Polska ustawa o systemach sztucznej inteligencji tworzy krajowe ramy nadzoru nad rozwiązaniami AI i porządkuje sposób działania organu właściwego dla tego obszaru. Dla przedsiębiorcy oznacza to przede wszystkim potrzebę lepszego rozpoznania, jakie systemy są wykorzystywane w firmie, jaka jest rola organizacji oraz gdzie znajdują się dokumenty pozwalające wyjaśnić sposób działania rozwiązania.
Stan prawny opisany w artykule przypada na 9 listopada 2026 r. Ustawa z 3 lipca 2026 r. weszła w życie 11 sierpnia 2026 r., przy czym wybrane przepisy wchodzą w życie etapowo, w tym część 28 października 2026 r. Praktyka działania KRiBSI, wzory dokumentów, kanały składania skarg i organizacja kontroli mogą być jeszcze doprecyzowywane. Materiał ma charakter ogólnoinformacyjny, a nie indywidualnej porady prawnej.
Co zmienia polska ustawa o systemach AI?
Ustawa określa między innymi organizację nadzoru nad rynkiem systemów AI i modelami AI ogólnego przeznaczenia, postępowanie w sprawie naruszeń, zasady akredytacji i notyfikacji oraz administracyjne kary pieniężne. Jej znaczenie dla firm zależy od tego, czy przedsiębiorstwo korzysta z systemu AI, dostarcza takie rozwiązanie, rozwija je, wdraża u klientów albo pełni inną rolę przewidzianą w unijnych ramach.
Nie oznacza to jednak, że każda firma otrzymuje jeden identyczny zestaw obowiązków. Zakres wymaganych działań i dokumentów będzie zależeć od rodzaju systemu, sposobu jego użycia oraz przedmiotu ewentualnego postępowania. Samo uporządkowanie dokumentacji nie gwarantuje zgodności z AI Act ani uniknięcia sankcji.
Polska ustawa a unijny AI Act
AI Act pozostaje prawem unijnym. Polska ustawa organizuje natomiast krajowy nadzór i procedury związane ze stosowaniem tych ram w Polsce. Obejmuje to między innymi wskazanie organu nadzoru, zasady kontroli, rozpatrywanie skarg oraz działania podejmowane w razie stwierdzenia nieprawidłowości.
Ocena konkretnego systemu może wymagać równoległego uwzględnienia także innych przepisów, na przykład dotyczących ochrony danych osobowych, prawa pracy, ochrony konsumentów albo regulacji sektorowych. Dlatego zgodność z AI Act nie powinna być rozumiana jako pojedynczy dokument czy jednorazowa czynność.
KRiBSI — czym jest i jakie ma kompetencje?
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI, ma pełnić funkcję organu nadzoru rynku w zakresie systemów AI oraz pojedynczego punktu kontaktowego przewidzianego w AI Act. Dla przedsiębiorcy oznacza to, że Komisja może być właściwa zarówno w sprawach kontrolnych, jak i w zakresie określonych procedur, wyjaśnień czy skarg.
Do jej zadań należy kontrola przestrzegania AI Act i polskiej ustawy, prowadzenie postępowań oraz wydawanie postanowień i decyzji. Komisja ma także prowadzić rejestr skarg, wydawać opinie indywidualne i wyjaśnienia oraz wykonywać kompetencje organu nadzoru rynku.
Zakres działania KRiBSI nie ogranicza się do kontroli i sankcji. Ustawa przewiduje również działania edukacyjne i informacyjne, monitorowanie rozwoju oraz bezpieczeństwa systemów AI, współpracę z organami krajowymi i zagranicznymi, a także wspieranie innowacyjności i konkurencyjności gospodarki.
Nadzór, wyjaśnienia i piaskownice regulacyjne
Komisja ma tworzyć i zarządzać piaskownicami regulacyjnymi oraz wspierać ich funkcjonowanie. Ma to znaczenie dla podmiotów, które rozwijają rozwiązania AI i potrzebują uporządkowanego środowiska do analizowania wymogów regulacyjnych.
Przedsiębiorca może traktować KRiBSI jako źródło oficjalnych wyjaśnień, ale opinia indywidualna lub wyjaśnienie nie powinny być przedstawiane jako automatyczne potwierdzenie pełnej zgodności konkretnego rozwiązania. Dostępność takiej opinii, zakres sprawy i formalności będą zależeć od przepisów oraz praktyki działania Komisji.
Skarga na system AI — kto i jak może ją złożyć?
Tak, przedsiębiorca może złożyć skargę dotyczącą działania systemu AI. Ustawa przyznaje taką możliwość osobie fizycznej, osobie prawnej oraz jednostce organizacyjnej nieposiadającej osobowości prawnej. Obejmuje to więc przedsiębiorców działających w odpowiedniej formie organizacyjnej.
Skarga nie przesądza jednak, że doszło do naruszenia, ani nie gwarantuje zastosowania określonego środka wobec podmiotu, którego dotyczy. Jej rolą jest przedstawienie organowi informacji o systemie i faktach, które mogą wskazywać na naruszenie AI Act albo polskiej ustawy.
Co opisać w skardze
Skarga powinna zawierać nazwę lub opis systemu AI. Jeżeli jest to możliwe, należy również wskazać nazwę i adres elektroniczny podmiotu, którego dotyczy zgłoszenie. Ważne jest przedstawienie istotnych faktów oraz powodów, dla których skarżący uważa, że mogło dojść do naruszenia.
Co do zasady skargę składa się elektronicznie. Research nie potwierdza jednak konkretnego formularza ani szczegółowego kanału składania skarg, dlatego nie należy tworzyć własnego założenia co do technicznej procedury. Przed przekazaniem materiałów warto uporządkować informacje i ograniczyć je do danych potrzebnych do opisania sprawy.
Przedsiębiorca powinien zwrócić uwagę na dane osobowe, tajemnicę przedsiębiorstwa i informacje poufne. Ich przekazywanie organowi wymaga organizacyjnej ostrożności i uwzględnienia charakteru dokumentów.
Jak może wyglądać kontrola AI w przedsiębiorstwie?
Ustawa opisuje formalny model kontroli, ale rzeczywisty przebieg konkretnej sprawy będzie zależał od jej zakresu i rodzaju systemu AI. Kontrola rozpoczyna się po doręczeniu kontrolowanemu imiennego upoważnienia i okazaniu dokumentu tożsamości przez kontrolującego.
Upoważnienie określa między innymi podstawę prawną, zakres kontroli, datę rozpoczęcia, przewidywany termin zakończenia oraz prawa i obowiązki kontrolowanego. Otrzymanie takiego dokumentu odróżnia formalną kontrolę od nieformalnego zapytania lub prośby o przedstawienie informacji.
Od upoważnienia do protokołu
W toku kontroli kontrolujący może żądać dokumentów, korespondencji elektronicznej i danych związanych z zakresem sprawy. Może także żądać dostępu do systemów informatycznych i chmury, sporządzać kopie oraz wyciągi, a także oczekiwać ustnych lub pisemnych wyjaśnień.
Czynności mogą być utrwalane po uprzednim poinformowaniu kontrolowanego. Firma powinna zatem ustalić, kto odpowiada za kontakt z kontrolującymi, kto wyszukuje materiały oraz kto wyjaśnia decyzje podejmowane z udziałem AI. Udostępnianie informacji powinno uwzględniać ochronę danych osobowych, tajemnicy przedsiębiorstwa i informacji poufnych.
Po zakończeniu czynności sporządza się protokół. Zawiera on między innymi zakres i przebieg kontroli, ustalony stan faktyczny, ustalenia oraz pouczenie o prawie do zastrzeżeń. Kontrolowany ma 14 dni od doręczenia protokołu na jego podpisanie i doręczenie albo złożenie pisemnych zastrzeżeń.
Dokumentacja, którą warto uporządkować przed kontaktem z organem
Ustawa nie tworzy jednej, uniwersalnej checklisty dokumentów dla każdej firmy. Poniższe działania są praktyczną syntezą przepisów i uprawnień kontrolnych, a nie oficjalnym katalogiem KRiBSI ani indywidualną poradą prawną. Ich przydatność będzie zależeć od rodzaju rozwiązania i roli przedsiębiorcy.
Organizacja dokumentów i odpowiedzialności
W pierwszej kolejności warto uporządkować podstawowe informacje o systemach wykorzystywanych w firmie. Pomocny może być rejestr obejmujący używane rozwiązania AI, ich dostawców, cele, funkcje i zakres zastosowania. Należy też opisać rolę przedsiębiorstwa jako dostawcy, operatora albo innego podmiotu.
Praktyczny zestaw materiałów może obejmować:
- rejestr systemów AI i dostawców;
- opisy celu, funkcji i zakresu zastosowania;
- wskazanie osób odpowiedzialnych za system oraz kontakt z organem;
- dokumentację oceny ryzyka i zgodności;
- zasady nadzoru człowieka, monitorowania i reagowania na incydenty;
- umowy oraz informacje otrzymane od dostawców;
- logi i inne dowody działania systemu;
- procedurę obsługi skarg i incydentów.
Warto również ustalić sposób szybkiego wyszukania dokumentów oraz wyjaśnienia decyzji podejmowanych z udziałem AI. Dokumentacja powinna być zorganizowana tak, aby firma wiedziała, które informacje posiada samodzielnie, a które pochodzą od dostawcy.
Przygotowanie materiałów nie gwarantuje pozytywnego wyniku kontroli. Nie zastępuje także analizy aktualnych przepisów ani oceny, czy konkretne rozwiązanie spełnia wszystkie wymagania znajdujące zastosowanie w danej sytuacji.
Zalecenia pokontrolne, decyzje i ryzyka dla firmy
Kontrola może prowadzić do różnych następstw, zależnie od ustaleń i charakteru sprawy. Ustawa przewiduje wydawanie decyzji oraz administracyjne kary pieniężne w zakresie określonym przepisami. Nie oznacza to jednak, że każda kontrola kończy się karą.
Znaczenie mają ustalony stan faktyczny, zakres naruszenia oraz działania podejmowane przez firmę w toku postępowania. Przedsiębiorca nie powinien zakładać, że sama obecność procedur lub dokumentów przesądzi o wyniku sprawy.
Co oznaczają zalecenia pokontrolne
Jeżeli kontrola wykaże nieprawidłowości, KRiBSI wydaje zalecenia pokontrolne. Wskazują one działania naprawcze, termin usunięcia nieprawidłowości oraz sposób i termin poinformowania Komisji o wykonaniu zaleceń.
Dla firmy oznacza to potrzebę przełożenia ustaleń na konkretne działania organizacyjne, techniczne lub dokumentacyjne, a następnie zachowania dowodów ich wykonania. Zakres reakcji będzie zależeć od treści zaleceń. Nie należy przedstawiać żadnego uniwersalnego sposobu jako gwarancji uniknięcia sankcji.
Polska ustawa tworzy krajowy system nadzoru, w którym KRiBSI łączy funkcje kontrolne, proceduralne i edukacyjne. Przedsiębiorca może złożyć skargę, powinien znać formalny model kontroli oraz pamiętać o protokole i 14-dniowym terminie na podpisanie albo złożenie zastrzeżeń. Warto uporządkować rejestr systemów, role, umowy, logi, procedury i zasady ochrony informacji. Nie jest to zamknięta checklista ani gwarancja zgodności. Przed wykorzystaniem tych informacji w konkretnej sprawie należy zweryfikować aktualny stan prawny, procedury, akty wykonawcze i wytyczne. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
