Ustawa o systemach sztucznej inteligencji i kontrola KRiBSI: co kontrolujący może chcieć zobaczyć — i co warto mieć w segregatorze już teraz

Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może kontrolować firmy, przyjmować skargi i nakładać kary. Firmy, które tylko używają AI — ChatGPT, Copilota, chatbota od dostawcy — pytają nas wtedy nie o to, co mówi ustawa, tylko: o co mnie poproszą i co mam im pokazać? Praktyki kontrolnej jeszcze nie ma, bo uprawnienia Komisji dopiero startują. Ustawa mówi jednak dość dokładnie, jak kontrola przebiega i czego kontrolujący może żądać. Na tym opieramy listę sześciu dokumentów, które warto mieć w segregatorze już teraz.

Stan prawny: ustawa jest uchwalona i obowiązuje — to nie projekt. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (druk sejmowy nr 2443) została ogłoszona 27 lipca 2026 r. w Dzienniku Ustaw (Dz.U. 2026 poz. 1003) i weszła w życie 11 sierpnia 2026 r. Rozdziały o kontroli, postępowaniu, układzie, karach i zmianach w innych ustawach oraz przepisy o opiniach indywidualnych (art. 8–18) wchodzą w życie 28 października 2026 r. Artykuły cytujemy z tekstu w Dzienniku Ustaw; stan na 12 października 2026 r.

Piszemy dla podmiotu stosującego, czyli firmy, która używa systemu AI w swojej działalności, także gotowego narzędzia kupionego w abonamencie. Jeśli budujesz system AI i sprzedajesz go pod własną marką, jesteś dostawcą i masz szerszy zakres obowiązków — tego ten tekst nie obejmuje. Klasyfikację systemu, rolę firmy według AI Act (unijnego rozporządzenia o sztucznej inteligencji) i ryzyko prawne ocenia firma z pomocą swojego prawnika. Za podstawę prawną przetwarzania danych osobowych i ocenę skutków dla ochrony danych, jeśli jest wymagana, odpowiada administrator danych. Doradza mu prawnik oraz inspektor ochrony danych, jeśli został wyznaczony. Firma, która przetwarza dane w imieniu administratora, pomaga mu w tym. My opisujemy stronę techniczną i organizacyjną.

W skrócie

• Ustawa obowiązuje od 11 sierpnia 2026 r., a kontrole, skargi, kary i opinie indywidualne KRiBSI — od 28 października 2026 r.
• Kontrola jest zapowiadana i co do zasady zdalna: zaczyna się nie wcześniej niż 7 dni po doręczeniu zawiadomienia i odbywa się na odległość, z wyjątkami z art. 49 ust. 4.
• Kontrolujący może żądać materiałów związanych z przedmiotem kontroli, w tym korespondencji elektronicznej i dostępu do systemów — także chmurowych systemów innego podmiotu, do których firma ma dostęp (art. 52).
• Skargę do KRiBSI może złożyć każdy — klient, pracownik, konkurent — co do zasady elektronicznie (art. 59). Skarga może prowadzić do postępowania, ostrzeżenia i decyzji.
• Odpowiedź na kontrolę i na skargę zaczyna się od tych samych dokumentów: rejestru systemów, teczki kompetencji AI, zapisu wdrożenia przejrzystości, ścieżki zgłoszeń, teczki dostawcy i notatki o nadzorze człowieka.

Co polska ustawa dodaje do AI Act

AI Act, czyli unijne rozporządzenie 2024/1689, stosuje się w Polsce bezpośrednio i to ono określa zasadnicze obowiązki związane z systemami AI. Polska ustawa organizuje krajowy nadzór: wskazuje, kto egzekwuje rozporządzenie, według jakiej procedury i jakie obowiązki ma firma w toku kontroli i postępowania. Unijne terminy (praktyki zakazane, przejrzystość, systemy wysokiego ryzyka) zebraliśmy na stronie o technicznym sprincie zgodności z AI Act, a szersze omówienie ustawy — w tekście AI Act w Polsce. Tutaj tylko to, co polskie:

Pełny tekst ustawy jest w serwisie eli.gov.pl, a omówienie Ministerstwa Cyfryzacji — na gov.pl.

Polski kalendarz: co już się stało, a co przed nami

• 3 lipca 2026 — Sejm uchwala ustawę.
• 27 lipca 2026 — ogłoszenie w Dzienniku Ustaw (Dz.U. 2026 poz. 1003).
• 11 sierpnia 2026 — ustawa wchodzi w życie; KRiBSI powstaje (art. 125 ust. 1).
• 18 i 24 września 2026 — Sejm powołuje Przewodniczącego Komisji, a Senat wyraża na to zgodę (M.P. 2026 poz. 945 i 946).
• 28 października 2026 — Komisja może prowadzić kontrole, przyjmować skargi, wydawać ostrzeżenia, decyzje i opinie indywidualne oraz nakładać kary (art. 127 pkt 2).
• W terminie trzech miesięcy od wejścia ustawy w życie — pierwsze posiedzenie Komisji, które zwołuje przewodniczący (art. 125 ust. 3).

Do 28 października warto mieć gotowe dokumenty z listy niżej. Od tego dnia warto też śledzić Biuletyn Informacji Publicznej Komisji: to tam mają się pojawiać zanonimizowane opinie indywidualne i wyjaśnienia (art. 17) oraz decyzje (art. 66).

Jak przebiega kontrola KRiBSI według ustawy

Skąd się bierze. Komisja wszczyna kontrolę z urzędu, na wniosek przewodniczącego, jego zastępcy lub członka Komisji albo na wniosek jednego z krajowych organów chroniących prawa podstawowe, wskazanych na podstawie art. 77 AI Act (art. 49 ust. 1). Kontrole prowadzi według zatwierdzonego planu, na podstawie uzyskanych informacji albo w ramach monitorowania przestrzegania AI Act (art. 48 ust. 2). Skarga klienta to jedno z takich źródeł informacji.

Zawiadomienie i forma. Kontrola zaczyna się nie wcześniej niż 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2) i co do zasady odbywa się zdalnie, środkami komunikacji elektronicznej (art. 49 ust. 3). Komisja może zarządzić czynności na miejscu albo kontrolę bez 7-dniowego terminu, gdy istnieje uzasadnione podejrzenie albo znaczące prawdopodobieństwo szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych wynikającej z wprowadzenia do obrotu, oddania do użytku lub stosowania kontrolowanego systemu (art. 49 ust. 4). Kontrolujący działa na podstawie imiennego upoważnienia, które wskazuje m.in. zakres przedmiotowy kontroli (art. 51). Wobec przedsiębiorcy w sprawach nieuregulowanych stosuje się rozdział 5 Prawa przedsiębiorców, z wyłączeniem jego art. 51 ust. 3a (art. 48 ust. 3) — jak to wpływa na Twoją kontrolę, oceni prawnik.

Czego kontrolujący może żądać. Art. 52 ust. 1 wymienia m.in.:

• udostępnienia materiałów, dokumentów i korespondencji elektronicznej związanych z przedmiotem kontroli;
• dostępu do nośników danych, urządzeń i systemów informatycznych — także systemów i chmury należących do innego podmiotu, jeżeli są w nich dane kontrolowanego, w zakresie, w jakim kontrolowany ma do nich dostęp;
• kopii, wyciągów i zestawień z dokumentów oraz baz danych;
• ustnych lub pisemnych wyjaśnień;
• nagrywania czynności kontrolnych, po uprzednim poinformowaniu.

Kontrolowany udziela informacji i wyjaśnień, potwierdza kopie za zgodność z oryginałem i zapewnia warunki do sprawnej kontroli (art. 52 ust. 2). Szczególną ochronę ma komunikacja z adwokatem lub radcą prawnym wytworzona w celu uzyskania ochrony prawnej w toku kontroli oraz dokumenty sporządzone wyłącznie w tym celu. Firma musi oświadczyć, że materiał spełnia te warunki, i to ona musi to wykazać; w razie wątpliwości rozstrzyga sąd (art. 54). Utrudnianie lub udaremnianie kontroli podlega karze ograniczenia wolności albo grzywny, orzekanej w trybie przepisów o wykroczeniach (art. 112 i 114). Wyjątek obejmuje przekazanie jednostce notyfikowanej lub właściwemu organowi krajowemu nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji w odpowiedzi na żądanie — za to AI Act przewiduje administracyjną karę pieniężną (art. 112 ust. 3 ustawy, art. 99 ust. 5 AI Act).

Jak się kończy. Kontrolujący sporządza elektroniczny protokół. Firma ma 14 dni od doręczenia, żeby podpisać protokół i doręczyć go kontrolującemu albo złożyć na piśmie zastrzeżenia do jego treści (art. 56 ust. 6); niewykonanie tego obowiązku uznaje się za odmowę podpisania (art. 56 ust. 8). Jeżeli kontrola wykaże nieprawidłowości, Komisja wydaje zalecenia pokontrolne z terminem na ich usunięcie — co do zasady nie krótszym niż 30 dni (art. 57). Niewykonanie zaleceń może otworzyć postępowanie w sprawie naruszenia (art. 57 ust. 5).

Jedna rzecz jest szczególnie warta uwagi: ustawa zobowiązuje Komisję, żeby w rocznym sprawozdaniu podawała m.in. ogólny poziom wiedzy i kompetencji kontrolowanych podmiotów (art. 26 ust. 2 pkt 2), a sposób sprawdzania tego poziomu określa zarządzenie przewodniczącego (art. 25 pkt 3). Przepisy dają więc podstawę, by przygotować się także na pytania o wiedzę i kompetencje osób korzystających z AI. Nie przesądzają jednak zakresu każdej kontroli.

Co może uruchomić skarga — przykład od strony firmy

Skargę do Komisji może złożyć każda osoba i każda firma (art. 59 ust. 1; podstawą jest art. 85 AI Act). Skarga ma wskazać system, którego dotyczy, opisać fakty i powody, dla których skarżący widzi naruszenie (art. 59 ust. 2). Składa się ją elektronicznie, a gdy nie jest to możliwe — w postaci papierowej (art. 59 ust. 3). Komisja prowadzi rejestr skarg (art. 6 pkt 12).

Przykład. Klient pisze do Komisji, że chatbot w sklepie internetowym rozmawiał z nim o reklamacji i nigdzie nie poinformował, że to system AI. Sama skarga nie przesądza, że doszło do naruszenia ani kto za nie odpowiada: obowiązek informacyjny z art. 50 ust. 1 AI Act ciąży na dostawcy systemu, więc Komisja musi najpierw ustalić role i ewentualne naruszenie. Postępowanie i środki mogą dotyczyć dostawcy, sklepu albo obu — zależnie od tego, czyj obowiązek nie został wykonany. Co może się wydarzyć:

1. Komisja wszczyna postępowanie, jeżeli uzna, że mogło dojść do naruszenia (art. 58 pkt 1 lit. b), albo najpierw kontrolę. Postępowanie trwa najwyżej 6 miesięcy od doręczenia postanowienia o wszczęciu (art. 60 ust. 3).
2. Może wydać ostrzeżenie ze wskazaniem działań naprawczych — np. poprawienia komunikatu albo poinformowania klientów (art. 61 ust. 2). Strona, której dotyczy ostrzeżenie, ma 21 dni na przedstawienie informacji o ich wykonaniu (art. 61 ust. 3).
3. Jeśli ostrzeżenie nie zostanie wykonane, Komisja może m.in. opublikować informację o tym w swoim Biuletynie Informacji Publicznej (art. 61 ust. 4 pkt 3).
4. Decyzja w sprawie naruszenia nakazuje usunąć jego skutki w 14 dni (art. 62 ust. 2); wykonanie środków w terminie Komisja uwzględnia przy ustalaniu kary (art. 62 ust. 3).

Co odpowiada na taką skargę po stronie firmy: wiersz w rejestrze z tym chatbotem, zrzut ekranu pierwszej wiadomości z datą i odpowiedź dostawcy, jak jego system realizuje obowiązek informacyjny z art. 50 ust. 1. To, czy komunikat dostawcy dociera do klienta, zależy też od powitania i scenariusza ustawionych po stronie firmy — te dokumenty pozwalają szybko pokazać, jak było.

Skarga do KRiBSI a skarga do UODO. To dwie różne drogi. KRiBSI rozpatruje naruszenia AI Act i ustawy o systemach AI; Prezes Urzędu Ochrony Danych Osobowych (UODO) — naruszenia RODO, czyli ogólnego rozporządzenia o ochronie danych. Ten sam chatbot może dotyczyć obu, jeżeli przetwarza dane osobowe. Ustawa wprost zobowiązuje oba organy do współpracy (art. 20 ust. 1 pkt 3 ustawy i nowy art. 59a ustawy o ochronie danych osobowych).

Sześć dokumentów w segregatorze

Ustawa nie zawiera listy dokumentów do kontroli — art. 52 wiąże żądania kontrolującego z przedmiotem konkretnej kontroli. Poniższa lista to praktyczny punkt wyjścia: każdy dokument odpowiada na pytanie, które w takiej kontroli może paść. Zakres każdego zależy od zastosowania, danych i obowiązków ustalonych z prawnikiem.

1. Rejestr systemów AI. Spis wszystkich narzędzi AI w firmie: system i dostawca, kto go używa, do czego, jakie dane wchodzą, rola firmy (podmiot stosujący czy dostawca), obowiązki i właściciel wiersza. Właściciel: osoba odpowiedzialna za zgodność albo IT. AI Act nie nakazuje rejestru wprost, ale rejestr ułatwia odpowiedź na pytanie, jakich systemów AI firma używa. To także punkt wyjścia do odpowiedzi na każdą skargę.

2. Teczka kompetencji AI (art. 4). Po zmianach z lipca 2026 r. art. 4 wymaga od firmy podejmowania działań wspierających rozwój kompetencji AI zespołu, bez obowiązku zagwarantowania określonego poziomu. Minimalna wersja: lista działań z datami (instrukcja korzystania z narzędzi, krótkie spotkanie, zasady dla zespołu) i lista osób, których dotyczą. Właściciel: HR albo kierownik zespołu. Warto mieć tę teczkę pod ręką, skoro Komisja ma raportować poziom wiedzy i kompetencji kontrolowanych.

3. Zapis wdrożenia przejrzystości (art. 50). Dla każdego systemu, który rozmawia z ludźmi albo generuje treści: zrzut ekranu lub nagranie pierwszego komunikatu z datą, odpowiedź dostawcy na pytanie o ujawnianie i oznaczanie treści oraz notatka, gdzie firma sama ujawnia treści deepfake (wygenerowane lub przerobione przez AI obrazy, nagrania i filmy, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe; art. 3 pkt 60 AI Act) albo teksty wygenerowane przez AI publikowane w celu informowania o sprawach interesu publicznego (art. 50 ust. 4). Ten drugi obowiązek nie dotyczy tekstów, które przeszły weryfikację przez człowieka lub kontrolę redakcyjną, jeżeli osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację. Jeżeli firma stosuje rozpoznawanie emocji albo kategoryzację biometryczną (przypisywanie ludzi do kategorii na podstawie cech ich ciała lub zachowania) — informację dla osób, wobec których system działa (art. 50 ust. 3). Takie zastosowanie najpierw sprawdza prawnik, bo rozpoznawanie emocji w miejscu pracy jest co do zasady praktyką zakazaną (art. 5 AI Act). Właściciel: osoba odpowiedzialna za kanał (marketing, obsługa klienta).

4. Ścieżka zgłoszeń i skarg. Jedna strona: gdzie klient albo pracownik może zgłosić problem z systemem AI, kto to odbiera, gdzie zgłoszenie jest zapisywane i kto decyduje o reakcji. Dla większości systemów AI Act tego nie nakazuje — ale gdy skarga trafi do Komisji, firma z taką ścieżką wie o problemie wcześniej i ma zapis tego, co zrobiła. Przy systemach wysokiego ryzyka z załącznika III (od 2 grudnia 2027 r., z zastrzeżeniem przepisu przejściowego opisanego w punkcie 6) dochodzi obowiązek natychmiastowego zgłoszenia poważnego incydentu: najpierw dostawcy, potem importerowi lub dystrybutorowi i właściwym organom nadzoru rynku (art. 26 ust. 5 AI Act). Właściciel: obsługa klienta.

5. Teczka dostawcy. Umowa i regulamin usługi, instrukcja albo dokumentacja systemu, umowa powierzenia przetwarzania danych (jeżeli dostawca przetwarza dane osobowe w imieniu firmy), odpowiedzi dostawcy na pytania o art. 50 i lista paneli administracyjnych, do których firma ma dostęp. Ten ostatni punkt ma znaczenie, bo art. 52 ust. 1 pkt 1 obejmuje systemy w chmurze innego podmiotu w zakresie, w jakim firma ma do nich dostęp. Warto wiedzieć wcześniej, jakie rejestry zdarzeń (logi) i ustawienia da się z takiego panelu wyeksportować. Właściciel: osoba, która zamawiała narzędzie.

6. Notatka o nadzorze człowieka. Dla każdego zastosowania, w którym system przygotowuje coś, co dotyczy klienta albo pracownika: kto sprawdza wynik, zanim pójdzie dalej, i kiedy decyzja należy do człowieka. Formalny obowiązek nadzoru ze strony człowieka dotyczy systemów wysokiego ryzyka (art. 26 ust. 2 AI Act, dla systemów z załącznika III od 2 grudnia 2027 r.), podobnie jak obowiązek przechowywania generowanych automatycznie rejestrów zdarzeń przez co najmniej sześć miesięcy — w zakresie, w jakim firma sprawuje nad nimi kontrolę, i jeżeli właściwe przepisy, zwłaszcza o ochronie danych, nie stanowią inaczej (art. 26 ust. 6). Do systemu wysokiego ryzyka z załącznika III wprowadzonego do obrotu lub oddanego do użytku przed 2 grudnia 2027 r. te obowiązki stosuje się dopiero wtedy, gdy po tej dacie jego projekt zostanie istotnie zmieniony; takie wcześniejsze systemy przeznaczone do wykorzystywania przez organy publiczne muszą spełnić wymogi najpóźniej do 2 sierpnia 2030 r. (art. 111 ust. 2 AI Act). Czy ten przepis przejściowy dotyczy Twojego systemu, ocenia prawnik. Dla pozostałych systemów notatka pokazuje, że firma kontroluje sposób użycia. Jak taki nadzór projektować, opisaliśmy w tekście human-in-the-loop. Właściciel: kierownik procesu.

Opinia indywidualna: czego prawnik będzie potrzebował od Ciebie

Od 28 października 2026 r. firma może zapytać Komisję, jak przepisy stosują się do jej konkretnej sytuacji — także planowanej (art. 9). Opłata za złożenie wniosku wynosi 150 zł (art. 11 ust. 1), a Komisja wydaje opinię w 30 dni, a w sprawach szczególnie skomplikowanych w 60 dni (art. 12 ust. 1). Jeżeli nie zdąży, uznaje się, że przyznała rację wnioskodawcy (art. 12 ust. 3). Opinia wiąże Komisję oraz organy, których opinii Komisja zasięgała, w danej sprawie i tylko dla stanu faktycznego opisanego we wniosku (art. 13 ust. 1). Opinii nie wydaje się w zakresie, który jest już przedmiotem postępowania przed Komisją, innym organem lub sądem albo został rozstrzygnięty (art. 14), a Komisja może ją później zmienić lub uchylić, np. po zmianie przepisów (art. 15). Opinii nie zmienia się, jeżeli jej wydanie wywołało lub może wywołać nieodwracalne skutki (art. 13 ust. 2), a zastosowanie się do niej przed zmianą, uchyleniem albo wygaśnięciem nie może szkodzić wnioskodawcy (art. 15 ust. 5).

Wniosek dotyczy jednego zagadnienia i musi zawierać wyczerpujący opis stanu faktycznego oraz stanowisko wnioskodawcy co do oceny prawnej (art. 9 ust. 3). Do tego oświadczenie, że sprawa nie jest przedmiotem postępowania przed innym organem lub sądem (art. 10). Kolejny wniosek ten sam podmiot może złożyć po 30 dniach (art. 9 ust. 5). Stanowisko prawne pisze prawnik. Opis stanu faktycznego powstaje z Twoich dokumentów: wiersza rejestru, notatki o nadzorze człowieka i teczki dostawcy. Im dokładniejsze są te trzy dokumenty, tym mniej pracy przy opisie stanu faktycznego.

Kiedy segregator jest cienki

Jeżeli używasz dwóch–trzech narzędzi biurowych, żadne nie rozmawia z klientami ani nie generuje publikowanych treści, a nic nie dotyka zatrudnienia, kredytu czy dostępu do usług — można zacząć od krótkiego rejestru i listy działań z art. 4. Do tego nie potrzebujesz wykonawcy. Umowy z dostawcami warto mieć w teczce zawsze, bo narzędzia biurowe też przetwarzają dane firmy; zakres pozostałych dokumentów rośnie, gdy system ma kontakt z ludźmi albo przygotowuje coś, co ich dotyczy.

Co dalej

Jeżeli rejestr pokazuje więcej systemów, coś rozmawia z klientami albo przygotowuje decyzje dotyczące ludzi, strona techniczna to: rejestr systemów, komunikaty i oznaczenia wdrożone w zakresie ustalonym przez prawnika, uporządkowana dokumentacja i warsztat z kompetencji AI. Opisaliśmy ją przy technicznym sprincie zgodności z AI Act, a granice naszej roli — na stronie czego nie robimy. Opisz nam, czego używasz. Odpowiemy, od czego zaczęlibyśmy — również wtedy, gdy odpowiedź brzmi „spisz to sam”.

Źródła i stan prawny na 12 października 2026 roku

• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003 — art. 5, 6, 8–15, 17, 20, 25, 26, 48–62, 66, 70, 91, 104, 112, 114, 123 (nowy art. 59a ustawy o ochronie danych osobowych), 125 i 127; karta aktu w ISAP z datami wejścia w życie.
• Przebieg procesu legislacyjnego, druk sejmowy nr 2443.
• Uchwała Sejmu z 18 września 2026 r. w sprawie powołania Przewodniczącego KRiBSI, M.P. 2026 poz. 945 i uchwała Senatu z 24 września 2026 r., M.P. 2026 poz. 946.
• Omówienie ustawy przez Ministerstwo Cyfryzacji na gov.pl.
• Rozporządzenie (UE) 2024/1689 — tekst skonsolidowany na EUR-Lex — art. 3, 4, 5, 26, 50, 77, 85, 99 i 111.
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) na EUR-Lex — nowe brzmienie art. 4 i terminy dla systemów wysokiego ryzyka.