Polska ustawa o systemach sztucznej inteligencji - co zmienia dla firm i urzędów

AI Act - Terminy, Digital Omnibus i polska ustawa

Polska ustawa o systemach sztucznej inteligencji - co zmienia dla firm i urzędów

W skrócie

Kierownik jednostki publicznej i zarząd firmy pytają, co polska ustawa o systemach sztucznej inteligencji dokłada do AI Act. Ustawa tworzy organ nadzoru, KRiBSI, ustala tryb kontroli, postępowania i kar, a firmom daje opinię indywidualną, układ i piaskownicę regulacyjną.

Jak to wygląda w praktyce

Agencja nieruchomości z Torunia korzysta z ChatGPT w wersji dla firm i z chatbota na stronie. Prawnik zewnętrzny informuje, że od 28 października 2026 r. organ nadzoru może skontrolować przestrzeganie AI Act. Właściciel pyta, kim jest ten organ, czego może żądać i ile może kosztować błąd. W tym samym tygodniu sekretarz powiatu, którego urząd testuje system wspierający rozpatrywanie wniosków o świadczenia, pyta, czy ustawa w ogóle dotyczy administracji.

Co mówią przepisy

Ustawę z 3 lipca 2026 r. ogłoszono 27 lipca 2026 r. Weszła w życie 11 sierpnia 2026 r., a przepisy o opiniach indywidualnych, kontroli, postępowaniu, układzie i karach 28 października 2026 r., po trzech miesiącach od ogłoszenia (art. 127 ustawy). Obejmuje podmioty z art. 2 ust. 1 AI Act, w tym dostawców i podmioty stosujące, poza osobami fizycznymi używającymi AI wyłącznie prywatnie i organami publicznymi państw trzecich (art. 3 ust. 1). Polskie urzędy i samorządy są więc objęte. Wyłączone są m.in. obrona narodowa, służby specjalne oraz badania i prace rozwojowe bez testów w warunkach rzeczywistych (art. 2 ust. 1).

Zobacz też: Szkolenie Gotowość na AI ACT

• Organ. KRiBSI jest organem nadzoru rynku i pojedynczym punktem kontaktowym (art. 5). Tworzą ją przewodniczący, dwóch zastępców i czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE (art. 19 ust. 1). Przewodniczącą jest Pamela Krzypkowska, a pierwsze posiedzenie Komisji odbyło się 28 października 2026 r. Z KNF i Prezesem UODO Komisja współpracuje (art. 20 ust. 1), ale dla instytucji finansowych i części systemów z załącznika III AI Act wskazuje inne organy nadzoru rynku (art. 74 ust. 6 i 8), czego ustawa nie rozstrzyga.
• Kontrola. Komisja prowadzi ją co do zasady zdalnie, najwcześniej po 7 dniach od doręczenia zawiadomienia. Na miejscu albo bez tego terminu Komisja kontroluje tylko na podstawie postanowienia, przy podejrzeniu szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 49). Kontrolujący ma dostęp do dokumentów, poczty elektronicznej i systemów (art. 52). Przebieg opisujemy w poście o kontroli KRiBSI w firmie.
• Postępowanie. Trwa najwyżej 6 miesięcy (art. 60 ust. 3). Komisja może wydać ostrzeżenie, po którym strona ma 21 dni na informację o wykonaniu wskazanych działań (art. 61), a przy bezpośrednim ryzyku dla życia, zdrowia, bezpieczeństwa lub praw podstawowych nakazać zaprzestanie stosowania systemu albo jego wycofanie (art. 63 ust. 2). Od decyzji przysługuje odwołanie do sądu ochrony konkurencji i konsumentów (art. 65).
• Kary. Komisja nakłada je „w przypadkach, wysokości i na warunkach określonych w rozdziale XII” AI Act (art. 104 ust. 1), np. do 35 mln EUR lub 7% obrotu za praktyki zakazane. Euro przelicza po kursie NBP z 28 stycznia (art. 104 ust. 4). Może obniżyć karę o 10-50%, gdy ukarany w 3 miesiące od doręczenia decyzji wykona działania z ostrzeżenia (art. 107 ust. 1), a w układzie o 20-70%, przy samozgłoszeniu o 30-90% (art. 70 ust. 6, art. 84). Więcej w poście o karach za naruszenie AI Act.
• Opinie indywidualne. Wniosek kosztuje 150 zł, Komisja wydaje opinię w 30 dni (w sprawach szczególnie skomplikowanych w 60), a brak opinii w terminie oznacza opinię zgodną ze stanowiskiem wnioskodawcy (art. 9-18). Szczegóły w poście o opinii indywidualnej KRiBSI.
• Skargi. Skargę może złożyć każdy, w postaci elektronicznej (art. 59), a Komisja może po niej wszcząć postępowanie (art. 58).
• Piaskownica. Komisja prowadzi piaskownicę regulacyjną trwającą 6-12 miesięcy (art. 91), bezpłatną dla mikro, małych i średnich przedsiębiorców, a dla jednostek samorządu terytorialnego z opłatą do dwukrotności minimalnego wynagrodzenia (art. 93).

Ustawa nie zawiera przepisu wykonującego art. 99 ust. 8 AI Act, który każe państwu określić, w jakim zakresie można nakładać kary pieniężne na organy i podmioty publiczne. Nie przesądza też, czy istnieje kara administracyjna za naruszenie samej ustawy, bo art. 104 odsyła tylko do rozdziału XII AI Act.

Co zrobić krok po kroku

1. Osoba do kontaktu. Zarząd albo kierownik jednostki wyznacza osobę odpowiedzialną za kontakt z KRiBSI i jej zastępcę oraz ustala, kto podpisuje pisma i protokół kontroli. Efekt: uchwała albo zarządzenie z zakresem upoważnienia.
2. Teczka dokumentów. Compliance zbiera w jednym miejscu rejestr systemów AI, notatki klasyfikacyjne, dowody środków z art. 4 AI Act, opis wykonania obowiązków z art. 50 i umowy z dostawcami narzędzi. Efekt: katalog z wykazem dokumentów i datą aktualizacji.
3. Udostępnianie zdalne. Dział IT przygotowuje sposób zdalnego udostępnienia dokumentów, poczty i dostępu do systemów w zakresie kontroli, z zapisem, co i komu udostępniono. Efekt: procedura z osobą odpowiedzialną po stronie IT.
4. Systemy narażone na skargi. Właściciele narzędzi, z których korzystają klienci, kandydaci do pracy albo pracownicy, sprawdzają, czy osoby te dostają informacje wymagane przez art. 50 AI Act i czy zastosowanie nie jest praktyką zakazaną z art. 5. Efekt: notatka z przeglądu przy każdym takim systemie.
5. Wątpliwa klasyfikacja. Gdy nie wiadomo, czy system jest systemem wysokiego ryzyka albo czy obowiązek dotyczy firmy, dział prawny przygotowuje rekomendację, czy złożyć wniosek o opinię indywidualną. Efekt: decyzja zarządu zapisana w rejestrze systemów.
6. Jednostka publiczna. Kierownik jednostki ustala, które systemy mogą być systemami wysokiego ryzyka, np. ocena kwalifikowalności do świadczeń publicznych z załącznika III pkt 5 lit. a). Ich zgodność planuje na 2 grudnia 2027 r., a dla systemów wprowadzonych do obrotu lub oddanych do użytku przed datą stosowania rozdziału III najpóźniej na 2 sierpnia 2030 r. (art. 111 ust. 2 AI Act). Efekt: lista systemów z terminami.

Jak sprawdzić, że sprawa jest załatwiona

Agencja i starostwo z przykładu mają trzy dowody gotowości: uchwałę albo zarządzenie o osobie do kontaktu z KRiBSI, wykaz dokumentów gotowych do zdalnego udostępnienia z datą aktualizacji i procedurę udostępniania danych. Przy spornych systemach zapisano decyzję co do wniosku o opinię indywidualną. W jednostce publicznej dochodzi lista systemów, które mogą być systemami wysokiego ryzyka, z terminem zgodności.

Wyjaśnienia Komisji (art. 16 ustawy), opublikowane opinie indywidualne (art. 17) i decyzje z wykazem ukaranych systemów (art. 66) trafiają do Biuletynu Informacji Publicznej Komisji. Pierwsze wyjaśnienia mają według komunikatu Komisji dotyczyć art. 50 AI Act.

Podstawa prawna i źródła

• art. 2, 3, 5, 9-18, 19, 20, 43, 49, 52, 58-61, 63, 65, 66, 70, 84, 91, 93, 104, 107 i 127 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• art. 2 ust. 1, art. 99 ust. 3 i 8, art. 111 ust. 2 i załącznik III pkt 5 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• Sejm RP, ELI DU/2026/1003, daty wejścia w życie ustawy o systemach sztucznej inteligencji (źródło)
• Uchwała Sejmu RP z dnia 18 września 2026 r. w sprawie powołania Przewodniczącego Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (M.P. 2026 poz. 945) (źródło)
• KRiBSI, Pierwsze posiedzenie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, 28.10.2026 (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001