KRiBSI od 28 października: kontrole i kary

Od środy 28 października 2026 roku Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może kontrolować przestrzeganie unijnego rozporządzenia o sztucznej inteligencji (AI Act), rozpatrywać skargi, nakładać kary pieniężne i wydawać opinie indywidualne. Tego dnia zaczynają obowiązywać artykuły od 8 do 18 oraz rozdziały 3, 4, 5, 8 i 9 ustawy o systemach sztucznej inteligencji.

W sierpniu, gdy ustawa weszła w życie, nie było wiadomo, kto pokieruje Komisją. Sejm powołał na przewodniczącą Pamelę Krzypkowską 18 września (271 głosów za, 24 przeciw, 140 wstrzymujących się), a Senat wyraził zgodę 24 września.

Co dokładnie zaczyna działać 28 października

• Kontrole: ruszają najwcześniej 7 dni po doręczeniu zawiadomienia i co do zasady są zdalne (art. 49). Kontrolujący może żądać dokumentów i dostępu do systemów, także chmurowych (art. 52).
• Skargi i postępowania: skargę może złożyć każda osoba fizyczna, firma albo organizacja (art. 59), a postępowanie trwa najwyżej 6 miesięcy (art. 60). Przy bezpośrednim zagrożeniu dla życia, zdrowia lub praw podstawowych Komisja może nakazać wycofanie systemu ze skutkiem natychmiastowym (art. 63).
• Układ i obniżki: kto zaprzestał naruszeń i ujawnił ich okoliczności, może zawrzeć układ z obniżką kary od 20 do 70%, a jeśli sam zgłosił naruszenie, od 30 do 90% (art. 70). Wykonanie w ciągu 3 miesięcy działań wskazanych w ostrzeżeniu może dać obniżkę od 10 do 50% (art. 107).
• Sąd i przepisy karne: od decyzji przysługuje odwołanie do sądu ochrony konkurencji i konsumentów (art. 109), a za utrudnianie kontroli grozi grzywna albo ograniczenie wolności (art. 112).

Ile mogą wynieść kary

Wysokość kar polska ustawa bierze z art. 99 AI Act (art. 104 ustawy):

• Zakazane praktyki z art. 5: do 35 mln euro albo 7% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa.
• Pozostałe obowiązki, w tym obowiązki przejrzystości z art. 50: do 15 mln euro albo 3% obrotu.

Dla małych i średnich firm, w tym startupów, liczy się niższa z dwóch kwot (art. 99 ust. 6). To kwoty maksymalne, a nie cennik.

Co to znaczy dla twórców aplikacji z AI

To lektura przepisów, a nie porada prawna.

Po pierwsze, aplikacja napisana z pomocą AI nie staje się przez to systemem AI. Według art. 3 pkt 1 AI Act system AI sam wnioskuje, jak generować wyniki, na przykład treści czy decyzje. Zwykły sklep zbudowany w Lovable co do zasady nim nie jest, ale wbudowany w niego czatbot już tak.

Po drugie, kto pod własną nazwą udostępnia innym aplikację korzystającą z modelu AI, jest w rozumieniu AI Act dostawcą, i to „odpłatnie lub nieodpłatnie” (art. 3 pkt 3). Polska ustawa wyłącza osoby fizyczne (art. 3 ust. 1 pkt 1), ale wąsko: tylko z obowiązków podmiotu stosującego, czyli użytkownika systemu, i tylko przy użytku wyłącznie osobistym, niezwiązanym z działalnością gospodarczą, rolniczą ani nierejestrowaną. Narzędzie zrobione na własny użytek może się w tym zmieścić, aplikacja udostępniona innym raczej nie. Ustawa przewiduje zresztą kontrolę osoby nieprowadzącej działalności gospodarczej (art. 48 ust. 4).

Po trzecie, konkretne obowiązki wynikają z AI Act. Dla większości twórców najważniejszy jest art. 50: informacja, że użytkownik rozmawia z AI, i oznaczanie generowanych treści w formacie czytelnym dla maszyn, z wyjątkami opisanymi w poradniku o oznaczaniu treści. Lipcowa nowelizacja AI Act (rozporządzenie 2026/1744) dała dostawcom generatorów wprowadzonych na rynek przed 2 sierpnia czas na wdrożenie oznaczeń do 2 grudnia 2026 (art. 111 ust. 4). Tego dnia zaczyna też obowiązywać zakaz generowania i przerabiania realistycznych materiałów intymnych z udziałem możliwej do zidentyfikowania osoby bez jej wyraźnej zgody (art. 5 ust. 1 lit. ba). Dla aplikacji, które przerabiają zdjęcia ludzi, to ważniejsza data niż 28 października.

Opinia indywidualna za 150 zł: kiedy ma sens

Najpraktyczniejsze z nowych narzędzi przypomina interpretację podatkową: opisujesz sytuację i własną ocenę prawną, a Komisja odpowiada, czy masz rację.

• Kto: podmiot objęty AI Act albo taki, który dopiero planuje objęte nim działanie, więc pytać można jeszcze przed premierą (art. 9 ust. 1).
• Za ile: 150 zł za wniosek dotyczący jednego zagadnienia (art. 9 ust. 3 i art. 11 ust. 1).
• Jak szybko: do 30 dni, w sprawach szczególnie skomplikowanych do 60 (art. 12 ust. 1). Brak odpowiedzi w terminie oznacza opinię zgodną z Twoim stanowiskiem (art. 12 ust. 3) i zwrot opłaty (art. 11 ust. 4).
• Co daje: opinia wiąże Komisję (art. 13), a stosowanie się do niej, dopóki jej nie zmieniono, nie może Ci zaszkodzić (art. 15 ust. 5).

Wniosek ma sens, gdy wątpliwość jest konkretna, a pomyłka mogłaby dużo kosztować: czy asystent w sklepie musi się przedstawiać jako AI, skoro Twoim zdaniem to oczywiste, albo czy filtr poprawiający zdjęcia mieści się w wyjątku dla „standardowej edycji” z art. 50 ust. 2.

Realnie: na pierwsze decyzje trzeba poczekać

Pierwsze posiedzenie przewodnicząca ma zwołać do 11 listopada (art. 125 ust. 3). Komisję tworzą przewodnicząca, dwóch zastępców z otwartego naboru i czterech członków wskazanych przez UOKiK, KNF, KRRiT i UKE, a uchwała, także decyzja, wymaga obecności co najmniej pięciu z nich (art. 19, 21 i 31).

Do tego dochodzą terminy: co najmniej tydzień między zawiadomieniem a kontrolą, zwykle co najmniej 30 dni na wykonanie zaleceń (art. 57), do pół roku na postępowanie. Pierwsze kary po zwykłej kontroli to więc kwestia miesięcy. Warto ten czas wykorzystać, żeby bez paniki, ale i bez odkładania sprawdzić, czy Twoja aplikacja informuje o AI i oznacza generowane treści.

Źródła: Dz.U. 2026 poz. 1003, M.P. 2026 poz. 945, M.P. 2026 poz. 946, głosowanie nr 23, AI Act w EUR-Lex.