Bartosz Pasternak | Pasternak Business Law
Stan prawny: 30 października 2026 r.
Kontrola AI Act może objąć nie tylko dokumentację dotyczącą systemów sztucznej inteligencji, ale również korespondencję elektroniczną, dane przechowywane w chmurze oraz sposób, w jaki przedsiębiorca wykorzystuje AI w codziennej działalności. Od 28 października 2026 r. obowiązują przepisy polskiej ustawy określające zasady prowadzenia takich kontroli przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
Dla przedsiębiorców oznacza to nowy rodzaj ryzyka regulacyjnego. Firma, która wykorzystuje AI do obsługi klientów, analizy danych, rekrutacji czy automatyzacji procesów, powinna wiedzieć nie tylko, jakie przepisy jej dotyczą, ale również jak wykazać, że rzeczywiście je przestrzega.
Nie chodzi przy tym o przygotowanie kilkudziesięciu stron dokumentacji na wszelki wypadek. Zakres obowiązków jest różny w zależności od zastosowania sztucznej inteligencji, roli przedsiębiorcy i rodzaju systemu.
Najważniejsze jest ustalenie, co firma rzeczywiście robi z AI, jakie przepisy mają do niej zastosowanie i czy potrafi udokumentować sposób ich przestrzegania. Dopiero później należy ocenić, które procedury i dokumenty będą potrzebne.
1. Kontrola AI Act od 28 października 2026 r. – co zmieniło się dla przedsiębiorców?
28 października 2026 r. rozpoczęły obowiązywanie przepisy rozdziałów 3–5 oraz 8 i 9 ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji. Regulują one między innymi zasady kontroli przestrzegania przepisów, prowadzenia postępowań oraz nakładania administracyjnych kar pieniężnych.
Tego samego dnia odbyło się pierwsze posiedzenie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Jak wynika z oficjalnego komunikatu KRiBSI, podczas posiedzenia omówiono zadania Komisji, organizację nadzoru oraz pierwsze działania dotyczące stosowania AI Act.
W praktyce polski nadzór nad sztuczną inteligencją uzyskał więc dodatkowe instrumenty pozwalające badać przestrzeganie przepisów przez podmioty działające na rynku.
Kogo może kontrolować KRiBSI?
Wbrew częstemu przekonaniu przepisy nie dotyczą wyłącznie spółek technologicznych tworzących własne modele AI.
AI Act rozróżnia między innymi dostawców systemów AI oraz podmioty, które wykorzystują takie systemy pod swoją kontrolą.
Dostawcą może być software house oferujący własne rozwiązanie oparte na sztucznej inteligencji. Podmiotem stosującym może być natomiast firma korzystająca z gotowego narzędzia do analizy dokumentów, obsługi klienta czy wspomagania decyzji biznesowych.
Przykładowo przedsiębiorca prowadzący sklep internetowy, który wdrożył chatbota wykorzystującego AI, może podlegać określonym obowiązkom przewidzianym w rozporządzeniu, choć sam nie opracował żadnego modelu.
Nie oznacza to jednak, że na obu podmiotach spoczywają identyczne wymagania.
Dostawca odpowiada za inne elementy zgodności niż przedsiębiorca wykorzystujący gotowe oprogramowanie. Co więcej, zakres odpowiedzialności może zmienić się, jeżeli firma istotnie zmodyfikuje system lub jego przeznaczenie.
Dlatego przed przygotowaniem dokumentacji należy określić rolę prawną przedsiębiorcy w odniesieniu do konkretnego rozwiązania. Szerzej opisujemy ten problem w artykule dotyczącym obowiązków przedsiębiorcy wynikających z AI Act.
Czy wszystkie obowiązki AI Act już obowiązują?
Nie. Jest to jedno z najważniejszych rozróżnień, które należy uwzględnić podczas przygotowania do kontroli.
Chociaż polskie przepisy dotyczące kontroli zaczęły obowiązywać 28 października 2026 r., nie oznacza to, że wszystkie wymagania przewidziane przez unijne rozporządzenie stosuje się od tej daty.
Po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 zasadnicze wymagania dotyczące systemów AI wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r., a dla odpowiednich systemów związanych z produktami wskazanymi w załączniku I od 2 sierpnia 2028 r. Należy również uwzględniać szczególne regulacje przejściowe.
Obowiązują już natomiast między innymi określone zakazy stosowania AI oraz obowiązki dotyczące przejrzystości.
Przedsiębiorca nie powinien więc utożsamiać wejścia w życie polskich przepisów kontrolnych z powstaniem obowiązku natychmiastowego wdrożenia wszystkich wymagań dotyczących systemów wysokiego ryzyka.
2. Jak wygląda kontrola AI Act prowadzona przez KRiBSI?
Czy przedsiębiorca otrzyma wcześniejsze zawiadomienie?
Co do zasady tak.
Zgodnie z art. 49 ust. 2 polskiej ustawy kontrolę przeprowadza się nie wcześniej niż po upływie 7 dni od doręczenia zawiadomienia o jej wszczęciu.
Ustawodawca przewidział jednak wyjątek. Jeżeli istnieje uzasadnione podejrzenie wystąpienia albo znaczące prawdopodobieństwo powstania szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, Komisja może w określonych przypadkach przeprowadzić kontrolę bez zachowania wskazanego terminu.
Przed rozpoczęciem czynności kontrolujący powinien doręczyć imienne upoważnienie oraz okazać dokument tożsamości.
Upoważnienie musi określać między innymi podstawę prawną kontroli, jej zakres przedmiotowy oraz przewidywany termin zakończenia.
Dla przedsiębiorcy jest to istotna informacja, ponieważ pozwala ustalić, czego kontrola dotyczy i jakie materiały mogą pozostawać z nią związane.
Czy kontrola AI Act może odbywać się zdalnie?
Tak. Art. 49 ust. 3 ustawy przewiduje prowadzenie kontroli lub poszczególnych czynności kontrolnych w sposób zdalny, z wykorzystaniem środków komunikacji na odległość.
W praktyce może to oznaczać, że przedsiębiorca otrzyma żądanie przekazania dokumentów, udostępnienia określonych danych lub złożenia wyjaśnień bez konieczności przyjazdu kontrolujących do siedziby spółki.
Nie wyklucza to jednak kontroli na miejscu. W sytuacjach określonych ustawą Komisja może zdecydować o przeprowadzeniu części lub całości czynności w siedzibie przedsiębiorcy albo innym miejscu związanym z zakresem kontroli.
Czy KRiBSI może uzyskać dostęp do poczty firmowej i chmury?
To jedno z najdalej idących uprawnień przewidzianych przez ustawodawcę.
Zgodnie z art. 52 ust. 1 pkt 1 ustawy kontrolujący może żądać udostępnienia materiałów, dokumentów, korespondencji elektronicznej oraz danych znajdujących się w systemach informatycznych, jeżeli są one związane z przedmiotem kontroli.
Co szczególnie istotne, uprawnienie obejmuje również dostęp do systemów informatycznych oraz chmury obliczeniowej należących do innego podmiotu, jeżeli znajdują się w nich dane kontrolowanego związane z kontrolą i przedsiębiorca ma do nich dostęp.
Przykład: spółka wykorzystuje zewnętrzne oprogramowanie SaaS do analizowania zgłoszeń klientów. Dane nie znajdują się na serwerach spółki, lecz w środowisku dostawcy technologii.
Sam fakt, że system działa w infrastrukturze podmiotu trzeciego, nie wyłącza możliwości żądania dostępu do związanych z kontrolą informacji.
Nie oznacza to jednak nieograniczonego prawa do przeglądania wszystkich danych firmy. Zakres żądania musi pozostawać związany z przedmiotem kontroli i mieścić się w granicach ustawowych uprawnień.
W tym kontekście znaczenie mają również odpowiednie postanowienia umowy SaaS zawartej z dostawcą oprogramowania, w szczególności dotyczące dostępu do danych i współpracy regulacyjnej.
Czy KRiBSI może żądać korespondencji z prawnikiem?
Polska ustawa wprowadza szczególne zasady ochrony określonych materiałów związanych z korzystaniem z pomocy prawnej.
Art. 54 przewiduje procedurę postępowania w przypadku dokumentów lub komunikacji z adwokatem albo radcą prawnym, sporządzonych w celu realizacji prawa kontrolowanego do ochrony prawnej w toku kontroli.
Jeżeli powstanie spór dotyczący charakteru takich materiałów, ustawa przewiduje udział Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.
Warto jednak podkreślić, że ochronie nie podlega automatycznie każda wiadomość wysłana do kancelarii. Znaczenie ma charakter dokumentu, cel jego sporządzenia oraz spełnienie ustawowych przesłanek.
Przed przekazaniem organowi materiałów zawierających informacje poufne warto zatem ocenić ich status prawny.
3. Jakich dokumentów może zażądać KRiBSI podczas kontroli?
Nie istnieje jeden uniwersalny pakiet dokumentów wymagany od wszystkich przedsiębiorców korzystających ze sztucznej inteligencji.
Jest to bardzo ważne, ponieważ w praktyce rynkowej pojęcie „dokumentacji AI Act” bywa przedstawiane tak, jakby każdy przedsiębiorca musiał posiadać identyczny zestaw polityk, analiz i rejestrów.
Tak nie jest.
Trzeba odróżnić dokumentację, której sporządzenie jest obowiązkowe na podstawie konkretnych przepisów, od dokumentów, które jedynie ułatwiają wykazanie zgodności.
Zestawienie wykorzystywanych systemów AI
Pierwszym zagadnieniem, które może wymagać wyjaśnienia, jest ustalenie, gdzie i w jaki sposób przedsiębiorca wykorzystuje sztuczną inteligencję.
Przydatne może okazać się zestawienie używanych narzędzi, opis ich funkcji, określenie dostawców, wskazanie osób odpowiedzialnych za wykorzystanie systemów oraz ustalenie, jakie dane są w nich przetwarzane.
Nie każda firma ma obowiązek prowadzenia odrębnego rejestru AI. Takie zestawienie może jednak uporządkować procesy i ułatwić przedstawienie organowi faktycznego sposobu wykorzystywania sztucznej inteligencji.
Dokumentacja dotycząca obowiązków informacyjnych
Szczególne znaczenie mają wymagania dotyczące przejrzystości wynikające z art. 50 AI Act.
Od 2 sierpnia 2026 r. stosuje się obowiązki dotyczące między innymi określonych interakcji z systemami AI oraz oznaczania niektórych treści syntetycznych, z uwzględnieniem przewidzianych wyjątków i okresów przejściowych.
W przypadku chatbota obsługującego klientów przedmiotem analizy może być sposób informowania użytkownika, że rozmawia z systemem sztucznej inteligencji.
Firma może wykazać sposób realizacji tego obowiązku na przykład poprzez dokumentację wdrożenia, opis konfiguracji lub zapis komunikatu przedstawianego użytkownikom.
Nie oznacza to, że każdy przedsiębiorca musi przechowywać zrzuty ekranu. Są one jednym z możliwych dowodów przedstawiających działanie systemu.
Zasady informowania użytkowników zostały szerzej wyjaśnione w artykule AI Act – kiedy oznaczać treści AI, chatboty i deepfake?.
Dokumentacja kompetencji pracowników
Art. 4 AI Act przewiduje obowiązek podejmowania działań wspierających rozwój kompetencji w zakresie sztucznej inteligencji wśród osób zajmujących się obsługą i wykorzystywaniem systemów AI.
Po zmianach z lipca 2026 r. przepis wyraźnie wskazuje, że przedsiębiorca nie musi zagwarantować osiągnięcia konkretnego poziomu kompetencji przez każdą osobę.
Nie istnieje również jeden obowiązkowy certyfikat AI Act dla wszystkich pracowników.
W zależności od organizacji odpowiednimi działaniami mogą być szkolenia, instrukcje stanowiskowe, wewnętrzne materiały edukacyjne albo zasady bezpiecznego korzystania z narzędzi.
Istotne jest to, aby działania były dostosowane do rzeczywistych zastosowań AI i związanych z nimi ryzyk.
Dokumentacja techniczna i ocena ryzyka
W przypadku systemów wysokiego ryzyka katalog obowiązków jest znacznie szerszy.
W określonych przypadkach może obejmować między innymi dokumentację techniczną, system zarządzania ryzykiem, rejestry zdarzeń, odpowiednie instrukcje, ocenę zgodności oraz obowiązki dotyczące monitorowania systemu.
Nie należy jednak przypisywać tych wymagań automatycznie każdej firmie korzystającej z gotowego narzędzia AI.
Znaczenie ma rola przedsiębiorcy, kategoria systemu, sposób jego wykorzystania oraz termin rozpoczęcia stosowania odpowiednich przepisów.
To właśnie dlatego ocena prawna powinna poprzedzać przygotowanie dokumentacji, a nie odwrotnie.
4. Jak przygotować firmę do kontroli AI Act?
W pierwszej kolejności warto ustalić, czy przedsiębiorstwo w ogóle posiada pełną wiedzę o wykorzystywanych systemach sztucznej inteligencji.
Często wdrożenie AI nie rozpoczyna się od formalnej decyzji zarządu. Narzędzie testuje jeden dział, później korzystają z niego kolejne osoby, a po kilku miesiącach system staje się częścią procesu biznesowego.
W takim przypadku problemem może być nie tylko brak dokumentacji, lecz również brak jasnego podziału odpowiedzialności.
Ustal, gdzie wykorzystywana jest sztuczna inteligencja
Pierwszym krokiem powinna być identyfikacja systemów AI wykorzystywanych w przedsiębiorstwie.
Warto uwzględnić nie tylko oprogramowanie zakupione centralnie, ale również narzędzia wykorzystywane przez poszczególne zespoły.
Pracownicy mogą korzystać z narzędzi generatywnych do przygotowywania ofert, analizy dokumentów, pisania kodu czy opracowywania informacji dotyczących klientów.
Nie wszystkie te zastosowania będą wiązały się z takim samym ryzykiem.
Oceń rolę firmy i obowiązujące przepisy
Następnie należy ustalić, czy spółka jest dostawcą, podmiotem stosującym czy innym uczestnikiem obrotu objętym przepisami.
Dopiero na tym etapie można prawidłowo określić zakres wymagań.
Przedsiębiorca nie powinien przygotowywać dokumentacji przewidzianej dla dostawcy systemu wysokiego ryzyka tylko dlatego, że korzysta z gotowej aplikacji wykorzystującej AI.
Podobnie nie należy zakładać, że skoro rozwiązanie zostało kupione od zewnętrznego dostawcy, cała odpowiedzialność regulacyjna spoczywa wyłącznie na nim.
Sprawdź, czy dokumenty odzwierciedlają rzeczywistość
Sama obecność polityki AI w firmie nie wystarczy, jeżeli jej postanowienia nie odpowiadają temu, jak pracownicy faktycznie korzystają z narzędzi.
Przykładowo niewiele daje procedura zakazująca wprowadzania danych klientów do publicznych narzędzi AI, jeśli firma nie przekazała pracownikom żadnych instrukcji, a zakaz nie jest przestrzegany.
Dobrze przygotowana polityka AI w firmie powinna być zrozumiała, możliwa do stosowania i dostosowana do konkretnych procesów.
Nie musi być dokumentem bardzo rozbudowanym. Musi natomiast rozwiązywać rzeczywiste problemy.
Ustal zasady współpracy podczas kontroli
Przedsiębiorca powinien wiedzieć, kto reprezentuje organizację, kto przygotowuje dokumenty, kto kontaktuje się z dostawcami technologii oraz kto odpowiada za kwestie prawne.
Warto również określić sposób postępowania z dokumentami zawierającymi tajemnicę przedsiębiorstwa, dane osobowe oraz komunikację objętą szczególną ochroną prawną.
Jeżeli kontrola dotyczy zaawansowanego rozwiązania technologicznego, konieczna może być współpraca zarządu, działu IT, osób odpowiedzialnych za compliance oraz kancelarii prawnej.
Przykład: firma wykorzystuje AI do analizy reklamacji
Załóżmy, że przedsiębiorca wdrożył system AI, który analizuje reklamacje klientów i przygotowuje rekomendacje dotyczące ich rozpatrywania.
System nie podejmuje ostatecznych decyzji, ale jego oceny stanowią podstawę pracy zespołu obsługi klienta.
W takim przypadku warto ustalić, jakie informacje są przekazywane do systemu, w jaki sposób wykorzystywane są jego wyniki, czy pracownicy mają możliwość zakwestionowania rekomendacji oraz kto odpowiada za nadzór nad procesem.
Dodatkowo należy ocenić zasady przetwarzania danych osobowych i warunki umowy z dostawcą.
Nie każda z tych kwestii wynika bezpośrednio z jednego przepisu AI Act. Razem pozwalają jednak ustalić rzeczywisty model wykorzystania technologii i zidentyfikować obowiązki przedsiębiorcy.
Przygotowanie do kontroli nie powinno sprowadzać się do gromadzenia dokumentów. Powinno polegać na uporządkowaniu odpowiedzialności za wykorzystanie sztucznej inteligencji w firmie.
5. Co grozi przedsiębiorcy po kontroli AI Act? Protokół, zalecenia i kary
Czy kontrola AI Act zawsze kończy się karą?
Nie. Samo wszczęcie kontroli nie oznacza stwierdzenia naruszenia.
Zgodnie z art. 56 polskiej ustawy z przeprowadzonej kontroli sporządza się protokół. Przedsiębiorca ma 14 dni od jego doręczenia na podpisanie i odesłanie albo wniesienie pisemnych zastrzeżeń.
Jeżeli kontrola wykaże nieprawidłowości, Komisja może wydać zalecenia pokontrolne, wskazując zakres wymaganych działań i termin ich wykonania.
Co do zasady termin na usunięcie nieprawidłowości nie powinien być krótszy niż 30 dni od doręczenia zaleceń, z uwzględnieniem wyjątków przewidzianych w ustawie.
Niewykonanie zaleceń lub brak poinformowania Komisji o ich realizacji może prowadzić do wszczęcia postępowania w sprawie naruszenia przepisów.
Jakie kary przewiduje AI Act?
W zależności od charakteru naruszenia art. 99 AI Act przewiduje różne poziomy maksymalnych administracyjnych kar pieniężnych.
Za naruszenie zakazanych praktyk AI górny pułap wynosi do 35 mln euro albo 7% światowego rocznego obrotu przedsiębiorstwa.
W przypadku naruszenia określonych obowiązków, w tym wymagań dotyczących przejrzystości z art. 50, przewidziano kary do 15 mln euro albo 3% światowego rocznego obrotu.
Za przekazanie określonych nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji właściwym organom maksymalny poziom wynosi do 7,5 mln euro albo 1% światowego rocznego obrotu.
Są to ustawowe limity, a nie kary nakładane automatycznie. W przypadku MŚP, w tym startupów, przewidziano szczególne, korzystniejsze zasady ustalania maksymalnego pułapu sankcji.
Szczegółowe zasady można sprawdzić w art. 99 AI Act na oficjalnej stronie Komisji Europejskiej.
Przy ocenie ryzyka należy również pamiętać, że nie każde uchybienie organizacyjne oznacza naruszenie zagrożone najwyższą karą.
Czy mała firma korzystająca z ChatGPT musi posiadać dokumentację AI Act?
Nie istnieje jeden pakiet dokumentacji obowiązkowy dla każdej małej firmy korzystającej z ChatGPT.
Przedsiębiorca powinien jednak przeanalizować sposób wykorzystania systemu, sprawdzić swoje obowiązki i podjąć działania wymagane przez przepisy, które już znajdują zastosowanie.
W wielu przypadkach istotne będą kwestie kompetencji pracowników, zasad korzystania z narzędzi, poufności informacji oraz ochrony danych.
Czy można wystąpić do KRiBSI o opinię przed wdrożeniem systemu AI?
Tak. Polska ustawa przewiduje możliwość wystąpienia o opinię indywidualną dotyczącą określonego stanu faktycznego albo planowanego działania.
Opłata za wniosek wynosi 150 zł. Komisja powinna wydać opinię zasadniczo w terminie 30 dni, a w szczególnie skomplikowanych sprawach w terminie 60 dni.
Co ważne, opinia może wiązać właściwe organy w odniesieniu do opisanego we wniosku stanu faktycznego, na zasadach określonych w ustawie.
Szczegółowe informacje i formularz zostały udostępnione na oficjalnej stronie KRiBSI dotyczącej opinii indywidualnych.
Czy warto przygotować firmę już teraz?
Tak, ale działania powinny być proporcjonalne do sposobu wykorzystania AI.
Przedsiębiorca, który korzysta z jednego narzędzia wspierającego pracowników, nie musi wdrażać takiej samej dokumentacji jak dostawca zaawansowanego systemu przeznaczonego do wykorzystania w obszarze wysokiego ryzyka.
Z drugiej strony odkładanie jakiejkolwiek analizy do momentu otrzymania zawiadomienia o kontroli może utrudnić odtworzenie wcześniejszych decyzji, ustalenie odpowiedzialności i zebranie potrzebnych informacji.
Najważniejsze jest to, aby przedsiębiorca potrafił odpowiedzieć na trzy pytania: z jakiej sztucznej inteligencji korzysta, jakie obowiązki go dotyczą i w jaki sposób wykazuje ich realizację.
W Pasternak Business Law zajmujemy się doradztwem prawnym dla przedsiębiorców w obszarze nowych technologii, umów IT i regulacji dotyczących sztucznej inteligencji.
Wspieramy firmy w ustalaniu obowiązków wynikających z AI Act, ocenie rozwiązań technologicznych, przygotowywaniu dokumentacji oraz analizie ryzyka prawnego związanego z wdrażaniem AI.
Jeżeli Twoja firma planuje wdrożenie systemu AI lub chce zweryfikować zgodność wykorzystywanych narzędzi z aktualnymi przepisami, skontaktuj się z kancelarią Pasternak Business Law.
Podstawa prawna: rozporządzenie (UE) 2024/1689 (AI Act), zmienione rozporządzeniem (UE) 2026/1744, oraz ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003), w szczególności art. 48–57 i art. 104.