Ustawa o systemach sztucznej inteligencji: co zmienia się 28 października 2026

Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może prowadzić kontrole i postępowania wobec firm, które tworzą albo stosują systemy AI. Piszę, czym jest Komisja, jak przebiega kontrola, do czego służy opinia indywidualna i co warto sprawdzić w Twojej firmie przed tą datą.

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) została ogłoszona 27 lipca 2026 r. Jest polskim uzupełnieniem rozporządzenia 2024/1689, czyli AI Act. Samo rozporządzenie stosuje się w Polsce bezpośrednio. Ustawa mówi, kto w Polsce pilnuje jego przestrzegania i w jakiej procedurze. Jeśli dopiero ustalasz, które obowiązki AI Act dotyczą Twojej firmy, zacznij od wpisu AI Act 2026. Co musi zrobić Twoja firma.

Co się zmienia 28 października 2026

Ustawa reguluje pięć obszarów (art. 1): organizację nadzoru nad rynkiem systemów sztucznej inteligencji i nad modelami ogólnego przeznaczenia, postępowanie w sprawie naruszeń AI Act i ustawy, akredytację i notyfikację jednostek oceniających zgodność, działania na rzecz rozwoju AI oraz zasady nakładania administracyjnych kar pieniężnych.

Przepisy wchodzą w życie etapami. Od 28 października 2026 r. zaczyna się ten etap, który firmy odczują najbardziej: Komisja może kontrolować, prowadzić postępowania i nakładać administracyjne kary pieniężne. Komisja istnieje od wejścia ustawy w życie, ale do 28 października nie miała uprawnień do kontroli, postępowań i kar. Od tego dnia stosuje się też przepisy o opiniach indywidualnych (art. 8 do 18). Kontrole prowadzi się według planu zatwierdzonego przez Komisję (art. 48 ust. 2), więc pierwszych kontroli można się spodziewać dopiero po skompletowaniu jej składu.

Ważne jest też to, czego ustawa nie robi. Nie dodaje nowych obowiązków merytorycznych dla systemów AI. Zakres obowiązków nadal wyznacza AI Act. Ustawa dokłada procedurę: kontrolę, skargę, ostrzeżenie, decyzję i opinię indywidualną. Dlatego pytanie „czy ustawa mnie dotyczy” sprowadza się w praktyce do pytania, czy Twoja firma jest dostawcą albo podmiotem stosującym system AI w rozumieniu rozporządzenia.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji

Ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Komisja jest organem nadzoru rynku w zakresie systemów sztucznej inteligencji (art. 5 ust. 1) i pojedynczym punktem kontaktowym w rozumieniu AI Act (art. 5 ust. 2).

To organ kolegialny. W jego skład wchodzą Przewodniczący, dwóch Zastępców Przewodniczącego i czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE (art. 19 ust. 1). Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję (art. 28 ust. 1). Obsługę administracyjną i biurową zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43 ust. 1), czyli w praktyce Ministerstwo Cyfryzacji.

Skład ma znaczenie dla firm z sektorów regulowanych. Bank, instytucja płatnicza, nadawca albo operator telekomunikacyjny spotka w Komisji przedstawiciela swojego organu nadzoru. Sprawy związane z AI w tych branżach będą więc oceniane z udziałem osób, które znają ich specyfikę.

Zadania Komisji wymienia art. 6. Dla firm najważniejsze są nadzór nad przestrzeganiem AI Act i ustawy, wydawanie postanowień i decyzji w sprawach o naruszenie, prowadzenie rejestru skarg, wydawanie opinii indywidualnych i wyjaśnień oraz tworzenie piaskownic regulacyjnych. Według komunikatu Ministerstwa Cyfryzacji z 27 lipca 2026 r. Komisja w pełnym składzie miała rozpocząć działalność w listopadzie 2026 r.

Jak wygląda kontrola

Kontrolom poświęcony jest rozdział 3 ustawy (art. 48 do 57). Komisja kontroluje według zatwierdzonego planu kontroli (art. 48 ust. 2). Do kontroli przedsiębiorcy stosuje się rozdział 5 Prawa przedsiębiorców (art. 48 ust. 3), więc obowiązują zasady znane z innych kontroli przedsiębiorców.

Najważniejsze reguły dla kontrolowanej firmy:

• Kontrola zaczyna się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2). Wyjątkiem jest uzasadnione podejrzenie albo znaczące prawdopodobieństwo szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. Wtedy Komisja może postanowieniem pominąć ten termin albo zarządzić kontrolę w siedzibie firmy (art. 49 ust. 4).
• Kontrola może być prowadzona zdalnie (art. 49 ust. 3). Kontrolujący ma imienne upoważnienie podpisane przez Przewodniczącego Komisji (art. 51).
• Kontrolujący może żądać dokumentów, korespondencji elektronicznej i dostępu do systemów informatycznych, także należących do innego podmiotu, jeśli kontrolowana firma ma do nich dostęp (art. 52 ust. 1 pkt 1). Chodzi także o systemy w chmurze należące do innego podmiotu.
• Komunikacja firmy z adwokatem lub radcą prawnym zostaje u kontrolowanego. Spór o to, czy dokument jest taką komunikacją, rozstrzyga Sąd Okręgowy w Warszawie (art. 54).
• Na podpisanie protokołu albo zgłoszenie pisemnych zastrzeżeń masz 14 dni od doręczenia (art. 56 ust. 6). Brak reakcji w tym terminie oznacza odmowę podpisania (art. 56 ust. 8).
• Termin na wykonanie zaleceń pokontrolnych nie może być krótszy niż 30 dni od doręczenia, chyba że firma się zgodzi albo naruszenia się powtarzały (art. 57 ust. 3 i 4). Gdy zalecenia nie zostaną wykonane, Komisja może wszcząć postępowanie (art. 57 ust. 5).

Z praktyki innych kontroli wynika jedno: siedem dni mija szybko. Firma, która ma gotowy wykaz systemów AI, opis ich przeznaczenia i podział ról, odpowiada na pierwsze pytania kontrolującego bez nerwowego zbierania informacji od działów.

Skarga, ostrzeżenie i decyzja

Skargę do Komisji może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej (art. 59 ust. 1). Skarga ma postać elektroniczną, a papierową tylko wtedy, gdy elektroniczna jest niemożliwa (art. 59 ust. 3). Zawiera nazwę albo opis systemu, opis faktów i uzasadnienie naruszenia (art. 59 ust. 2). Skargę może więc złożyć klient, kandydat do pracy, pracownik albo konkurent. Skarga jest jedną z podstaw wszczęcia postępowania (art. 58).

Postępowanie nie może trwać dłużej niż 6 miesięcy od doręczenia stronie postanowienia o jego wszczęciu (art. 60 ust. 3). Ustawa przewiduje kilka stopni reakcji:

• Komisja może wydać ostrzeżenie (art. 61). Firma ma 21 dni na poinformowanie o wykonaniu wskazanych działań (art. 61 ust. 3).
• Gdy firma nie zareaguje, Komisja może między innymi umieścić informację w Biuletynie Informacji Publicznej (art. 61 ust. 4).
• Po stwierdzeniu naruszenia Komisja wydaje decyzję, w której wskazuje środki usunięcia skutków naruszenia w terminie 14 dni od doręczenia. Zastosowanie się do nich Komisja uwzględnia przy decyzji o administracyjnej karze pieniężnej (art. 62).

Górne granice kar wynikają z art. 99 AI Act, a ustawa określa krajową procedurę ich nakładania. Ministerstwo Cyfryzacji wskazało w komunikacie, że w toku prac parlamentarnych zrezygnowano z części uprawnień Komisji o charakterze nakazów i zakazów, w tym nakazu wycofania systemu z rynku, a rozstrzygnięcia Komisji podlegają kontroli sądowej.

Opinia indywidualna

To instrument, który dla wielu firm będzie ważniejszy niż kontrola. Komisja może wydawać opinie indywidualne i wyjaśnienia w sprawach należących do jej zakresu (art. 8 ust. 1). Z wnioskiem może wystąpić podmiot obowiązany do stosowania AI Act i ustawy albo podmiot, który planuje działania objęte tymi przepisami (art. 9 ust. 1). Wniosek może dotyczyć stanu istniejącego albo zdarzeń przyszłych (art. 9 ust. 2), więc da się go złożyć przed wdrożeniem systemu.

• Wniosek zawiera wyczerpujący opis stanu faktycznego i stanowisko wnioskodawcy (art. 9 ust. 3). Opłata wynosi 150 zł (art. 11 ust. 1).
• Wnioskodawca oświadcza, że sprawa nie jest przedmiotem innego postępowania. Opinia wydana na podstawie nieprawdziwego oświadczenia nie wywołuje skutków prawnych (art. 10).
• Komisja wydaje opinię w ciągu 30 dni, a w sprawach szczególnie skomplikowanych w ciągu 60 dni (art. 12 ust. 1). Jeśli nie zdąży, uznaje się, że opinia potwierdza stanowisko wnioskodawcy (art. 12 ust. 3).
• Opinia wiąże Komisję i inne organy w zakresie opisanego stanu faktycznego (art. 13 ust. 1). Zastosowanie się do opinii przed jej zmianą albo uchyleniem nie może szkodzić wnioskodawcy (art. 15 ust. 5).

Opinia chroni tylko w granicach opisu. Jeśli wniosek pomija istotną funkcję systemu albo sposób jego użycia, ochrona nie obejmie tego, czego nie opisano. Dlatego wniosek warto przygotować tak, jak dokument dla organu, a nie jak pytanie do infolinii.

Terminy AI Act po rozporządzeniu 2026/1744

Krajowa ustawa zaczyna działać w nowym kalendarzu unijnym. Rozporządzenie 2026/1744 z 8 lipca 2026 r., nazywane Digital Omnibus on AI, przesunęło część terminów AI Act. Szerzej o samym pakiecie piszę we wpisie Digital Omnibus. Co pakiet uproszczenia UE oznacza dla branży tech. Najważniejsze daty po zmianie:

• Do 2 grudnia 2026 r. dostawcy generatywnych systemów AI wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas na oznakowanie treści syntetycznych (art. 50 ust. 2 AI Act, czteromiesięczny okres przejściowy z motywu 38 rozporządzenia 2026/1744).
• Od 2 grudnia 2027 r. stosuje się obowiązki dla systemów wysokiego ryzyka z załącznika III (motyw 40).
• Od 2 sierpnia 2028 r. stosuje się obowiązki dla systemów wysokiego ryzyka z załącznika I, czyli AI w produktach objętych unijnym prawodawstwem harmonizacyjnym (motyw 40).

Rozporządzenie 2026/1744 zmieniło też art. 4 AI Act o kompetencjach w zakresie AI. Dostawcy i podmioty stosujące mają podejmować działania na rzecz rozwoju kompetencji swoich pracowników, bez obowiązku zapewnienia określonego poziomu tych kompetencji. Małe i średnie przedsiębiorstwa oraz małe spółki o średniej kapitalizacji mogą prowadzić dokumentację techniczną w formie uproszczonej.

Przesunięcie terminów dla wysokiego ryzyka nie oznacza, że do 2027 r. Komisja nie ma czego kontrolować. Kontrola może dotyczyć obowiązków, które już się stosuje, w tym przejrzystości z art. 50 AI Act.

Co zrobić teraz

1. Spisz systemy AI, które Twoja firma tworzy, sprzedaje albo stosuje. Wpisz też narzędzia zewnętrzne używane przez pracowników, jeśli wpływają na decyzje wobec klientów lub pracowników.
2. Przy każdym systemie ustal rolę firmy (dostawca czy podmiot stosujący) i kategorię ryzyka. Od tego zależy, które obowiązki już obowiązują, a które od grudnia 2027 r. albo sierpnia 2028 r.
3. Sprawdź generatywne systemy wprowadzone przed 2 sierpnia 2026 r. pod kątem oznakowania treści do 2 grudnia 2026 r.
4. Wyznacz osobę, która przyjmie zawiadomienie o kontroli i w ciągu 7 dni zbierze dokumenty. Ustal, gdzie w firmie leży korespondencja z prawnikiem, żeby oddzielić ją przy kontroli.
5. Jeśli planujesz wdrożenie, którego kwalifikacja jest niepewna, rozważ wniosek o opinię indywidualną przed uruchomieniem systemu.

Pierwsze dwa kroki możesz zrobić bezpłatnie w narzędziu Klasyfikacja AI Act. Zajmuje ok. 10 minut i daje 5 dokumentów, od których łatwo zacząć rozmowę z zarządem i działem IT.

Najczęstsze pytania

Czy ustawa dotyczy firmy, która tylko korzysta z gotowych narzędzi AI?

Może dotyczyć. AI Act nakłada obowiązki nie tylko na dostawców, ale też na podmioty stosujące systemy AI. Ustawa nie zmienia tego podziału, tylko daje Komisji narzędzia nadzoru. Zakres obowiązków zależy od tego, do czego firma używa narzędzia.

Czy Komisja może przyjść bez zapowiedzi?

Co do zasady nie. Kontrola zaczyna się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia. Komisja może pominąć ten termin tylko przy uzasadnionym podejrzeniu albo znaczącym prawdopodobieństwie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych (art. 49 ust. 4).

Ile kosztuje opinia indywidualna i jak długo się czeka?

Opłata wynosi 150 zł. Komisja ma 30 dni, a w sprawach szczególnie skomplikowanych 60 dni. Brak opinii w terminie oznacza, że stanowisko wnioskodawcy uznaje się za prawidłowe (art. 11 i art. 12).

Kto może złożyć skargę na system AI mojej firmy?

Każda osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej, na przykład klient, kandydat do pracy albo konkurent (art. 59 ust. 1).

Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 16 października 2026 r.: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) oraz rozporządzenie 2024/1689 w brzmieniu nadanym rozporządzeniem 2026/1744.