AI Act w Polsce: kontrole KRiBSI ruszyły 28 października. Jak się przygotować?

28 października 2026 r. w Polsce ruszył realny nadzór nad sztuczną inteligencją. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może od tego dnia przyjmować skargi, prowadzić kontrole i nakładać administracyjne kary pieniężne. Dla firm, które „tylko korzystają” z ChatGPT, Claude’a czy AI w rekrutacji, to koniec etapu, w którym AI Act był wyłącznie teorią.

Ten tekst porządkuje, co się właściwie zmieniło, jak może wyglądać kontrola i co warto zrobić, zanim ktoś złoży pierwszą skargę. Zaznaczam od razu: komisja dopiero startuje i nie ma jeszcze praktyki kontrolnej, więc tam, gdzie opieram się na własnej ocenie, wyraźnie to piszę.

1. Co dokładnie zmieniło się 28 października?

Unijny AI Act (rozporządzenie 2024/1689) obowiązuje bezpośrednio, ale każde państwo członkowskie musiało wskazać organ nadzoru i ustalić krajowe sankcje. Polska zrobiła to w ustawie o systemach sztucznej inteligencji. Najważniejsze daty:

• 24 lipca 2026: prezydent podpisał ustawę, która następnie została ogłoszona w Dzienniku Ustaw.
• 11 sierpnia 2026: weszła w życie większość przepisów ustawy.
• 28 października 2026: ruszył krajowy tryb skarg, przepisy o kontrolach i postępowaniach oraz administracyjne kary pieniężne.
• Listopad 2026: ma się odbyć pierwsze posiedzenie KRiBSI.

Brak działającej komisji nigdy nie oznaczał braku obowiązków. AI Act stosuje się wprost, a część jego przepisów, w tym zakazy wybranych praktyk i obowiązek dbania o kompetencje osób pracujących z AI, obowiązuje od 2025 roku. Zmieniło się to, że teraz jest ktoś, kto może tego pilnować.

2. Czym jest KRiBSI i co może zrobić firmie?

KRiBSI jest głównym organem nadzoru nad AI w Polsce i punktem kontaktowym w sprawach stosowania AI Act. Według opracowań prawniczych komisja może:

• kontrolować przestrzeganie AI Act oraz polskiej ustawy,
• prowadzić postępowania i wydawać decyzje, w tym nakazy działań naprawczych,
• ograniczyć stosowanie systemu albo nakazać jego wycofanie z użytku, jeśli stwarza ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych,
• rozpatrywać skargi i nakładać administracyjne kary pieniężne,
• wydawać opinie indywidualne i ogólne wyjaśnienia,
• tworzyć piaskownice regulacyjne dla firm rozwijających systemy AI.

Uwaga na skutek wizerunkowy: mają być publikowane zanonimizowane decyzje oraz wykaz systemów AI, wobec których wydano decyzję o karze.

3. Jak może wyglądać kontrola?

Postępowania mogą być wszczynane m.in. na podstawie skargi. Skargę może złożyć każda osoba fizyczna, osoba prawna i jednostka organizacyjna. Powinna wskazywać system AI, opisywać fakty i wyjaśniać, dlaczego doszło do naruszenia. Najbardziej oczywiste scenariusze to kandydat odrzucony przez algorytm rekrutacyjny, pracownik oceniany automatycznie albo klient, który nie został poinformowany, że rozmawia z botem.

W toku kontroli komisja może żądać dokumentacji, korespondencji elektronicznej i nośników danych oraz dostępu do systemów, w zakresie, w jakim sama kontrolowana firma ma do nich dostęp. Może też sporządzać kopie i zabezpieczać dowody, a przebieg kontroli może być nagrywany po wcześniejszym poinformowaniu kontrolowanego.

W praktyce oznacza to, że „wiemy, co robimy” nie wystarczy. Liczy się to, co da się pokazać: lista systemów AI, umowy z dostawcami, instrukcje dla pracowników, logi i dowody szkoleń. Zwróć też uwagę na dwie pułapki, o których piszą prawnicy:

• Człowiek zatwierdzający decyzję nie zwalnia z klasyfikacji ryzyka. O tym, czy system jest wysokiego ryzyka, decyduje jego przeznaczenie i realny wpływ na decyzje, a nie to, kto klika „zatwierdź”.
• Ciągłe naruszenie nie jest chronione datą startu. Działanie rozpoczęte przed 28 października nie chroni przed odpowiedzialnością za naruszenie, które trwa dalej.

4. Ile można zapłacić?

Krajowa ustawa odsyła do widełek z AI Act (art. 99). To kwoty maksymalne, a nie typowe kary:

• do 35 mln € lub 7% rocznego obrotu za stosowanie zakazanych praktyk,
• do 15 mln € lub 3% obrotu za naruszenia obowiązków dostawców i podmiotów stosujących, w tym dotyczących systemów wysokiego ryzyka oraz przejrzystości (art. 50),
• do 7,5 mln € lub 1% obrotu za podanie organom nieprawidłowych lub wprowadzających w błąd informacji.

Dla małych i średnich firm stosuje się niższą z dwóch wartości (kwota albo procent obrotu). Z opracowań prawniczych wynika także, że ustawa przewiduje możliwość łagodzenia sankcji, między innymi przy współpracy z komisją, a także przepisy o odpowiedzialności karnej. Dokładne warunki warto sprawdzić w tekście ustawy.

5. Na co kontrole mogą zwrócić uwagę w pierwszej kolejności?

To jest nasza ocena, a nie komunikat organu. Digital Omnibus przesunął obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I). Dlatego w najbliższych miesiącach najbardziej „egzekwowalne” wydają się cztery obszary:

• Zakazane praktyki (art. 5), na przykład manipulacja, scoring społeczny czy rozpoznawanie emocji w miejscu pracy.
• Przejrzystość (art. 50): użytkownik ma wiedzieć, że rozmawia z botem, a treści generowane przez AI, takie jak deepfake’i, mają być oznaczone. Część okresów przejściowych jeszcze trwa, na przykład dla niektórych systemów generatywnych do 2 grudnia 2026 r.
• Kompetencje AI (art. 4): firma powinna zadbać o odpowiedni poziom wiedzy osób, które pracują z AI. Brzmienie tego obowiązku zmienia się w ramach Omnibusa, więc sprawdź jego aktualną wersję.
• Skargi pracowników i kandydatów: AI w rekrutacji i ocenie pracy to obszar, w którym nakładają się AI Act, RODO i prawo pracy, więc jedno zdarzenie może uruchomić kilka postępowań.

6. Checklista: 6 kroków przed pierwszą kontrolą

1. Zrób inwentaryzację systemów AI

Spisz wszystko, co używa AI: ChatGPT i Claude’a na kontach pracowników, funkcje AI w CRM, w systemie HR i w narzędziach do obsługi klienta, chatboty na stronie. Najczęściej problemem jest „cienkie AI”, o którym zarząd nie wie.

2. Ustal rolę firmy

Czy jesteś dostawcą, podmiotem stosującym, importerem czy dystrybutorem? Od roli zależy zakres obowiązków. Podział odpowiedzialności między dostawcą a firmą, która korzysta z systemu, bywa niejasny, więc zapisz go w umowie.

3. Sprawdź zakazy i klasę ryzyka

Przejrzyj zastosowania w rekrutacji, ocenie pracowników, scoringu i monitorowaniu. Jeśli masz wątpliwości, zakładaj ostrożniejszą klasyfikację i skonsultuj ją z prawnikiem.

4. Zadbaj o przejrzystość i kompetencje

Oznacz boty i treści generowane przez AI oraz przeszkol zespół. Zachowaj dowody: program, listę uczestników i materiały. Kiedy ktoś zapyta „co zrobiliście?”, nie będziesz zaczynać od zera.

5. Napisz politykę AI i procedurę na skargę lub kontrolę

Ustal, kto odpowiada za kontakt z organem, jakie dokumenty podajesz i w jakim terminie oraz jak reagujesz na skargę pracownika lub klienta. Prosta procedura na jednej stronie jest lepsza niż żadna.

6. Skorzystaj z opinii indywidualnej i piaskownicy

Przy niejasnych przypadkach możesz wystąpić do KRiBSI o opinię indywidualną. Według opracowań prawniczych opłata wynosi 150 zł, odpowiedź przychodzi zasadniczo w 30 dni (w sprawach złożonych w 60), a opinia wiąże komisję w opisanym przypadku. Mikro-, małe i średnie firmy mogą też bezpłatnie wziąć udział w piaskownicy regulacyjnej na 6–12 miesięcy.