Ustawa o systemach sztucznej inteligencji: co zmienia dla firm

Do niedawna AI Act w Polsce przypominał przepisy drogowe bez drogówki. Zakazy i obowiązki już obowiązywały, ale brakowało krajowego organu, który mógłby skontrolować firmę, przyjąć skargę klienta albo wydać decyzję o karze. Ustawa z 3 lipca 2026 roku wypełnia tę lukę. Poniżej: co się zmienia, co Ci grozi, z czego możesz skorzystać i co zrobić w 25 dni, które zostały do 28 października.

Co robi ustawa o systemach AI, a czego nie robi?

Ustawa ustala, kto i jak egzekwuje AI Act w Polsce, ale sama nie określa, jak firma ma używać AI. Jej art. 1 wymienia pięć obszarów: organizację nadzoru nad rynkiem AI, postępowanie w sprawie naruszeń, akredytację jednostek oceniających zgodność, wsparcie rozwoju AI oraz zasady nakładania kar.

To, co wolno, a czego nie wolno, nadal wynika z rozporządzenia 2024/1689, które stosuje się w Polsce bezpośrednio. Dla typowej firmy, która korzysta z gotowych narzędzi, już dziś liczą się trzy grupy przepisów:

• zakazane praktyki, np. wnioskowanie o emocjach pracowników (od 2 lutego 2025),
• działania wspierające kompetencje AI zespołu z art. 4 (od 2 lutego 2025, w brzmieniu zmienionym w lipcu 2026),
• przejrzystość z art. 50, np. informacja, że klient rozmawia z chatbotem (od 2 sierpnia 2026).

Jak przekładają się na konkretne zastosowania, opisujemy w przewodniku AI Act w Polsce: co realnie dotyczy Twojej firmy.

Od kiedy obowiązuje ustawa: 11 sierpnia i 28 października 2026

Ustawa weszła w życie 11 sierpnia 2026 roku, ale przepisy o kontroli, postępowaniu, karach i opiniach indywidualnych zaczną działać 28 października 2026 roku. Tak stanowi art. 127: 14 dni od ogłoszenia dla większości przepisów i 3 miesiące od ogłoszenia, które nastąpiło 27 lipca, dla wybranych.

Czym jest KRiBSI i kto w niej zasiada?

KRiBSI, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, to polski organ nadzoru rynku w rozumieniu AI Act i pojedynczy punkt kontaktowy dla instytucji UE (art. 5 ustawy).

Komisja ma siedmioro członków: przewodniczącego, dwóch zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE (art. 19). Obsługę biurową zapewnia urząd ministra właściwego do spraw informatyzacji (art. 43). Przewodniczącą została Pamela Krzypkowska, powołana przez Sejm 18 września 2026 roku, za zgodą Senatu z 24 września.

Pierwsze posiedzenie przewodnicząca zwołuje w ciągu 3 miesięcy od wejścia ustawy w życie (art. 125 ust. 3), czyli do około 11 listopada 2026 roku. Przepisy o kontroli zaczną więc obowiązywać, zanim Komisja zacznie realnie działać. Jak szybko ruszą pierwsze kontrole, dziś nie wiadomo, ale skargi mogą wpływać od pierwszego dnia.

Czy KRiBSI może skontrolować Twoją firmę?

Tak, od 28 października 2026 roku KRiBSI może kontrolować każdy podmiot, który ma obowiązki z AI Act, także firmę, która tylko korzysta z cudzego systemu AI. Kontrola może wynikać z planu kontroli, z informacji, które dotrą do Komisji, albo z monitorowania rynku (art. 48 i 49).

Zasady z rozdziału 3 ustawy, które warto znać przed pierwszym pismem:

• Zawiadomienie i 7 dni. Kontrola zaczyna się najwcześniej 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2).
• Zdalnie jako zasada. Kontrolę prowadzi się na odległość, środkami komunikacji elektronicznej (art. 49 ust. 3). Wejście do siedziby albo kontrola bez 7 dni wyprzedzenia wymaga postanowienia, uzasadnionego podejrzeniem szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 49 ust. 4).
• Dostęp do systemów i chmury. Kontrolujący może żądać dokumentów, korespondencji elektronicznej i dostępu do systemów informatycznych, także chmury innego dostawcy, w zakresie, w jakim Twoja firma ma do nich dostęp (art. 52 ust. 1).
• Prawo przedsiębiorców. Wobec przedsiębiorców stosuje się rozdział 5 Prawa przedsiębiorców, czyli ogólne zasady kontroli działalności gospodarczej (art. 48 ust. 3).
• Utrudnianie kosztuje. Kto utrudnia lub udaremnia kontrolę, podlega grzywnie albo karze ograniczenia wolności (art. 112).

W praktyce to prośba o materiały do zebrania w kilka dni: listę narzędzi AI, umowy z dostawcami, ustawienia i komunikaty dla klientów. Jeśli nie wiesz, gdzie to jest, zacznij od tego.

Skarga klienta lub pracownika: co dzieje się potem?

Skargę do KRiBSI może złożyć każda osoba fizyczna, osoba prawna lub jednostka organizacyjna, która uważa, że naruszono AI Act albo ustawę (art. 59 ustawy, art. 85 AI Act). Składa się ją elektronicznie, z opisem systemu i faktów, a papierowo tylko wtedy, gdy forma elektroniczna jest niemożliwa (art. 59 ust. 3).

Przykład: klient skarży się, że czat na Twojej stronie udawał konsultanta i nie poinformował, że jest AI. Kiedy taki obowiązek istnieje, wyjaśniamy w tekście Oznaczanie treści AI i chatbota na stronie: co wynika z art. 50 AI Act.

Uproszczony przebieg sprawy wygląda tak. Nie każdy etap musi wystąpić:

1. Wszczęcie postępowania po skardze albo kontroli (art. 58). Postępowanie trwa najwyżej 6 miesięcy od doręczenia postanowienia o wszczęciu (art. 60 ust. 3).
2. Ostrzeżenie z listą działań naprawczych (art. 61). Masz 21 dni, żeby poinformować Komisję o ich wykonaniu. Jeśli ich nie wykonasz, Komisja może m.in. opublikować tę informację w Biuletynie Informacji Publicznej.
3. Układ, o który może wnioskować strona (rozdział 5). To jedyna droga do największych obniżek kary.
4. Decyzja o naruszeniu, gdy nie zawarto układu, z nakazem usunięcia skutków w 14 dni (art. 62). Wykonanie nakazu w terminie Komisja bierze pod uwagę przy karze.
5. Decyzja o karze (art. 104). Karę płaci się w 30 dni od uprawomocnienia decyzji.
6. Odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, za pośrednictwem Komisji (art. 109).

Ile wynoszą kary w Polsce i kiedy można je obniżyć?

Polska ustawa nie ustala własnych stawek. KRiBSI nakłada kary w przypadkach i wysokościach z art. 99 AI Act, a kwoty w euro przelicza na złote po średnim kursie NBP z 28 stycznia danego roku (art. 104).

Według art. 99 AI Act większość naruszeń, w tym obowiązków podmiotu stosującego i przejrzystości z art. 50, zagrożona jest karą do 15 mln euro lub 3% rocznego światowego obrotu. Za zakazane praktyki grozi do 35 mln euro lub 7%. Dla dużych firm liczy się wyższa z kwot, dla MŚP niższa.

Od 2 grudnia 2027 roku ten sam mechanizm obejmie obowiązki opisane w artykule Systemy AI wysokiego ryzyka: jak sprawdzić, czy Twoje zastosowanie się kwalifikuje.

Nowością są obniżki kar. Wszystkie są uznaniowe: Komisja „może” je przyznać.

Jak zapytać KRiBSI o opinię indywidualną, zanim wdrożysz AI?

Od 28 października 2026 roku firma może za 150 zł zapytać KRiBSI, jak przepisy stosują się do jej konkretnej sytuacji, a odpowiedź dostaje w 30 dni, w sprawach szczególnie skomplikowanych w 60 (art. 11 i 12). To coś w rodzaju interpretacji podatkowej, tylko dla AI.

Wniosek możesz złożyć, jeśli już podlegasz AI Act albo dopiero planujesz działanie, które Cię nim obejmie (art. 9 ust. 1). Procedura w sześciu krokach:

1. Wybierz jedno zagadnienie. Kolejny wniosek złożysz najwcześniej 30 dni po poprzednim (art. 9 ust. 3 i 5).
2. Opisz stan faktyczny lub zdarzenie przyszłe wyczerpująco: jaki system, od jakiego dostawcy, do czego, kto korzysta z wyników.
3. Przedstaw własne stanowisko z oceną prawną. Ma to znaczenie, bo przy braku odpowiedzi to ono staje się opinią.
4. Dołącz oświadczenie, że sprawa nie jest przedmiotem postępowania przed innym organem lub sądem (art. 10). Fałszywe oświadczenie pozbawia opinię skutków.
5. Zapłać 150 zł przed złożeniem i dołącz dowód wpłaty. Braki uzupełniasz w 7 dni od wezwania (art. 9 ust. 4, art. 11).
6. Czekaj 30 albo 60 dni. Jeśli Komisja nie zdąży, uznaje się, że wydała opinię zgodną z Twoim stanowiskiem, a opłata wraca w całości (art. 11 ust. 4, art. 12 ust. 3).

Opinia wiąże Komisję i organy, które brały udział w jej wydaniu (art. 13), a zastosowanie się do niej nie może Ci zaszkodzić, nawet jeśli później zostanie zmieniona (art. 15 ust. 5). Po anonimizacji trafia do BIP (art. 17). Komisja nie wyda jednak opinii w sprawie, w której toczy się już postępowanie (art. 14), więc pytać trzeba, zanim pojawi się skarga.

Przykładowy zapis: Stan faktyczny (zdarzenie przyszłe): Wnioskodawca, spółka handlowa zatrudniająca 25 osób, planuje od stycznia 2027 r. udostępnić na swojej stronie internetowej czat obsługi klienta pod własną nazwą handlową. Czat będzie korzystał z modelu językowego zewnętrznego dostawcy przez API i odpowiadał na pytania o dostawy i zwroty, bez podejmowania decyzji wobec klientów. Pytanie: czy w opisanym stanie faktycznym Wnioskodawca jest dostawcą, czy podmiotem stosującym w rozumieniu art. 3 pkt 3 i 4 rozporządzenia 2024/1689 i na kim spoczywa obowiązek z art. 50 ust. 1? Stanowisko Wnioskodawcy:.

To przykład struktury, nie gotowe stanowisko prawne.

Piaskownica regulacyjna: czy to opcja dla Twojej firmy?

Piaskownica ma sens głównie dla firm, które budują lub rozwijają własny system AI, a nie dla tych, które korzystają z gotowych narzędzi. KRiBSI w drodze decyzji zgadza się na odstępstwo od wybranych wymogów AI Act, np. dotyczących dokumentacji technicznej czy zbiorów danych, albo wspiera projekt w osiąganiu zgodności (art. 91).

Najważniejsze warunki:

• udział trwa od 6 do 12 miesięcy, a uczestników wybiera się w konkursie,
• mikro, małe i średnie przedsiębiorstwa uczestniczą bezpłatnie, firmy spoza MŚP płacą do czterokrotności minimalnego wynagrodzenia (art. 93),
• w ciągu 90 dni od potwierdzenia udziału można złożyć bezpłatny wniosek o opinię indywidualną, którą Komisja wydaje w 14 dni (art. 101).

Przepisy o piaskownicy obowiązują od 11 sierpnia 2026, ale konkursy ruszą dopiero, gdy Komisja zacznie działać.

Co zrobić przed 28 października: checklista na 25 dni

Zanim KRiBSI dostanie narzędzia kontroli, uporządkuj to, o co zapyta w pierwszym piśmie.

Spisane zasady korzystania z AI ułatwiają większość tych punktów, od rejestru narzędzi po ścieżkę zgłoszeń. Jak je przygotować, pokazujemy w artykule Polityka AI w firmie: co powinna zawierać i jak ją wdrożyć (ze wzorem). Sama polityka nie zapewnia zgodności z AI Act, porządkuje pracę.

To nie jest porada prawna. Jeśli Twoja firma buduje własny system AI albo używa AI do decyzji o ludziach, omów swoją sytuację z prawnikiem.