Szeryf od AI dostaje odznakę. Od 28 października KRiBSI może kontrolować i karać

Zakaz używania sztucznej inteligencji do odczytywania emocji pracowników obowiązuje w całej Unii od 2 lutego 2025 roku. Przez ponad półtora roku w Polsce nie było jednak nikogo, kto mógłby za jego złamanie ukarać. To się zmieni za tydzień, w środę. 28 października wchodzą w życie przepisy, które dają Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, prawo do kontroli, wszczynania postępowań i nakładania kar.

Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 roku ukazała się w Dzienniku Ustaw 27 lipca jako poz. 1003. Prezydent podpisał ją 24 lipca. Większość przepisów działa od 11 sierpnia, ale ustawodawca dał rynkowi trzy miesiące oddechu. Według art. 127 rozdziały o kontroli, postępowaniu, układach i karach oraz przepisy o opiniach indywidualnych zaczynają obowiązywać „po upływie 3 miesięcy od dnia ogłoszenia”. Wypada to właśnie 28 października.

Kto będzie pukał do drzwi

Na czele komisji stoi Pamela Krzypkowska. Sejm wybrał ją 18 września: 271 posłów było za, 24 przeciw, 140 wstrzymało się od głosu. Senat zgodził się 24 września. Kadencja trwa pięć lat. Wcześniej Krzypkowska przez cztery lata pracowała w Microsofcie, a potem w Ministerstwie Cyfryzacji odpowiadała m.in. za polski model językowy PLLuM.

KRiBSI to nie jest nowy urząd z własnym gmachem. To siedmioosobowe gremium: przewodnicząca, dwoje zastępców i po jednym przedstawicielu prezesa UOKiK, KNF, KRRiT i prezesa UKE. Obsługę administracyjną zapewnia urząd ministra cyfryzacji (art. 43), a kontrole przeprowadzają jego pracownicy na podstawie upoważnienia komisji. Ustawa wyznacza też limity wydatków budżetu państwa: 9,3 mln zł w tym roku i 23,74 mln zł w 2027.

Krzypkowska zapowiedziała, od czego zacznie. Podczas przesłuchania mówiła, że w planie kontroli chce się zająć zakazanymi systemami oceny emocji w pracy, a także narzędziami do generowania materiałów przedstawiających wykorzystywanie dzieci i aplikacjami, które „rozbierają” ludzi na zdjęciach. Podkreślała, że chodzi jej o ochronę kobiet i dzieci w internecie.

Kary z Brukseli, procedura z Warszawy

Polska ustawa nie wymyśla własnych stawek. Art. 104 odsyła do rozdziału XII unijnego AI Act, czyli rozporządzenia 2024/1689. Progi wyglądają więc tak:

Duże firmy płacą według wyższej z dwóch wartości. Małe i średnie przedsiębiorstwa według niższej. Euro przelicza się na złote po średnim kursie NBP z 28 stycznia danego roku. Karę trzeba zapłacić w ciągu 30 dni od uprawomocnienia się decyzji. Odwołanie trafia do Sądu Okręgowego w Warszawie, czyli sądu ochrony konkurencji i konsumentów.

Ciekawsze od samych kwot jest to, co ustawa przewiduje po drodze. Komisja nie musi zaczynać od kary. Jeśli podejrzewa naruszenie, może wydać ostrzeżenie (art. 61) i wskazać, co trzeba naprawić: zablokować dostęp do systemu, poprawić jego działanie albo poinformować użytkowników czy pracowników. Firma ma 21 dni na odpowiedź. Jeśli zignoruje ostrzeżenie, komisja może opisać to publicznie w Biuletynie Informacji Publicznej.

Są też rabaty za współpracę. Kto w ciągu trzech miesięcy od decyzji wykona to, czego żądało ostrzeżenie, może dostać obniżkę kary o 10-50 proc. (art. 107). Dalej idzie układ w sprawie „nadzwyczajnego złagodzenia sankcji” (art. 70). Strona, która przestała naruszać prawo i ujawniła wszystkie okoliczności, może zejść z karą o 20-70 proc. Jeśli firma sama zgłosiła się do komisji, zanim ta cokolwiek wykryła, obniżka może wynieść od 30 do 90 proc. (art. 84). To wyraźny sygnał: lepiej przyjść samemu, niż czekać na kontrolę.

Kontrola zdalna, ale nie zawsze

Kontrola co do zasady odbywa się zdalnie, przez środki komunikacji elektronicznej. Może się zacząć najwcześniej siedem dni po doręczeniu zawiadomienia (art. 49). Jeśli jednak komisja podejrzewa zagrożenie dla życia, zdrowia, bezpieczeństwa albo praw podstawowych, może przyjść na miejsce, w niektórych przypadkach bez uprzedzenia. Za utrudnianie kontroli grozi kara ograniczenia wolności albo grzywna (art. 112), także dla osoby działającej w imieniu spółki.

Kontrolę może uruchomić sama komisja, ale też skarga. Złożyć ją może każdy, w tym pracownik, klient albo konkurent, elektronicznie, a gdy to niemożliwe, na papierze (art. 59). W skardze wystarczy opisać system i powody, dla których skarżący uważa, że doszło do naruszenia.

Lepiej przyjść samemu, niż czekać, aż przyjdą do ciebie. Ustawa wprost za to nagradza.

Co zrobić przed środą

Ustawa w art. 1 sama mówi, czym jest. Określa organizację nadzoru, postępowanie, kary i wsparcie dla rozwoju AI. Nie dokłada firmom nowych obowiązków ponad te, które wynikają z AI Act. Zmienia się to, że od 28 października ktoś może sprawdzić, czy te unijne obowiązki są przestrzegane. Lista rzeczy do zrobienia jest więc krótka:

• Przejrzyj, gdzie w firmie działa AI. Także narzędzia, których pracownicy używają na własną rękę. Bez tej listy nie da się ocenić, czy któreś z nich nie jest zakazane.
• Sprawdź zakazy z art. 5 AI Act. Najbardziej praktyczny w Polsce jest zakaz rozpoznawania emocji w miejscu pracy i w szkole. Obowiązuje od lutego 2025 roku, a komisja zapowiada, że od niego zacznie.
• Oznacz czatboty i treści syntetyczne. Obowiązki przejrzystości z art. 50 AI Act działają od 2 sierpnia 2026 roku. Użytkownik ma wiedzieć, że rozmawia z maszyną, a deepfake ma być oznaczony. Tylko systemy wprowadzone na rynek przed 2 sierpnia mają czas do 2 grudnia na techniczne, maszynowo czytelne znakowanie.
• Zadbaj o kompetencje ludzi. Art. 4 AI Act wymaga wspierania umiejętności pracowników korzystających z AI. Unijny pakiet omnibus złagodził ten przepis: zamiast gwarantować określony poziom wiedzy, firma ma wspierać jej rozwój. Szkolenie i notatka wewnętrzna to rozsądne minimum.
• Przygotuj się na grudzień. Od 2 grudnia 2026 roku dochodzą dwa nowe zakazy: systemy tworzące intymne wizerunki osób bez ich zgody i materiały przedstawiające seksualne wykorzystywanie dzieci.

Czego nie trzeba robić

Rynek doradczy lubi straszyć, więc warto wypisać też to, czego ustawa nie wymaga.

• Nie trzeba się nigdzie rejestrować tylko dlatego, że firma używa ChatGPT do maili czy tłumaczeń. Ustawa nie tworzy ogólnego rejestru użytkowników AI.
• Nie trzeba się spieszyć z systemami wysokiego ryzyka. Unijne rozporządzenie omnibus (2026/1744), w mocy od 27 lipca, przesunęło obowiązki dla systemów z załącznika III AI Act, m.in. w rekrutacji, ocenie kredytowej czy edukacji, z 2 sierpnia 2026 na 2 grudnia 2027 roku. AI wbudowana w produkty objęte unijnymi przepisami o bezpieczeństwie ma czas do 2 sierpnia 2028 roku.
• Nie trzeba kupować „certyfikatu zgodności z AI Act” dla zwykłego biura. Takiego dokumentu dla typowych zastosowań przepisy nie przewidują.

Kto ma wątpliwość, czy jego pomysł mieści się w prawie, może od 28 października poprosić komisję o opinię indywidualną. Kosztuje 150 zł, a komisja ma 30 dni na odpowiedź, w sprawach szczególnie skomplikowanych 60 dni (art. 11-12). Najciekawszy jest art. 12 ust. 3: jeśli komisja nie zdąży, uznaje się, że wydała opinię zgodną ze stanowiskiem wnioskodawcy. Milczenie urzędu działa na korzyść firmy. Opinia może dotyczyć także planowanych działań, więc można zapytać, zanim się cokolwiek wdroży.

Druga furtka to piaskownice regulacyjne, czyli kontrolowane środowiska testowe trwające od 6 do 12 miesięcy. Dla mikro, małych i średnich firm udział jest bezpłatny, dla pozostałych opłata nie może przekroczyć czterokrotności minimalnego wynagrodzenia (art. 93). Krzypkowska mówiła „Rzeczpospolitej”, że piaskownice są dla niej priorytetem.

Szeryf, który chce być doradcą

Jak relacjonował serwis XYZ, po wyborze Krzypkowska mówiła, że „regulacja sama w sobie nie jest największym kosztem dla biznesu”. Najdroższa jest niepewność, jak przepisy będą stosowane. Ustawa daje jej narzędzia z obu stron: kary w milionach euro i opinie za 150 zł. Od tego, które z nich komisja będzie częściej wyciągać w pierwszym roku, zależy, czy firmy zobaczą w niej szeryfa, czy doradcę. Sprawozdanie z wynikami kontroli przewodnicząca ma co roku składać Sejmowi do 31 marca (art. 26). Pierwsze liczby poznamy więc wiosną.