Nadzór nad AI rusza: skargi, kontrole i kary od 28 października 2026

Od 28 października 2026 r. zaczynają działać przepisy ustawy o systemach sztucznej inteligencji dotyczące skarg, kontroli, postępowań i administracyjnych kar pieniężnych. Do tej pory AI Act obowiązywał, ale w Polsce nie było jeszcze w pełni uruchomionego mechanizmu jego egzekwowania.

Skargę na system AI może złożyć każdy, a nadzór nad jej rozpatrzeniem przejmuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Skarga sama nie oznacza kary, ale może zakończyć się kontrolą u firmy lub urzędu, który używa AI.

Krótko

• Organem nadzoru rynku jest KRiBSI. Jest też pojedynczym punktem kontaktowym dla AI Act (art. 5 ustawy).
• Skargę może złożyć osoba fizyczna, osoba prawna i jednostka bez osobowości prawnej (art. 59 ust. 1).
• Skargę składa się co do zasady elektronicznie (art. 59 ust. 3).
• Kontrola jest co do zasady zdalna, a zawiadomienie musi być doręczone co najmniej 7 dni wcześniej.
• Kary pieniężne wynikają z art. 99 AI Act: do 35 mln euro lub 7% obrotu za zakazane praktyki, do 15 mln euro lub 3% za inne naruszenia, do 7,5 mln euro lub 1% za nieprawdziwe informacje dla organu.
• Od tej samej daty można zapytać Komisję o opinię indywidualną (opłata 150 zł).

1. Skarga: kto, jak i co się dzieje dalej

Skarga powinna zawierać opis systemu AI, istotne fakty i powody, dla których skarżący uważa, że doszło do naruszenia (art. 59 ust. 2). Składa się ją w postaci elektronicznej, a na papierze tylko wtedy, gdy złożenie elektroniczne nie jest możliwe (art. 59 ust. 3).

Skarga nie uruchamia automatycznie sankcji. Jest sygnałem dla Komisji, która może wszcząć postępowanie z urzędu albo kontrolę.

Co z tego wynika: klient, kandydat do pracy, pracownik lub konkurent, który uzna, że chatbot nie ujawnia, że jest AI, albo że narzędzie do rekrutacji działa niezgodnie z prawem, ma teraz konkretną drogę zgłoszenia. Ryzykiem dla firmy jest więc nie tylko losowa kontrola, ale także reakcja na skargę.

2. Kontrola: czego może żądać Komisja

Kontrolę można wszcząć z urzędu, na wniosek członka Komisji albo organu publicznego (art. 49 ust. 1). Jej uprawnienia obejmują m.in. żądanie dokumentów, wyjaśnień i dostępu do systemów informatycznych, także w chmurze (art. 52). Zasadą jest kontrola zdalna, a pierwsze czynności mogą odbyć się najwcześniej po 7 dniach od doręczenia zawiadomienia. Wyjątkiem są sytuacje uzasadnionego podejrzenia zagrożenia dla życia, zdrowia lub praw podstawowych.

Chroniona jest komunikacja z adwokatem lub radcą prawnym (art. 54). Protokół kontroli podpisuje się lub zgłasza do niego zastrzeżenia w ciągu 14 dni (art. 56 ust. 6). Zalecenia pokontrolne mają termin wykonania nie krótszy niż 30 dni (art. 57 ust. 3).

Co z tego wynika: w praktyce kontrolowany musi umieć w krótkim czasie pokazać, jakich narzędzi AI używa, do czego i na jakich zasadach. Brak spisu narzędzi i zasad korzystania będzie głównym problemem.

3. Postępowanie i kary

Postępowanie przed Komisją nie może trwać dłużej niż 6 miesięcy (art. 60 ust. 3). Zanim zapadnie decyzja o karze, Komisja może wydać ostrzeżenie albo nakazać usunięcie skutków naruszenia. Wykonanie nakazu w terminie jest uwzględniane przy wymiarze kary (art. 62 ust. 3). Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie (art. 65).

Wysokość kary ustala się według AI Act. Przepisy nie przewidują sztywnego cennika, a przy wymiarze uwzględnia się m.in. charakter, wagę i czas trwania naruszenia, zamiar, podjęte działania naprawcze i współpracę z organem. Dla małych i średnich przedsiębiorstw stosuje się niższy z dwóch limitów (kwota albo procent obrotu).

Ustawa przewiduje też układ oraz dobrowolne zgłoszenie naruszenia, które mogą wpłynąć na wysokość kary. Zasady i skalę obniżki trzeba sprawdzić w odpowiednich przepisach ustawy.

Co z tego wynika: największy wpływ na ryzyko ma to, co firma zrobi po wykryciu problemu. Szybkie usunięcie niezgodności, udokumentowane działania i współpraca z organem to elementy, które Komisja bierze pod uwagę.

A co z jednostkami publicznymi?

AI Act zostawia państwom członkowskim decyzję, czy i w jakim zakresie karać organy i podmioty publiczne (art. 99 ust. 8). Jeśli kierujesz samorządowym zakładem budżetowym, jednostką samorządu albo spółką komunalną, sprawdź w tekście ustawy, jak ta kwestia została uregulowana dla Twojego typu podmiotu, zamiast zakładać, że kary Cię nie dotyczą.

4. Opinia indywidualna: szansa zamiast ryzyka

Od tej samej daty przedsiębiorca może zapytać Komisję o ocenę prawną istniejącego lub planowanego wdrożenia AI. Opłata wynosi 150 zł, a Komisja ma 30 dni na odpowiedź (60 dni w sprawach szczególnie skomplikowanych). Brak opinii w terminie oznacza zgodność z przedstawionym stanowiskiem wnioskodawcy (art. 12 ust. 3). Opinia wiąże Komisję w granicach opisanego stanu faktycznego.

Co z tego wynika: przy nowym, kosztownym wdrożeniu warto rozważyć opinię przed uruchomieniem systemu, zwłaszcza gdy nie jest jasne, czy to system wysokiego ryzyka.

Siedem rzeczy do zrobienia w firmie lub instytucji

1. Spis narzędzi AI, także wbudowanych w inne programy, z opisem celu i rodzaju danych (wzór wykazu).
2. Polityka korzystania z AI: co wolno, czego nie i kto zatwierdza nowe narzędzia (wzór polityki).
3. Oznaczanie chatbotów i treści generowanych przez AI. Obowiązki z art. 50 AI Act obowiązują od 2 sierpnia 2026 r.
4. Przegląd zakazanych praktyk, np. rozpoznawania emocji pracowników.
5. Osoba odpowiedzialna za kontakt z Komisją i procedura reagowania na skargę lub zawiadomienie o kontroli.
6. Przegląd umów z dostawcami AI: kto odpowiada za oznaczanie, dokumentację i współpracę przy kontroli.
7. Dokumentowane działania w zakresie kompetencji pracowników (szkolenie). Po zmianach z Digital Omnibus chodzi o podejmowanie takich działań, a nie o gwarancję poziomu kompetencji.

Nasze materiały mają charakter ogólny. Wzory, kreator i listy kontrolne służą do uporządkowania sprawy i rozpoczęcia działań w danym podmiocie. Decyzję, jak postępować w konkretnym przypadku i co dokładnie wdrożyć, warto oprzeć na strukturze danej organizacji, na tym, jakich systemów AI używa, oraz na przeprowadzonym audycie.

Chcesz to wdrożyć u siebie? Zakres mojej pomocy w prawie AI (polityka korzystania z AI w firmie, opinie prawnopodatkowe, szkolenia dla pracowników, zarządów i rad nadzorczych) opisuję w zakładce Prawo AI. Jeśli potrzebujesz rozwiązania dopasowanego do Twojej organizacji, napisz na ai@kloskowski.pl.

Na początek można sprawdzić, w którym miejscu jest firma, kreatorem „Czy to AI w rozumieniu AI Act?”. Wcześniejszy opis zmian po Digital Omnibus znajdziesz w tekście AI Act po Digital Omnibus.

Źródła

• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dziennik Ustaw 2026 poz. 1003 (tekst ogłoszony), w szczególności art. 5, 49–65 i przepisy o opiniach indywidualnych.
• Ustawa o systemach sztucznej inteligencji w systemie ELI.
• Ministerstwo Cyfryzacji: ustawa o systemach AI.