Biuletynie Informacji Publicznej coroczną informację z przykładami dobrych praktyk wdrażania i stosowania systemów AI przez przedsiębiorców (art. 6 pkt 17 lit. b). Taki dokument może dać praktyczne wskazówki, choć nie zastąpi przepisów ani decyzji w konkretnej sprawie.

Urząd, który jeszcze się składa

Przewodniczącego powołuje na pięcioletnią kadencję i odwołuje Sejm za zgodą Senatu (art. 28 ust. 1). Senat ma miesiąc na uchwałę, a niepodjęcie jej w terminie oznacza zgodę (ust. 2). Kandydat musi mieć wykształcenie wyższe z tytułem magistra, wyróżniać się wiedzą i dorobkiem w zakresie sztucznej inteligencji oraz mieć co najmniej trzyletni staż na stanowiskach kierowniczych w podmiotach działających w obszarze informatyzacji (ust. 3). Ta sama osoba nie może pełnić funkcji dłużej niż przez dwie kadencje.

Przepisy przejściowe wyznaczyły rytm rozruchu. Artykuł 125 ust. 2 daje Sejmowi dwa miesiące od wejścia ustawy w życie na powołanie Przewodniczącego, czyli termin mija 11 października 2026 r. Ust. 3 nakazuje zwołać pierwsze posiedzenie Komisji w ciągu trzech miesięcy, czyli najpóźniej do 11 listopada; może się ono odbyć wcześniej. Na 15 września 2026 r. Przewodniczącego nie powołano: kandydatura Pameli Krzypkowskiej wpłynęła do Sejmu 9 września jako druk nr 3078 i na ten dzień była jedyna. Zanim zaczniesz cokolwiek planować na podstawie tego akapitu, sprawdź, czy wybór już się odbył.

Praktyczny wniosek z tego rozruchu wyciągam ostrożny, bo nie mam danych, żeby wyciągnąć mocniejszy. Maksymalny limit wydatków budżetowych na tę ustawę to 9,30 mln zł w 2026 r. i 23,74 mln zł w 2027 r. (art. 126 ust. 1). Jak szybko przełoży się to na liczbę kontroli, nie wiem. Wiem za to, że przepisy o kontroli i karach zaczynają być stosowane niezależnie od tempa, w jakim urząd się organizuje.

Społeczna Rada przy Komisji

Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji: od 9 do 15 członków, dwuletnia kadencja (art. 45 ust. 2). Kandydatów zgłaszają między innymi Rzecznik Praw Obywatelskich, Rzecznik Małych i Średnich Przedsiębiorców, Główny Inspektor Pracy, izby gospodarcze, reprezentatywne organizacje związkowe, uczelnie oraz fundacje i stowarzyszenia działające w obszarze nowych technologii i praw człowieka (ust. 3). Opinie Rady nie wiążą Komisji (art. 46 ust. 3), ale Rada może przekazać Przewodniczącemu wniosek o wszczęcie postępowania o naruszenie (art. 46 ust. 1 pkt 3).

Dla firmy to informacja o dwóch twarzach. Z jednej strony jest to kanał, przez który branżowa izba gospodarcza może dopychać sensowne praktyki. Z drugiej strony związek zawodowy albo organizacja zajmująca się prawami człowieka ma tą samą drogą dostęp do organu, który może wszcząć postępowanie w sprawie systemu oceniającego pracowników.

Czego KRiBSI nie robi

Komisja nie zastępuje pozostałych urzędów i to jest rzecz, którą trzeba sobie ułożyć w głowie raz. Przetwarzanie danych osobowych to nadal Prezes UODO, ochrona konsumentów UOKiK, rynek finansowy KNF, a monitoring pracowników może podlegać równoległej ocenie Państwowej Inspekcji Pracy, UODO i sądów pracy, zależnie od tego, czego dotyczy zarzut. Artykuł 20 ust. 1 wylicza dwanaście podmiotów, z którymi Komisja współpracuje, i wymienia w tym gronie Prezesa UODO w zakresie spraw z art. 57 ust. 10 AI Act, KNF, UOKiK i pozostałe organy nadzoru rynku, koordynatora do spraw usług cyfrowych, Urząd Patentowy oraz Prokuratora Generalnego.

To samo wdrożenie może więc zostać obejrzane przez dwa urzędy z dwóch stron: KRiBSI zapyta o rolę w łańcuchu i o obowiązki z rozporządzenia, UODO o podstawę przetwarzania i ocenę skutków, PIP o cel monitoringu i zapis w regulaminie. Współpraca między organami jest w ustawie opisana w obie strony: art. 123 dopisuje Prezesowi UODO obowiązek współpracy z Komisją w ustawie o ochronie danych osobowych.

Opinia indywidualna: pytanie do urzędu za 150 złotych

To jest przepis, który w całej ustawie ma dla firmy największą wartość praktyczną, a w opracowaniach prasowych ginie między kadencją Przewodniczącego a wysokością kar. Od 28 października można złożyć do organu nadzoru wniosek o opinię w konkretnej sprawie i, przy spełnieniu wymagań ustawowych, dostać odpowiedź na piśmie.

Wystąpić może podmiot obowiązany do stosowania rozporządzenia i ustawy albo taki, który dopiero „planuje podjąć działania, na skutek których zostanie objęty zakresem stosowania” tych przepisów (art. 9 ust. 1). Drugi przypadek jest tu istotny, bo pozwala zapytać przed wdrożeniem, a nie dopiero wtedy, gdy system już działa. Wniosek może dotyczyć stanu faktycznego albo zdarzenia przyszłego (ust. 2) i zawiera wyczerpujący opis tego stanu „w zakresie jednego zagadnienia”, własne stanowisko wnioskodawcy co do jego oceny prawnej oraz oznaczenie podmiotu z numerem REGON, KRS albo NIP (ust. 3). Dochodzi do tego oświadczenie, że elementy objęte wnioskiem nie są przedmiotem postępowań toczących się wobec wnioskodawcy przed innymi organami i sądami (art. 10 ust. 1); fałszywe oświadczenie pozbawia wydaną opinię skutków prawnych przewidzianych ustawą (ust. 3).

Samo złożenie wniosku nie gwarantuje merytorycznej odpowiedzi: przy brakach formalnych Komisja wzywa do ich uzupełnienia w 7 dni, a po bezskutecznym terminie pozostawia wniosek bez rozpoznania (art. 11 ust. 3), i są sytuacje, w których opinii się nie wydaje (o tym niżej).

Koszty i terminy w jednym miejscu: opłata wynosi 150 zł i uiszcza się ją przed złożeniem wniosku (art. 11 ust. 1); Komisja wydaje i doręcza opinię „niezwłocznie, jednak niepóźniej niż w terminie 30 dni od dnia złożenia wniosku”, a w przypadkach szczególnie skomplikowanych w 60 dni, o czym informuje wnioskodawcę (art. 12 ust. 1). Niewydanie opinii w tych terminach „uznaje się za wydanie opinii indywidualnej zgodnej ze stanowiskiem, które podmiot przedstawił we wniosku” (art. 12 ust. 3), a opłata wraca w całości (art. 11 ust. 4 pkt 3). Stąd wniosek o sposobie pisania: stanowisko własne może wyznaczyć zakres przyszłej opinii, więc ze względu na skutki warto rozważyć konsultację treści wniosku z prawnikiem.

Moc opinii jest ograniczona do tego, o co się pytało. Wiąże Komisję oraz te organy państwowe i jednostki organizacyjne, u których Komisja zasięgała opinii przy jej wydawaniu, w zakresie danej sprawy i dla opisanego we wniosku stanu (art. 13 ust. 1); nie jest to ogólna zgoda na wdrożenie. Komisja może ją później zmienić, uchylić albo stwierdzić jej wygaśnięcie, jeśli zmienił się stan prawny, pojawiło się orzecznictwo albo wytyczne Komisji Europejskiej (art. 15 ust. 1). Zastosowanie się do opinii przed jej zmianą, uchyleniem albo wygaśnięciem „nie może szkodzić podmiotowi, na wniosek którego została wydana” (art. 15 ust. 5). Do tego art. 13 ust. 2 zastrzega, że opinii nie można zmienić, jeżeli w wyniku jej wydania wystąpiły albo mogą wystąpić nieodwracalne skutki.

Konstrukcja przypomina interpretację indywidualną znaną z podatków: pytanie przed działaniem i ochrona dla tego, kto się zastosował. Skutki wyznaczają jednak odrębne przepisy tej ustawy, nie Ordynacja podatkowa.

Cztery ograniczenia, żeby nikt nie budował na tym za dużo. Opinii nie wydaje się co do elementów stanu faktycznego, które w dniu złożenia wniosku są przedmiotem toczącego się postępowania przed Komisją lub innymi organami, w tym sądowego i sądowo-administracyjnego, ani gdy sprawa została już rozstrzygnięta (art. 14); zapytać trzeba więc wcześnie, bo po wszczęciu postępowania ta droga jest zamknięta. Zakres wniosku obejmuje wyłącznie sprawy objęte AI Act i tą ustawą; RODO i prawo pracy wymagają odrębnej oceny, a opinia KRiBSI jej nie zastępuje. Ten sam podmiot może złożyć kolejny wniosek dopiero po 30 dniach od poprzedniego (art. 9 ust. 5). I rzecz, która zaskoczy niejednego prezesa: opinie i wyjaśnienia trafiają po anonimizacji do Biuletynu Informacji Publicznej, przy czym przed publikacją Komisja usuwa dane objęte tajemnicami prawnie chronionymi, w tym tajemnicą przedsiębiorstwa, i może poprosić firmę o stanowisko co do zakresu tego usunięcia (art. 17 ust. 1).

Kiedy warto po nią sięgnąć. Narzędzia z pogranicza, przy których dwóch rozsądnych ludzi czyta ten sam przepis inaczej: scoring rozmów handlowych, wstępna selekcja zgłoszeń rekrutacyjnych, automatyczne przydzielanie zadań, narzędzie, które ma jedną funkcję ocenną wśród pięciu opisowych. Nie jest to sposób na „załatwienie zgodności”, bo opinia dotyczy jednego zagadnienia i jednego opisanego stanu. Może natomiast ograniczyć niepewność w jednym punkcie, który blokuje decyzję, w granicach ochrony przewidzianej ustawą: opłata 150 zł, podstawowy termin 30 dni, w sprawach szczególnie skomplikowanych 60.

Osobna ścieżka dotyczy uczestników piaskownicy regulacyjnej. Taki podmiot może w ciągu 90 dni od doręczenia potwierdzenia uczestnictwa wystąpić o opinię w zakresie systemu będącego przedmiotem projektu; Komisja wydaje ją w terminie 14 dni od złożenia wniosku (art. 101 ust. 1 i 2), a do tej opinii nie stosuje się przepisu o opłacie ani przepisu o milczącej zgodzie (ust. 4).

Obok opinii indywidualnych ustawa przewiduje wyjaśnienia: Komisja wydaje je z urzędu albo na wniosek, gdy mają istotne znaczenie dla stosowania przepisów, „dążąc do zapewnienia jednolitego stosowania” (art. 16 ust. 1). Wyjaśnienie nie jest adresowane do jednej firmy i nie daje takiej ochrony jak opinia, za to dotyczy wszystkich. Jeśli w Twojej branży kilka firm ma ten sam problem, to jest ten tryb, o który warto poprosić wspólnie.

Kontrola: kto przychodzi, po co i czego może zażądać

Rozdział 3 zaczyna obowiązywać 28 października i to on stoi za nagłówkami o „kontrolach AI”. Wbrew wyobrażeniom nie chodzi o nalot z zaskoczenia.

Podstawy wszczęcia są trzy: z urzędu, na wniosek Przewodniczącego, Zastępcy albo członka Komisji, albo na wniosek krajowego organu lub podmiotu publicznego z wykazu, o którym mowa w art. 77 ust. 1 AI Act (art. 49 ust. 1). Kontrolę prowadzi się zgodnie z zatwierdzonym przez Komisję planem kontroli, na podstawie uzyskanych informacji albo w ramach monitorowania przestrzegania rozporządzenia (art. 48 ust. 2). W sprawach nieuregulowanych do przedsiębiorców stosuje się rozdział 5 ustawy Prawo przedsiębiorców, z wyjątkiem jednego przepisu (art. 48 ust. 3 pkt 1). Standardowe gwarancje kontrolowanego przedsiębiorcy pozostają w mocy.

Zawiadomienie i siedem dni. Kontrolę przeprowadza się co do zasady nie wcześniej niż po 7 dniach od doręczenia zawiadomienia o jej wszczęciu (art. 49 ust. 2). Zasadą jest tryb zdalny: „kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron” (ust. 3). Komisja może postanowić inaczej i przeprowadzić czynności w siedzibie kontrolowanego albo zrezygnować z siedmiodniowego wyprzedzenia, ale tylko przy uzasadnionym podejrzeniu albo znaczącym prawdopodobieństwie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych (ust. 4). Dla typowej firmy stosującej AI w back office scenariusz jest więc taki: pismo, tydzień, wideokonferencja i wymiana plików.

Papier, który warto przeczytać na wejściu. Kontrolujący przeprowadza kontrolę po doręczeniu imiennego upoważnienia i okazaniu dokumentu tożsamości (art. 51 ust. 1). Upoważnienie zawiera dziewięć elementów, w tym podstawę prawną, imię, nazwisko i numer dokumentu tożsamości kontrolującego, datę ważności, określenie zakresu przedmiotowego kontroli, przewidywany termin zakończenia oraz pouczenie o prawach i obowiązkach kontrolowanego (ust. 2); podpisuje je Przewodniczący Komisji (ust. 3). Zakres przedmiotowy jest tu najważniejszą rubryką, bo wyznacza granicę żądań.

Czego może zażądać kontrolujący. Artykuł 52 ust. 1 daje prawo do żądania udostępnienia materiałów, dokumentów i korespondencji przesyłanej drogą elektroniczną, informatycznych nośników danych, innych urządzeń zawierających dane oraz systemów informatycznych i teleinformatycznych. Przepis obejmuje wprost zapewnienie dostępu do systemów „oraz chmury obliczeniowej będących własnością innego podmiotu, zawierających dane kontrolowanego związane z przedmiotem kontroli, w zakresie, w jakim kontrolowany ma do nich dostęp”. Do tego dochodzi prawo do sporządzania kopii i zestawień, żądania ustnych lub pisemnych wyjaśnień oraz utrwalania czynności za pomocą urządzeń rejestrujących obraz lub dźwięk po uprzednim poinformowaniu kontrolowanego (pkt 8). Osoba wykonująca czynności kontrolne jest obowiązana przestrzegać poufności danych osobowych i tajemnicy przedsiębiorstwa (art. 50 ust. 8).

Słowo „chmura” w tym przepisie jest powodem, żeby zajrzeć do własnych umów z dostawcami. Jeżeli logi narzędzia AI są u dostawcy w Irlandii, a firma ma do nich dostęp przez panel, to mieszczą się w tym przepisie. Kto ma te dane wyciągnąć i w jakim terminie, lepiej ustalić z dostawcą przed kontrolą niż w jej trakcie.

Korespondencja z prawnikiem jest chroniona, ale pod warunkiem. Jeśli kontrolowany oświadczy, że ujawnione materiały zawierają komunikację z adwokatem lub radcą prawnym wytworzoną w celu uzyskania ochrony prawnej w toku kontroli, kontrolujący pozostawia je w miejscu kontroli (art. 54 ust. 1). Może przy tym zapoznać się z nimi w sposób pozwalający ustalić autora, adresata, tytuł, przedmiot i datę (ust. 2). Przy wątpliwościach materiał trafia do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, który w terminie miesiąca postanawia o zwrocie kontrolowanemu albo o przekazaniu organowi (ust. 3 i 5). Ciężar dowodu, że materiał spełnia przesłanki ochrony, spoczywa na kontrolowanym (ust. 4). Praktyczny wniosek jest nudny: korespondencję z adwokatem lub radcą prawnym porządkuj tak, żeby dało się ustalić jej pochodzenie i cel. Zakres ochrony i tak ocenia się osobno, a ciężar wykazania przesłanek leży po stronie firmy.

Jak kontrola się kończy. Kontrolujący sporządza protokół zawierający opis przebiegu, ustalenia i pouczenie o prawie zgłoszenia zastrzeżeń (art. 56 ust. 2). Kontrolowany ma 14 dni od doręczenia protokołu, żeby go podpisać albo złożyć zastrzeżenia na piśmie (ust. 6); niewykonanie tego obowiązku uznaje się za odmowę podpisania (ust. 8). Zastrzeżenia nie są formalnością: kontrolujący dokonuje ich analizy, w razie potrzeby podejmuje dodatkowe czynności, a przy uznaniu ich zasadności zmienia lub uzupełnia protokół aneksem (ust. 7).

Jeżeli stwierdzono nieprawidłowości, Komisja wydaje zalecenia pokontrolne: wzywa do ich usunięcia, może wskazać środki, wyznacza termin oraz sposób powiadomienia o wykonaniu (art. 57 ust. 1 i 2). Terminy nie mogą być krótsze niż 30 dni, chyba że kontrolowany zgodzi się na krótszy albo naruszenia powtarzały się w przeszłości (ust. 3 i 4). Dopiero gdy po upływie terminu nieprawidłowości nie znikną albo firma nie powiadomi Komisji o wykonaniu zaleceń, Komisja może wszcząć postępowanie w sprawie naruszenia (ust. 5).

Ustawa przewiduje więc zalecenia pokontrolne i termin na usunięcie nieprawidłowości; kara jest instrumentem osobnego postępowania, opisanego niżej. Osobno działa art. 112: utrudnianie lub udaremnianie czynności kontrolnych jest wykroczeniem zagrożonym karą ograniczenia wolności albo grzywny, także wobec osoby działającej w imieniu spółki. Odpowiedzialność dotyczy utrudniania czynności, nie samego braku uporządkowanej dokumentacji.

Jak wygląda postępowanie i odwołanie

Postępowanie w sprawie naruszenia to osobny tryb, opisany w rozdziale 4. Komisja wszczyna je z urzędu, w tym na podstawie informacji zebranych w kontroli albo w toku rozpatrywania skargi, albo na wniosek Przewodniczącego, Zastępcy, członka Komisji, krajowego organu publicznego lub Społecznej Rady (art. 58). W sprawach nieuregulowanych stosuje się Kodeks postępowania administracyjnego (art. 64).

Skarga: każdy może ją złożyć

Artykuł 59 ust. 1 mówi krótko: skargę do Komisji może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej. Bez ograniczenia do osób, których system dotyczy. Skarga zawiera nazwę albo opis systemu, jeśli to możliwe dane podmiotu, którego dotyczy, opis istotnych faktów i powody, dla których skarżący uważa, że doszło do naruszenia, oraz inne informacje, które sam zebrał (ust. 2). Składa się ją elektronicznie, a papierowo tylko wtedy, gdy elektronicznie się nie da (ust. 3). Komisja prowadzi rejestr skarg (art. 6 pkt 12).

Kto realnie z tego skorzysta, zobaczymy dopiero za rok. Krąg jest szeroki: skargę może złożyć osoba, której system dotyczył, na przykład odrzucony kandydat podejrzewający, że o jego zgłoszeniu zdecydował algorytm, ale też podmiot niebędący użytkownikiem systemu, w tym konkurent. Zasadność każdej z nich ocenia Komisja, a sama skarga nie przesądza o wszczęciu postępowania.

Ostrzeżenie i działania naprawcze: możliwy wpływ na dalsze postępowanie

Ciekawy jest art. 61, bo daje organowi narzędzie pośrednie. Przy uzasadnionym podejrzeniu, że działalność strony narusza przepisy, Komisja może w toku postępowania wydać ostrzeżenie w drodze postanowienia (ust. 1). Wskazuje w nim działania przywracające stan zgodny z prawem, w szczególności zablokowanie albo uniemożliwienie użytkownikom dostępu do systemu lub jego elementów, działania naprawcze doprowadzające system do zgodności oraz spełnienie obowiązku informacyjnego „wobec użytkowników końcowych, kontrahentów, pracowników lub innych osób stosujących system, lub osób, na które system oddziałuje” (ust. 2).

Strona ma 21 dni na przedstawienie informacji o wykonaniu tych działań (ust. 3). Jeżeli ich nie wykona, Komisja może nakazać spełnienie obowiązku informacyjnego, poinformować organy krajowe, Komisję Europejską i Europejską Radę ds. Sztucznej Inteligencji, a także umieścić w Biuletynie Informacji Publicznej informację o niezastosowaniu się do ostrzeżenia (ust. 4).

Koszt tego etapu nie jest wyłącznie finansowy. Publikacja w BIP informacji o niezastosowaniu się do ostrzeżenia może mieć znaczenie reputacyjne, a obowiązek poinformowania własnych pracowników i kontrahentów o wadliwym działaniu systemu dotyka relacji, nie tylko dokumentów.

Decyzja, tryb pilny i wycofanie systemu

Jeżeli Komisja stwierdzi naruszenie i nie doszło do zawarcia układu, wydaje decyzję w sprawie naruszenia (art. 62 ust. 1). Decyzja zawiera środki nakazujące usunięcie skutków naruszenia w terminie 14 dni od doręczenia (ust. 2). Zastosowanie się do nich w terminie Komisja uwzględnia, podejmując decyzję o karze (ust. 3).

Osobno działa tryb pilny z art. 63. Gdy Komisja ma wystarczające powody, by stwierdzić, że system stwarza ryzyko w rozumieniu art. 79 ust. 1 AI Act, wszczyna postępowanie z urzędu i prowadzi je przez okres nie dłuższy niż 7 dni (ust. 1 i 4). Przy stwierdzeniu bezpośredniego ryzyka zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych może wydać decyzję nakazującą operatorowi zaprzestanie stosowania systemu albo wycofanie go z rynku lub użytkowania, z rygorem natychmiastowej wykonalności (ust. 2). Niewykonanie takiej decyzji to wykroczenie z art. 113.

Postępowanie „nie może trwać dłużej niż 6 miesięcy od dnia doręczenia stronie postanowienia o wszczęciu” (art. 60 ust. 3). Akta Komisja przechowuje przez 10 lat od doręczenia decyzji (art. 69).

Publikacja decyzji i wykazu ukaranych systemów

Artykuł 66 ust. 1 nakazuje Komisji udostępniać w BIP treść decyzji wydawanych na podstawie rozporządzenia i ustawy, po usunięciu tajemnic prawnie chronionych, wraz z informacją, czy decyzja jest prawomocna. Ust. 2 idzie dalej i tworzy wykaz systemów sztucznej inteligencji, co do których wydano decyzję o nałożeniu kary. Wykaz zawiera nazwę systemu oraz operatora, charakterystykę i opis działania systemu ze wskazaniem naruszonych przepisów, informacje o decyzjach dotyczących tego samego operatora podjętych przez organy innych państw członkowskich oraz o decyzjach innych polskich organów nadzoru rynku w sprawach dotyczących tego samego systemu (ust. 3).

Publikacja obejmuje zakres przewidziany ustawą, po usunięciu informacji prawnie chronionych, w tym tajemnicy przedsiębiorstwa.

Odwołanie: miesiąc, tysiąc złotych, sąd w Warszawie

Ustawa dopisała do Kodeksu postępowania cywilnego osobny dział „Postępowanie w sprawach z zakresu sztucznej inteligencji” (art. 115). Właściwy jest Sąd Okręgowy w Warszawie, sąd ochrony konkurencji i konsumentów, ten sam, który rozpatruje odwołania od decyzji UOKiK. Odwołanie wnosi się za pośrednictwem Komisji w terminie miesiąca od doręczenia decyzji, a zażalenie na postanowienie w terminie tygodnia. Odwołanie ma zawierać oznaczenie zaskarżonej decyzji, wartość przedmiotu sporu, zarzuty z uzasadnieniem, wskazanie dowodów i wniosek o uchylenie albo zmianę decyzji.

Ile to kosztuje. Zmieniony art. 32 ustawy o kosztach sądowych w sprawach cywilnych przewiduje opłatę stałą 1000 zł od odwołania od decyzji Komisji oraz od apelacji i skargi kasacyjnej w takiej sprawie, a 500 zł od zażalenia na postanowienie (art. 120 ustawy). Skarga kasacyjna od orzeczenia sądu drugiej instancji przysługuje niezależnie od wartości przedmiotu zaskarżenia.

Dwie rzeczy warte zapamiętania. Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej (art. 67); wstrzymanie dotyczy tej części decyzji, a nie automatycznie pozostałych wynikających z niej obowiązków. I druga: jeżeli Komisja uzna, że odwołanie zasługuje na uwzględnienie, może w terminie 14 dni sama uchylić albo zmienić decyzję, bez przekazywania akt sądowi (art. 65 ust. 4). Rzetelnie napisane odwołanie ma więc szansę zakończyć sprawę bez rozprawy, choć jak często tak się dzieje, dowiemy się najwcześniej za rok: pierwsze decyzje mogą zapaść dopiero po 28 października.

Kary i terminy: co zmienia 28 października 2026

Ustawa nie tworzy własnych stawek kar. Artykuł 104 ust. 1 mówi, że Komisja nakłada karę „w przypadkach, wysokości i na warunkach określonych w rozdziale XII rozporządzenia 2024/1689″. Wysokości bierze się więc z art. 99 AI Act i to są maksima ustawowe, nie stawki: za naruszenie zakazów z art. 5 do 35 mln euro albo 7 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa; za naruszenie pozostałych wymienionych tam obowiązków, w tym obowiązków podmiotu stosującego z art. 26 i obowiązków przejrzystości z art. 50, do 15 mln euro albo 3 %; za dostarczenie organom informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd do 7,5 mln euro albo 1 %. Dla MŚP, w tym firm typu start-up, art. 99 ust. 6 odwraca zasadę i każe stosować wartość niższą z dwóch; lipcowy pakiet omnibus dołożył analogiczną regułę dla małych spółek o średniej kapitalizacji (nowy art. 99 ust. 6a).

Przy wymiarze kary Komisja uwzględnia przesłanki z art. 99 ust. 7 AI Act, między innymi charakter, wagę i czas trwania naruszenia, wielkość podmiotu, stopień współpracy z organem i to, czy naruszenie zgłoszono samodzielnie (art. 104 ust. 2). Ustawa dokłada do tego wymóg proceduralny, który warto znać: w uzasadnieniu decyzji Komisja wskazuje te przesłanki (ust. 3). Sposób uzasadnienia wysokości kary może więc podlegać ocenie przy rozważaniu odwołania; o skutku rozstrzyga sąd.

Przeliczanie na złote reguluje art. 104 ust. 4: równowartość kwot wyrażonych w euro oblicza się „według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku”, a gdy NBP tego dnia kursu nie ogłasza, według najbliższej tabeli po tej dacie. Karę uiszcza się w terminie 30 dni od uprawomocnienia się decyzji (ust. 5), a wpływy są dochodem budżetu państwa (art. 106). Jeżeli firma nie dostarczy danych potrzebnych do ustalenia podstawy wymiaru w terminie 14 dni od żądania, Komisja ustala ją szacunkowo, uwzględniając wielkość podmiotu, specyfikę działalności albo ogólnie dostępne dane finansowe (art. 105).

Dwa mechanizmy obniżenia kary i samodzielne zgłoszenie

Pierwsza możliwość dotyczy wykonania działań naprawczych wskazanych wcześniej w ostrzeżeniu. Komisja może zmniejszyć karę o 10 % do 50 %, jeżeli ukarany wykonał w terminie 3 miesięcy od doręczenia decyzji działania wskazane we wcześniejszym ostrzeżeniu, a naruszenie nie doprowadziło do śmierci ani poważnego uszczerbku na zdrowiu (art. 107 ust. 1). Na uzasadniony wniosek Komisja może też odroczyć termin zapłaty albo rozłożyć karę na raty, z odsetkami według obniżonej stawki (ust. 2 i 4).

Drugi mechanizm to układ w sprawie warunków nadzwyczajnego złagodzenia sankcji, czyli cały rozdział 5. Komisja może wydać postanowienie o możliwości zawarcia układu, jeżeli uzna, że przyczyni się to do pełniejszej realizacji celów rozporządzenia i ustawy; strona może też sama złożyć wniosek (art. 70 ust. 1 i 2). Warunki są dwa: strona zaprzestała naruszania prawa albo usunęła stan niezgodności oraz ujawniła Komisji wszystkie istotne okoliczności naruszenia, w tym podmioty współdziałające, i przedstawiła dowody (ust. 4). W zamian Komisja może obniżyć karę „niemniej niż o 20 % i niewięcej niż o 70 %” (ust. 6). Może też złagodzić inną sankcję, a przy nadzwyczajnych okolicznościach łagodzących układ może przewidywać odstąpienie od nałożenia sankcji (ust. 9).

Osobno ustawa premiuje samodzielne zgłoszenie, które jest wariantem układu uruchomionym wcześniej. Jeżeli postępowanie zostało wszczęte na podstawie informacji i dokumentów przedstawionych Komisji samodzielnie przez podmiot, który dopuścił się naruszenia, a wcześniej zaprzestał on naruszania prawa, widełki obniżki rosną do przedziału od 30 % do 90 % (art. 84 ust. 1 w zw. z art. 70 ust. 6).

Cena układu jest jedna i trzeba ją znać przed podpisem: skutkiem oświadczenia o przyjęciu układu jest zrzeczenie się prawa do wniesienia odwołania do sądu (art. 74 ust. 4). Osłoną jest art. 72 ust. 2: informacje i dowody mające charakter oświadczenia strony, dotychczas Komisji nieznane, nie mogą być wykorzystane jako dowód ani w tym postępowaniu, ani w innym prowadzonym wobec tego podmiotu, jeżeli układ ostatecznie nie zostanie zawarty. Czy w konkretnej sprawie opłaca się pójść tą drogą, jest decyzją, którą podejmuje się z prawnikiem, a nie po lekturze artykułu na blogu.

Od kiedy i za co

Rozdział 8 stosuje się od 28 października 2026 r. (art. 127 pkt 2). Od tego dnia Komisja uzyskuje kompetencję do nakładania kar, a podstawą kary może być naruszenie obowiązku, który w danym czasie już był stosowany. Same obowiązki mają różne daty: zakazy z art. 5 AI Act od 2 lutego 2025 r., obowiązki przejrzystości z art. 50 od 2 sierpnia 2026 r., z terminem przejściowym do 2 grudnia 2026 r. dla dostawców starszych systemów generujących treści syntetyczne, a stosowanie przepisów o systemach wysokiego ryzyka wskazanych w załączniku III, w tym używanych w zatrudnieniu, przesunięto po lipcowym pakiecie omnibus na 2 grudnia 2027 r.

Jak organ będzie traktował stany sprzed 28 października, tego nie wiem. Nie znalazłem stanowiska Ministerstwa Cyfryzacji ani wytycznych w tej sprawie, a sama ustawa milczy. Rozsądne założenie na dziś jest takie, że stan zgodności trzeba mieć ułożony przed tą datą, a nie po pierwszym piśmie.

Piaskownica regulacyjna dla firm, które AI budują

Ta sekcja dotyczy węższej grupy: firm, które systemy AI tworzą albo zamawiają jako własny produkt. Jeśli tylko używasz gotowych narzędzi, możesz ją przeskoczyć.

Komisja ustanawia piaskownicę regulacyjną i w drodze decyzji udziela wybranym podmiotom zgody na odstępstwo od stosowania obowiązków wymienionych w ustawie albo na wsparcie w osiąganiu zgodności z wymogami rozporządzenia, w zakresie niezbędnym do przeprowadzenia projektu (art. 91 ust. 1). Zakres możliwych odstępstw wylicza ust. 3 i jest konkretny: dokumentacja systemu zarządzania ryzykiem, zbiory danych treningowych, walidacyjnych i testowych, dokumentacja techniczna, rejestrowanie zdarzeń, instrukcja obsługi, system zarządzania jakością, deklaracja zgodności UE, oznakowanie CE, rejestracja w bazie danych UE, monitorowanie po wprowadzeniu do obrotu. Czas trwania piaskownicy wynosi od 6 do 12 miesięcy (ust. 7).

Wejście odbywa się przez konkurs. Komisja ogłasza go w BIP wraz z przedmiotem, terminem i sposobem składania ofert, wykazem dokumentów, w tym planem projektu, oraz kryteriami oceny (art. 94). Plan projektu określa harmonogram testowania, cele, wymogi rozporządzenia stosowane wobec systemu podczas testów, zasady przetwarzania danych osobowych, procedury zarządzania ryzykiem i warunki testów w warunkach rzeczywistych (ust. 3). Oferty ocenia powołany przez Komisję zespół konkursowy, który sporządza protokół i projekt listy rankingowej (art. 95). Od rozstrzygnięcia przysługuje odwołanie do Komisji w terminie 7 dni od udostępnienia listy, rozpatrywane przez osobny zespół odwoławczy (art. 96).

Koszt jest skonstruowany pod mniejsze firmy: uczestnictwo mikroprzedsiębiorców oraz małych i średnich przedsiębiorców jest nieodpłatne (art. 93 ust. 1). Dla jednostek samorządu opłata nie może przekroczyć dwukrotności minimalnego wynagrodzenia za pracę, dla pozostałych podmiotów czterokrotności (ust. 2 i 3); konkretne stawki określi rozporządzenie ministra właściwego do spraw informatyzacji (ust. 4).

Obowiązki uczestnika wylicza art. 98: informowanie użytkowników i podmiotów, na które projekt oddziałuje, o uczestnictwie i jego warunkach, roczny raport z realizacji projektu, informacja na własnej stronie internetowej oraz niezwłoczne zgłaszanie Komisji zmian okoliczności prawnych i faktycznych. Komisja może kontrolować przestrzeganie warunków zakwalifikowania, a przy naruszeniu wzywa do jego usunięcia w terminie nie krótszym niż 30 dni; bezskuteczny upływ terminu kończy się uchwałą o wyłączeniu z piaskownicy (art. 99).

Ustawa nie wskazuje daty pierwszego konkursu; ogłoszenie ma trafić do Biuletynu Informacji Publicznej na stronie Komisji (art. 94 ust. 4), więc to jest miejsce do obserwowania. Dla firmy budującej narzędzie, które ma trafić do rekrutacji, oceny pracy albo scoringu klientów, cały ten tryb jest wart uwagi razem z opinią dostępną uczestnikowi piaskownicy na warunkach art. 101.

Cztery rzeczy do przygotowania przed 28 października

Poniżej lista, którą przechodzę z firmami przed uruchomieniem czegokolwiek, co dotyka ludzi. Nie jest to lista zgodności ani nic, co zastępuje ocenę prawnika. Jest to przykładowy zestaw materiałów, który ułatwia uporządkowanie procesu i odpowiedź na zawiadomienie o kontroli.

Zaczyna się od spisu. Jedna tabela, w której lądują wszystkie narzędzia z AI używane dziś w firmie, razem z tymi, które ktoś włączył bez pytania: asystent w skrzynce, streszczanie spotkań, funkcja AI w kupionym CRM, generator opisów produktów, wtyczka do przeglądarki, konto zespołowe w narzędziu generatywnym. Przy każdej pozycji cztery kolumny: kto jest dostawcą, do czego narzędzie służy, czy dotyka danych osobowych, czy dotyka ludzi w pracy. Piąta kolumna, wstępna kwalifikacja roli firmy w łańcuchu, wymaga wiedzy o umowie i sposobie udostępniania systemu, więc jest materiałem do rozmowy z prawnikiem, a nie rozstrzygnięciem do wpisania z marszu. Podział ról rozbierałem w mapie aktów, a szerzej w przewodniku po EU AI Act; ten drugi tekst powstał przed lipcowym pakietem omnibus, więc kalendarz terminów w nim jest nieaktualny i trzeba go czytać z tą poprawką.

Druga rzecz zajmuje pięć minut: nazwisko osoby, do której trafi pismo, i nazwisko jej zastępcy na czas urlopu. To ta sama osoba, która w razie kontroli odbiera zawiadomienie, sprawdza zakres przedmiotowy w upoważnieniu i wie, gdzie leżą umowy z dostawcami oraz kto ma dostęp do panelu z logami.

Dalej dokumentacja, która i tak powstaje przy uczciwym wdrożeniu: umowy i regulaminy dostawców, instrukcje obsługi, ślad działań na rzecz kompetencji AI (kto, kiedy, w jakim zakresie), informacje przekazane pracownikom, jeżeli narzędzie ich dotyczy. Najcenniejszy bywa dokument, który wygląda najskromniej: notatka z uzasadnieniem, dlaczego firma uznała dane narzędzie za takie, a nie inne. Jedna strona z datą i podpisem mówi o dojrzałości procesu więcej niż trzydziestostronicowa polityka, której nikt nie czytał.

Na koniec kartka z terminami, bo one są krótkie jak na polskie realia urlopowe: co do zasady nie mniej niż 7 dni od doręczenia zawiadomienia do czynności kontrolnych, 14 dni na podpisanie protokołu albo zgłoszenie zastrzeżeń, 21 dni na odpowiedź na ostrzeżenie, 14 dni na usunięcie skutków naruszenia wskazanych w decyzji, miesiąc na odwołanie do sądu. Na tej samej kartce: kto otwiera korespondencję, kogo zawiadamia tego samego dnia i do którego prawnika dzwonimy.

Przykład z praktyki, rodzajowo. W firmie produkcyjnej, z którą pracowałem, pomysł na analizę rozmów handlowców zatrzymał się na wymogach Kodeksu pracy dotyczących monitoringu; opisałem to w pierwszym tekście serii. Dziś zacząłbym od dokumentacji: rejestr, rozpisanie funkcji narzędzia pojedynczo, pytanie do inspektora ochrony danych o ocenę skutków, a przy funkcji ocennej, przy której nikt nie umie rozstrzygnąć kwalifikacji, przygotowanie wniosku o opinię indywidualną. Złożyć go będzie można od 28 października. Właściwa kolejność zależy od systemu, danych i roli firmy.

Jeżeli chcesz przejść przez to z zespołem, prowadzę bezpłatne szkolenie online „AI w firmie zgodnie z prawem”. Omawiamy mapę aktów, role i ten kalendarz na przykładach z Twojej branży. Dokument potwierdzający udział może być elementem dokumentacji działań szkoleniowych, ale nie przesądza o spełnieniu obowiązku z art. 4 AI Act; zakres szkolenia powinien odpowiadać rolom i sposobowi używania narzędzi. Zapisy przez formularz kontaktowy; wystarczy napisać „szkolenie AI” w wiadomości.

Kalendarz tej ustawy

Data	Co się dzieje	Podstawa
3 lipca 2026	Sejm kończy prace nad ustawą (rozpatrzenie stanowiska Senatu)	druk sejmowy 2443
27 lipca 2026	Ogłoszenie w Dzienniku Ustaw: Dz.U. 2026 poz. 1003	metadane ELI
28 lipca 2026	Wchodzi w życie przepis o utworzeniu komórki obsługującej Komisję	art. 127 pkt 1 w zw. z art. 125 ust. 4
11 sierpnia 2026	Ustawa wchodzi w życie; powstaje KRiBSI	art. 127
11 października 2026	Upływa termin powołania Przewodniczącego przez Sejm za zgodą Senatu	art. 125 ust. 2
28 października 2026	Zaczynają obowiązywać: opinie indywidualne i wyjaśnienia, kontrola, postępowanie, układ, kary i zmiany w innych ustawach	art. 127 pkt 2
11 listopada 2026	Upływa termin zwołania pierwszego posiedzenia Komisji	art. 125 ust. 3
31 marca 2027	Pierwsze sprawozdanie Komisji dla Sejmu i pierwsza informacja o dobrych praktykach w BIP	art. 26 ust. 1, art. 6 pkt 17 lit. b

Najczęstsze pytania

Czy KRiBSI może skontrolować firmę już teraz?

Przepisy o kontroli są w rozdziale 3, a ten wchodzi w życie 28 października 2026 r. (art. 127 pkt 2). Do tego dnia Komisja istnieje i wykonuje część zadań z art. 6, ale bez uprawnień kontrolnych i bez możliwości nakładania kar. Osobna sprawa to pozostałe organy: UODO, PIP i UOKiK działają w swoich zakresach niezależnie od tego kalendarza i działały przez cały czas.

Kto może złożyć skargę na nasz system i czy się o tym dowiemy?

Skargę może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej (art. 59 ust. 1); nie musi to być osoba, której system dotyczy. Skarga sama w sobie nie jest postępowaniem. Komisja wszczyna je z urzędu, jeżeli w toku rozpatrywania skargi stwierdzi, że mogło dojść do naruszenia (art. 58 pkt 1 lit. b). O wszczętym postępowaniu firma dowiaduje się z doręczonego postanowienia (art. 60 ust. 2).

Ile kosztuje odwołanie od decyzji i czy trzeba zapłacić karę przed wyrokiem?

Opłata stała od odwołania do Sądu Okręgowego w Warszawie wynosi 1000 zł, a od zażalenia na postanowienie 500 zł (art. 120 ustawy, zmieniający ustawę o kosztach sądowych w sprawach cywilnych). Odwołanie wnosi się za pośrednictwem Komisji w terminie miesiąca od doręczenia decyzji. Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej (art. 67); nie oznacza to automatycznego wstrzymania pozostałych obowiązków z decyzji.

Czy opinia indywidualna chroni przed karą?

W zakresie, którego dotyczy, i dla opisanego we wniosku stanu: opinia wiąże Komisję oraz organy, u których zasięgała ona opinii (art. 13 ust. 1), a zastosowanie się do niej przed jej zmianą, uchyleniem albo wygaśnięciem nie może szkodzić firmie, która o nią wystąpiła (art. 15 ust. 5). Opinia dotyczy jednego zagadnienia i wyłącznie spraw objętych AI Act oraz tą ustawą, więc nie obejmuje RODO ani Kodeksu pracy. Nie wydaje się jej też co do elementów, które są już przedmiotem toczącego się postępowania (art. 14).

Źródła

– Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003: wszystkie cytowane przepisy pochodzą z tekstu ogłoszonego: art. 1–4 (zakres i definicje), art. 5–6 (Komisja i jej zadania), art. 8–18 (opinie indywidualne i wyjaśnienia), art. 19–21 (skład i tryb pracy), art. 26 (sprawozdanie), art. 28–30 (powołanie i odwołanie Przewodniczącego), art. 43–44 (obsługa i wynagrodzenia), art. 45–47 (Społeczna Rada), art. 48–57 (kontrola), art. 58–69 (postępowanie), art. 70–85 (układ), art. 91–101 (piaskownica regulacyjna), art. 104–114 (kary i przepisy karne), art. 115 i 120 (zmiany w K.p.c. i w kosztach sądowych), art. 123 (współpraca UODO), art. 125–127 (przepisy dostosowujące i wejście w życie). Tekst PDF w API Sejmu.
– Metadane aktu w API ELI: ogłoszenie 27 lipca 2026 r., wejście w życie 11 sierpnia 2026 r., status „obowiązujący”.
– Przebieg procesu legislacyjnego, druk sejmowy 2443: wpłynął 9 kwietnia 2026 r., I czytanie 29 kwietnia, uchwalenie 11 czerwca, stanowisko Senatu 25 czerwca, rozpatrzenie stanowiska Senatu 3 lipca, podpis Prezydenta 24 lipca.
– Druk sejmowy 3078 (dokument z 9 września 2026 r.): kandydatura na stanowisko Przewodniczącego Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Stan na 15 września 2026 r.: brak powołania.
– Rozporządzenie (UE) 2024/1689 (AI Act): art. 4 (kompetencje AI), art. 5 ust. 1 lit. f (praktyki zakazane, w tym wnioskowanie o emocjach w miejscu pracy), art. 26 (obowiązki podmiotu stosującego, w tym ust. 7), art. 50 (przejrzystość), art. 70 (organy nadzoru rynku), art. 79 (systemy stwarzające ryzyko), art. 99 (kary, w tym ust. 6 i 7), załącznik III pkt 4.
– Obowiązki materialne z AI Act i ich terminy rozłożone są w drugim tekście serii oraz w mapie aktów; Kodeks pracy i RODO omawiam w kolejnych tekstach serii.
– Rozporządzenie (UE) 2026/1744 (pakiet omnibus): nowy kalendarz stosowania obowiązków dla systemów wysokiego ryzyka (2 grudnia 2027 r. dla załącznika III).

Materiał ma charakter ogólny i nie rozstrzyga zgodności konkretnego wdrożenia; stan przepisów i stan prac nad powołaniem Przewodniczącego Komisji na 15 września 2026 r.