28 października 2026 roku wchodzi w życie kolejny istotny pakiet przepisów ustawy z dnia 3 lipca 2026 roku o systemach sztucznej inteligencji (u.s.s.i.). Zgodnie z art. 127 pkt 2 ustawy zaczną obowiązywać m.in. regulacje dotyczące opinii indywidualnych, kontroli, postępowań w sprawach naruszeń oraz administracyjnych kar pieniężnych.
Centralnym organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), o której mowa w art. 5 ustawy. Komisja ma kontrolować przestrzeganie AI Act (rozporządzenia (UE) 2024/1689), prowadzić postępowania i wydawać decyzje.
Co zmienia się dla przedsiębiorców?
Możliwość uzyskania opinii indywidualnej
Przedsiębiorca będzie mógł zwrócić się do KRiBSI o ocenę zastosowania AI Act, w tym także w odniesieniu do dopiero planowanego rozwiązania. Opłata za wydanie opinii wyniesie 150 zł. Komisja powinna wydać ją co do zasady w terminie 30 dni, a w sprawach szczególnie skomplikowanych w terminie 60 dni. Co ważne, bezskuteczny upływ tego terminu oznacza akceptację stanowiska przedstawionego przez wnioskodawcę (art. 8–13 ustawy).
Kontrole korzystania z AI
KRiBSI będzie mogła prowadzić kontrolę przestrzegania rozporządzenia AI Act oraz u.s.s.i. Kontrola może zostać wszczęta m.in. na podstawie planu kontroli, informacji pozyskanych przez Komisję albo w ramach bieżącego monitorowania przestrzegania AI Act. W granicach przedmiotu kontroli kontrolujący będzie mógł żądać: udostępnienia dokumentów, materiałów, korespondencji elektronicznej, nośników danych oraz dostępu do systemów informatycznych i teleinformatycznych. Uprawnienie to obejmuje także dostęp do chmury obliczeniowej należącej do zewnętrznego dostawcy, jeżeli znajdują się w niej związane z kontrolą dane przedsiębiorcy i sam przedsiębiorca ma do nich dostęp. Kontrolujący może ponadto sporządzać i zabezpieczać kopie dokumentów i danych, przygotowywać zestawienia na podstawie baz elektronicznych oraz żądać ustnych lub pisemnych wyjaśnień. Za uprzednim poinformowaniem przedsiębiorcy możliwe jest także utrwalanie czynności za pomocą obrazu lub dźwięku. Sam kontrolowany ma obowiązek udzielić potrzebnych informacji i wyjaśnień oraz zapewnić warunki umożliwiające sprawne przeprowadzenie kontroli (art. 48–53 ustawy).
Postępowanie w sprawie naruszenia
Jeżeli Komisja uzyska informacje wskazujące na możliwe naruszenie AI Act lub ustawy krajowej, np. w wyniku kontroli albo skargi (skargę będzie mogła złożyć osoba fizyczna, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej), może wszcząć formalne postępowanie. W jego toku może wezwać przedsiębiorcę do usunięcia nieprawidłowości i zastosować środki służące przywróceniu zgodności z prawem. W przypadkach szczególnie poważnych, gdy system AI stwarza bezpośrednie ryzyko dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, Komisja może nakazać zaprzestanie jego stosowania albo wycofanie go z rynku lub użytkowania (art. 58–63 ustawy). W toku postępowania, w razie uzasadnionego podejrzenia naruszenia AI Act lub ustawy krajowej, KRiBSI będzie mogła wydać przedsiębiorcy ostrzeżenie i wskazać działania niezbędne do przywrócenia zgodności, w tym czasowe zablokowanie dostępu do systemu, wdrożenie środków naprawczych lub wykonanie obowiązków informacyjnych. Przedsiębiorca będzie miał 21 dni na poinformowanie Komisji o ich wykonaniu, a brak reakcji może skutkować zastosowaniem dalszych instrumentów nadzorczych.
Administracyjne kary pieniężne wynikające z AI Act będą egzekwowane w Polsce
KRiBSI będzie uprawniona do nakładania kar przewidzianych w rozdziale XII AI Act, w szczególności w art. 99 rozporządzenia (UE) 2024/1689, a ich wysokość zależy od rodzaju naruszenia. Od 28 października KRiBSI będzie mogła realnie egzekwować obowiązki AI Act, które już znajdują zastosowanie. Dla większości przedsiębiorców szczególne znaczenie mają dziś zakazane praktyki z art. 5, obowiązek rozwijania kompetencji w zakresie AI z art. 4 oraz obowiązki przejrzystości z art. 50. Najwyższe sankcje sięgające do 35 mln euro lub 7% światowego obrotu, dotyczą zakazanych praktyk, natomiast naruszenie obowiązków przejrzystości może skutkować karą do 15 mln euro lub 3% obrotu.
Istotne jest również, że nadzór nad AI nie będzie należał wyłącznie do KRiBSI. W sprawach dotyczących ochrony praw podstawowych w związku z wykorzystywaniem systemów AI wysokiego ryzyka wskazano m.in. Prezesa UODO oraz Państwową Inspekcję Pracy jako organy uprawnione na podstawie art. 77 AI Act do uzyskiwania potrzebnej dokumentacji w zakresie swoich kompetencji. Ma to szczególne znaczenie dla przedsiębiorców wykorzystujących AI np. w procesach HR lub przy przetwarzaniu danych osobowych. KRiBSI przygotowuje już kanały do składania skarg i wniosków o opinie indywidualne. Na tydzień przed wejściem przepisów w życie formularze elektroniczne są jeszcze w trakcie opracowania.
Przed 28 października przedsiębiorcy powinni przede wszystkim wiedzieć, jakie systemy AI wykorzystują, jaką rolę pełnią wobec nich na gruncie AI Act oraz które obowiązki już ich dotyczą. Warto również uporządkować dokumentację dotyczącą wykorzystywanych narzędzi, ponieważ od końca października polski system nadzoru nad AI zyska konkretne instrumenty kontrolne i egzekucyjne.
