Od środy 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może przyjmować skargi na systemy AI, prowadzić kontrole w firmach i nakładać kary przewidziane w unijnym AI Act, sięgające 35 mln euro albo 7 proc. światowego obrotu. Polska staje się tym samym krajem, w którym AI Act ma realnego egzekutora, choć sama komisja ma dopiero kilkuosobowy zespół, a jej pierwsze posiedzenie musi się odbyć do 11 listopada.
- Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może przyjmować skargi na systemy AI, prowadzić kontrole w firmach i nakładać kary do 35 mln euro albo 7 proc. światowego obrotu – skargę może złożyć każda osoba fizyczna lub prawna, bez opłaty, a komisja ma obowiązek ją rozpatrzyć w ciągu 6 miesięcy.
- Firma może zapytać KRiBSI o opinię indywidualną w sprawie planowanego wdrożenia AI za opłatą 150 zł, a jeśli komisja nie wyda jej w ciągu 30 (lub 60) dni, uznaje się, że opinia jest zgodna ze stanowiskiem wnioskodawcy i opłata podlega zwrotowi.
- KRiBSI liczy na razie sześć osób i nie odbyła jeszcze pierwszego posiedzenia (musi się ono odbyć do 11 listopada), choć docelowo ustawa zakłada kilkadziesiąt etatów, a na okres od kwietnia do grudnia 2026 r. zaplanowano 30 etatów.
Przepisy o skargach, kontrolach, postępowaniach i karach to ostatnia, najbardziej dotkliwa dla firm część ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Zasadnicza część ustawy obowiązuje od 11 sierpnia, ale dopiero dziś wchodzą w życie rozdziały, które dają komisji narzędzia nacisku na przedsiębiorców.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Od 28 października wchodzą w życie przepisy o kontrolach, postępowaniach i karach
Ustawa o systemach sztucznej inteligencji wchodziła w życie etapami. Pierwszy przepis organizacyjny obowiązuje od 28 lipca, zasadnicza część od 11 sierpnia, a od 28 października stosuje się:
- art. 8-18, czyli opinie indywidualne i wyjaśnienia KRiBSI oraz możliwość przedstawiania sądom istotnego poglądu w sprawach dotyczących AI,
- rozdział 3: kontrola przestrzegania przepisów o sztucznej inteligencji,
- rozdział 4: postępowanie przed organem nadzoru rynku, w tym tryb skarg,
- rozdział 5: układ w sprawie warunków nadzwyczajnego złagodzenia sankcji,
- rozdział 8: administracyjne kary pieniężne i przepisy karne,
- rozdział 9: zmiany w innych ustawach.
KRiBSI jest organem nadzoru rynku w rozumieniu art. 70 AI Act i jednocześnie pojedynczym punktem kontaktowym dla instytucji unijnych. Obsługę administracyjną zapewnia jej Ministerstwo Cyfryzacji, ale ustawa przyznaje jej niezależność. Przewodniczącą komisji jest Pamela Krzypkowska, wybrana przez Sejm 18 września (271 głosów za, 24 przeciw, 140 wstrzymujących się) i zatwierdzona przez Senat 24 września. Kadencja trwa pięć lat.
Skargę może złożyć każdy, a komisja ma 6 miesięcy na postępowanie
Zgodnie z art. 59 ustawy skargę do KRiBSI może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej. Nie trzeba być osobą bezpośrednio poszkodowaną, nie ma też opłaty.
Skarga musi zawierać:
- nazwę lub opis systemu AI, którego dotyczy, oraz, jeśli da się to ustalić, nazwę i adres do doręczeń elektronicznych podmiotu, który za nim stoi,
- opis istotnych faktów i powody, dla których skarżący uważa, że doszło do naruszenia AI Act lub polskiej ustawy,
- inne informacje, które skarżący uznaje za istotne, w tym zebrane z własnej inicjatywy.
Ustawa wymaga postaci elektronicznej, a wersję papierową dopuszcza tylko wtedy, gdy złożenie elektroniczne nie jest możliwe. Komisja musi prowadzić rejestr skarg. Jeśli w toku rozpatrywania skargi uzna, że mogło dojść do naruszenia, wszczyna postępowanie z urzędu. Takie postępowanie nie może trwać dłużej niż 6 miesięcy od doręczenia stronie postanowienia o wszczęciu. W przypadku systemów, które stwarzają bezpośrednie zagrożenie dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, komisja prowadzi postępowanie w trybie przyspieszonym, nie dłużej niż 7 dni, i może nakazać zaprzestanie stosowania systemu z rygorem natychmiastowej wykonalności.
Pamela Krzypkowska zapewniła w rozmowie z „Rzeczpospolitą” opublikowaną 28 października, że „każda skarga musi być rozpatrzona”. W wywiadzie dla „Dziennika Gazety Prawnej” na początku października mówiła z kolei: „Od 28 października można składać skargi oraz wnioski o opinię indywidualną. Pracujemy nad formularzami, które ułatwią ich wnoszenie”. Dodała, że komisji zależy na procesach cyfrowych, choć sprawy w papierze również będą rozpatrywane. Strona KRiBSI działa pod adresem gov.pl/web/kribsi i to tam ma się pojawić formularz. Sprawdziłem, że jeszcze pod koniec października zakładka z opiniami indywidualnymi oznaczała elektroniczny formularz jako będący w przygotowaniu.
Polska ma od dziś coś, czego AI Act w praktyce nie miał od sierpnia 2024 r.: adres, pod który można wysłać skargę na konkretny system AI, i urząd, który ma obowiązek ją rozpatrzyć. To ważniejsze, niż się wydaje. Zakaz rozpoznawania emocji pracowników obowiązuje od lutego 2025 r., a obowiązek oznaczania deepfake’ów od sierpnia tego roku, ale przez cały ten czas nikt w Polsce nie mógł za ich łamanie ukarać. Mam jednak dwie wątpliwości. Pierwsza dotyczy skali: komisja, która na początku października liczyła sześć osób i nie odbyła jeszcze pierwszego posiedzenia, dostaje prawo do nakładania kar liczonych w dziesiątkach milionów euro. Druga dotyczy tego, kto skorzysta z trybu skargowego najpierw. Obawiam się, że nie będą to poszkodowani konsumenci, tylko konkurenci donoszący na siebie nawzajem i kancelarie testujące nowy instrument. Dla uczciwych firm to argument, żeby sprawdzić chatboty, reklamy i narzędzia HR już teraz, zanim zrobi to za nie ktoś z zewnątrz. Czy KRiBSI udźwignie to tempo z zespołem na poziomie startupu, zobaczymy po pierwszych decyzjach.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Kary do 35 mln euro to górny pułap, a ustawa daje kilka sposobów na ich obniżenie
Wysokość kar wynika wprost z art. 99 AI Act i ma trzy progi. Za stosowanie praktyk zakazanych, takich jak manipulacja wykorzystująca słabości odbiorców, scoring społeczny, rozpoznawanie emocji w miejscu pracy i w edukacji czy masowe pozyskiwanie wizerunków twarzy z internetu, grozi do 35 mln euro albo 7 proc. światowego rocznego obrotu. Za większość pozostałych naruszeń, w tym obowiązków przejrzystości (oznaczanie treści z AI, informowanie, że rozmówca jest chatbotem), do 15 mln euro albo 3 proc. obrotu. Za podanie organowi nadzoru nieprawdziwych lub niepełnych informacji do 7,5 mln euro albo 1 proc. obrotu.
Dla małych i średnich firm obowiązuje niższa z dwóch kwot, dla dużych wyższa. To pułapy maksymalne, a nie stawki: przy ustalaniu kary komisja bierze pod uwagę charakter, wagę i czas trwania naruszenia, jego skutki, wielkość firmy i stopień współpracy z organem.
Polska ustawa dokłada do tego mechanizmy łagodzące. Firma, która w ciągu 3 miesięcy od doręczenia decyzji o karze wykona działania wskazane wcześniej w ostrzeżeniu, może liczyć na obniżenie kary o 10-50 proc. Układ z komisją, w którym strona zaprzestała naruszenia i ujawniła wszystkie istotne okoliczności, pozwala obniżyć karę o 20-70 proc., a przy samodzielnym zgłoszeniu naruszenia o 30-90 proc. Kwoty w euro przelicza się na złote według kursu NBP z 28 stycznia danego roku. Od decyzji o karze przysługuje odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, i wniesienie odwołania wstrzymuje wykonanie kary.
Kontrola z zasady jest zdalna i może się zacząć najwcześniej 7 dni po doręczeniu zawiadomienia. Kontrolujący ma prawo żądać dokumentów, korespondencji elektronicznej, dostępu do systemów informatycznych i chmury oraz ustnych i pisemnych wyjaśnień. Firma ma 14 dni na podpisanie protokołu albo złożenie zastrzeżeń.
Opinia indywidualna za 150 zł: firma może zapytać komisję, zanim wdroży system
Ustawa daje przedsiębiorcom także narzędzie ochronne. Podmiot, który stosuje AI Act albo dopiero planuje działania objęte tym rozporządzeniem, może wystąpić do KRiBSI o opinię indywidualną w zakresie jednego zagadnienia. Opłata wynosi 150 zł i trzeba ją uiścić przed złożeniem wniosku.
Komisja ma 30 dni na wydanie i doręczenie opinii, a w sprawach szczególnie skomplikowanych 60 dni. Jeśli nie zdąży, uznaje się, że wydała opinię zgodną ze stanowiskiem wnioskodawcy, a opłata podlega zwrotowi. Opinia wiąże komisję i inne organy państwowe w danej sprawie, a zastosowanie się do niej przed jej ewentualną zmianą lub uchyleniem nie może szkodzić firmie. Opinie i wyjaśnienia mają być po anonimizacji publikowane w BIP komisji. Ten sam podmiot może złożyć kolejny wniosek najwcześniej po 30 dniach od poprzedniego.
Prawnicy wskazują na niejasność pojęcia „jednego zagadnienia”. Bartłomiej Żeromski, radca prawny z kancelarii Traple Konarski Podrecki i Wspólnicy, zwracał uwagę w rozmowie z Prawo.pl, że nie wiadomo, jak komisja będzie je rozumieć i wyodrębniać.
Komisja ma sześcioosobowy zespół, a pierwsze posiedzenie musi odbyć do 11 listopada
Prawo do karania zaczyna obowiązywać, zanim komisja zbierze się w pełnym składzie. Zgodnie z art. 125 ust. 3 ustawy pierwsze posiedzenie KRiBSI musi zostać zwołane do 11 listopada. W skład komisji oprócz przewodniczącej wchodzą dwaj zastępcy, wyłaniani w otwartym naborze, oraz czterech członków wskazanych przez prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji i prezesa Urzędu Komunikacji Elektronicznej. Uchwały zapadają w obecności co najmniej pięciu osób.
Na początku października, podczas AI Summit Poland, Justyna Duszyńska-Cichy, dyrektorka Departamentu Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w Ministerstwie Cyfryzacji, mówiła, że zespół pracujący z Pamelą Krzypkowską liczy sześć osób, a ustawa zakłada docelowo kilkadziesiąt etatów. Pytana, czy komisja boi się zalewu skarg, odpowiedziała: „Nie boimy się”. Krzypkowska opisała przy tej okazji KRiBSI jako „urzędowy startup”, do którego szuka osób z doświadczeniem w AI. Według PAP na okres od kwietnia do grudnia 2026 r. zaplanowano 30 etatów.
Krzypkowska wskazała już, od czego zamierza zacząć. Na przesłuchaniu w Senacie 15 września zapowiedziała, że pierwszy plan kontroli obejmie zakazane systemy oceniające emocje w miejscu pracy oraz narzędzia do generowania materiałów przedstawiających seksualne wykorzystywanie dzieci i aplikacje do „rozbierania” zdjęć, których zakaz wchodzi 2 grudnia 2026 r. Po wyborze w Sejmie dołożyła do tej listy oznaczanie deepfake’ów. W wywiadzie dla DGP mówiła, że ma zgłoszenia z rynku o narzędziach rozpoznających emocje używanych do oceny pracowników call center.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co polskie firmy powinny sprawdzić w pierwszej kolejności
Eksperci, z którymi rozmawiała „Rzeczpospolita”, oceniają, że wiele firm nie jest przygotowanych na kontrole, a podstawowym problemem jest niska świadomość regulacji. Z treści ustawy i zapowiedzi przewodniczącej wynika kilka obszarów, które najłatwiej stają się przedmiotem skargi:
- chatbot na stronie sklepu lub infolinii, który nie informuje, że rozmówca nie jest człowiekiem,
- realistyczne zdjęcia, nagrania lub głosy wygenerowane przez AI w reklamie bez oznaczenia jako treść sztuczna,
- teksty wygenerowane przez AI o sprawach publicznych, publikowane bez ujawnienia tego faktu i bez redakcji człowieka,
- systemy analizujące nastrój lub „zaangażowanie” pracowników na podstawie głosu albo obrazu z kamery,
- brak dokumentacji, której kontrolujący może zażądać podczas zdalnej kontroli.
Samo korzystanie przez pracowników z ChatGPT czy innych narzędzi do pisania maili nie narusza AI Act, a przepisy nie wymagają żadnego „certyfikatu AI”. Wklejanie danych osobowych klientów do publicznych chatbotów to z kolei sprawa dla prezesa UODO, nie dla KRiBSI. Obowiązki dla systemów wysokiego ryzyka z załącznika III AI Act, w tym w rekrutacji, edukacji i ocenie zdolności kredytowej, zaczną obowiązywać dopiero 2 grudnia 2027 r., po przesunięciu terminu przez unijne rozporządzenie Digital Omnibus.
Dla osób, które uważają, że zostały poszkodowane przez system AI, od dziś istnieje więc konkretna ścieżka. Dla firm wdrażających AI to moment, w którym AI Act przestaje być w Polsce przepisem bez egzekucji.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym tekstu ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), strony Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w serwisie gov.pl oraz artykułu „Rzeczpospolitej” z dnia 28.10.2026. Dodatkowe informacje pochodzą z Prawo.pl (27.10.2026), Wprost, wywiadu Pameli Krzypkowskiej dla „Dziennika Gazety Prawnej” oraz My Company Polska.
Cytaty Pameli Krzypkowskiej, przewodniczącej KRiBSI, oraz Justyny Duszyńskiej-Cichy, dyrektorki Departamentu Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w Ministerstwie Cyfryzacji, zostały zweryfikowane z polskojęzycznymi materiałami źródłowymi.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o działalności KRiBSI, pierwszych skargach i formularzu do ich składania.
