Polska ustawa o AI: KRiBSI, zdalne kontrole i terminy dla MŚP

O AI Act mówiło się w Polsce przez dwa lata jako o czymś, co dopiero nadejdzie. To się właśnie skończyło. 27 lipca 2026 w Dzienniku Ustaw ogłoszono ustawę z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Od tego momentu Polska ma organ z nazwą, procedurą kontrolną i kalendarzem.

Ten tekst nie jest o terminach, którymi można straszyć. Jest o tym, jak wygląda procedura i ile czasu realnie dostaje firma, gdy się w niej znajdzie. Bez interpretacji na wyrost.

Kontekst unijny opisaliśmy osobno we wpisie Terminy AI Act po Digital Omnibus. Krótko: rozporządzenie (UE) 2026/1744 przesunęło obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028. Polska ustawa dotyczy czegoś innego: tego, kto i jak te przepisy egzekwuje.

Kto od teraz pilnuje AI w Polsce?

Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI (art. 5). Obsługę zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43). To nie jest nowy wielki urząd zbudowany od zera, tylko organ osadzony przy resorcie cyfryzacji.

Harmonogram powołania jest zapisany w ustawie. Przewodniczącego powołuje Sejm za zgodą Senatu w ciągu 2 miesięcy od wejścia ustawy w życie (art. 125 ust. 2). Pierwsze posiedzenie Komisji ma się odbyć w ciągu 3 miesięcy (art. 125 ust. 3).

Praktyczny wniosek dla firmy: przez najbliższe miesiące organ się organizuje. To nie jest powód do spokoju, tylko okno czasowe.

Od kiedy działają przepisy o kontroli?

Ustawa wchodzi w życie po upływie 14 dni od ogłoszenia (art. 127). Oficjalny rekord aktu w Dzienniku Ustaw podaje konkretną datę: 11 sierpnia 2026. Ale najbardziej dotkliwa część ma własny termin.

Artykuły 8-18 oraz rozdziały 3, 4, 5, 8 i 9 wchodzą w życie po upływie 3 miesięcy od ogłoszenia. Rekord Dziennika Ustaw wskazuje tu 28 października 2026. To dokładnie ta część, która dotyczy kontroli, postępowań, układów, kar administracyjnych i odwołań do SOKiK. Od sierpnia działają natomiast piaskownice regulacyjne i przepisy o jednostkach notyfikowanych, a od 28 lipca 2026 minister cyfryzacji tworzy komórkę obsługującą Komisję (art. 125 ust. 4).

Innymi słowy: sierpień to organizacja, 28 października to uruchomienie narzędzi nadzorczych. Między jednym a drugim mieści się kwartał, w którym firma może zrobić przegląd we własnym tempie, bez zegara odliczającego 14 dni na odpowiedź.

Jak wygląda kontrola KRiBSI?

Tutaj ustawa zaskakuje najbardziej i warto to wiedzieć, zanim ktoś zacznie opowiadać o inspektorach pukających do drzwi.

Kontrola jest domyślnie zdalna. Artykuł 49 ust. 3 brzmi:

Kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron, z wykorzystaniem jednego środka lub większej liczby środków porozumiewania się na odległość, w tym środków komunikacji elektronicznej.

Fizyczna obecność w siedzibie firmy wymaga osobnego postanowienia i uzasadnionego podejrzenia szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych osób fizycznych (art. 49 ust. 4).

To zmienia praktyczne znaczenie słowa „gotowość". Segregator w sekretariacie w modelu zdalnym jest bezużyteczny. Liczy się to, czy dokumentację da się udostępnić elektronicznie, w komplecie i w terminie.

Kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2). Siedem dni to cały czas na przygotowanie, jaki firma dostaje.

Zakres żądań jest szeroki. Kontrolujący może żądać dostępu do systemów teleinformatycznych, korespondencji elektronicznej, a także do danych w chmurze innego podmiotu w takim zakresie, w jakim kontrolowany ma do niej dostęp (art. 52 ust. 1 pkt 1). Do tego dochodzi czynny obowiązek współpracy po stronie kontrolowanego (art. 52 ust. 2).

Tajemnica zawodowa chroni tylko komunikację z adwokatem, radcą prawnym albo prawnikiem z innego państwa Unii (art. 54), a wykazanie, że konkretny dokument jest nią objęty, obciąża kontrolowanego (art. 54 ust. 4). Notatka wewnętrzna działu IT nie jest chroniona.

Utrudnianie kontroli jest zagrożone karą ograniczenia wolności albo grzywną w trybie wykroczeniowym, a odpowiada osoba działająca w imieniu osoby prawnej (art. 112-114). To wykroczenie, nie przestępstwo, ale odpowiada człowiek, nie firma.

Ile czasu firma ma na reakcję?

To jest sedno całego tekstu. Terminy w ustawie są krótkie i liczone od doręczenia, nie od momentu, w którym ktoś w firmie znajdzie na to czas.

Dwa zastrzeżenia. Po pierwsze, minimum 30 dni na zalecenia może zostać skrócone przy powtórnym naruszeniu (art. 57 ust. 4). Po drugie, jeśli firma nie przekaże danych finansowych w terminie, Komisja szacuje podstawę wymiaru kary samodzielnie (art. 105).

Żadnego z tych terminów nie da się dotrzymać, improwizując. Czternaście dni wystarcza na zebranie dokumentacji, która już istnieje. Nie wystarcza na jej wytworzenie: rejestru systemów AI, opisu, kto jest dostawcą, a kto podmiotem stosującym, śladu po szkoleniach, polityki korzystania z AI. To jest cała różnica między kontrolą uciążliwą a kontrolą kosztowną.

Czym firma realnie ryzykuje?

Ustawa nie ustala własnych kwot kar. Artykuł 104 ust. 1 odsyła do rozdziału XII rozporządzenia 2024/1689, czyli do widełek unijnych. Reguluje natomiast tryb: przeliczenie euro na złote następuje według tabeli NBP z 28 stycznia (art. 104 ust. 4), a odwołanie do Sądu Ochrony Konkurencji i Konsumentów wstrzymuje wykonanie kary (art. 67).

Konkretniejsze od abstrakcyjnych milionów jest jednak co innego. Artykuł 66 ust. 2 nakazuje Komisji udostępniać w Biuletynie Informacji Publicznej wykaz systemów sztucznej inteligencji, wobec których wydano decyzję o nałożeniu kary. Zawartość tego wykazu ustawa wylicza wprost. Pierwsza pozycja z art. 66 ust. 3 brzmi:

nazwę systemu oraz operatora, którego dotyczy decyzja

Dalej wykaz zawiera charakterystykę i opis działania systemu wraz ze wskazaniem naruszonych przepisów, informację o decyzjach wobec tego samego operatora lub podmiotu z nim powiązanego wydanych przez organy nadzoru innych państw członkowskich albo Komisję Europejską, a także o decyzjach innych organów nadzoru rynku w Polsce dotyczących tego samego systemu. Osobno publikowana jest informacja o niezastosowaniu się do ostrzeżenia (art. 61 ust. 4 pkt 3).

Dla firmy średniej wielkości publiczna, wyszukiwalna wzmianka obok nazwy własnego systemu bywa dotkliwsza niż sama kara. Zwłaszcza w przetargach i due diligence.

Jest jeszcze narzędzie szybsze niż kara. Przy bezpośrednim ryzyku Komisja może nakazać wyłączenie systemu z rygorem natychmiastowej wykonalności (art. 63), w trybie liczonym w dniach, maksymalnie 7 (art. 63 ust. 4).

Skąd bierze się sprawa?

Nie tylko z inicjatywy urzędu. Skargę może złożyć każdy: osoba fizyczna, osoba prawna i jednostka organizacyjna nieposiadająca osobowości prawnej, elektronicznie (art. 59). Skarga może uruchomić postępowanie z urzędu (art. 58), a Komisja prowadzi rejestr skarg (art. 6 pkt 12). Samo postępowanie ma trwać nie dłużej niż 6 miesięcy (art. 60 ust. 3).

Realny scenariusz to nie nalot kontrolerów, tylko niezadowolony kandydat do pracy, klient albo konkurent, który wypełnia formularz.

Odrębna sprawa to poważne incydenty. Ustawa nie tworzy własnej procedury zgłaszania. Obowiązuje art. 73 rozporządzenia 2024/1689, a adresatem zgłoszenia jest Komisja jako organ nadzoru rynku.

Co ustawa daje, a nie tylko zabiera?

Trzy rzeczy, o których w relacjach medialnych mówi się najmniej, a które są dla MŚP najbardziej użyteczne.

Opinie indywidualne (art. 8-17, dostępne od końca października). Opłata 150 zł, jedno zagadnienie na wniosek, jeden wniosek na 30 dni. Komisja odpowiada w 30 dni, a w sprawach szczególnie skomplikowanych w 60 dni. Najciekawszy jest art. 12 ust. 3:

Niewydanie opinii indywidualnej w terminach, o których mowa w ust. 1, uznaje się za wydanie opinii indywidualnej zgodnej ze stanowiskiem, które podmiot przedstawił we wniosku o wydanie tej opinii.

Milczenie organu działa więc na korzyść pytającego, co jest rozwiązaniem rzadkim i wprost zachęcającym do zadawania pytań. Opinia wiąże Komisję i organy, ale nie wiąże samego wnioskodawcy. Publikowana jest po anonimizacji w BIP. To jest tania ścieżka rozstrzygnięcia wątpliwości bez czekania na spór.

Piaskownica regulacyjna (art. 91-101, od sierpnia). Dla MŚP udział jest bezpłatny, trwa od 6 do 12 miesięcy, wejście odbywa się w drodze konkursu. Po zakończeniu uczestnik dostaje bezpłatną opinię w terminie 14 dni.

Obniżki kar. Układ z Komisją pozwala obniżyć karę o 20 do 70 procent (art. 70 ust. 6). Samodzielne ujawnienie naruszenia z dowodami połączone z wcześniejszym zaprzestaniem naruszenia daje obniżkę od 30 do 90 procent (art. 84 w związku z art. 70 ust. 6). Wykonanie działań wskazanych w ostrzeżeniu w ciągu 3 miesięcy od decyzji daje obniżkę od 10 do 50 procent (art. 107). Wniosek jest prosty: firma, która sama zgłasza problem, płaci ułamek tego, co firma przyłapana.

A małe firmy?

Nie ma dla nich osobnego reżimu. Artykuł 3 nie zna progów zatrudnienia ani obrotu. Ustawa nie zawiera też przepisów przejściowych dla systemów już używanych, więc narzędzie wdrożone w 2024 roku podlega tym samym zasadom co uruchomione jutro.

Jedyne realne udogodnienie to bezpłatna piaskownica dla MŚP. Reszta obowiązków jest taka sama dla firmy dziesięcioosobowej i dla korporacji.

Co zrobić w czwartym kwartale 2026?

Kalendarz sam podpowiada kolejność. Do 28 października przepisy kontrolne jeszcze nie działają. To jest okno, nie zaproszenie do zwłoki.

1. Ustalcie rolę. Dostawca czy podmiot stosujący. To rozstrzyga o wszystkich pozostałych obowiązkach i jest pierwszym pytaniem, które padnie.
2. Zróbcie rejestr systemów AI. Łącznie z narzędziami dołożonymi przez zespoły bez pytania. Przy zdalnej kontroli to jest pierwszy dokument, o który poproszą.
3. Wyznaczcie osobę do kontaktu. Siedem dni od zawiadomienia (art. 49 ust. 2) mija szybciej, gdy nikt nie wie, kto odpowiada.
4. Uporządkujcie dostępy i korespondencję. Zakres z art. 52 obejmuje systemy IT, pocztę i chmurę. Warto wiedzieć wcześniej, co tam jest.
5. Wątpliwości zamieńcie na wniosek o opinię indywidualną. Od końca października, 150 zł, z ochroną wynikającą z art. 12 ust. 3.

Te pięć punktów rozpisaliśmy krok po kroku, już po wejściu ustawy w życie, we wpisie Ustawa o AI weszła w życie: 5 rzeczy, które mała firma powinna zrobić w tym tygodniu.

Jeżeli nie wiecie, czy Wasze narzędzia w ogóle mieszczą się w zakresie ustawy, to jest właściwa pierwsza rozmowa. Nie wdrażanie procedur, tylko ustalenie, czy i w jakiej roli dotyczą Was obowiązki. Prowadzimy ją w ramach przeglądu zarządczego Ład AI.

---

Stan prawny na 29 lipca 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Ustawa określa terminy wejścia w życie liczbą dni i miesięcy od ogłoszenia (art. 127), a nie datami kalendarzowymi; daty dzienne podane w tekście pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw, nie z naszego przeliczenia. Ten wpis będzie aktualizowany, gdy pojawią się akty wykonawcze albo pierwsze rozstrzygnięcia Komisji.