Ustawa o systemach AI: kontrole i kary od 28.10.2026

Stan prawny na: 21 października 2026 r., Marta Lampart radca prawny

Od 28 października 2026 r. zaczynają obowiązywać przepisy polskiej ustawy o systemach sztucznej inteligencji dotyczące kontroli, postępowań i kar. Od tego dnia Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może sprawdzać, jak firmy korzystają z AI, przyjmować skargi i nakładać kary za naruszenia unijnego AI Act. Ustawa nie wprowadza nowych obowiązków dotyczących samego korzystania z AI. Wprowadza za to kogoś, kto sprawdzi, czy te obowiązki wykonujesz.

W tym artykule wyjaśniam, kto i jak będzie kontrolował, ile mogą kosztować naruszenia, jakie prawa ma przedsiębiorca i co warto zrobić w firmie jeszcze przed pierwszymi kontrolami.

Czym jest ustawa o systemach sztucznej inteligencji?

To ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003). Jej głównym zadaniem jest zorganizowanie w Polsce nadzoru nad stosowaniem unijnego rozporządzenia o sztucznej inteligencji, czyli AI Act.

Warto to dobrze zrozumieć – obowiązki dotyczące AI wynikają z AI Act, który obowiązuje bezpośrednio we wszystkich krajach Unii. To z niego wynika np. zakaz niektórych praktyk, obowiązek dbania o kompetencje w zakresie AI czy oznaczanie deepfake’ów. Polska ustawa mówi, kto i w jakim trybie egzekwuje te obowiązki w Polsce: tworzy organ nadzoru, procedury kontroli i postępowania oraz zasady nakładania kar. Zobacz więcej o ustawie na gov.pl.

Od kiedy obowiązuje ustawa o AI?

Ustawę ogłoszono 27 lipca 2026 r., a jej przepisy wchodzą w życie etapami:

• 28 lipca 2026 r. – przepis organizacyjny, który pozwolił rozpocząć tworzenie zaplecza nowej Komisji.
• 11 sierpnia 2026 r. – większość ustawy, w tym przepisy o utworzeniu KRiBSI i ramy piaskownicy regulacyjnej.
• 28 października 2026 r. – kontrole, postępowania w sprawie naruszeń, administracyjne kary pieniężne, skargi, opinie indywidualne i układy z przedsiębiorcami.

Obok tego działają terminy z samego AI Act. Zakazane praktyki i obowiązek dbania o kompetencje w zakresie AI obowiązują od 2 lutego 2025 r., a obowiązki przejrzystości, w tym oznaczanie treści generowanych przez AI, od 2 sierpnia 2026 r. O tym, kto i kiedy musi oznaczać treści, pisałam szczegółowo w artykule Oznaczanie treści AI od 2 sierpnia 2026.

Czym jest KRiBSI i co może?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to nowy organ nadzoru rynku AI w Polsce. Jest organem kolegialnym. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. Ustawa dała na to 2 miesiące od wejścia w życie (do 11 października 2026 r.), a pierwsze posiedzenie Komisji ma się odbyć w ciągu 3 miesięcy (do 11 listopada 2026 r.).

Najważniejsze zadania KRiBSI:

• nadzór nad przestrzeganiem AI Act i polskiej ustawy,
• kontrole, postępowania w sprawie naruszeń i kary,
• przyjmowanie skarg od osób i firm,
• wydawanie opinii indywidualnych i wyjaśnień,
• prowadzenie piaskownicy regulacyjnej,
• współpraca z innymi organami, m.in. Prezesem UODO i Urzędem Patentowym.

Przy Komisji działa też Społeczna Rada do spraw Sztucznej Inteligencji, organ opiniodawczo-doradczy. Liczy od 9 do 15 członków wybieranych przez Komisję na dwuletnią kadencję, m.in. spośród kandydatów zgłoszonych przez rzeczników praw i izby gospodarcze.

Jak będzie wyglądać kontrola?

Kontrola może się zacząć z urzędu albo po skardze. Najważniejsze zasady:

• Zasadą jest kontrola zdalna. Rozpoczyna się nie wcześniej niż 7 dni po zawiadomieniu.
• Kontrola na miejscu bez czekania 7 dni jest możliwa, gdy istnieje uzasadnione podejrzenie albo znaczące prawdopodobieństwo wystąpienia szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób.
• Kontrolujący mogą żądać dokumentów i korespondencji elektronicznej, uzyskać dostęp do systemów informatycznych (także w chmurze), robić kopie, zabezpieczać dane i żądać wyjaśnień.
• Korespondencja z pełnomocnikiem jest chroniona. Spory o to, czy dany dokument jest objęty ochroną, rozstrzyga Sąd Okręgowy w Warszawie.
• Na protokół masz 14 dni: możesz go podpisać albo zgłosić zastrzeżenia.
• Zalecenia pokontrolne mają termin wykonania co najmniej 30 dni.

Utrudnianie lub udaremnianie kontroli jest wykroczeniem zagrożonym karą ograniczenia wolności albo grzywny.

Co się dzieje, gdy KRiBSI stwierdzi naruszenie?

Ustawa przewiduje stopniowanie reakcji, a nie automatyczne kary:

1. Ostrzeżenie. Gdy Komisja podejrzewa naruszenie, może najpierw wydać ostrzeżenie. Masz wtedy 21 dni, żeby przedstawić działania naprawcze.
2. Decyzja. W decyzji Komisja nakazuje usunięcie skutków naruszenia w terminie 14 dni od jej doręczenia i może nałożyć karę.
3. Tryb pilny. Gdy system AI stwarza ryzyko, Komisja wszczyna postępowanie z urzędu i prowadzi je najwyżej 7 dni. Przy bezpośrednim zagrożeniu dla życia, zdrowia, bezpieczeństwa lub praw podstawowych może nakazać zaprzestanie stosowania systemu albo jego wycofanie i nadać tej decyzji rygor natychmiastowej wykonalności.

Postępowanie nie powinno trwać dłużej niż 6 miesięcy. Decyzje są publikowane w Biuletynie Informacji Publicznej, a systemy, wobec których nałożono kary, trafiają do publicznego wykazu. Odwołanie od decyzji rozpoznaje Sąd Okręgowy w Warszawie – sąd ochrony konkurencji i konsumentów.

Jakie kary grożą za naruszenie AI Act?

Wysokość kar określa art. 99 AI Act, a polska ustawa wskazuje, kto je nakłada (KRiBSI) i w jakim trybie. Przepisy podają kwoty maksymalne. W przypadku przedsiębiorstw stosuje się wyższą z dwóch wartości: kwotę w euro albo procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Małe i średnie firmy, w tym start-upy, płacą niższą z dwóch wartości, kwotowej albo procentowej.

To górne granice, a nie stawki. Ustalając wysokość kary, Komisja bierze pod uwagę m.in. charakter, wagę i czas trwania naruszenia, wielkość firmy i jej udział w rynku, korzyści osiągnięte dzięki naruszeniu, to, czy było ono umyślne, oraz współpracę z organem i działania podjęte, żeby ograniczyć szkody.

Karę płaci się w ciągu 30 dni od uprawomocnienia się decyzji. Odwołanie do sądu wstrzymuje jej wykonanie w części dotyczącej kary, chyba że Komisja nadała decyzji rygor natychmiastowej wykonalności.

Jak obniżyć karę?

Polska ustawa przewiduje kilka sposobów na złagodzenie sankcji:

• Wykonanie działań wskazanych w ostrzeżeniu. Jeśli w ciągu 3 miesięcy od doręczenia decyzji o karze wykonasz działania wskazane wcześniej w ostrzeżeniu, Komisja może zmniejszyć karę o 10–50%, o ile naruszenie nie doprowadziło do śmierci ani poważnego uszczerbku na zdrowiu.
• Układ z Komisją. Pozwala obniżyć karę o 20–70%, a przy nadzwyczajnych okolicznościach łagodzących nawet odstąpić od sankcji. Warunkiem jest zaprzestanie naruszenia i ujawnienie wszystkich istotnych okoliczności. Przyjęcie układu oznacza rezygnację z odwołania do sądu.
• Samodzielne zgłoszenie naruszenia. Jeśli postępowanie zostało wszczęte na podstawie Twojego zgłoszenia, a naruszenie zakończyłeś jeszcze przed nim, obniżka w ramach układu może wynieść 30–90%.
• Odroczenie lub raty. Na uzasadniony wniosek Komisja może odroczyć termin zapłaty albo rozłożyć karę na raty.

Kogo dotyczą nowe przepisy?

Nie tylko firm technologicznych. AI Act obejmuje zarówno dostawców, którzy tworzą systemy AI, jak i podmioty stosujące, czyli każdą firmę, sklep, agencję czy twórcę, który korzysta z AI w swojej działalności. Jeśli Twoja firma używa chatbota na stronie, generuje grafiki do reklam, korzysta z AI w rekrutacji albo w obsłudze klienta, może podlegać kontroli KRiBSI.

To, że korzystasz z narzędzia znanej firmy, nie zwalnia Cię z własnych obowiązków. Dostawca odpowiada za to, jak narzędzie działa, ale za to, jak go używasz, odpowiadasz Ty.

Kto może złożyć skargę do KRiBSI?

Skargę na możliwe naruszenie AI Act lub polskiej ustawy może złożyć każdy: osoba fizyczna, firma albo inna organizacja. Może ją złożyć klient, kandydat do pracy odrzucony przez system AI, ale też konkurent. Skargę składa się co do zasady elektronicznie i opisuje w niej system AI, fakty oraz to, na czym polega naruszenie.

Skarga nie oznacza automatycznie kary ani nawet postępowania. Może jednak być dla Komisji sygnałem do wszczęcia kontroli. W praktyce oznacza to, że źródłem problemu częściej będzie niezadowolony klient niż losowa kontrola.

Opinia indywidualna: jak upewnić się, że działasz zgodnie z prawem?

To jedno z najciekawszych narzędzi dla przedsiębiorców. Od 28 października możesz poprosić KRiBSI o opinię w konkretnej sprawie, np. czy Twój system jest systemem wysokiego ryzyka albo czy dane zastosowanie AI wymaga oznaczenia.

• We wniosku opisujesz jedną sprawę i przedstawiasz własne stanowisko prawne.
• Opłata wynosi 150 zł.
• Komisja ma 30 dni na odpowiedź, a w sprawach szczególnie złożonych 60 dni.
• Jeśli w tym czasie nie odpowie, przyjmuje się, że zgadza się z Twoim stanowiskiem.
• Opinia wiąże Komisję, ale tylko w odniesieniu do stanu faktycznego, który opisałeś.

Dobrze przygotowany wniosek to w praktyce tani sposób na pewność prawną, zwłaszcza przy wdrożeniach AI, które mają działać latami.

Piaskownica regulacyjna dla innowacyjnych projektów

Firmy rozwijające własne rozwiązania AI mogą ubiegać się o udział w piaskownicy regulacyjnej. To kontrolowane środowisko, w którym można testować system przy wsparciu Komisji, a w określonym zakresie także z odstępstwami od niektórych obowiązków. Udział przyznaje się w konkursie, trwa od 6 do 12 miesięcy, a dla małych i średnich przedsiębiorstw jest bezpłatny.

Co zrobić w firmie przed 28 października? Lista kontrolna

1. Spisz narzędzia AI, z których korzysta firma i pracownicy, także te używane „prywatnie” do pracy.
2. Ustal swoją rolę przy każdym narzędziu: korzystasz z gotowego rozwiązania czy oferujesz je pod własną nazwą.
3. Sprawdź, czy nie stosujesz zakazanych praktyk z art. 5 AI Act, np. manipulacji czy oceniania ludzi na podstawie zachowań społecznych.
4. Zadbaj o kompetencje zespołu w zakresie AI (art. 4 AI Act) i przyjmij politykę korzystania z AI.
5. Wykonuj obowiązki przejrzystości: chatbot informuje, że jest AI, a realistyczne treści z AI są oznaczone.
6. Uporządkuj dokumentację, którą będziesz w stanie szybko pokazać przy kontroli zdalnej: listę narzędzi, politykę, zasady oznaczania, umowy z dostawcami.
7. Ustal, kto w firmie odpowiada za kontakt z KRiBSI i kto podpisuje protokół, oraz z jakim pełnomocnikiem współpracujesz.

FAQ: najczęstsze pytania o ustawę o AI

Czy ustawa o AI wprowadza nowe obowiązki dla firm?

W zakresie samego korzystania z AI – w zasadzie nie. Obowiązki wynikają z AI Act. Ustawa tworzy organ nadzoru i procedury, dzięki którym te obowiązki można w Polsce egzekwować.

Czy KRiBSI może skontrolować małą firmę albo twórcę internetowego?

Tak. Ustawa nie wyłącza małych podmiotów z kontroli. Dla małych i średnich przedsiębiorstw przewidziano natomiast niższe maksymalne kary.

Czy za naruszenia sprzed 28 października też można dostać karę?

Obowiązki z AI Act obowiązują niezależnie od polskiej ustawy, więc data 28 października nie „zeruje” wcześniejszych zaniedbań. Najbezpieczniej jest uporządkować temat teraz, zanim pojawi się skarga.

Czy KRiBSI od razu nałoży karę?

Nie musi. Ustawa przewiduje ostrzeżenie z 21-dniowym terminem na działania naprawcze, a wykonanie zaleceń i współpraca mogą znacząco obniżyć ewentualną karę.

Gdzie odwołać się od decyzji KRiBSI?

Do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.

Ile kosztuje opinia indywidualna?

150 zł. Komisja ma na odpowiedź 30 dni, a w sprawach złożonych 60 dni.

Podsumowanie

Od 28 października 2026 r. AI Act przestaje być w Polsce „prawem bez nadzorcy”. KRiBSI może kontrolować, przyjmować skargi i nakładać kary, a jednocześnie oferuje przedsiębiorcom narzędzia, które dają pewność prawną: opinie indywidualne i piaskownicę. Największą przewagę będą mieć firmy, które już teraz wiedzą, z jakich narzędzi AI korzystają i potrafią to pokazać w dokumentach.

Jeśli chcesz uporządkować korzystanie z AI w swojej firmie, przygotować politykę AI albo wniosek o opinię indywidualną, umów konsultację lub zajrzyj na stronę usługi Sztuczna inteligencja. A jeśli tworzysz treści z AI, sprawdź mój e-book „Oznacz albo nie?”

__

O autorce. Marta Lampart jest radczynią prawną i od wielu lat prowadzi własną kancelarię. Zajmuje się m.in. prawem własności intelektualnej i prawem sztucznej inteligencji: pomaga twórcom, influencerom i przedsiębiorcom chronić markę i treści oraz korzystać z AI zgodnie z prawem. Więcej o autorce.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.