Ustawa o systemach sztucznej inteligencji: KRiBSI i AI Act w Polsce

Tak, Polska ma już ustawę wykonującą AI Act. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) obowiązuje od 11 sierpnia 2026 r. i tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku. Przepisy o kontrolach, postępowaniach i karach stosuje się od 28 października 2026 r.

Najważniejsze informacje

• Sejm uchwalił ustawę 11 czerwca 2026 r., Prezydent podpisał ją 24 lipca, a 27 lipca 2026 r. została ogłoszona w Dzienniku Ustaw.
• KRiBSI jest organem nadzoru rynku i pojedynczym punktem kontaktowym w rozumieniu art. 70 AI Act. W jej składzie zasiadają także członkowie wskazani przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE.
• Od 28 października 2026 r. Komisja może prowadzić kontrole, rozpatrywać skargi, wydawać opinie indywidualne i nakładać administracyjne kary pieniężne w granicach art. 99 AI Act.
• Ustawa wprowadza układ w sprawie nadzwyczajnego złagodzenia sankcji: kara może spaść o 20–70%, a przy samozgłoszeniu naruszenia nawet o 90%.
• UODO pozostaje organem ochrony danych osobowych. Ustawa nie zmienia RODO, ale zobowiązuje oba organy do współpracy.

AI Act w Polsce: po co ustawa, skoro jest rozporządzenie?

AI Act, czyli rozporządzenie (UE) 2024/1689 – w polskiej wersji językowej „akt w sprawie sztucznej inteligencji” – stosuje się bezpośrednio we wszystkich państwach członkowskich. Nie trzeba go przenosić do prawa krajowego tak jak dyrektywy. Rozporządzenie zostawia jednak państwom konkretne zadania: wyznaczenie organu nadzoru rynku i organu notyfikującego, ustalenie procedury kontroli i nakładania kar oraz uruchomienie piaskownicy regulacyjnej.

Polska ustawa wypełnia właśnie tę lukę. Nie dodaje firmom nowych obowiązków materialnych – te wynikają z samego AI Act – tylko określa, kto i w jakim trybie będzie je egzekwował. Dla przedsiębiorcy oznacza to dwie warstwy: co trzeba zrobić, mówi rozporządzenie (opisujemy je w naszym przewodniku po AI Act), a kto sprawdza i jak wygląda postępowanie, mówi ustawa. Kto chce najpierw uporządkować własne zastosowania AI, może skorzystać z bezpłatnej oceny AI governance i gotowości na AI Act – pytania o narzędzia, role i ryzyka zajmują około 40 minut.

Uwaga na nazewnictwo: w wyszukiwarce częściej pojawia się „ustawa o sztucznej inteligencji”, ale oficjalny tytuł brzmi „ustawa o systemach sztucznej inteligencji”. Chodzi o ten sam akt.

Od projektu do Dziennika Ustaw

Projekt przygotowało Ministerstwo Cyfryzacji; w wykazie prac legislacyjnych rządu figurował pod numerem UC71. Po konsultacjach i przyjęciu przez rząd trafił do Sejmu wiosną 2026 r. Najważniejsze etapy pokazuje tabela.

Przebieg prac można prześledzić na stronie Sejmu (druk nr 2443), a tekst ustawy jest dostępny w Dzienniku Ustaw – Dz.U. 2026 poz. 1003. Szersze tło – które obowiązki AI Act stosuje się od kiedy – zebraliśmy w artykule AI Act: kiedy wchodzi w życie.

KRiBSI – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji

KRiBSI to nowy organ kolegialny. Zgodnie z art. 5 ustawy jest organem nadzoru rynku w zakresie systemów AI i pojedynczym punktem kontaktowym dla Komisji Europejskiej oraz innych państw. Obsługę administracyjną zapewnia urząd ministra właściwego do spraw informatyzacji, czyli Ministerstwo Cyfryzacji, ale członkowie Komisji są w wykonywaniu funkcji niezależni.

W skład Komisji wchodzą Przewodniczący, dwóch Zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji i Prezesa UKE. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. We wrześniu 2026 r. Sejm powołał na to stanowisko Pamelę Krzypkowską, wcześniej dyrektor departamentu badań i innowacji w Ministerstwie Cyfryzacji. Pierwsze posiedzenie Komisji musi się odbyć w ciągu trzech miesięcy od wejścia ustawy w życie, czyli do 11 listopada 2026 r.

Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji – organ opiniodawczo-doradczy liczący od 9 do 15 osób. Kandydatów zgłaszają m.in. Rzecznik Praw Obywatelskich, Rzecznik MŚP, Główny Inspektor Pracy, izby gospodarcze, uczelnie, związki zawodowe i organizacje pozarządowe.

Czym zajmuje się Komisja

• kontroluje przestrzeganie AI Act i ustawy oraz wydaje decyzje w sprawach naruszeń,
• prowadzi rejestr skarg i rozpatruje skargi obywateli, firm i instytucji,
• wydaje opinie indywidualne i ogólne wyjaśnienia przepisów,
• tworzy piaskownice regulacyjne i nimi zarządza,
• opiniuje rządowe projekty dokumentów i aktów prawnych dotyczących AI,
• prowadzi działania edukacyjne i co roku do 31 marca publikuje przykłady dobrych praktyk wdrażania AI,
• współpracuje z dostawcami modeli AI ogólnego przeznaczenia oraz z organami innych państw UE.

Kontrole i skargi od 28 października 2026 r.

Kontrola KRiBSI jest co do zasady zdalna. Firma dostaje zawiadomienie co najmniej 7 dni wcześniej. Kontrola na miejscu albo bez uprzedzenia jest możliwa tylko wtedy, gdy istnieje uzasadnione podejrzenie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych. Kontrolujący może żądać dokumentów, korespondencji elektronicznej i wyjaśnień, a także dostępu do systemów informatycznych, w tym do zasobów w chmurze należących do innego podmiotu, o ile kontrolowana firma ma do nich dostęp. Komunikacja z adwokatem lub radcą prawnym jest chroniona.

Skargę do Komisji może złożyć każdy: osoba fizyczna, spółka, stowarzyszenie. Wystarczy opisać system, fakty i powód, dla którego skarżący uważa, że doszło do naruszenia. Dla firm oznacza to, że postępowanie może zacząć się od zgłoszenia niezadowolonego klienta albo kandydata do pracy.

Jeżeli Komisja podejrzewa naruszenie, może wydać ostrzeżenie ze wskazaniem działań naprawczych; firma ma 21 dni na odpowiedź. Decyzja stwierdzająca naruszenie nakazuje usunięcie jego skutków w ciągu 14 dni. Gdy system stwarza bezpośrednie ryzyko dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, Komisja może w ciągu 7 dni nakazać zaprzestanie jego stosowania albo wycofanie z rynku, także z rygorem natychmiastowej wykonalności. Całe postępowanie nie powinno trwać dłużej niż 6 miesięcy. Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.

Kary i układ z Komisją

Ustawa nie ustala własnych stawek. Komisja nakłada kary „w przypadkach, wysokości i na warunkach” z rozdziału XII AI Act, a kwoty w euro przelicza na złote po średnim kursie NBP z 28 stycznia danego roku.

Dla dużych firm liczy się wyższa z dwóch kwot, dla MŚP i start-upów – niższa. Komisja bierze pod uwagę przesłanki z art. 99 ust. 7 AI Act, m.in. charakter i czas trwania naruszenia, współpracę i działania naprawcze.

Polską specyfiką jest układ w sprawie warunków nadzwyczajnego złagodzenia sankcji. Jeżeli firma zaprzestała naruszenia i ujawniła wszystkie istotne okoliczności, Komisja może obniżyć karę o 20–70%, a gdy postępowanie wszczęto na podstawie samozgłoszenia – o 30–90%, a w wyjątkowych przypadkach odstąpić od sankcji. Niezależnie od tego kara może zostać zmniejszona o 10–50%, jeśli w ciągu trzech miesięcy od decyzji firma wykona działania wskazane w ostrzeżeniu. Utrudnianie kontroli oraz niewykonanie decyzji nakazującej wycofanie systemu są zagrożone karą ograniczenia wolności albo grzywny.

Opinie indywidualne: pewność prawa za 150 zł

Od 28 października 2026 r. można zapytać Komisję, jak przepisy AI Act stosują się do konkretnej sytuacji – istniejącej albo planowanej. Wniosek opisuje stan faktyczny w jednym zagadnieniu i stanowisko wnioskodawcy; opłata wynosi 150 zł. Komisja ma 30 dni na odpowiedź, a w sprawach szczególnie skomplikowanych 60 dni. Jeżeli nie zdąży, przyjmuje się, że opinia jest zgodna ze stanowiskiem wnioskodawcy. Opinia wiąże Komisję w danej sprawie, a zastosowanie się do niej nie może firmie szkodzić. Przykład: software house, który nie jest pewien, czy jego moduł do oceny kandydatów jest systemem AI wysokiego ryzyka, może przedstawić własną analizę i uzyskać wiążące stanowisko przed wdrożeniem u klientów.

Piaskownica regulacyjna

Ustawa daje podstawę do piaskownicy regulacyjnej w zakresie AI. Komisja wybiera projekty w konkursie i na 6–12 miesięcy może zezwolić na odstępstwa m.in. od wymogów dokumentacji technicznej, oceny zgodności, oznakowania CE czy rejestracji w bazie danych UE albo zapewnić wsparcie w dojściu do zgodności. Udział mikro-, małych i średnich przedsiębiorców jest bezpłatny. Ogłoszenie o konkursie Komisja opublikuje w Biuletynie Informacji Publicznej; po zakończeniu udziału firma może w ciągu 90 dni poprosić o opinię indywidualną dotyczącą testowanego systemu, wydawaną w 14 dni.

Rola UODO i innych organów

Prezes UODO zachowuje pełne kompetencje z RODO. Jeżeli system AI przetwarza dane osobowe, nadal obowiązują podstawa prawna, obowiązki informacyjne i ocena skutków dla ochrony danych. Ustawa dodaje do ustawy o ochronie danych osobowych przepis o współpracy Prezesa UODO z KRiBSI, a w piaskownicy UODO przedstawia opinie o oczekiwaniach wobec przetwarzania danych. Komisja współpracuje też m.in. z KNF w sprawach sektora finansowego, z KRRiT w sprawach deepfake’ów w mediach i na platformach wideo, z URPL w sprawach wyrobów medycznych oraz z zespołami CSIRT przy incydentach. Organem notyfikującym dla jednostek oceniających zgodność jest minister właściwy do spraw informatyzacji, wspierany przez Polskie Centrum Akredytacji.

Ustawy nie stosuje się m.in. do spraw obronności i bezpieczeństwa narodowego ani do osób fizycznych, które korzystają z AI wyłącznie prywatnie.

Co firma powinna zrobić przed pierwszymi kontrolami

1. Spisać wszystkie systemy AI – także te wbudowane w używane oprogramowanie i te, z których pracownicy korzystają na własną rękę. Pomoże w tym rejestr systemów AI i walka z shadow AI.
2. Ustalić rolę dla każdego systemu: dostawca czy podmiot stosujący.
3. Udokumentować działania z art. 4. Przewodniczący Komisji może określić sposób sprawdzania wiedzy i kompetencji kontrolowanych podmiotów, więc warto mieć zapis szkoleń – więcej w artykule o kompetencjach w zakresie AI i szkoleniach dla pracowników.
4. Sprawdzić przejrzystość chatbotów i treści generowanych przez AI, bo art. 50 obowiązuje od 2 sierpnia 2026 r. Szczegóły w artykule o oznaczaniu treści AI.
5. Przygotować dokumenty na kontrolę zdalną: politykę AI, rejestr, oceny ryzyka, umowy z dostawcami.
6. Rozważyć opinię indywidualną tam, gdzie klasyfikacja systemu budzi wątpliwości.

Uporządkowany sposób przejścia przez te kroki opisujemy w artykule zgodność z AI Act – analiza luk krok po kroku.

Najczęściej zadawane pytania o ustawę o systemach sztucznej inteligencji

Czy ustawa o systemach sztucznej inteligencji już obowiązuje?

Tak. Ustawa z 3 lipca 2026 r. została ogłoszona w Dzienniku Ustaw 27 lipca 2026 r. (poz. 1003) i co do zasady weszła w życie 11 sierpnia 2026 r. Wtedy powstała KRiBSI. Przepisy o opiniach indywidualnych, kontrolach, postępowaniu, układzie i karach weszły w życie trzy miesiące po ogłoszeniu, czyli 28 października 2026 r.

Kto nadzoruje AI Act w Polsce?

Organem nadzoru rynku i pojedynczym punktem kontaktowym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Współpracuje m.in. z UODO, KNF, UOKiK, KRRiT i UKE. Modele AI ogólnego przeznaczenia nadzoruje na poziomie UE Urząd ds. AI przy Komisji Europejskiej, a jednostki oceniające zgodność notyfikuje minister właściwy do spraw informatyzacji.

Od kiedy KRiBSI może nakładać kary?

Rozdział ustawy o administracyjnych karach pieniężnych stosuje się od 28 października 2026 r., razem z przepisami o kontroli i postępowaniu. Wysokość kar wynika z art. 99 AI Act: do 35 mln euro lub 7% obrotu za zakazane praktyki, do 15 mln euro lub 3% za większość pozostałych naruszeń. MŚP płacą niższą z dwóch kwot.

Czy UODO nadal zajmuje się sztuczną inteligencją?

Tak, w zakresie danych osobowych. Ustawa nie przenosi kompetencji z RODO na KRiBSI. Jeżeli chatbot lub narzędzie HR przetwarza dane osobowe, za ich ochronę nadal odpowiada administrator danych, a nadzór sprawuje Prezes UODO. Oba organy mają ustawowy obowiązek współpracy, a UODO opiniuje przetwarzanie danych w piaskownicy.

Czy mała firma może wziąć udział w piaskownicy regulacyjnej?

Tak, a dla mikro-, małych i średnich przedsiębiorców udział jest bezpłatny. Projekty wybiera Komisja w konkursie ogłaszanym w BIP; piaskownica trwa od 6 do 12 miesięcy. Wniosek obejmuje m.in. harmonogram testów, cele, zasady przetwarzania danych osobowych i procedury zarządzania ryzykiem.

Jak zapytać KRiBSI o interpretację przepisów?

Służy do tego wniosek o opinię indywidualną. Opisuje się jeden problem, przedstawia własne stanowisko i dołącza dowód opłaty 150 zł. Komisja odpowiada w 30 dni, w trudnych sprawach w 60. Brak odpowiedzi w terminie oznacza akceptację stanowiska wnioskodawcy. Komisja publikuje też ogólne wyjaśnienia.

Porządek w AI, zanim zapuka KRiBSI

Kontrola zdalna zaczyna się od pytania o dokumenty. Jeśli firma nie ma jeszcze polityki korzystania z AI, rejestru narzędzi ani oceny ryzyka, warto zacząć od nich. Wystarczy odpowiedzieć na pytania, by otrzymać gotową politykę AI i dokumenty AI governance: 14 kroków, około 40 minut, pytania po polsku. Na podstawie odpowiedzi powstają cztery dokumenty – ramy zarządzania AI, polityka korzystania z AI, checklista weryfikacji dostawców AI i wzór oceny ryzyka AI – dostarczane po angielsku jako edytowalne pliki Word, do tego obraz dojrzałości w dziesięciu obszarach. Bez opłat i bez zobowiązań. W bardziej złożonych sprawach pomoże zespół doradztwa AI governance.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 oraz ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).