Ustawa o sztucznej inteligencji, czyli ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, została podpisana przez Prezydenta RP 24 lipca 2026 r., a 27 lipca 2026 r. ogłoszona w Dzienniku Ustaw pod poz. 1003. Zasadnicza część nowych przepisów wejdzie w życie 11 sierpnia 2026 r. Regulacje dotyczące m.in. opinii indywidualnych, kontroli, postępowań w sprawie naruszeń i kar zaczną natomiast obowiązywać 28 października 2026 r.
Polska ustawa nie zastępuje unijnego AI Act, lecz uzupełnia go w zakresie krajowego nadzoru i egzekwowania przepisów. Tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, określa zasady prowadzenia kontroli i postępowań oraz reguluje krajową procedurę nakładania administracyjnych kar pieniężnych. Wprowadza również rozwiązania wspierające przedsiębiorców, w tym opinie indywidualne i piaskownice regulacyjne.
Czym jest ustawa o sztucznej inteligencji?
Ustawa o sztucznej inteligencji, czyli ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, tworzy krajowe ramy nadzoru nad stosowaniem AI Act w Polsce. Określa, które organy będą kontrolować systemy AI, w jaki sposób będą prowadzone kontrole i postępowania oraz na jakich zasadach będą nakładane administracyjne kary pieniężne.
Zgodnie z art. 1 ustawy nowe przepisy regulują pięć podstawowych obszarów:
- organizację nadzoru nad rynkiem systemów AI i modeli sztucznej inteligencji ogólnego przeznaczenia;
- postępowania w sprawie naruszenia AI Act lub polskiej ustawy;
- akredytację i notyfikację jednostek oceniających zgodność systemów AI;
- działania wspierające rozwój i bezpieczne wdrażanie sztucznej inteligencji;
- krajowe zasady nakładania administracyjnych kar pieniężnych.
Polska ustawa o systemach sztucznej inteligencji nie zastępuje AI Act i nie tworzy od podstaw wszystkich obowiązków przedsiębiorców korzystających z AI. Podstawowe wymagania dotyczące m.in. zakazanych praktyk, systemów wysokiego ryzyka, przejrzystości, dostawców, podmiotów stosujących oraz modeli AI ogólnego przeznaczenia wynikają bezpośrednio z unijnego rozporządzenia.
Polskie przepisy uzupełniają AI Act przede wszystkim w zakresie organizacyjnym i proceduralnym. Odpowiadają więc na pytania, kto będzie sprawował nadzór nad sztuczną inteligencją w Polsce, jak będzie wyglądała kontrola przedsiębiorcy oraz w jaki sposób będą egzekwowane obowiązki wynikające z prawa unijnego.
Więcej o praktycznych obowiązkach związanych z wykorzystywaniem sztucznej inteligencji przeczytasz w artykule: AI w firmie – jakie obowiązki ma przedsiębiorca?
Czym ustawa o sztucznej inteligencji różni się od AI Act?
AI Act określa unijne zasady tworzenia, wprowadzania do obrotu i stosowania systemów sztucznej inteligencji, natomiast polska ustawa o sztucznej inteligencji organizuje krajowy system nadzoru oraz egzekwowania tych przepisów.
AI Act jest rozporządzeniem Unii Europejskiej, dlatego jest bezpośrednio stosowany we wszystkich państwach członkowskich. Polska ustawa nie przenosi jego treści do prawa krajowego, lecz uzupełnia unijne regulacje w obszarach wymagających określenia właściwych organów, procedur kontrolnych i zasad prowadzenia postępowań.
AI Act wskazuje przede wszystkim obowiązki dostawców, importerów, dystrybutorów i podmiotów stosujących systemy AI. Polska ustawa odpowiada natomiast na pytania:
- kto będzie kontrolował przestrzeganie przepisów o sztucznej inteligencji w Polsce;
- jak będą prowadzone kontrole i postępowania w sprawie naruszeń;
- który organ będzie nakładał administracyjne kary pieniężne;
- do jakiego sądu będzie można odwołać się od decyzji;
- jak przedsiębiorca będzie mógł uzyskać opinię indywidualną dotyczącą planowanego wdrożenia;
- na jakich zasadach będą funkcjonowały piaskownice regulacyjne AI.
Polska ustawa tworzy zatem krajowe ramy organizacyjne i proceduralne niezbędne do stosowania AI Act. Reguluje m.in. działalność Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, kontrole, postępowania, krajową procedurę nakładania kar oraz instrumenty wspierające przedsiębiorców.
Harmonogram stosowania AI Act jest niezależny od terminów wejścia w życie polskiej ustawy. Oznacza to, że rozpoczęcie obowiązywania krajowych przepisów nie przesuwa ani nie zastępuje terminów wynikających bezpośrednio z rozporządzenia unijnego.
Więcej o harmonogramie stosowania unijnego rozporządzenia oraz jego wpływie na działalność firm przeczytasz w artykule: AI Act – od kiedy obowiązuje i jakie znaczenie ma dla przedsiębiorców?
Kiedy ustawa o sztucznej inteligencji wchodzi w życie?
Większość przepisów ustawy o sztucznej inteligencji wejdzie w życie 11 sierpnia 2026 r. Nie wszystkie regulacje zaczną jednak obowiązywać w tym samym terminie. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji przewiduje trzy daty wejścia w życie poszczególnych grup przepisów.
Najważniejsze daty dotyczące ustawy o sztucznej inteligencji
| Data | Wydarzenie | Praktyczne znaczenie |
| 24 lipca 2026 r. | podpisanie ustawy przez Prezydenta RP | zakończenie etapu prac legislacyjnych przed ogłoszeniem ustawy |
| 27 lipca 2026 r. | ogłoszenie ustawy w Dzienniku Ustaw pod poz. 1003 | od tej daty obliczane są terminy wejścia w życie poszczególnych przepisów |
| 28 lipca 2026 r. | wejście w życie art. 125 ust. 4 | rozpoczęcie działań organizacyjnych potrzebnych do utworzenia Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji |
| 11 sierpnia 2026 r. | zasadnicze wejście w życie ustawy | zacznie obowiązywać większość przepisów, w tym regulacje dotyczące organizacji i składu KRiBSI |
| 28 października 2026 r. | wejście w życie przepisów odroczonych o trzy miesiące | rozpoczną obowiązywać regulacje dotyczące opinii indywidualnych, kontroli, postępowań, kar oraz nowych procedur sądowych |
Od 28 października 2026 r. zaczną obowiązywać art. 8–18 oraz rozdziały 3–5, 8 i 9 ustawy. Oznacza to uruchomienie m.in. opinii indywidualnych KRiBSI, kontroli przestrzegania przepisów o AI, postępowań w sprawie naruszeń, mechanizmu nadzwyczajnego złagodzenia sankcji oraz krajowej procedury nakładania administracyjnych kar pieniężnych.
Dla przedsiębiorców najważniejsze jest zatem rozróżnienie dwóch dat: 11 sierpnia 2026 r., kiedy wejdzie w życie zasadnicza część ustawy, oraz 28 października 2026 r., kiedy Komisja uzyska podstawy do prowadzenia kontroli, wydawania opinii indywidualnych i nakładania kar.
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – czym będzie KRiBSI?
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI, będzie głównym organem odpowiedzialnym za nadzór nad stosowaniem AI Act w Polsce. Komisja uzyska status organu nadzoru rynku w zakresie systemów sztucznej inteligencji oraz będzie pełnić funkcję pojedynczego punktu kontaktowego w sprawach dotyczących AI.
Do najważniejszych zadań KRiBSI będzie należeć:
- kontrolowanie przestrzegania AI Act i polskiej ustawy o sztucznej inteligencji;
- prowadzenie postępowań w sprawie naruszeń;
- wydawanie decyzji i nakładanie administracyjnych kar pieniężnych;
- rozpatrywanie skarg dotyczących działania systemów AI i prowadzenie ich rejestru;
- wydawanie opinii indywidualnych oraz wyjaśnień dotyczących stosowania przepisów;
- tworzenie piaskownic regulacyjnych AI i zarządzanie nimi;
- wspieranie innowacji, badań naukowych i rozwoju technologii;
- prowadzenie działań edukacyjnych i informacyjnych;
- współpraca z Komisją Europejską, Europejską Radą ds. Sztucznej Inteligencji oraz organami innych państw członkowskich.
KRiBSI będzie również monitorować rozwój rynku sztucznej inteligencji, upowszechniać orzecznictwo oraz publikować przykłady dobrych praktyk dotyczących wdrażania i stosowania systemów AI przez przedsiębiorców i podmioty publiczne.
Dla przedsiębiorców utworzenie KRiBSI oznacza, że w Polsce powstanie jeden wyspecjalizowany organ właściwy m.in. do prowadzenia kontroli, rozpatrywania skarg, wydawania opinii indywidualnych i egzekwowania obowiązków wynikających z AI Act.
Kto wejdzie w skład KRiBSI?
W skład Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji wejdzie siedem osób: Przewodniczący, dwóch Zastępców Przewodniczącego oraz czterech członków wskazanych przez najważniejsze krajowe organy regulacyjne.
Czterech członków KRiBSI zostanie wskazanych odpowiednio przez:
- Prezesa Urzędu Ochrony Konkurencji i Konsumentów;
- Komisję Nadzoru Finansowego;
- Krajową Radę Radiofonii i Telewizji;
- Prezesa Urzędu Komunikacji Elektronicznej.
Przewodniczący, jego Zastępcy oraz pozostali członkowie Komisji mają być niezależni przy wykonywaniu swoich funkcji. Taki skład ma umożliwić łączenie doświadczeń z zakresu ochrony konsumentów, rynku finansowego, mediów i komunikacji elektronicznej.
KRiBSI będzie współpracować także z innymi organami, w tym z Prezesem Urzędu Ochrony Danych Osobowych, organami odpowiedzialnymi za cyberbezpieczeństwo, Urzędem Patentowym RP oraz właściwymi ministrami. Zakres tej współpracy będzie zależał od rodzaju systemu AI oraz obszaru, w którym jest on wykorzystywany.
Jak zostanie powołany Przewodniczący KRiBSI?
Przewodniczącego Komisji powoła Sejm za zgodą Senatu na pięcioletnią kadencję. Ta sama osoba będzie mogła pełnić funkcję Przewodniczącego nie dłużej niż przez dwie kadencje.
Pierwszy Przewodniczący KRiBSI ma zostać powołany w terminie dwóch miesięcy od dnia wejścia ustawy w życie. Pierwsze posiedzenie Komisji powinno natomiast zostać zwołane w terminie trzech miesięcy od tej daty.
Dla przedsiębiorców istotne jest, że KRiBSI nie będzie organem jednoosobowym. Decyzje Komisji będą podejmowane kolegialnie, z udziałem przedstawicieli kilku wyspecjalizowanych regulatorów.
Opinia indywidualna KRiBSI – jak ją uzyskać i kiedy warto wystąpić z wnioskiem?
Opinia indywidualna KRiBSI pozwoli przedsiębiorcy uzyskać stanowisko Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji dotyczące stosowania AI Act lub polskiej ustawy w konkretnej sprawie. Z wnioskiem będzie mógł wystąpić zarówno podmiot już objęty przepisami, jak i przedsiębiorca, który dopiero planuje wdrożenie systemu AI powodujące powstanie określonych obowiązków.
Przepisy dotyczące opinii indywidualnych zaczną obowiązywać 28 października 2026 r.
Czego może dotyczyć opinia indywidualna KRiBSI?
Wniosek będzie mógł odnosić się do:
- istniejącego stanu faktycznego, np. systemu AI już wykorzystywanego w firmie;
- zdarzenia przyszłego, np. planowanego wdrożenia narzędzia AI;
- jednego, dokładnie opisanego zagadnienia dotyczącego stosowania AI Act lub ustawy o sztucznej inteligencji.
Przedsiębiorca będzie musiał przedstawić wyczerpujący opis sprawy oraz własne stanowisko dotyczące jej oceny prawnej. Do wniosku trzeba będzie dołączyć także dowód uiszczenia opłaty.
Ile kosztuje opinia KRiBSI i jak długo trzeba na nią czekać?
Opłata za złożenie wniosku o wydanie opinii indywidualnej wyniesie 150 zł. Komisja powinna wydać i doręczyć opinię:
- w terminie 30 dni od złożenia wniosku;
- w terminie 60 dni, jeżeli sprawa okaże się szczególnie skomplikowana.
Jeżeli KRiBSI nie wyda opinii w ustawowym terminie, będzie to traktowane jako wydanie opinii zgodnej ze stanowiskiem przedstawionym przez wnioskodawcę.
Czy opinia indywidualna KRiBSI będzie wiążąca?
Opinia indywidualna będzie wiążąca dla Komisji oraz tych organów państwowych i jednostek organizacyjnych, których stanowiska Komisja zasięgnęła przy jej wydawaniu. Skutek ten będzie dotyczył konkretnego podmiotu oraz stanu faktycznego albo zdarzenia przyszłego opisanego we wniosku.
Komisja będzie mogła w określonych przypadkach zmienić, uchylić albo stwierdzić wygaśnięcie opinii, np. w związku ze zmianą prawa, orzecznictwa lub wytycznych unijnych. Zastosowanie się do opinii przed jej zmianą, uchyleniem albo wygaśnięciem nie może jednak szkodzić przedsiębiorcy, który ją otrzymał.
Po anonimizacji opinie indywidualne mają być publikowane w Biuletynie Informacji Publicznej KRiBSI. Przed ich udostępnieniem powinny zostać usunięte dane objęte tajemnicą przedsiębiorstwa oraz innymi tajemnicami prawnie chronionymi.
Kiedy warto wystąpić o opinię indywidualną KRiBSI?
Opinia może być szczególnie przydatna, gdy przedsiębiorca:
- nie jest pewien swojej roli na gruncie AI Act;
- planuje nietypowe lub innowacyjne wykorzystanie systemu AI;
- rozwija własne narzędzie wykorzystujące sztuczną inteligencję;
- chce ustalić, czy rozwiązanie może zostać zakwalifikowane jako system wysokiego ryzyka;
- zamierza używać AI przy podejmowaniu decyzji dotyczących pracowników, kandydatów, klientów lub konsumentów;
- ma wątpliwości dotyczące zakresu obowiązków informacyjnych, dokumentacyjnych lub organizacyjnych;
- potrzebuje stanowiska organu przed rozpoczęciem kosztownego wdrożenia.
Opinia indywidualna KRiBSI może ograniczyć ryzyko związane z niejednoznaczną interpretacją przepisów, ale nie zastąpi kompleksowego przygotowania firmy do stosowania AI Act. Przedsiębiorca nadal będzie odpowiedzialny m.in. za prawidłową ocenę ryzyka, ochronę danych osobowych, zapewnienie nadzoru człowieka oraz prowadzenie wymaganej dokumentacji.
Znaczenie opinii będzie również zależało od tego, czy opis przedstawiony we wniosku jest kompletny i zgodny z rzeczywistym sposobem działania systemu AI. Zmiana technologii, celu zastosowania lub procesu wdrożenia może sprawić, że uzyskana opinia nie będzie obejmowała nowego stanu faktycznego.
Piaskownice regulacyjne AI – jak będą działać?
Piaskownice regulacyjne AI umożliwią rozwijanie, trenowanie, walidowanie i testowanie innowacyjnych systemów sztucznej inteligencji w kontrolowanym środowisku, przy wsparciu i pod nadzorem KRiBSI. Ich celem będzie ułatwienie przedsiębiorcom osiągnięcia zgodności z AI Act, zwiększenie pewności prawnej oraz bezpieczne przygotowanie systemu do wprowadzenia na rynek lub oddania do użytku.
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będzie ustanawiała piaskownice regulacyjne i udzielała wybranym podmiotom, w drodze decyzji, zgody na:
- odstępstwo od stosowania wskazanych wymagań AI Act;
- wsparcie w osiągnięciu zgodności systemu z przepisami.
Odstępstwo będzie mogło zostać udzielone jedynie w zakresie niezbędnym do realizacji zatwierdzonego projektu. KRiBSI będzie mogła również utworzyć piaskownicę wspólnie z innym organem nadzoru rynku, organem administracji publicznej, organem innego państwa członkowskiego lub Europejskim Urzędem ds. Sztucznej Inteligencji.
Kto będzie mógł uczestniczyć w piaskownicy regulacyjnej AI?
Udział w piaskownicy nie będzie następował automatycznie. KRiBSI ogłosi konkurs i wybierze projekty na podstawie przedstawionych ofert.
Ogłoszenie będzie określało m.in. przedmiot konkursu, termin składania ofert, wymagane dokumenty oraz kryteria ich oceny. Do udziału zostaną zakwalifikowane najwyżej ocenione projekty, aż do wyczerpania limitu ustalonego dla danej piaskownicy. Podmioty będą mogły odwołać się od wyniku oceny swojej oferty w terminie siedmiu dni od opublikowania listy rankingowej.
Jak długo będzie trwała piaskownica regulacyjna?
Piaskownica regulacyjna będzie ustanawiana na okres od 6 do 12 miesięcy. KRiBSI będzie mogła zapewnić uczestnikom zaplecze technologiczne umożliwiające testowanie systemu w kontrolowanym środowisku.
Testy powinny być prowadzone z zachowaniem odpowiedniego poziomu ochrony zdrowia, bezpieczeństwa oraz praw podstawowych osób fizycznych. Prezes Urzędu Ochrony Danych Osobowych będzie mógł przedstawiać uczestnikom opinie dotyczące oczekiwań regulacyjnych związanych z przetwarzaniem danych osobowych.
Czy udział w piaskownicy oznacza zwolnienie z odpowiedzialności?
Piaskownica regulacyjna AI nie będzie oznaczała całkowitego wyłączenia odpowiedzialności ani rezygnacji z nadzoru organów. Uczestnik nadal będzie musiał przestrzegać zatwierdzonego planu projektu, warunków udziału oraz wskazówek właściwych organów.
AI Act przewiduje jednak, że przyszły dostawca postępujący zgodnie z planem piaskownicy, warunkami uczestnictwa i udzielonymi w dobrej wierze wskazówkami nie powinien zostać ukarany administracyjnie za naruszenia objęte takim projektem. Nie wyłącza to odpowiedzialności za szkody wyrządzone osobom trzecim.
Jak będą wyglądały kontrole przestrzegania AI Act?
Za kontrolę przestrzegania AI Act oraz ustawy o sztucznej inteligencji będzie odpowiadać KRiBSI. Kontrole będą prowadzone zgodnie z zatwierdzonym planem, na podstawie informacji uzyskanych przez Komisję albo w ramach monitorowania stosowania przepisów o sztucznej inteligencji.
KRiBSI będzie mogła wszcząć kontrolę:
- z urzędu;
- na wniosek Przewodniczącego Komisji, jego zastępcy lub członka Komisji;
- na wniosek krajowego organu lub podmiotu publicznego wskazanego w art. 77 ust. 1 AI Act.
Czy kontrola KRiBSI będzie prowadzona zdalnie?
Co do zasady kontrola KRiBSI będzie prowadzona zdalnie, z wykorzystaniem środków porozumiewania się na odległość, w tym komunikacji elektronicznej. Kontrola powinna rozpocząć się nie wcześniej niż po upływie siedmiu dni od doręczenia kontrolowanemu zawiadomienia o jej wszczęciu.
Od tej zasady przewidziano jednak wyjątki. Jeżeli wystąpi uzasadnione podejrzenie albo znaczące prawdopodobieństwo szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, wynikającej z wprowadzenia systemu AI do obrotu, oddania go do użytku albo jego stosowania, Komisja będzie mogła:
- przeprowadzić część lub całość czynności w siedzibie kontrolowanego albo w miejscu prowadzenia działalności związanym z przedmiotem kontroli;
- rozpocząć kontrolę bez zachowania siedmiodniowego terminu uprzedzenia.
Jakie uprawnienia będzie miał kontrolujący?
W celu ustalenia stanu faktycznego kontrolujący będzie mógł żądać dostępu do materiałów i informacji związanych z przedmiotem kontroli, w tym do:
- dokumentów i korespondencji elektronicznej;
- informatycznych nośników danych;
- systemów informatycznych i teleinformatycznych;
- danych znajdujących się w chmurze obliczeniowej, do których kontrolowany ma dostęp;
- dokumentacji dotyczącej projektowania, wdrażania i stosowania systemu AI;
- ustnych lub pisemnych wyjaśnień.
Kontrolujący będzie mógł również sporządzać notatki, kopie, wyciągi, zestawienia i obliczenia, a także zabezpieczać materiały mogące stanowić dowód. Przebieg kontroli lub poszczególne czynności będzie można rejestrować za pomocą urządzeń utrwalających obraz albo dźwięk, po wcześniejszym poinformowaniu kontrolowanego.
Kontrolowany będzie zobowiązany do udzielania informacji i wyjaśnień oraz zapewnienia warunków umożliwiających sprawne przeprowadzenie kontroli.
Jak ustawa chroni tajemnicę przedsiębiorstwa?
Osoby wykonujące czynności kontrolne będą zobowiązane do zachowania poufności uzyskanych informacji, w tym danych osobowych oraz informacji stanowiących tajemnicę przedsiębiorstwa.
Ustawa przewiduje również ochronę komunikacji pomiędzy kontrolowanym a adwokatem lub radcą prawnym, jeżeli została ona wytworzona w celu uzyskania ochrony prawnej podczas kontroli. Ochroną mogą być objęte także dokumenty sporządzone wyłącznie w tym celu.
Jeżeli powstaną wątpliwości, czy określony materiał podlega ochronie, zostanie on przekazany do rozstrzygnięcia Sądowi Okręgowemu w Warszawie – sądowi ochrony konkurencji i konsumentów.
Dla przedsiębiorców oznacza to, że przygotowanie do kontroli KRiBSI powinno obejmować nie tylko dokumentację techniczną systemu, lecz również uporządkowanie umów, procedur wewnętrznych, korespondencji, zasad dostępu do danych oraz zakresów odpowiedzialności za wykorzystywane narzędzia AI.
Co dzieje się po kontroli KRiBSI i kiedy może zostać wszczęte postępowanie?
Kontrola KRiBSI i postępowanie w sprawie naruszenia to dwie odrębne procedury. Nie każda kontrola musi zakończyć się wszczęciem postępowania, a samo postępowanie może zostać wszczęte również bez wcześniejszej kontroli.
Protokół kontroli i zastrzeżenia kontrolowanego
Po zakończeniu kontroli zostanie sporządzony protokół zawierający m.in. opis jej przebiegu, ustalony stan faktyczny, zgromadzony materiał dowodowy oraz ustalenia kontrolującego.
Kontrolowany otrzyma 14 dni od doręczenia protokołu na jego podpisanie albo zgłoszenie pisemnych zastrzeżeń. Jeżeli zastrzeżenia okażą się zasadne, kontrolujący zmieni lub uzupełni protokół. Może także przeprowadzić dodatkowe czynności kontrolne.
Zalecenia pokontrolne KRiBSI
Jeżeli w toku kontroli zostaną stwierdzone nieprawidłowości w wykonywaniu obowiązków wynikających z AI Act, polskiej ustawy albo decyzji Komisji, KRiBSI wyda zalecenia pokontrolne.
Komisja wskaże w nich:
- jakie nieprawidłowości należy usunąć;
- jakie środki może zastosować kontrolowany;
- termin usunięcia nieprawidłowości;
- sposób i termin poinformowania Komisji o wykonaniu zaleceń.
Co do zasady termin na usunięcie nieprawidłowości i przekazanie informacji o realizacji zaleceń nie będzie mógł być krótszy niż 30 dni. Krótszy termin będzie dopuszczalny m.in. za zgodą kontrolowanego albo w przypadku powtarzających się naruszeń.
Jeżeli kontrolowany nie wykona zaleceń albo nie poinformuje o ich realizacji, Komisja będzie mogła, ale nie będzie musiała automatycznie, wszcząć z urzędu postępowanie w sprawie naruszenia.
Kiedy KRiBSI wszczyna postępowanie w sprawie naruszenia AI Act?
Postępowanie zostanie wszczęte, jeżeli informacje zgromadzone podczas kontroli będą wskazywały, że mogło dojść do naruszenia AI Act lub polskiej ustawy.
Wcześniejsza kontrola nie jest jednak konieczna. KRiBSI wszczyna postępowanie również wtedy, gdy możliwość naruszenia zostanie stwierdzona podczas rozpatrywania skargi. Postępowanie może zostać wszczęte także na wniosek:
- Przewodniczącego KRiBSI, jego zastępcy lub członka Komisji;
- krajowego organu lub podmiotu publicznego wskazanego w art. 77 ust. 1 AI Act;
- Społecznej Rady do spraw Sztucznej Inteligencji.
Samo złożenie skargi nie oznacza zatem automatycznego rozpoczęcia postępowania. KRiBSI musi najpierw stwierdzić, że przedstawione informacje wskazują na możliwość naruszenia przepisów. Postępowanie wszczynane jest w drodze postanowienia doręczanego stronie i zasadniczo nie może trwać dłużej niż sześć miesięcy.
Co w przypadku systemu AI stwarzającego bezpośrednie ryzyko?
Jeżeli KRiBSI będzie miała wystarczające podstawy, aby stwierdzić, że system AI stwarza ryzyko określone w AI Act, wszcznie z urzędu odrębne postępowanie.
W przypadku bezpośredniego zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych Komisja będzie mogła nakazać operatorowi:
- zaprzestanie stosowania systemu AI;
- wycofanie systemu z rynku;
- wycofanie systemu z użytkowania.
Decyzji może zostać nadany rygor natychmiastowej wykonalności. Postępowanie dotyczące takiego ryzyka ma trwać nie dłużej niż siedem dni od jego wszczęcia.
Kontrola, postępowanie i nałożenie kary są więc odrębnymi etapami. Kontrola może zakończyć się bez stwierdzenia nieprawidłowości albo wydaniem zaleceń pokontrolnych, natomiast postępowanie zostanie uruchomione dopiero wtedy, gdy zgromadzone informacje będą wskazywały na możliwość naruszenia prawa.
Jakie kary przewiduje ustawa o sztucznej inteligencji?
Najwyższa administracyjna kara pieniężna za naruszenie AI Act może wynieść 35 mln euro albo 7% całkowitego światowego rocznego obrotu przedsiębiorstwa. Maksymalne poziomy kar wynikają przede wszystkim z unijnego AI Act. Polska ustawa o sztucznej inteligencji wskazuje natomiast KRiBSI jako organ właściwy do prowadzenia postępowań i nakładania tych kar w Polsce.
Maksymalne kary za naruszenie AI Act
| Rodzaj naruszenia | Maksymalna kara |
| stosowanie zakazanych praktyk AI określonych w art. 5 AI Act | 35 mln euro albo 7% całkowitego światowego rocznego obrotu |
| naruszenie wskazanych obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmiotów stosujących, jednostek notyfikowanych lub obowiązków przejrzystości | 15 mln euro albo 3% całkowitego światowego rocznego obrotu |
| przekazanie jednostce notyfikowanej lub właściwemu organowi nieprawidłowych, niepełnych albo wprowadzających w błąd informacji | 7,5 mln euro albo 1% całkowitego światowego rocznego obrotu |
W przypadku przedsiębiorstw zastosowanie ma co do zasady wyższa z dwóch wartości: wskazana kwota w euro albo odpowiedni procent światowego obrotu z poprzedniego roku finansowego. W odniesieniu do mikro-, małych i średnich przedsiębiorstw, w tym startupów, maksymalna kara nie może natomiast przekroczyć niższej z tych wartości.
Podane kwoty są górnymi limitami, a nie karami nakładanymi automatycznie za każde naruszenie. Przy ustalaniu sankcji KRiBSI będzie musiała uwzględnić m.in. charakter, wagę i czas trwania naruszenia, jego skutki, stopień odpowiedzialności podmiotu, wcześniejsze podobne naruszenia, współpracę z organem oraz działania podjęte w celu ograniczenia szkody.
Czy kara za naruszenie AI Act może zostać obniżona?
Polska ustawa przewiduje kilka mechanizmów pozwalających obniżyć karę albo złagodzić inne sankcje.
KRiBSI będzie mogła zmniejszyć nałożoną karę o 10–50%, jeżeli ukarany podmiot w terminie trzech miesięcy od doręczenia decyzji wykona działania wskazane wcześniej w ostrzeżeniu, a naruszenie nie doprowadziło do śmierci ani poważnego uszczerbku na zdrowiu.
Na uzasadniony wniosek podmiotu Komisja będzie mogła także odroczyć termin zapłaty kary albo rozłożyć ją na raty, jeżeli przemawia za tym ważny interes wnioskodawcy.
Czy polska ustawa przewiduje również odpowiedzialność za utrudnianie kontroli?
Tak. Poza administracyjnymi karami pieniężnymi ustawa przewiduje odpowiedzialność wykroczeniową. Kara ograniczenia wolności albo grzywny będzie mogła zostać wymierzona osobie, która:
- utrudnia lub udaremnia czynności kontrolne KRiBSI;
- utrudnia lub udaremnia czynności prowadzone w postępowaniu;
- nie wykonuje decyzji nakazującej zaprzestanie stosowania systemu AI albo wycofanie go z rynku lub użytkowania.
Odpowiedzialność może ponieść również osoba działająca w imieniu lub interesie spółki albo innej jednostki organizacyjnej.
Dla przedsiębiorców oznacza to, że ryzyko sankcji zależy nie tylko od rodzaju naruszenia AI Act. Znaczenie będzie mieć również sposób współpracy z KRiBSI, szybkość usunięcia nieprawidłowości oraz działania podjęte w celu ograniczenia skutków naruszenia.
Czy można odwołać się od decyzji KRiBSI?
Tak. Od decyzji KRiBSI w sprawie naruszenia AI Act, decyzji dotyczącej systemu stwarzającego ryzyko oraz decyzji o nałożeniu administracyjnej kary pieniężnej będzie przysługiwało odwołanie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów. Odwołanie należy wnieść za pośrednictwem KRiBSI w terminie miesiąca od doręczenia decyzji.
W zakresie kary pieniężnej przedsiębiorca nie będzie musiał jej uiszczać przed prawomocnym zakończeniem sprawy. Ustawa przewiduje, że karę należy zapłacić w terminie 30 dni od uprawomocnienia się decyzji o jej nałożeniu.
W postępowaniu przed sądem ochronie będą podlegały tajemnica przedsiębiorstwa oraz inne tajemnice prawnie chronione.
Czy decyzje KRiBSI będą publikowane?
KRiBSI będzie publikować w Biuletynie Informacji Publicznej treść decyzji wydawanych na podstawie AI Act lub ustawy o sztucznej inteligencji, po usunięciu informacji objętych tajemnicą prawnie chronioną. Przy każdej decyzji znajdzie się informacja, czy jest ona prawomocna.
Komisja będzie również prowadzić publiczny wykaz systemów AI, wobec których wydano decyzję o nałożeniu kary. Wykaz będzie zawierał m.in. nazwę systemu i operatora, opis jego działania, wskazanie naruszonych przepisów oraz odesłanie do treści decyzji.
Ustawa o sztucznej inteligencji – co oznacza dla przedsiębiorców?
Najważniejszą praktyczną zmianą wynikającą z ustawy o systemach sztucznej inteligencji jest stworzenie w Polsce systemu nadzoru nad przestrzeganiem AI Act. Powołanie KRiBSI oznacza, że przedsiębiorcy korzystający z systemów AI będą mogli podlegać kontroli, otrzymywać zalecenia pokontrolne i ostrzeżenia, a w przypadku stwierdzenia naruszeń – decyzje nakazujące przywrócenie zgodności oraz administracyjne kary pieniężne.
Ustawa przewiduje również rozwiązania wspierające zgodne z prawem rozwijanie i wdrażanie sztucznej inteligencji. Należą do nich opinie indywidualne, piaskownice regulacyjne oraz mechanizmy pozwalające usunąć naruszenie i w określonych przypadkach złagodzić sankcję.
Firmy wykorzystujące AI powinny zweryfikować:
- jaką rolę pełnią na gruncie AI Act;
- jakie obowiązki dotyczą stosowanych przez nie systemów;
- czy sposób korzystania z AI jest zgodny z przepisami;
- czy obowiązujące umowy, procedury i dokumentacja wymagają uzupełnienia.
Ocena prawna powinna odnosić się do rzeczywistego celu i sposobu wykorzystywania systemu AI, rodzaju przetwarzanych danych oraz wpływu jego działania na pracowników, klientów i inne osoby. Sama nazwa narzędzia lub jego producent nie przesądza jeszcze o zakresie obowiązków przedsiębiorcy.
Wsparcie prawne w zakresie AI Act
Kancelaria Prawna Krysztoforski wspiera przedsiębiorców w bezpiecznym wdrażaniu i wykorzystywaniu systemów sztucznej inteligencji. Pomoc prawna może obejmować analizę obowiązków wynikających z AI Act i ustawy o sztucznej inteligencji, ocenę ryzyk, przygotowanie procedur korzystania z AI oraz opracowanie lub weryfikację umów i dokumentów gospodarczych.
Doradzamy zarówno przy pojedynczych projektach z zakresu IT i nowych technologii, jak i w ramach bieżącej obsługi prawnej przedsiębiorców. Zakres wsparcia dostosowujemy do sposobu wykorzystywania AI, rodzaju działalności oraz potrzeb konkretnej firmy.
W celu omówienia planowanego wdrożenia albo weryfikacji stosowanych już rozwiązań zapraszamy do kontaktu z Kancelarią Prawną Krysztoforski.