Ustawa o AI i KRiBSI: co zmienia się dla małej firmy od 28 października 2026

Unijny AI Act obowiązuje w Polsce bezpośrednio. Do tej pory brakowało jednak polskiego organu, który mógłby sprawdzać, jak firmy go stosują. Tę lukę wypełnia ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Jej najważniejsza dla przedsiębiorców część zaczyna obowiązywać 28 października 2026 r.

Nie ma powodu do paniki. Dla większości małych firm ustawa nie dokłada nowych obowiązków. Pojawia się za to ktoś, kto może sprawdzić, czy obowiązki z AI Act są wykonywane, i do kogo klient może złożyć skargę.

Czym jest ustawa i kim jest KRiBSI

Ustawa nie powtarza AI Act. Określa, kto w Polsce nadzoruje rynek AI, jak wygląda kontrola i postępowanie, jak nakłada się kary i jak firmy mogą uzyskać wsparcie (art. 1).

Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI (art. 5). Działa też jako pojedynczy punkt kontaktowy dla AI Act. To organ kolegialny. Tworzą go przewodniczący, dwóch zastępców i czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE (art. 19). Obsługę biurową zapewnia urząd ministra cyfryzacji.

Przewodniczącego Sejm powołał uchwałą z 18 września 2026 r., a Senat wyraził zgodę 24 września 2026 r. Ustawa wymaga, żeby Przewodniczący zwołał pierwsze posiedzenie Komisji w ciągu 3 miesięcy od wejścia ustawy w życie (art. 125 ust. 3).

Od kiedy co obowiązuje

Data	Co się dzieje	Podstawa i źródło
02.02.2025	AI Act: kompetencje w zakresie AI (art. 4, w pierwotnym brzmieniu) i zakazane praktyki (art. 5)	art. 113 AI Act, EUR-Lex
27.07.2026	Wchodzi w życie rozporządzenie 2026/1744: łagodniejsze brzmienie art. 4, nowe terminy dla systemów wysokiego ryzyka	art. 4 rozp. 2026/1744, EUR-Lex
02.08.2026	AI Act: obowiązki przejrzystości z art. 50, m.in. informacja, że rozmawiasz z AI	art. 113 AI Act
11.08.2026	Wchodzi w życie główna część polskiej ustawy: powstaje KRiBSI, jej zadania i skład	art. 127 ustawy, metryka ELI
28.10.2026	Kontrole (rozdz. 3), postępowania i skargi (rozdz. 4), układ łagodzący sankcje (rozdz. 5), kary (rozdz. 8) oraz opinie indywidualne (art. 8–18)	art. 127 pkt 2 ustawy, metryka ELI
02.12.2026	Oznaczanie treści generowanych przez AI (art. 50 ust. 2) dla systemów generatywnych wprowadzonych na rynek przed 02.08.2026	art. 111 ust. 4 AI Act po zmianie 2026/1744
02.12.2027	Obowiązki dla systemów wysokiego ryzyka z załącznika III, w tym AI w rekrutacji	art. 113 AI Act po zmianie 2026/1744

Ministerstwo Cyfryzacji w odpowiedzi na zapytanie poselskie z 29 sierpnia 2026 r. potwierdziło, że Komisja zacznie w pełni wykonywać swoje zadania 28 października 2026 r. Dodało, że będzie je wykonywać zgodnie z właściwością w zakresie wszystkich zdarzeń od 2 sierpnia 2026 r. Można to rozumieć tak, że Komisja zajmie się także tym, co działo się między 2 sierpnia a 28 października.

Kogo to dotyczy

Ustawa obejmuje te same podmioty co AI Act (art. 3). Nie dotyczy osób, które używają AI wyłącznie prywatnie, poza działalnością gospodarczą czy zawodową.

AI Act dzieli firmy przede wszystkim na dwie role:

• Dostawca tworzy system AI albo zleca jego stworzenie i wprowadza go pod własną nazwą lub marką (art. 3 pkt 3 AI Act). Na nim spoczywa większość obowiązków.
• Podmiot stosujący korzysta z cudzego systemu w swojej działalności. Tak jest w przypadku większości małych firm.

W praktyce wygląda to tak:

• Asystenci AI (czaty AI) w biurze. Tu liczy się przede wszystkim art. 4, czyli zadbanie o to, by zespół wiedział, jak rozsądnie korzystać z AI. Do tego dochodzi RODO, jeśli do czatu trafiają dane klientów.
• Chatbot na stronie albo w komunikatorze, voicebot w recepcji. Rozmówca ma wiedzieć, że rozmawia z AI, najpóźniej przy pierwszej interakcji (art. 50 ust. 1 i 5 AI Act). Formalnie ten obowiązek ma dostawca. Jeśli jednak bota zbudowano na Twoje zlecenie i działa pod Twoją marką, to Ty możesz być dostawcą.
• AI w rekrutacji. Systemy do filtrowania CV i oceny kandydatów są w AI Act systemami wysokiego ryzyka (załącznik III pkt 4 lit. a). Pełne obowiązki dla nich zaczną się 2 grudnia 2027 r. Już teraz zakazane jest jednak rozpoznawanie emocji w miejscu pracy, z wyjątkiem celów medycznych i bezpieczeństwa (art. 5 ust. 1 lit. f).
• Grafiki, nagrania i głos generowane przez AI. Jeśli publikujesz deepfake, czyli realistyczny obraz, dźwięk lub wideo osoby albo zdarzenia, musisz to ujawnić (art. 50 ust. 4).

Co KRiBSI może zrobić od 28 października

Kontrola (art. 48–57). Komisja kontroluje według planu albo na podstawie zebranych informacji. Kontrolę zapowiada co najmniej 7 dni wcześniej (art. 49 ust. 2). Co do zasady prowadzi ją zdalnie (art. 49 ust. 3). Na miejscu albo bez 7-dniowego wyprzedzenia może ją przeprowadzić tylko wtedy, gdy podejrzewa szkodę dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 49 ust. 4). Kontrolujący może żądać dokumentów, dostępu do systemów i wyjaśnień (art. 52). Na zastrzeżenia do protokołu masz 14 dni (art. 56 ust. 6). Gdy coś jest nie tak, Komisja wydaje zalecenia z terminem co najmniej 30 dni (art. 57 ust. 3). Jeśli ich nie wykonasz w terminie, Komisja może wszcząć postępowanie (art. 57 ust. 5). Postępowanie może też zacząć się od razu, gdy kontrola albo skarga wskażą na możliwe naruszenie (art. 58).

Skargi (art. 58–59). Skargę do Komisji może złożyć każda osoba fizyczna, firma lub organizacja, co do zasady elektronicznie. Wystarczy opis systemu i powód, dla którego skarżący uważa, że doszło do naruszenia. Dla małej firmy oznacza to, że sprawa może zacząć się od jednego niezadowolonego klienta, a nie od planu kontroli.

Postępowanie (art. 60–69). Trwa najwyżej 6 miesięcy (art. 60 ust. 3). Komisja może najpierw wydać ostrzeżenie ze wskazaniem, co poprawić. Strona ma wtedy 21 dni na informację o wykonaniu (art. 61). Decyzja o naruszeniu daje 14 dni na usunięcie skutków. Jeśli zdążysz, Komisja weźmie to pod uwagę przy karze (art. 62). Gdy system stwarza bezpośrednie zagrożenie, Komisja może nakazać wstrzymanie jego używania (art. 63 ust. 2). Decyzje trafiają do Biuletynu Informacji Publicznej (art. 66). Odwołanie przysługuje do Sądu Ochrony Konkurencji i Konsumentów (art. 65).

Układ (art. 70–85). W trakcie postępowania można zawrzeć z Komisją układ, który pozwala nadzwyczajnie złagodzić sankcje.

Kary (art. 104–114). Wysokość kar wynika z art. 99 AI Act, a ustawa określa procedurę (art. 104). Za naruszenie obowiązków przejrzystości z art. 50 to do 15 mln euro albo do 3% rocznego światowego obrotu. Dla MŚP liczy się niższa z tych kwot (art. 99 ust. 6 AI Act). Euro przelicza się po kursie NBP z 28 stycznia danego roku (art. 104 ust. 4). Karę można obniżyć o 10–50%, jeśli w ciągu 3 miesięcy od doręczenia decyzji o karze wykonasz działania wskazane w ostrzeżeniu (art. 107 ust. 1). Można też wnioskować o raty lub odroczenie (art. 107 ust. 2). Utrudnianie kontroli to osobne wykroczenie (art. 112).

Wsparcie. Od 28.10 można też prosić Komisję o opinię indywidualną za 150 zł (art. 9–13). Opinia wiąże organy w sprawie opisanej we wniosku. Udział mikro, małych i średnich firm w piaskownicy regulacyjnej jest bezpłatny (art. 93 ust. 1).

Lista kontrolna dla małej firmy

1. Spisz narzędzia AI. Zarówno te, za które płaci firma, jak i darmowe konta pracowników. Dopisz funkcje AI wbudowane w CRM, system rezerwacji czy pakiet biurowy. Przy każdym narzędziu zanotuj, do czego służy, kto za nie odpowiada i jakie dane do niego trafiają.
2. Zadbaj o kompetencje zespołu (art. 4). Po zmianie z 2026 r. przepis wymaga działań wspierających wiedzę o AI, a nie gwarancji konkretnego poziomu. Wystarczy rozsądne minimum: krótkie szkolenie lub instrukcja, zasady w polityce AI i notatka, kto i kiedy w nich uczestniczył.
3. Sprawdź chatboty i voiceboty (art. 50). Komunikat w rodzaju „Rozmawiasz z asystentem AI” powinien pojawić się na początku rozmowy. Ma być jasny i wyraźny (art. 50 ust. 5), także w wersji głosowej. Dobrą praktyką jest komunikat w każdym języku, w którym bot rozmawia. Dobrze, gdy bot umie przekazać rozmowę człowiekowi.
4. Oznaczaj treści, które mogą wprowadzić w błąd. Realistyczne wizerunki, głosy czy nagrania wygenerowane przez AI opisuj jako takie (art. 50 ust. 4).
5. Połącz to z RODO. Sprawdź, czy dostawca narzędzia podpisuje umowę powierzenia i czy wykorzystuje Twoje dane do trenowania modeli. Uzupełnij klauzulę informacyjną (art. 13 RODO) o chatbota. Jeśli AI samodzielnie podejmuje decyzje istotne dla klientów lub kandydatów, przeanalizuj art. 22 RODO. W rekrutacji zostaw ostatnie słowo człowiekowi.
6. Prowadź prostą dokumentację. Lista narzędzi, polityka AI, ślad szkoleń, zrzut ekranu komunikatu bota z datą. Takich dokumentów kontrolujący może zażądać (art. 52 ust. 1).
7. Wyznacz osobę kontaktową. Ktoś w firmie powinien wiedzieć, gdzie są te dokumenty, i odebrać ewentualne pismo z Komisji.

Jak możemy pomóc

Większość punktów z tej listy zrobisz samodzielnie. Jeśli wolisz wsparcie, mamy trzy usługi, które do tego pasują:

• polityka AI i przegląd narzędzi: ankieta w zespole, lista narzędzi z warunkami dostawców i szablon zasad;
• warsztaty AI dla zespołu online, na żywo;
• chatboty i voiceboty z komunikatem o AI ustawionym od pierwszej wiadomości.

O dofinansowanie szkolenia z KFS możesz wnioskować w swoim PUP. Napisz, z jakich narzędzi AI korzysta Twoja firma. Odpowiemy z bezpłatną wyceną w ciągu 24 godzin, także w weekendy i święta.

Ten poradnik ma charakter informacyjny i nie jest poradą prawną. Opisuje stan prawny na 12.10.2026 r. W sprawach dotyczących Twojej firmy skonsultuj się z prawnikiem albo złóż wniosek o opinię indywidualną do KRiBSI.