Kary za naruszenie AI Act - ile wynoszą i kto je nakłada w Polsce

AI Act - Nadzór, kontrole i kary

Kary za naruszenie AI Act - ile wynoszą i kto je nakłada w Polsce

W skrócie

Zarząd pyta o realne ryzyko finansowe: ile wynoszą kary AI Act, kto je nakłada w Polsce i od czego zależy ich wysokość. Zestawiamy progi z art. 99 AI Act, zasady z polskiej ustawy i sposoby wpływu na wymiar kary.

Jak to wygląda w praktyce

Wytwórnia kosmetyków spod Krakowa, średnie przedsiębiorstwo z obrotem 20 mln EUR, ma na stronie chatbota zbudowanego przez własny zespół i przygotowuje wdrożenie narzędzia do selekcji CV. Rada nadzorcza prosi zarząd o najgorszy scenariusz: jaka kara grozi za chatbota, który nie informuje, że klient rozmawia z AI, za brak szkoleń z AI i za błąd przy narzędziu rekrutacyjnym.

Co mówią przepisy

Art. 99 AI Act ustala górne granice kar, liczone od całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego:

• do 35 mln EUR lub 7% obrotu za nieprzestrzeganie zakazów z art. 5 (ust. 3),
• do 15 mln EUR lub 3% obrotu za obowiązki dostawców (art. 16), upoważnionych przedstawicieli, importerów, dystrybutorów, obowiązki z art. 25 ust. 2 i 4, podmiotów stosujących (art. 26), jednostek notyfikowanych i przejrzystości z art. 50 (ust. 4),
• do 7,5 mln EUR lub 1% obrotu za nieprawidłowe, niekompletne lub wprowadzające w błąd informacje udzielone na wniosek jednostek notyfikowanych lub organów (ust. 5).

Gdy sprawcą jest przedsiębiorstwo, granicą jest wyższa z dwóch wartości. Dla MŚP (mikro, małych i średnich przedsiębiorstw) liczy się niższa (ust. 6), a dla małych spółek o średniej kapitalizacji niższa przy ust. 4 i 5, ale nie przy zakazach (ust. 6a). Dla dużego przedsiębiorstwa z obrotem 1 mld EUR granica za naruszenie art. 50 wynosi 30 mln EUR, bo 3% obrotu to więcej niż 15 mln EUR. Dla MŚP z obrotem 20 mln EUR, jak wytwórnia z przykładu, to 600 tys. EUR. To pułapy, nie stawki: o wysokości decydują okoliczności z art. 99 ust. 7, m.in. waga i czas trwania naruszenia, liczba poszkodowanych, wielkość firmy, współpraca z organem, wdrożone środki techniczne i organizacyjne oraz to, czy firma sama zgłosiła naruszenie.

Zobacz też: Szkolenie Gotowość na AI ACT

Art. 4 nie figuruje w katalogu art. 99 ust. 4. Polskie brzmienie ust. 4 nie przesądza, czy katalog jest zamknięty. Polska ustawa nie dodaje własnej kary, a Komisja Europejska wyjaśnia w pytaniach i odpowiedziach, że sankcje za art. 4 mogą wynikać z prawa krajowego. Brak kary pieniężnej nie wyłącza nadzoru: KRiBSI może wydać zalecenia pokontrolne, ostrzeżenie i decyzję nakazującą usunięcie skutków naruszenia (art. 57, 61 i 62 ustawy). Kara dotyczy obowiązku, który już się stosuje: rozdział XII o karach od 2 sierpnia 2025 r., art. 50 od 2 sierpnia 2026 r., art. 26 od 2 grudnia 2027 r. albo 2 sierpnia 2028 r.

W Polsce kary nakłada KRiBSI w drodze decyzji, „w przypadkach, wysokości i na warunkach określonych w rozdziale XII” AI Act (art. 104 ust. 1 ustawy). Przy instytucjach finansowych właściwość organu jest niejasna (art. 74 ust. 6 AI Act). Euro przelicza po średnim kursie NBP z 28 stycznia (art. 104 ust. 4). Dostawców modeli AI ogólnego przeznaczenia karze Komisja Europejska, do 3% obrotu lub 15 mln EUR (art. 101), a operatorów objętych wyłączną kompetencją Urzędu ds. AI (art. 75 ust. 1) Urząd, także karami okresowymi za każdy dzień (art. 75c).

KRiBSI może zmniejszyć karę o 10-50%, gdy ukarany w 3 miesiące od doręczenia decyzji wykona działania z ostrzeżenia, a naruszenie nie spowodowało śmierci ani poważnego uszczerbku na zdrowiu (art. 107 ust. 1). Na wniosek może też odroczyć zapłatę albo rozłożyć karę na raty (art. 107 ust. 2). Układ obniża karę o 20-70%, a przy samozgłoszeniu o 30-90% (art. 70 ust. 6, art. 84). Jest wykluczony, gdy naruszenie doprowadziło do śmierci, poważnego uszczerbku na zdrowiu, poważnego i nieodwracalnego zakłócenia infrastruktury krytycznej albo poważnej szkody na mieniu lub w środowisku (art. 70 ust. 1). Karę płaci się w 30 dni od uprawomocnienia decyzji (art. 104 ust. 5), a odwołanie do sądu ochrony konkurencji i konsumentów (art. 109) wnosi się za pośrednictwem KRiBSI w miesiąc od doręczenia decyzji, z opłatą 1000 zł. Dla jednostek publicznych ustawa nie wykonuje art. 99 ust. 8 AI Act, więc zakres ich odpowiedzialności jest sporny.

Co zrobić krok po kroku

1. Mapa ryzyk. Compliance przypisuje każdemu systemowi AI przepisy, które firma może naruszyć, z progiem z art. 99 (ust. 3, 4 albo 5) i datą, od której obowiązek się stosuje. Efekt: kolumny „próg kary” i „od kiedy” w rejestrze systemów AI.
2. Status i obrót. Dyrektor finansowy ustala, czy firma jest MŚP, małą spółką o średniej kapitalizacji, czy dużym przedsiębiorstwem, i podaje obrót z poprzedniego roku obrotowego. Efekt: notatka z górną granicą kary dla każdego progu, w euro.
3. Dowody staranności. Zarząd zleca prowadzenie rejestru środków technicznych i organizacyjnych z datami i właścicielami, bo art. 99 ust. 7 lit. g) każe je uwzględnić przy wymiarze kary. W rejestrze ujmuje też środki z art. 4. Efekt: rejestr aktualizowany przy każdej zmianie.
4. Procedura po wykryciu naruszenia. Zarząd przyjmuje kolejność działań: zaprzestanie naruszenia, zebranie dowodów i decyzja, czy przedstawić je KRiBSI z własnej inicjatywy, co otwiera drogę do układu z obniżką o 30-90% (art. 84). Efekt: procedura z osobą decydującą i terminami.
5. Terminy w postępowaniu. Osoba do kontaktu z KRiBSI pilnuje 21 dni na informację o wykonaniu ostrzeżenia (art. 61 ust. 3), 14 dni na dane do wymiaru kary, bez których KRiBSI szacuje podstawę (art. 105), i miesiąca na odwołanie. Przebieg opisujemy w poście o kontroli i postępowaniu przed KRiBSI. Efekt: kalendarz terminów w procedurze.
6. Jednostka publiczna. Dział prawny zapisuje w notatce, że ustawa nie wykonuje art. 99 ust. 8 AI Act, a wariant procentowy dotyczy przedsiębiorstw, i rekomenduje planowanie zgodności tak, jakby kara była możliwa. Efekt: notatka dla kierownika jednostki.

Jak sprawdzić, że sprawa jest załatwiona

Zarząd zna górną granicę kary dla każdego używanego systemu, np. 600 tys. EUR za chatbota wytwórni bez informacji o AI. Firma ma też dowody okoliczności, które art. 99 ust. 7 każe brać pod uwagę: rejestr środków technicznych i organizacyjnych, rejestr szkoleń, korespondencję z organem i opis działań naprawczych. Procedura po wykryciu naruszenia wskazuje osobę, która decyduje o samozgłoszeniu, i zawiera kalendarz terminów z ustawy.

Podstawa prawna i źródła

• art. 75c, art. 99 i art. 101 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 1 pkt 38 rozporządzenia (UE) 2026/1744 (zmiany art. 99 AI Act, w tym nowy ust. 6a) (źródło)
• art. 61, 70, 84, 104, 105, 107 i 109 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• art. 113 AI Act (daty stosowania rozdziału XII, art. 50 i art. 26)
• Komisja Europejska, AI Literacy - Questions and Answers, część o egzekwowaniu art. 4 (aktualizacja 20.10.2026) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001