28 października 2026 r. zaczynają obowiązywać przepisy, na które czekał cały system nadzoru nad AI w Polsce. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może od tego dnia prowadzić kontrole, wydawać decyzje i nakładać kary za naruszenia AI Act. W rozmowach z klientami słyszę dwie skrajne reakcje. Jedni uważają, że temat ich nie dotyczy, bo „nie robią AI”. Drudzy spodziewają się kontrolerów w biurze w przyszłym tygodniu. Prawda leży pośrodku. Poniżej wyjaśniam, co faktycznie się zmienia, jak będzie wyglądać kontrola i co warto przygotować już teraz.
1. Co dokładnie wchodzi w życie 28 października
Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026 r. (poz. 1003). Wchodzi w życie etapami. Większość przepisów, w tym te tworzące KRiBSI, obowiązuje od 11 sierpnia. Teraz dochodzi część najważniejsza z punktu widzenia przedsiębiorców: rozdziały o opiniach indywidualnych, kontroli, postępowaniu, układzie i administracyjnych karach pieniężnych.
Warto pamiętać o jednym. Polska ustawa nie dokłada firmom nowych obowiązków merytorycznych. Te wynikają bezpośrednio z unijnego rozporządzenia 2024/1689, czyli AI Act. Ustawa odpowiada na inne pytanie: kto sprawdza przestrzeganie AI Act w Polsce, w jakim trybie i z jakimi konsekwencjami. Do tej pory obowiązki istniały, ale nie było organu, który mógłby je egzekwować. Od 28 października ta luka znika.
2. Digital Omnibus niczego nie wstrzymał dla większości firm
Latem w mediach pojawiły się nagłówki, że AI Act przesunięto o rok. Chodzi o rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI, które obowiązuje od 27 lipca 2026 r. Rzeczywiście dało ono więcej czasu, ale tylko na wymogi dla systemów wysokiego ryzyka. Zakazy, obowiązki przejrzystości i obowiązek dbania o kompetencje pracowników działają bez zmian w terminach.
| Od kiedy | Co obowiązuje |
|---|---|
| 2 lutego 2025 r. | Zakazane praktyki z art. 5 AI Act (np. manipulacja podprogowa, social scoring, rozpoznawanie emocji w miejscu pracy) oraz obowiązek z art. 4 dotyczący kompetencji w zakresie AI |
| 2 sierpnia 2026 r. | Obowiązki przejrzystości z art. 50: informacja o rozmowie z chatbotem, oznaczanie deepfake’ów i treści syntetycznych |
| 28 października 2026 r. | Kontrole, postępowania, opinie indywidualne i kary KRiBSI |
| 2 grudnia 2026 r. | Nowe zakazy dotyczące generowania intymnych wizerunków bez zgody i materiałów CSAM; koniec okresu przejściowego na znakowanie maszynowe dla systemów generatywnych wprowadzonych przed 2 sierpnia 2026 r. |
| 2 grudnia 2027 r. | Systemy wysokiego ryzyka z załącznika III (m.in. rekrutacja, ocena pracowników, zdolność kredytowa) |
| 2 sierpnia 2028 r. | Systemy wysokiego ryzyka z załącznika I (AI wbudowana w produkty regulowane) |
Omnibus zmienił też brzmienie art. 4. Wcześniej firmy miały zapewnić „wystarczający poziom” kompetencji w zakresie AI. Teraz mają podejmować środki wspierające rozwój tych kompetencji, a przepis wprost mówi, że nie trzeba gwarantować konkretnego poziomu wiedzy każdej osoby. To złagodzenie, a nie zniesienie obowiązku. Kontroler może zapytać, co firma w tym zakresie zrobiła.
3. Kogo może skontrolować KRiBSI
AI Act rozróżnia dostawców, czyli firmy tworzące systemy AI, oraz podmioty stosujące, czyli firmy, które używają AI w swojej działalności. Obowiązki mają obie grupy. Ustawa nie przewiduje przy tym progów wielkości ani formy prawnej. Kontrola może dotyczyć spółki z setkami pracowników i jednoosobowej działalności. Poza zakresem są tylko osoby, które korzystają z AI wyłącznie prywatnie.
W praktyce w obszarze zainteresowania KRiBSI znajdą się przede wszystkim firmy, które:
- mają na stronie lub w aplikacji chatbota albo wirtualnego asystenta,
- publikują grafiki, wideo lub nagrania głosowe wygenerowane przez AI,
- używają narzędzi do selekcji CV, oceny pracowników lub scoringu klientów,
- tworzą i sprzedają oprogramowanie z modułami AI, np. software house’y i firmy SaaS.
Nie każde użycie AI oznacza od razu rozbudowane obowiązki. Firma, która korzysta z ChatGPT wewnętrznie, np. do redagowania notatek, zwykle nie ma obowiązków z art. 50. Nadal dotyczy jej jednak art. 4 oraz przepisy spoza AI Act, przede wszystkim RODO i tajemnica przedsiębiorstwa.
Komentarz prawny
„Najczęstszy błąd, to ocena ryzyka po nazwie firmy, a nie po narzędziach, z których korzysta. Sklep internetowy z chatbotem i generatorem zdjęć produktowych ma więcej do sprawdzenia niż niejedna firma technologiczna. Dlatego zawsze zaczynam od pytania, z jakich narzędzi korzystają Państwa zespoły na co dzień, także bez wiedzy działu IT.” mec. Igor Sumara
4. Jak będzie wyglądać kontrola
Kontrola może zostać wszczęta na podstawie planu kontroli, doraźnie albo w następstwie skargi. Skargę do Komisji może złożyć każdy: klient, kandydat do pracy, pracownik czy konkurent. To ważne, bo oznacza, że postępowanie może rozpocząć się od jednego niezadowolonego użytkownika.
Polski model kontroli różni się od tego, do czego przyzwyczaiły nas inne organy. Zasadą jest kontrola zdalna. Firma otrzymuje zawiadomienie co najmniej 7 dni przed jej rozpoczęciem. Kontrola na miejscu lub bez uprzedzenia jest możliwa tylko wtedy, gdy istnieje uzasadnione podejrzenie zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych.
Zakres uprawnień kontrolujących jest jednak szeroki. Mogą żądać:
- dokumentów, w tym dokumentacji technicznej i umów z dostawcami,
- korespondencji elektronicznej,
- pisemnych i ustnych wyjaśnień,
- dostępu do systemów informatycznych, także w chmurze innego podmiotu, jeśli kontrolowana firma ma do nich dostęp.
Utrudnianie kontroli nie kończy się na karze administracyjnej. Ustawa przewiduje za nie odpowiedzialność karną: grzywnę albo karę ograniczenia wolności.
Chroniona jest natomiast komunikacja z adwokatem lub radcą prawnym. Kontrolujący nie mogą zapoznawać się z korespondencją z pełnomocnikiem ani z dokumentami przygotowanymi w celu skorzystania z pomocy prawnej. Tę ochronę trzeba jednak umieć szybko powołać. Przy kontroli zdalnej firma sama decyduje, co i w jakiej formie przekazuje, więc łatwiej przypadkowo udostępnić za dużo.
Komentarz prawny
„Kontrola zdalna brzmi mniej groźnie, ale w praktyce oznacza, że cała ocena opiera się na tym, co Państwo przekażą. Na skompletowanie dokumentów jest tydzień od zawiadomienia. Jeśli firma dopiero wtedy zaczyna szukać, kto i do czego używa AI, to ten tydzień nie wystarczy.” mec. Igor Sumara
5. Od ostrzeżenia do kary
Kary nie są nakładane automatycznie. Jeśli Komisja podejrzewa naruszenie, może najpierw wydać ostrzeżenie ze wskazaniem działań naprawczych. Firma ma wtedy 21 dni na odpowiedź. Decyzja stwierdzająca naruszenie nakazuje usunięcie jego skutków w ciągu 14 dni. Całe postępowanie co do zasady nie powinno trwać dłużej niż 6 miesięcy.
Polska ustawa nie ustala własnych stawek. Odsyła do art. 99 AI Act, a kwoty w euro przelicza się na złote po średnim kursie NBP z 28 stycznia danego roku.
| Naruszenie | Górna granica kary |
|---|---|
| Zakazane praktyki (art. 5) | 35 mln euro albo 7% światowego rocznego obrotu |
| Większość pozostałych obowiązków, w tym przejrzystość (art. 50) | 15 mln euro albo 3% obrotu |
| Nieprawdziwe lub wprowadzające w błąd informacje przekazane organom | 7,5 mln euro albo 1% obrotu |
Duże firmy płacą wyższą z dwóch kwot. Mikro, małe i średnie przedsiębiorstwa oraz start-upy płacą niższą. Przy obrocie 5 mln euro górna granica kary za nieoznaczony chatbot wynosi więc 150 tys. euro, a nie 15 mln euro. To nadal kwota, która dla wielu firm oznacza poważny problem.
Od decyzji KRiBSI przysługuje odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów.
6. Układ z Komisją: polska specyfika
Ustawa wprowadza mechanizm znany z prawa konkurencji, czyli układ w sprawie nadzwyczajnego złagodzenia sankcji. Działa on na trzech poziomach:
- Obniżka od 20 do 70%, jeśli firma zaprzestała naruszenia i ujawniła wszystkie istotne okoliczności sprawy.
- Obniżka od 30 do 90%, a w wyjątkowych przypadkach odstąpienie od kary, gdy postępowanie wszczęto na podstawie samozgłoszenia firmy.
- Obniżka od 10 do 50%, jeśli w ciągu 3 miesięcy firma wykona działania wskazane w ostrzeżeniu.
Samozgłoszenie ma sens wtedy, gdy firma sama wykryje naruszenie, np. podczas wewnętrznego przeglądu narzędzi AI, i jest w stanie szybko je usunąć. To decyzja strategiczna. Wymaga oceny, czy naruszenie faktycznie zaszło i jakie informacje trzeba ujawnić, dlatego nie warto podejmować jej bez analizy prawnej.
7. Co przygotować już teraz
KRiBSI dopiero kończy organizację. Pierwsze posiedzenie Komisji musi się odbyć do 11 listopada 2026 r. Przewodnicząca Pamela Krzypkowska zapowiadała, że jednym z pierwszych tematów w planie kontroli będzie oznaczanie deepfake’ów. To dobry moment, żeby uporządkować sprawy, zanim pojawią się pierwsze zawiadomienia.
Rekomendacja praktyczna
- Spisz wszystkie narzędzia AI używane w firmie, także te, z których pracownicy korzystają na własną rękę.
- Przy każdym narzędziu ustal, czy firma jest dostawcą, czy podmiotem stosującym.
- Sprawdź oznaczenia: komunikat przy chatbocie, etykiety na grafikach i wideo, informacja o syntetycznym głosie.
- Udokumentuj działania z art. 4: szkolenia, zasady korzystania z AI, materiały dla zespołu.
- Przejrzyj umowy z dostawcami narzędzi i agencjami. Ustal, kto odpowiada za oznaczanie treści i kto przekaże dokumentację w razie kontroli.
- Przygotuj teczkę na kontrolę zdalną i wyznacz osobę, która ją koordynuje.
- Oddziel i oznacz korespondencję z prawnikami, żeby móc szybko powołać się na jej ochronę.
8. Najczęstsze pytania o kontrole KRiBSI
Czy KRiBSI zacznie kontrolować firmy już 28 października?
Od tego dnia Komisja ma podstawę prawną do kontroli i nakładania kar. W praktyce pierwsze kontrole będą wymagały zatwierdzenia planu i zakończenia organizacji Komisji. Nie oznacza to jednak taryfy ulgowej. Obowiązki z AI Act obowiązują już teraz, a skarga może wpłynąć w każdej chwili.
Czy kontrolerzy mogą przyjść do firmy bez zapowiedzi?
Co do zasady nie. Kontrola jest prowadzona zdalnie, a firma dostaje zawiadomienie co najmniej 7 dni wcześniej. Kontrola na miejscu lub bez uprzedzenia jest możliwa tylko przy uzasadnionym podejrzeniu zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych.
Czy jednoosobowa działalność też podlega kontroli?
Tak. Ustawa nie przewiduje progów wielkości. Liczy się to, czy przedsiębiorca korzysta z AI w działalności gospodarczej. Przy karach MŚP korzystają jednak z niższej górnej granicy.
Czy KRiBSI zastępuje UODO?
Nie. Prezes UODO zachowuje pełne kompetencje w zakresie ochrony danych osobowych. Jeśli chatbot lub narzędzie HR przetwarza dane osobowe, firma może mieć do czynienia z oboma organami. Ustawa zobowiązuje je do współpracy.
Co zrobić, jeśli dostaniemy zawiadomienie o kontroli?
Najpierw ustalić, czego dotyczy kontrola, i wyznaczyć jedną osobę do kontaktu z Komisją. Następnie zebrać dokumenty i oddzielić te objęte ochroną komunikacji z prawnikiem. Nie warto przekazywać materiałów „na zapas”, ale też nie wolno utrudniać kontroli, bo grozi za to odpowiedzialność karna.
Podsumowanie
- Od 28 października 2026 r. KRiBSI może kontrolować firmy, wydawać decyzje i nakładać kary za naruszenia AI Act.
- Digital Omnibus przesunął tylko terminy dla systemów wysokiego ryzyka. Zakazy, art. 4 i art. 50 obowiązują już teraz.
- Kontroli podlega każdy przedsiębiorca korzystający z AI, niezależnie od wielkości.
- Kontrola jest co do zasady zdalna, z zawiadomieniem co najmniej 7 dni wcześniej, więc przygotowanie dokumentów decyduje o wyniku.
- Układ z Komisją pozwala obniżyć karę nawet o 90% przy samozgłoszeniu.
Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act), w szczególności art. 4, art. 5, art. 50 i art. 99, w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
Autor: mec. Igor Sumara
Kancelaria IT, Wrocław
Chcesz sprawdzić, czy Twoja firma jest gotowa na kontrolę KRiBSI?
Przeprowadzimy przegląd narzędzi AI, sprawdzimy obowiązki z AI Act i przygotujemy dokumentację na kontrolę zdalną.
Artykuł ma charakter informacyjny i przedstawia stan prawny na 27 października 2026 r. Nie stanowi porady prawnej w rozumieniu przepisów o świadczeniu pomocy prawnej. W celu uzyskania porady prawnej w konkretnej sprawie zapraszamy do kontaktu: kancelaria-it.pl
