Prezydent Karol Nawrocki podpisał w piątek 24 lipca ustawę o systemach sztucznej inteligencji, która daje Polsce krajowy organ nadzoru nad rynkiem AI. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, powstaje niemal rok po terminie, jaki na wyznaczenie takiego organu wyznaczał państwom członkowskim unijny AI Act.
Kluczowe fakty:
- Prezydent Karol Nawrocki podpisał 24 lipca ustawę o systemach sztucznej inteligencji, powołującą Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – krajowy organ nadzoru nad rynkiem AI, który powstaje niemal rok po terminie wyznaczonym przez unijny AI Act.
- Prace legislacyjne były opóźnione m.in. z powodu wielomiesięcznego sporu między Ministerstwem Cyfryzacji a Ministerstwem Finansów; Rada Ministrów przyjęła projekt dopiero 31 marca 2026 roku.
- W skład KRiBSI wejdą przewodniczący, dwóch zastępców oraz czterech przedstawicieli wskazanych przez UOKiK, KNF, KRRiT i UKE; przewodniczącego powoła Sejm.
Pełną treść komunikatu opublikowała Kancelaria Prezydenta RP. Tego samego dnia głowa państwa podpisała łącznie pięć ustaw, w tym głośną nowelizację ustawy o ochronie zwierząt, a jedną skierowała do Trybunału Konstytucyjnego w trybie kontroli prewencyjnej.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Dwa lata poślizgu i spór dwóch ministerstw
Prace nad polską ustawą wdrożeniową ruszyły jesienią 2024 roku, kilka tygodni po wejściu w życie samego AI Act. Wiosną 2025 roku wiceminister cyfryzacji Dariusz Standerski zapowiadał uchwalenie projektu przez rząd pod koniec lata. Nie wyszło. Projekt utknął w sporze z Ministerstwem Finansów, które przez kilka miesięcy nie potrafiło dogadać się z resortem cyfryzacji w sprawie kształtu i kosztów organu nadzoru. Przełom przyszedł dopiero w lutym 2026 roku, Rada Ministrów przyjęła projekt 31 marca, a jesienią prac parlamentarnych nie było już żadnych większych zwrotów akcji.
Jak zauważa CyberDefence24, prezydent podjął decyzję w ostatnim możliwym dniu konstytucyjnego terminu. Trudno o lepszy symbol tego, jak przebiegała cała ta legislacja.
Tymczasem AI Act obowiązuje w Polsce bezpośrednio od 1 sierpnia 2024 roku, bo jest rozporządzeniem, a nie dyrektywą. Zakazane praktyki, takie jak scoring społeczny czy część zastosowań biometrii, są nielegalne od lutego 2025 roku. Brak krajowego organu nie zawieszał tych obowiązków. Sprawiał tylko, że nikt nie mógł ich w Polsce wyegzekwować.
Kto zasiądzie w KRiBSI
Komisja będzie krajowym organem nadzoru rynku i pojedynczym punktem kontaktowym w sprawach AI. W jej skład wejdzie przewodniczący, dwóch zastępców oraz czterech przedstawicieli wskazanych przez UOKiK, KNF, KRRiT i UKE. Przewodniczącego powoła Sejm za zgodą Senatu, na pięcioletnią kadencję.
To rozwiązanie kompromisowe i widać w nim ślady wcześniejszego konfliktu międzyresortowego. Komisja ma funkcjonować w strukturze Ministerstwa Cyfryzacji, ale ustawa gwarantuje niezależność jej pracowników, którzy podlegają wyłącznie przewodniczącemu. Przy komisji ma działać także Społeczna Rada do spraw Sztucznej Inteligencji, organ opiniodawczo-doradczy liczący od 9 do 15 osób, z przedstawicielami nauki, organizacji pozarządowych, związków zawodowych i izb gospodarczych.
Osobną rolę dostaje Prezes Urzędu Ochrony Danych Osobowych, który ma być organem szczebla krajowego w zakresie nadzoru rynku nad systemami wysokiego ryzyka. Za techniczną weryfikację jednostek certyfikujących odpowie Polskie Centrum Akredytacji, a notyfikacji udzieli im dopiero KRiBSI.
Spod przepisów ustawy wyłączono sprawy z zakresu bezpieczeństwa narodowego, obejmujące działania ABW, Agencji Wywiadu, SKW i SWW. Nie obejmą one również osób fizycznych używających systemów AI wyłącznie prywatnie.
Kary do 35 mln euro i droga odwoławcza przez SOKiK
Komisja będzie mogła wszczynać postępowania z urzędu, na podstawie własnych ustaleń albo po skardze obywatela. Ministerstwo Cyfryzacji podawało dwa przykłady, które dobrze pokazują, o co chodzi w praktyce: bank wydający z użyciem AI dyskryminującą decyzję kredytową oraz firma zdrowotna oferująca aplikację, która deklaruje możliwości diagnostyczne, jakich nie ma.
Uprawnienia KRiBSI obejmą:
- kontrole w przedsiębiorstwach i innych podmiotach korzystających z systemów AI
- nakaz działań naprawczych lub ograniczenia użycia systemu
- wycofanie niezgodnego systemu z rynku albo z użytku
- ostrzeżenia wskazujące, co zrobić, by przywrócić zgodność z prawem
- administracyjne kary pieniężne, które zasilą budżet państwa
Górne widełki sankcji wynikają z samego AI Act. Za zakazane zastosowania sztucznej inteligencji kara może sięgnąć 35 mln euro albo 7 procent całkowitego rocznego światowego obrotu przedsiębiorstwa, przy czym stosuje się kwotę wyższą. Od decyzji komisji przysługuje odwołanie do Sądu Okręgowego w Warszawie działającego jako sąd ochrony konkurencji i konsumentów, czyli tej samej instancji, która rozpatruje sprawy z decyzji UOKiK.
Podpis pod ustawą to nie koniec, tylko początek najtrudniejszej części. Przez dwa lata polscy przedsiębiorcy funkcjonowali w stanie zawieszenia: przepisy unijne obowiązywały, ale nie było komu ich stosować ani wyjaśniać. Teraz mamy organ, ale on wciąż nie istnieje fizycznie. Nie ma przewodniczącego, nie ma zespołu, nie ma linii orzeczniczej. Sprawdziłem, jak w innych krajach szło budowanie takich instytucji od zera, i wniosek jest jeden: sam akt prawny nie tworzy kompetencji. Tworzą je ludzie, których na rynku brakuje, bo osoba rozumiejąca jednocześnie architekturę modeli i art. 6 AI Act ma dziś do wyboru znacznie lepiej płatne oferty niż etat w administracji. Obawiam się scenariusza, w którym KRiBSI przez pierwszy rok będzie głównie wydawać komunikaty, a firmy dalej będą zgadywać. Z drugiej strony doceniam to, czego w tej ustawie nie ma: nie dołożono polskiego pakietu obowiązków ponad to, co wymusza Bruksela. To wcale nie było oczywiste i mogło pójść znacznie gorzej.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Piaskownice, opinie indywidualne i milcząca zgoda
Druga twarz ustawy to instrumenty wsparcia. KRiBSI będzie mogła ustanawiać piaskownice regulacyjne, czyli nadzorowane środowiska, w których firmy przetestują systemy przed wprowadzeniem ich na rynek. Mikro-, małe i średnie przedsiębiorstwa mają uczestniczyć w nich bezpłatnie.
Ciekawszy jest jednak inny mechanizm. Przedsiębiorca będzie mógł wystąpić o indywidualną opinię dotyczącą stosowania przepisów do konkretnego produktu. Komisja ma na odpowiedź 30 dni, a brak reakcji w tym terminie oznacza akceptację stanowiska wnioskodawcy. To rozwiązanie, które w polskiej administracji sprawdza się różnie, ale przynajmniej ustawia ciężar dowodu po właściwej stronie. Firma nie musi czekać w nieskończoność na odpowiedź urzędu.
Ustawa daje też ministrowi cyfryzacji podstawę do dofinansowywania badań i prac rozwojowych nad bezpieczną i etyczną sztuczną inteligencją.
Wiceminister Standerski, komentując podpis prezydenta dla PAP Biznes, wskazał trzy efekty ustawy: „Po drugie, piaskownice regulacyjne pozwolą firmom, które tworzą systemy AI na ich bezpieczne testowanie. Po trzecie, Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będzie dbała o to, aby AI była tworzona i rozwijana tu w Polsce”.
Sam prezydent motywował decyzję inaczej, kładąc nacisk na ryzyka: „Sztuczna inteligencja może stać się ważnym narzędziem dla polskiej gospodarki, nauki i administracji. Nie możemy jednak ignorować zagrożeń: kradzieży tożsamości, fałszowania wizerunku, deepfake’ów czy wykorzystywania technologii do krzywdzenia dzieci i młodzieży”. I dodał zdanie, które kancelaria wyeksponowała w komunikacie: „Polska nie może wybierać między rozwojem a bezpieczeństwem. Potrzebujemy jednego i drugiego”.
Kiedy to wszystko realnie zadziała
Harmonogram jest rozłożony na etapy i to on decyduje o tym, kiedy firmy poczują zmianę.
- większość przepisów wchodzi w życie po 14 dniach od ogłoszenia w Dzienniku Ustaw
- minister właściwy do spraw informatyzacji ma następnie dwa miesiące na przygotowanie zaplecza organizacyjnego komisji
- przepisy o kontrolach, postępowaniach, opiniach indywidualnych i karach administracyjnych zaczynają obowiązywać po trzech miesiącach od ogłoszenia
- Sejm ma dwa miesiące na wybór przewodniczącego, co przy tym tempie oznacza obsadzenie stanowiska najwcześniej jesienią
Oznacza to, że pierwsze posiedzenie KRiBSI realistycznie odbędzie się dopiero pod koniec roku. Do tego czasu polski rynek AI dalej działa bez działającego regulatora, choć unijne obowiązki biegną własnym rytmem. Od 2 sierpnia 2026 roku uruchamia się rozdział AI Act dotyczący nadzoru rynku i egzekwowania sankcji, przy czym pakiet Omnibus AI przesunął część obowiązków związanych z systemami wysokiego ryzyka i przejrzystością na późniejsze daty, a jego ostateczny kształt był jeszcze wiosną 2026 roku przedmiotem negocjacji między Parlamentem, Radą i Komisją.
Na tle Europy wcale nie wypadamy najgorzej
Termin na wskazanie krajowego organu nadzoru minął 2 sierpnia 2025 roku. Nie dotrzymało go kilkanaście państw, w tym Niemcy, Francja, Belgia i Austria. Berlin dopiero kończy prace nad ustawą, która uczyni Bundesnetzagentur centralnym organem nadzoru nad rynkiem AI. Włochy poszły własną drogą i już w październiku 2025 roku przyjęły krajową ustawę o sztucznej inteligencji z sankcjami karnymi. Hiszpania postawiła na wyspecjalizowaną agencję AESIA.
Powszechność opóźnień nie była bez znaczenia dla Brukseli. W uzasadnieniu przesunięć terminów prawodawca unijny wprost wskazał, że problemy z powoływaniem krajowych organów nadzoru zagroziły skutecznemu wejściu obowiązków w życie. Innymi słowy, AI Act został częściowo rozmontowany w kalendarzu dlatego, że państwa członkowskie nie nadążyły.
Polska wybrała model pośredni: nie tworzy agencji od zera jak Hiszpania, nie oddaje też nadzoru istniejącemu regulatorowi jak Niemcy. KRiBSI to nowy organ osadzony w strukturze resortu, złożony z przedstawicieli czterech działających już urzędów. Na papierze wygląda to na rozwiązanie oszczędne. W praktyce zadecyduje o tym, czy uda się ściągnąć ludzi, którzy naprawdę rozumieją, jak działają modele.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich firm?
Skala problemu jest większa, niż sugerowałyby dyskusje sprzed roku. Z badania NBP „Szybki Monitoring” wynika, że odsetek przedsiębiorstw korzystających z narzędzi sztucznej inteligencji wzrósł do 42 procent w drugim kwartale 2026 roku, wobec 14 procent pod koniec 2024 roku. Najwięcej w usługach, gdzie sięga 46 procent, najmniej w budownictwie i handlu, po 38 procent. Wśród dużych firm to już 59 procent. NBP odnotował przy tym, że wdrożenia miały jak dotąd marginalny wpływ na zatrudnienie: mniej niż 1 procent firm zadeklarowało, że AI pozwoliła zredukować etaty.
Rośnie więc liczba podmiotów, które w razie kontroli będą musiały wykazać, co dokładnie robi ich system i do jakiej kategorii ryzyka należy. A z tym jest gorzej. Z badania EY „Jak polskie firmy wdrażają AI” wynika, że 34 procent polskich przedsiębiorstw zakończyło wdrożenie pierwszych narzędzi AI, ale 21 procent respondentów nie potrafiło w ogóle ocenić swojej gotowości do wymogów regulacyjnych. W sektorze finansowym, czyli tam, gdzie systemy wysokiego ryzyka są najbardziej prawdopodobne, ten odsetek sięgnął 42 procent.
Co robić teraz, zanim komisja w ogóle zacznie działać? Zinwentaryzować używane systemy AI i przypisać je do kategorii ryzyka z AI Act. Sprawdzić, czy firma jest dostawcą, czy podmiotem stosującym, bo obowiązki są diametralnie różne. Przygotować dokumentację techniczną tam, gdzie klasyfikacja wskazuje na wysokie ryzyko. I przyjrzeć się obowiązkom przejrzystości, bo oznaczanie treści generowanych przez AI oraz informowanie użytkownika, że rozmawia z maszyną, dotyczy znacznie szerszego grona firm niż przepisy o systemach wysokiego ryzyka.
Konfederacja Lewiatan oceniła podpisanie ustawy pozytywnie. Eliza Turkiewicz, dyrektorka departamentu rynku cyfrowego organizacji, zwróciła uwagę na to, co wydarzy się w najbliższych miesiącach: „Pierwsze miesiące działania KRiBSI będą miały ogromne znaczenie dla zaufania przedsiębiorców do nowego systemu. Komisja powinna od początku działać sprawnie, przewidywalnie i pozostawać otwarta na dialog. Ważne będzie również pozyskanie ekspertów, którzy rozumieją zarówno przepisy, jak i sposób projektowania oraz wykorzystywania systemów AI”.
Trudno się z tym nie zgodzić. Bo dwa lata legislacyjnego poślizgu można nadrobić. Straconego zaufania do regulatora, który nie wie, co reguluje, już nie.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz źródeł zewnętrznych, w tym komunikatu Kancelarii Prezydenta RP z dnia 24.07.2026, materiału PAP Biznes oraz danych NBP przytoczonych przez WNP.pl. Wykorzystano również reporterskie ustalenia CyberDefence24, Skarbiec.biz, Gazety Prawnej, Prawo.pl, Forsal.pl i PurePC oraz stanowisko Konfederacji Lewiatan przytoczone przez Infor.pl. Cytaty prezydenta Karola Nawrockiego, wiceministra cyfryzacji Dariusza Standerskiego i Elizy Turkiewicz zostały zweryfikowane z oryginalnymi materiałami źródłowymi. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o powołaniu przewodniczącego KRiBSI i terminie ogłoszenia ustawy w Dzienniku Ustaw.
