Ustawa o systemach sztucznej inteligencji podpisana i ogłoszona. Zmiany dla biznesu.

Do tej pory unijny AI Act działał w Polsce w próżni instytucjonalnej, brakowało organu egzekwującego nowe prawo. Sytuację zmienia podpisana 24 lipca r. i ogłoszona 27 lipca br. ustawa o systemach sztucznej inteligencji. Przepisy wprowadzają formalny nadzór nad rynkiem oraz narzędzia wspierające podmioty wdrażające innowacje.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI)

Powołanie KRiBSI to nowość z punktu widzenia rynku. Organ ten otrzymał szerokie kompetencje wpływające na podmioty tworzące i wdrażające narzędzia oparte na AI. KRiBSI zyskuje prawo do przeprowadzania kontroli zgodności algorytmów z AI Act i ustawą, nakazywania wycofywania niebezpiecznych systemów (jeżeli stwarzają bezpośrednie ryzyko dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych) oraz nakładania kar finansowych.

Procedura kontroli: tryb z urzędu i na wniosek

Głównym narzędziem KRiBSI w egzekwowaniu przepisów AI Act i ustawy jest prawo do przeprowadzania kontroli zarówno z urzędu, jak i na wniosek w oparciu o plan kontroli i uzyskane przez KRiBSI informacje. Zasadą będzie przeprowadzanie kontroli w trybie zdalnym, ale w przypadku nagłym (uzasadnione podejrzenie lub znaczące prawdopodobieństwo wystąpienia szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych) możliwe jest wydanie postanowienia o przeprowadzeniu kontroli w siedzibie kontrolowanego. Kontrolerzy KRiBSI dysponują szerokimi uprawnieniami. Przysługuje im m.in. prawo wstępu na teren przedsiębiorstwa, zabezpieczenia infrastruktury serwerowej oraz wglądu w logi systemowe i architekturę modeli.

Ochrona tajemnicy i korespondencji z prawnikiem w trakcie kontroli

Weryfikacja algorytmów w trakcie inspekcji niesie ryzyko ujawnienia chronionego know-how. Ustawa wprowadza bezpiecznik chroniący tajemnicę korespondencji z profesjonalnym pełnomocnikiem, jeśli została ona przeprowadzona w celu uzyskania ochrony prawnej. Kontrolowany powinien złożyć oświadczenie o takim charakterze materiałów, aby kontrolujący (KRiBSI) pozostawił je na miejscu. Kontrolujący ma prawo jedynie do ich weryfikacji, a w przypadku jego wątpliwości - co do charakteru korespondencji - rozstrzygnie Sąd Okręgowy w Warszawie, sąd ochrony konkurencji i konsumentów.

Sankcje finansowe i układ w sprawie nadzwyczajnego złagodzenia sankcji

Stosowanie zakazanych systemów (np. scoring społeczny) grozi karą do 35 mln EUR lub do 7% światowego obrotu z ubiegłego roku. Naruszenie wymogów dla systemów wysokiego ryzyka skutkuje nałożeniem kar do 15 mln EUR lub do 3% obrotu. Uchybienia w zakresie przejrzystości oznaczają ryzyko sankcji rzędu 7,5 mln EUR lub 1,5% obrotu.

Wymiar kary finansowej zależy m.in. od wdrożenia zaleceń pokontrolnych. Przy spełnieniu ustawowych warunków KRiBSI może zmniejszyć karę od 10% do 50%. Istotnym mechanizmem obronnym wprowadzonym przez ustawę jest instytucja układu. Przedsiębiorca może zawrzeć z KRiBSI oficjalne porozumienie w sprawie nadzwyczajnego złagodzenia sankcji. Wymaga to natychmiastowego zaprzestania naruszeń, pełnego ujawnienia mechanizmu działania oraz naprawienia wyrządzonej szkody. Podpisanie układu może obniżyć kary od 20% do 70%. Jeżeli organizacja z własnej inicjatywy zgłosi nieprawidłowości (przed wszczęciem postępowania), redukcja sankcji wynosi od 30% do nawet 90%.

Choć maksymalne pułapy kar działają na wyobraźnię, praktyka regulacyjna (znana choćby z pierwszych lat obowiązywania RODO) pokazuje, że prawdopodobieństwo natychmiastowego nałożenia najwyższych sankcji jest na tym etapie stosunkowo niskie. Spodziewamy się, że nowy organ (KRiBSI) w pierwszej kolejności skupi się na działaniach edukacyjnych, audytowych oraz wydawaniu zaleceń pokontrolnych i formalnych ostrzeżeń. Kary finansowe będą najpewniej ostatecznością, rezerwowaną dla podmiotów, które rażąco ignorują przepisy, odmawiają współpracy z urzędem lub dopuszczają się naruszeń bezpośrednio zagrażających bezpieczeństwu i prawom obywateli.

Instrumenty ułatwiające compliance - opinie indywidualne

Ustawodawca przewidział formalny mechanizm wspierający compliance. Podmioty kwestionujące prawidłową klasyfikację własnych narzędzi mogą wystąpić do KRiBSI o wydanie wiążącej opinii indywidualnej.

Wniosek podlega stałej opłacie urzędowej w wysokości 150 zł od każdego weryfikowanego stanu faktycznego. Procedura wnioskowania jest sformalizowana. Wniosek może dotyczyć stanu faktycznego lub zdarzenia przyszłego i musi zawierać przede wszystkim:

• Wyczerpujący opis stanu faktycznego lub zdarzenia przyszłego w zakresie jednego zagadnienia (co może budzić wątpliwości przy systemach o wielu funkcjonalnościach).
• Stanowisko wnioskodawcy w zakresie oceny prawnej.

Wnioskujący musi oświadczyć, że sprawa nie jest przedmiotem innych postępowań. Fałszywe oświadczenie skutkuje nieważnością opinii. Kluczowa jest weryfikowalna własna ocena prawna - pominięcie faktów technologicznych lub lakoniczna ocena prawna może pozbawić decyzję ochrony, ponieważ urząd orzeka wyłącznie na podstawie dostarczonego materiału.

Urząd wydaje dokument w terminie 30 dni (do 60 dni przy skomplikowanych technologiach).

Nierozpatrzenie wniosku w ustawowym terminie skutkuje milczącą zgodą. Ten sam podmiot może zwrócić się z nowym wnioskiem nie wcześniej niż po upływie 30 dni (inaczej wniosek pozostanie bez rozpoznania). Opinia indywidualna jest wiążąca dla KRiBSI i innych organów dla wskazanego stanu faktycznego lub zdarzenia przyszłego.

Harmonogram i daty wejścia w życie

Przepisy zaczynają obowiązywać etapami. Ustawa została opublikowana 27 lipca br. Kolejnego dnia weszły w życie przepisy upoważniające do działań organizacyjnych mających na celu utworzenie nowego organu nadzoru (KRiBSI) i jego zaplecza. Większość regulacji zacznie obowiązywać od 11 sierpnia. Kluczowe dla biznesu mechanizmy, takie jak wydawanie opinii indywidualnych, procedury kontrolne czy zawieranie układów, uruchomią się 28 października br. Daje to biznesowi niespełna kwartał na inwentaryzację systemów AI i weryfikację procesów.

Jakie kroki warto podjąć?

Zalecana jest inwentaryzacja narzędzi AI i weryfikacja procesów pod kątem wymogów AI Act i ustawy. W przypadku wątpliwości co do stosowania prawa, warto rozważyć wystąpienie do KRiBSI o wydanie opinii indywidualnej. Istotne jest również wczesne zabezpieczenie i wydzielenie komunikacji z pełnomocnikami, aby w razie ewentualnej kontroli skorzystać z prawa do tajemnicy zawodowej.

FAQ

Czy ustawa o systemach sztucznej inteligencji zastępuje AI Act?

Nie. AI Act obowiązuje bezpośrednio jako rozporządzenie unijne. Polska ustawa wskazuje organ nadzoru, procedury kontrolne i egzekowanie AI Act.

Ile kosztuje wiążąca opinia KRiBSI?

150 zł od każdego weryfikowanego stanu faktycznego.

Co się dzieje, gdy KRiBSI nie rozpatrzy wniosku w terminie?

Obowiązuje milcząca zgoda, czyli stanowisko wnioskodawcy zostaje przyjęte.

Czy kontrola KRiBSI odbywa się w siedzibie firmy?

Zasadą jest tryb zdalny. Kontrola na miejscu ma miejsce w nagłych przypadkach.

Od kiedy KRiBSI może przeprowadzić kontrolę?

Od 28 października 2026 r.

Twój następny krok

Jeśli chcesz zobaczyć, jak wygląda uporządkowanie użycia AI u siebie: w dotlaw mamy dokładny proces prawnego przygotowania organizacji na AI. Małe kroki, dział po dziale. Bez wielkiego audytu, który blokuje pracę na miesiące.

Zapraszamy do kontaktu

Stan prawny: sierpień 2026 r. Materiał ma charakter informacyjny i nie stanowi porady prawnej.