Ustawa o systemach sztucznej inteligencji ogłoszona. Co zmienia dla biznesu?

Polska ustawa buduje krajowy system nadzoru, kontroli, skarg, sankcji i wsparcia innowacji wokół unijnego AI Act. Dla organizacji oznacza to, że zgodność z AI staje się nie tylko zadaniem projektowym, lecz także materiałem dowodowym na wypadek kontroli.

24 lipca 2026 r. Prezydent podpisał ustawę o systemach sztucznej inteligencji, a 27 lipca została ona ogłoszona w Dzienniku Ustaw. To moment przełomowy: Polska przestała pracować nad projektem i uzyskała ostateczny, krajowy mechanizm wykonywania oraz egzekwowania AI Act.

Ustawa nie jest jednak „polskim AI Act” i nie powtarza całego katalogu technicznych obowiązków wynikających z prawa Unii Europejskiej. Rozporządzenie AI Act określa przede wszystkim, jakie praktyki są zakazane, jakie wymogi dotyczą systemów wysokiego ryzyka, modeli AI ogólnego przeznaczenia i przejrzystości. Polska ustawa odpowiada natomiast na pytania: kto będzie nadzorował rynek, jak będzie wyglądała kontrola, jak złożyć skargę, jak uzyskać opinię regulatora, na jakich zasadach skorzystać z piaskownicy regulacyjnej oraz jak będą nakładane sankcje.

Najważniejsze zastrzeżenie dotyczy dat. Ustawa została ogłoszona i zaczęła wchodzić w życie, ale jej przepisy uruchamiane są etapami. Pierwszy przepis organizacyjny obowiązuje od 28 lipca 2026 r., zasadnicza część ustawy zacznie obowiązywać 11 sierpnia 2026 r., natomiast opinie indywidualne, kontrole, postępowania, układ w sprawie złagodzenia sankcji oraz przepisy karne i o karach pieniężnych – od 28 października 2026 r.

DLA BIZNESU OZNACZA TO CZTERY ZASADNICZE ZMIANY

•  Compliance AI staje się audytowalny: regulator otrzymuje dostęp do dokumentów, korespondencji, systemów informatycznych i – w określonym zakresie – środowisk chmurowych.

•  Pojawiają się narzędzia zwiększające pewność prawa: opinie indywidualne, wyjaśnienia Komisji i piaskownice regulacyjne.

•  Skarga użytkownika lub kontrahenta może uruchomić postępowanie, a publikacja decyzji i wykazu ukaranych systemów tworzy również ryzyko reputacyjne.•  Reakcja na naruszenie wymaga strategii: ustawa przewiduje działania naprawcze, dobrowolne ujawnienie naruszenia i układ pozwalający istotnie złagodzić sankcję.

AI Act i polska ustawa: dwa piętra jednego systemu

AI Act opiera regulację na poziomie ryzyka. Obejmuje między innymi zakazane praktyki, obowiązki przejrzystości, zasady dotyczące modeli AI ogólnego przeznaczenia oraz szczegółowy reżim systemów wysokiego ryzyka. Państwa członkowskie muszą natomiast zapewnić organy nadzoru rynku, organ notyfikujący, procedury skargowe, kontrolne i sankcyjne. Polska ustawa jest właśnie tą instytucjonalno-proceduralną warstwą wykonawczą.

Nieaktualne jest już także stwierdzenie, że unijny „Digital Omnibus on AI” dopiero jest procedowany. Rozporządzenie (UE) 2026/1744 zostało uchwalone i 27 lipca 2026 r. weszło w życie. Zmieniło ono harmonogram AI Act, przesuwając stosowanie reżimu wysokiego ryzyka, a także uprościło część obowiązków – między innymi dotyczących kompetencji w zakresie AI. Nie oznacza to jednak ogólnego odroczenia AI Act.

Od 2 sierpnia 2026 r. stosuje się między innymi obowiązki przejrzystości z art. 50 AI Act. Obejmują one – zależnie od roli i rodzaju systemu – informowanie o interakcji z AI, techniczne oznaczanie treści syntetycznych, informowanie o stosowaniu rozpoznawania emocji lub kategoryzacji biometrycznej oraz ujawnianie, że określone deepfake’i i niektóre teksty dotyczące spraw interesu publicznego zostały wygenerowane albo zmanipulowane przez AI. Okres przejściowy do 2 grudnia 2026 r. jest wąski: dotyczy jedynie obowiązku oznaczania i wykrywania treści z art. 50 ust. 2 w odniesieniu do systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r.

Harmonogram AI Act po Digital Omnibus on AI

Data	Znaczenie praktyczne
2 lutego 2025 r.	Stosuje się definicje, zakazane praktyki oraz przepisy o kompetencjach w zakresie AI.
2 sierpnia 2025 r.	Stosuje się przepisy o zarządzaniu, karach oraz obowiązki dotyczące modeli AI ogólnego przeznaczenia.
27 lipca 2026 r.	Wchodzi w życie Digital Omnibus on AI, który zmienia część obowiązków i terminy stosowania reżimu wysokiego ryzyka.
2 sierpnia 2026 r.	Stosuje się większość pozostałych przepisów, w tym obowiązki przejrzystości z art. 50 AI Act.
2 grudnia 2026 r.	Kończy się ograniczony okres przejściowy dla obowiązku z art. 50 ust. 2 wobec systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r.; zaczynają też obowiązywać nowe zakazy wprowadzone Omnibusem.
2 grudnia 2027 r.	Zaczynają być stosowane przepisy o systemach wysokiego ryzyka kwalifikowanych na podstawie art. 6 ust. 2 i załącznika III AI Act.
2 sierpnia 2028 r.	Zaczynają być stosowane przepisy o systemach wysokiego ryzyka będących elementami produktów objętych załącznikiem I AI Act.

Harmonogram polskiej ustawy

Data	Znaczenie praktyczne
28 lipca 2026 r.	Wchodzi w życie przepis uruchamiający prace organizacyjne nad zapleczem Komisji.
11 sierpnia 2026 r.	Wchodzi w życie zasadnicza część ustawy, w tym przepisy ustrojowe oraz ramy piaskownic regulacyjnych.
28 października 2026 r.	Wchodzą w życie opinie indywidualne i wyjaśnienia, kontrole, postępowania, układ w sprawie złagodzenia sankcji, administracyjne kary pieniężne, wykroczenia oraz zmiany proceduralne.

Co zmieniło się w ostatecznej ustawie?

Kierunek ustawy pozostał zgodny z projektem, ale w toku prac parlamentarnych zmieniono kilka rozwiązań, które mają bezpośrednie znaczenie praktyczne.

•  Ograniczono zwykły katalog działań KRiBSI o charakterze zakazów i nakazów, takich jak rutynowe wycofanie systemu z rynku lub użytku. Nie oznacza to jednak braku środków przymusowych: w nagłym przypadku bezpośredniego ryzyka Komisja nadal może nakazać zaprzestanie stosowania albo wycofanie systemu.

•  Usprawniono procedurę opinii indywidualnych, wprowadzając krótki termin, niską opłatę oraz – w zwykłym trybie – mechanizm pozytywnego milczenia regulatora.

•  Poprawiono warunki piaskownic regulacyjnych: możliwe jest zapewnienie zaplecza technologicznego, udział MŚP jest bezpłatny, a dla jednostek samorządu terytorialnego przewidziano preferencyjne limity opłat.

•  Wzmocniono ochronę tajemnic prawnie chronionych, w tym tajemnicy przedsiębiorstwa, oraz doprecyzowano mechanizmy ochrony komunikacji z adwokatem lub radcą prawnym podczas kontroli.

•  Ustawa w ostatecznym brzmieniu zawiera rozbudowany mechanizm układu i dobrowolnego ujawnienia naruszenia, który powinien stać się elementem procedur reagowania na incydenty AI.

Kogo dotyczy ustawa, a kogo nie obejmuje?

Zakres podmiotowy ustawy jest powiązany z art. 2 ust. 1 AI Act. W praktyce chodzi o dostawców, podmioty stosujące, importerów, dystrybutorów, upoważnionych przedstawicieli i producentów produktów, którzy występują w rolach określonych w rozporządzeniu. Organizacja nie musi tworzyć własnego modelu ani sprzedawać produktu AI, aby znaleźć się w systemie regulacyjnym. Przedsiębiorca korzystający z narzędzia AI w rekrutacji, obsłudze klienta, analizie ryzyka, marketingu czy podejmowaniu decyzji może być podmiotem stosującym.

Wyłączenie dla osób fizycznych jest wąskie. Dotyczy używania AI wyłącznie do celów osobistych, niezwiązanych z działalnością zawodową, gospodarczą, nieewidencjonowaną czy rolniczą. Ustawa przewiduje ponadto wyłączenia dotyczące obronności i bezpieczeństwa narodowego oraz określonych badań naukowych i prac rozwojowych, o ile nie obejmują one testów w warunkach rzeczywistych.

Praktyczna kwalifikacja powinna zaczynać się nie od pytania „czy używamy AI?”, lecz od mapy konkretnych przypadków użycia i przypisania ról. Ten sam podmiot może być podmiotem stosującym w jednym procesie, a dostawcą w innym – na przykład gdy istotnie modyfikuje rozwiązanie, zmienia jego przeznaczenie albo udostępnia je klientom pod własną marką.

KRiBSI: organ nadzoru, punkt kontaktowy i promotor innowacji

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) będzie krajowym organem nadzoru rynku oraz pojedynczym punktem kontaktowym w rozumieniu AI Act. Ma kontrolować przestrzeganie prawa, prowadzić postępowania, wydawać decyzje i postanowienia, nakładać kary, zarządzać piaskownicami regulacyjnymi, wydawać opinie indywidualne i wyjaśnienia, a jednocześnie wspierać rozwój innowacji i edukację.

Komisja będzie organem kolegialnym. W jej skład wejdą przewodniczący, dwóch zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE. Ustawa przewiduje również współpracę między innymi z Prezesem UODO, organami cyberbezpieczeństwa, organami sektora zdrowia, Urzędem Patentowym i Prokuratorem Generalnym. Przy Komisji będzie działała Społeczna Rada do spraw Sztucznej Inteligencji, której opinie i stanowiska nie będą wiążące.

Przewodniczącego Komisji powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. Ustawa przewiduje jego powołanie w ciągu dwóch miesięcy od wejścia ustawy w życie oraz zwołanie pierwszego posiedzenia Komisji w ciągu trzech miesięcy. W konsekwencji formalne wejście w życie kompetencji organu nie musi oznaczać, że wszystkie procedury będą od pierwszego dnia dostępne operacyjnie.

Podwójna rola KRiBSI pozostaje jednym z najciekawszych elementów modelu. Komisja ma być równocześnie nadzorcą i instytucją wspierającą innowacje. Może to sprzyjać dialogowi z rynkiem, ale praktyka pokaże, czy organ potrafi oddzielić funkcję konsultacyjną od represyjnej oraz zapewnić przewidywalne standardy postępowania.

Opinie indywidualne: regulacyjny “bezpiecznik” dla organizacji

Od 28 października 2026 r. podmiot objęty AI Act albo planujący działalność, która dopiero obejmie go tym reżimem, będzie mógł wystąpić o opinię indywidualną dotyczącą jednego zagadnienia w istniejącym stanie faktycznym lub zdarzeniu przyszłym. Do wniosku trzeba będzie dołączyć własne stanowisko prawne i oświadczenie, że sprawa nie jest już przedmiotem postępowania.

Opłata za wniosek wyniesie 150 zł. Komisja ma wydać opinię w ciągu 30 dni, a w sprawie szczególnie skomplikowanej – 60 dni. Najbardziej doniosły jest mechanizm pozytywnego milczenia: niewydanie opinii w terminie będzie uznawane za wydanie opinii zgodnej ze stanowiskiem przedstawionym przez wnioskodawcę. Ten sam podmiot będzie mógł złożyć kolejny wniosek nie wcześniej niż po 30 dniach od poprzedniego.

Opinia będzie wiążąca dla Komisji oraz organów państwowych i jednostek organizacyjnych, których opinii Komisja zasięgnęła, ale wyłącznie w granicach dokładnie opisanego stanu faktycznego lub zdarzenia przyszłego. Zmiana prawa, orzecznictwa albo wytycznych unijnych może prowadzić do zmiany, uchylenia lub wygaśnięcia opinii. Zastosowanie się do opinii przed takim zdarzeniem nie może jednak szkodzić wnioskodawcy. Zanonimizowane opinie będą publikowane w BIP, co z czasem powinno tworzyć użyteczną bazę praktyki interpretacyjnej.

Z punktu widzenia biznesu kluczowe będzie przygotowanie wniosku na styku prawa, technologii i procesu operacyjnego. Opis nie może ograniczać się do nazwy narzędzia. Powinien obejmować funkcję systemu, przepływ danych, użytkowników, osoby, na które system oddziałuje, sposób nadzoru człowieka, warunki dostawcy oraz planowane modyfikacje. Ochrona wynikająca z opinii będzie bowiem tak dobra, jak kompletność i zgodność opisu z rzeczywistym wdrożeniem.

Uczestnicy piaskownicy otrzymają uprzywilejowaną ścieżkę: w ciągu 90 dni od potwierdzenia uczestnictwa będą mogli złożyć wniosek dotyczący testowanego systemu, a Komisja ma wydać opinię w terminie 14 dni. W tym trybie nie pobiera się opłaty i nie działa mechanizm pozytywnego milczenia.

Kontrole: dokumentacja AI staje się materiałem dowodowym

Przepisy kontrolne zaczną obowiązywać 28 października 2026 r. Zasadą ma być kontrola zdalna, prowadzona nie wcześniej niż po siedmiu dniach od doręczenia zawiadomienia. Gdy istnieje uzasadnione podejrzenie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, Komisja może przeprowadzić czynności w siedzibie podmiotu i odstąpić od siedmiodniowego terminu.

Zakres uprawnień kontrolnych jest szeroki. Kontrolujący może żądać materiałów, dokumentów, korespondencji elektronicznej, nośników danych, dostępu do systemów informatycznych i teleinformatycznych, a także do chmury obliczeniowej należącej do innego podmiotu – w zakresie, w jakim kontrolowany ma do niej dostęp. Może sporządzać kopie i zestawienia, zabezpieczać dane, żądać wyjaśnień oraz utrwalać czynności obrazem lub dźwiękiem po uprzednim poinformowaniu kontrolowanego.

Ustawa wprowadza mechanizm ochrony komunikacji z adwokatem lub radcą prawnym, jeżeli została ona wytworzona w celu uzyskania ochrony prawnej w toku kontroli. W razie sporu materiał trafia do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów. Ciężar wykazania, że dokument spełnia przesłanki ochrony, spoczywa na kontrolowanym. W praktyce warto więc zawczasu uporządkować zasady oznaczania poufnej komunikacji prawnej i oddzielać analizę prawną od dokumentacji operacyjnej.

Po kontroli sporządzany jest elektroniczny protokół. Kontrolowany ma 14 dni na jego podpisanie albo zgłoszenie zastrzeżeń. Jeżeli stwierdzono nieprawidłowości, Komisja może wydać zalecenia pokontrolne; co do zasady termin na ich wykonanie i zawiadomienie organu nie może być krótszy niż 30 dni. Brak reakcji może prowadzić do wszczęcia postępowania.

CO POWINNO BYĆ GOTOWE NA WYPADEK KONTROLI?

•  aktualny rejestr systemów i przypadków użycia AI wraz z właścicielami biznesowymi i technicznymi;

•  mapa dostawców, integracji, danych i środowisk chmurowych oraz informacja, kto może udzielić dostępu;

•  wersjonowana dokumentacja decyzji, ocen ryzyka, instrukcji, testów, nadzoru człowieka i zmian systemu;

•  procedura przyjęcia zawiadomienia o kontroli, zabezpieczenia dowodów, obsługi żądań i zgłaszania zastrzeżeń;•  jasne reguły ochrony tajemnicy przedsiębiorstwa, danych osobowych i komunikacji objętej tajemnicą zawodową.

Skargi, ostrzeżenia i postępowanie w sprawie naruszenia

Skargę do KRiBSI będzie mogła złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej. Powinna ona wskazywać system, istotne fakty i powody, dla których skarżący uważa, że naruszono AI Act lub ustawę. Podstawową formą będzie postać elektroniczna. Skarga nie prowadzi automatycznie do nałożenia sankcji, ale może dostarczyć Komisji podstawy do wszczęcia postępowania z urzędu.

Postępowanie nie powinno trwać dłużej niż sześć miesięcy. Jeżeli istnieje uzasadnione podejrzenie naruszenia, Komisja może najpierw wydać ostrzeżenie i wskazać działania przywracające zgodność, na przykład ograniczenie dostępu do systemu, działania naprawcze albo wykonanie obowiązków informacyjnych wobec użytkowników, kontrahentów, pracowników lub osób, na które system oddziałuje. Strona ma 21 dni na przekazanie informacji o wykonaniu tych działań. Brak reakcji może skutkować między innymi publikacją informacji o niezastosowaniu się do ostrzeżenia w BIP.

W zwykłym trybie decyzja stwierdzająca naruszenie ma zawierać środki nakazujące usunięcie jego skutków w terminie 14 dni. Ostateczna ustawa ograniczyła część szerokich nakazów przewidywanych na wcześniejszych etapach prac, ale nie pozbawiła Komisji zdolności do szybkiej interwencji.

Jeżeli system stwarza bezpośrednie ryzyko dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, Komisja może w odrębnym, maksymalnie siedmiodniowym postępowaniu nakazać operatorowi zaprzestanie stosowania systemu albo wycofanie go z rynku lub użytkowania. Decyzji można nadać rygor natychmiastowej wykonalności. Dla organizacji, której kluczowy proces zależy od jednego systemu AI, oznacza to konieczność posiadania procedury awaryjnego wyłączenia, rozwiązania zastępczego i planu komunikacji z osobami dotkniętymi zmianą.

Decyzje Komisji będą publikowane w BIP po usunięciu tajemnic prawnie chronionych. Komisja ma ponadto prowadzić wykaz systemów, wobec których wydano decyzję o karze, obejmujący między innymi nazwę systemu i operatora, opis działania oraz naruszone przepisy. Dlatego ryzyko postępowania nie ogranicza się do kary finansowej – może wpływać na relacje z klientami, finansowanie, postępowania zakupowe i reputację marki.

Piaskownice regulacyjne: testowanie pod nadzorem, nie “strefa bez prawa”

Ustawa tworzy szczegółowe ramy krajowych piaskownic regulacyjnych. KRiBSI będzie mogła, w drodze decyzji, udzielić wybranym podmiotom zgody na odstępstwo od stosowania wskazanych obowiązków albo zapewnić wsparcie w osiąganiu zgodności z AI Act – wyłącznie w zakresie niezbędnym do realizacji projektu i w granicach dopuszczonych przez prawo unijne.

Zakres możliwych odstępstw obejmuje między innymi dokumentację zarządzania ryzykiem, wymagania dotyczące danych treningowych, walidacyjnych i testowych, dokumentację techniczną, logowanie zdarzeń, instrukcje, system zarządzania jakością, ocenę zgodności, deklarację zgodności UE, oznakowanie CE, rejestrację w bazie UE i monitorowanie po wprowadzeniu do obrotu. Nie jest to jednak blankietowe zwolnienie z AI Act. Zakres zgody będzie określony dla konkretnego projektu, a wymagania bezpieczeństwa, ochrony danych i praw podstawowych pozostaną istotne.

Udział będzie przyznawany w konkursie na podstawie planu projektu. Piaskownica ma trwać od 6 do 12 miesięcy, a Komisja może zapewnić zaplecze technologiczne do testowania. MŚP będą uczestniczyć bezpłatnie. Opłata dla jednostek samorządu terytorialnego nie może przekroczyć dwukrotności minimalnego wynagrodzenia, a dla innych podmiotów – czterokrotności. Prezes UODO będzie mógł przedstawiać opinie dotyczące przetwarzania danych osobowych, bez utraty swoich uprawnień nadzorczych.

Uczestnik piaskownicy może być kontrolowany, a naruszenie warunków uczestnictwa – po bezskutecznym wezwaniu do poprawy – prowadzić do wyłączenia z programu. Z biznesowej perspektywy piaskownica będzie więc najbardziej użyteczna dla projektów rzeczywiście innowacyjnych, w których niepewność regulacyjna lub koszt pełnej ścieżki zgodności istotnie utrudniają wejście na rynek, a organizacja jest gotowa na transparentną współpracę z regulatorem.

Kary, układy i dobrowolne ujawnienie naruszenia

Od 28 października 2026 r. KRiBSI będzie nakładać administracyjne kary pieniężne w przypadkach, wysokości i na warunkach określonych w rozdziale XII AI Act. Maksymalne progi pozostają bardzo wysokie: do 35 mln euro albo 7% całkowitego światowego rocznego obrotu za naruszenie zakazanych praktyk, do 15 mln euro albo 3% obrotu za inne wskazane naruszenia oraz do 7,5 mln euro albo 1% obrotu za przekazanie organom nieprawidłowych, niepełnych lub wprowadzających w błąd informacji. W przypadku MŚP zastosowanie ma co do zasady niższy z odpowiednich limitów.

Kwoty wyrażone w euro będą przeliczane na złote według średniego kursu NBP z 28 stycznia danego roku albo z najbliższej późniejszej tabeli. Kara ma być uiszczona w ciągu 30 dni od uprawomocnienia się decyzji. Ustawa przewiduje również wykroczenia polegające na utrudnianiu lub udaremnianiu kontroli i czynności w postępowaniu oraz na niewykonaniu decyzji wydanej w nagłym trybie ryzyka. Grozi za nie ograniczenie wolności albo grzywna.

Szczególnie istotnym, a pominiętym w pierwotnym artykule rozwiązaniem jest układ w sprawie warunków nadzwyczajnego złagodzenia sankcji. Może zostać zawarty, jeżeli strona zaprzestała naruszenia lub usunęła stan niezgodności z prawem oraz ujawniła Komisji wszystkie istotne okoliczności i dowody. Układ może obejmować usunięcie skutków naruszenia i naprawienie szkody.

W ramach układu Komisja może obniżyć karę o 20-70%. Jeżeli postępowanie zostało wszczęte na podstawie dobrowolnie przekazanych przez sprawcę informacji i dokumentów, a naruszenie zostało wcześniej zakończone lub stan niezgodności usunięty, redukcja może wynieść 30-90%. W nadzwyczajnych okolicznościach możliwe jest odstąpienie od sankcji. Informacje i dowody mające charakter oświadczenia strony, wcześniej nieznane Komisji, co do zasady nie mogą zostać wykorzystane, jeżeli układ nie zostanie zawarty.

Układ nie jest jednak prostym sposobem na „kupienie spokoju”. Wymaga pełnego ujawnienia faktów, oświadczenia składanego pod rygorem odpowiedzialności karnej, a jego przyjęcie oznacza zrzeczenie się prawa do odwołania od decyzji zatwierdzającej układ. Niewykonanie zobowiązań może prowadzić do wznowienia postępowania nawet w perspektywie dziesięciu lat. Decyzja o dobrowolnym zgłoszeniu naruszenia powinna zatem następować po zabezpieczonej tajemnicą zawodową analizie prawnej, technicznej i dowodowej.

Od decyzji Komisji oraz wskazanych postanowień będzie przysługiwać odwołanie albo zażalenie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów. Sąd będzie mógł utrzymać decyzję, uchylić ją albo zmienić i orzec co do istoty sprawy. Ochrona tajemnicy przedsiębiorstwa i innych tajemnic prawnie chronionych została przewidziana również na etapie sądowym.

Ocena ustawy: więcej pewności, ale nie od razu

Ostateczna ustawa tworzy znacznie pełniejszy system niż wynikało to z pierwotnego artykułu. Pozytywnie należy ocenić połączenie narzędzi nadzorczych z mechanizmami naprawczymi i wspierającymi: ostrzeżeniem, zaleceniami pokontrolnymi, opiniami indywidualnymi, piaskownicami i układem. W szczególności niska opłata za opinię oraz mechanizm pozytywnego milczenia mogą realnie zwiększyć pewność prawa, o ile Komisja będzie dysponowała odpowiednim zapleczem eksperckim.

Ryzykiem pozostaje rozruch instytucjonalny. Część przepisów zacznie obowiązywać 28 października 2026 r., podczas gdy ustawowy harmonogram tworzenia Komisji zakłada jej pierwsze posiedzenie w ciągu trzech miesięcy od wejścia ustawy w życie. Przedsiębiorcy nie powinni więc uzależniać własnej gotowości od tego, kiedy KRiBSI zacznie sprawnie obsługiwać wnioski i kontrole.

Drugim wyzwaniem będzie wielość reżimów. Ten sam system może równocześnie podlegać AI Act, RODO, przepisom konsumenckim, prawu pracy, regulacjom sektorowym, cyberbezpieczeństwu, własności intelektualnej i tajemnicy przedsiębiorstwa. Ustawa przewiduje współpracę KRiBSI z innymi organami, ale dopiero praktyka pokaże, jak będą rozdzielane kompetencje i jak uniknięta zostanie wielokrotna ocena tych samych zdarzeń z różnych perspektyw.

Nie ma już podstaw do przedstawiania Digital Omnibus jako przyszłej, niepewnej rewizji. Został uchwalony i wszedł w życie. Otoczenie nadal będzie jednak ewoluować poprzez wytyczne Komisji Europejskiej, rekomendacje Europejskiej Rady ds. AI, akty wykonawcze, standardy zharmonizowane i praktykę krajowych organów. Program zgodności powinien być więc procesem zarządczym, a nie jednorazowym dokumentem.

Jak przygotować organizację? Praktyczna checklista

Najważniejszym zadaniem nie jest tworzenie kolejnej ogólnej polityki, lecz zbudowanie spójnego systemu wiedzy, odpowiedzialności i dowodów. Poniższe działania powinny być realizowane w kolejności dostosowanej do skali i profilu ryzyka organizacji.

1. Zrób inwentaryzację AI. Zidentyfikuj systemy, modele, funkcje wbudowane w oprogramowanie, narzędzia SaaS i rozwiązania tworzone wewnętrznie. Dla każdego przypadku użycia opisz cel, właściciela, użytkowników, osoby dotknięte działaniem, dane, dostawcę, integracje i możliwość wyłączenia.

2. Przypisz role i harmonogram. Ustal, czy organizacja jest dostawcą, podmiotem stosującym, importerem, dystrybutorem lub producentem produktu. Oceń zakazane praktyki, obowiązki przejrzystości, modele GPAI i potencjalny status wysokiego ryzyka. Nie stosuj jednej daty do wszystkich wymogów – przypisz termin do konkretnego obowiązku i systemu.

3. Sprawdź przejrzystość z art. 50 AI Act. Zweryfikuj komunikaty w interfejsach, oznaczenia treści syntetycznych, zasady publikowania deepfake’ów i treści o sprawach interesu publicznego oraz informowanie osób objętych rozpoznawaniem emocji lub kategoryzacją biometryczną. Ograniczony okres do 2 grudnia 2026 r. nie jest ogólną karencją.

4. Zaktualizuj program kompetencji AI. Digital Omnibus zmienił art. 4 AI Act: organizacje mają podejmować środki wspierające rozwój kompetencji w zakresie AI, bez obowiązku zagwarantowania konkretnego poziomu każdej osobie. Nadal warto stosować podejście oparte na rolach i dokumentować instrukcje, szkolenia, ograniczenia uprawnień, wsparcie i testy wiedzy tam, gdzie ryzyko jest większe.

5. Buduj dokumentację proporcjonalną do roli i ryzyka. Utrwalaj decyzje o kwalifikacji, testy, oceny ryzyka, instrukcje, nadzór człowieka, wersje systemu, incydenty i działania naprawcze. Dla systemów wysokiego ryzyka przygotuj plan dojścia do zgodności przed odpowiednią datą; FRIA koordynuj z DPIA i innymi ocenami wymaganymi przez RODO lub regulacje sektorowe.

6. Uporządkuj umowy z dostawcami. Zabezpiecz dostęp do informacji i dokumentacji, obowiązki informowania o zmianach modelu i incydentach, wsparcie w kontroli, zasady korzystania z danych, prawa własności intelektualnej, poufność, audyt, podwykonawców, ciągłość działania i możliwość bezpiecznego wyjścia z usługi.

7. Wdróż procedurę skarg i incydentów AI. Wyznacz osoby odpowiedzialne za przyjęcie zgłoszenia, ocenę ryzyka, zabezpieczenie dowodów, kontakt z dostawcą, decyzję o wstrzymaniu systemu i komunikację z osobami dotkniętymi. Dodaj matrycę decyzyjną dotyczącą dobrowolnego zgłoszenia naruszenia i wniosku o układ.

8. Przygotuj się do kontroli. Stwórz zespół reagowania, katalog danych i systemów, procedurę dostępu do chmury oraz zasady przekazywania dokumentów. Uporządkuj ochronę tajemnicy przedsiębiorstwa, danych osobowych i komunikacji prawnej. Przećwicz zdalną kontrolę i czternastodniowy tryb zgłaszania zastrzeżeń do protokołu.

9. Wybierz narzędzia dialogu z regulatorem. Zidentyfikuj kwestie odpowiednie do opinii indywidualnej oraz projekty, które mogą skorzystać z piaskownicy regulacyjnej. Wniosek o opinię przygotuj na podstawie pełnego opisu prawnego, technicznego i operacyjnego – nie jako abstrakcyjne pytanie o interpretację przepisu.

10. Monitoruj praktykę i aktualizuj program. Śledź opinie i wyjaśnienia KRiBSI, decyzje publikowane w BIP, wytyczne Komisji Europejskiej i Europejskiej Rady ds. AI, standardy oraz orzecznictwo SOKiK. Zmiana systemu, dostawcy, danych lub celu użycia powinna automatycznie uruchamiać ponowną ocenę.

Podsumowanie

Polska ustawa nie powtarza technicznych wymagań AI Act, lecz nadaje im krajowy wymiar instytucjonalny i procesowy. Tworzy organ, który może kontrolować, wydawać decyzje i nakładać kary, ale także wyjaśniać przepisy, prowadzić piaskownice i zawierać układy. Najlepiej przygotowane będą organizacje, które potrafią szybko wykazać, z jakich systemów korzystają, w jakim celu i w jakiej roli, kto odpowiada za decyzje, jak działa nadzór człowieka oraz jakie dowody potwierdzają zgodność i gotowość do naprawy.