prawo polskieNadzór nad AI w Polsce: kto kontroluje i od kiedy

Do tej pory obowiązki z AI Act nie miały w Polsce adresata po stronie państwa. To się zmienia. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona 27 lipca 2026 r. (Dz.U. 2026 poz. 1003) i wchodzi w życie 11 sierpnia 2026 r. Sejm uchwalił ją w trzecim czytaniu 11 czerwca 2026 r., po rozpatrzeniu poprawek Senatu tekst przyjęto 3 lipca 2026 r., a Prezydent podpisał ustawę 24 lipca 2026 r.

Kto nadzoruje

Organem nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w ustawie nazywana po prostu Komisją (art. 5 ust. 1). Ta sama Komisja pełni funkcję pojedynczego punktu kontaktowego z art. 70 ust. 2 rozporządzenia (art. 5 ust. 2). Organem notyfikującym jest natomiast minister właściwy do spraw informatyzacji, a nie Komisja (art. 86 ust. 1).

Komisja jest ciałem kolegialnym: Przewodniczący, dwóch Zastępców i czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE (art. 19 ust. 1). Członkowie są niezależni w zakresie sprawowania funkcji i nie otrzymują za udział w pracach wynagrodzenia (art. 19 ust. 4 i 5). Uchwały zapadają zwykłą większością, jawnie, przy obecności co najmniej pięciu osób (art. 21 ust. 3). Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję, najwyżej dwukrotnie; Senat ma miesiąc na uchwałę, a jej niepodjęcie oznacza zgodę (art. 28). Przy Komisji działa Społeczna Rada do spraw Sztucznej Inteligencji, organ opiniodawczo-doradczy, który może wnioskować o wszczęcie postępowania (art. 45 do 47).

Terminy uruchomienia liczy się od wejścia ustawy w życie: Przewodniczący ma zostać powołany w ciągu dwóch miesięcy, a pierwsze posiedzenie Komisji ma się odbyć w ciągu trzech miesięcy (art. 125 ust. 2 i 3). Moja ocena, nie treść przepisu: skoro Komisja rozstrzyga uchwałami przy kworum pięciu osób, a pierwsze posiedzenie zwołuje Przewodniczący, przed jego powołaniem organ nie będzie zdolny do działania.

Jak będzie wyglądać kontrola

Przepisy o kontroli zaczną obowiązywać 28 października 2026 r. Kontrola prowadzona jest według zatwierdzonego planu, na podstawie uzyskanych informacji albo w ramach monitorowania rynku (art. 48 ust. 2), a do kontroli przedsiębiorców stosuje się rozdział 5 Prawa przedsiębiorców, czyli między innymi limity czasu kontroli i sprzeciw (art. 48 ust. 3 pkt 1).

Zawiadomienie o wszczęciu ma być doręczone co najmniej siedem dni przed kontrolą, a zasadą jest kontrola zdalna (art. 49 ust. 2 i 3). Kontrola w siedzibie albo bez zachowania siedmiodniowego uprzedzenia wymaga postanowienia i uzasadnionego podejrzenia albo znaczącego prawdopodobieństwa szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 49 ust. 4). Kontrolujący będzie mógł żądać materiałów, dokumentów i korespondencji elektronicznej, uzyskać dostęp do systemów teleinformatycznych, w tym do chmury obliczeniowej należącej do innego podmiotu w zakresie, w jakim kontrolowany ma do niej dostęp, zabezpieczać dowody, żądać wyjaśnień i utrwalać czynności obrazem lub dźwiękiem po uprzednim poinformowaniu (art. 52 ust. 1).

Dla prawników najważniejszy jest art. 54, przy czym ochrona jest węższa, niż podpowiada intuicja. Ustawa nie zna tajemnicy obrończej ani nie chroni tajemnicy zawodowej w ogóle. Chroni dwie kategorie materiałów: komunikację kontrolowanego z adwokatem, radcą prawnym albo prawnikiem z Unii Europejskiej, wytworzoną w celu uzyskania ochrony prawnej w toku tej właśnie kontroli, oraz materiały sporządzone wyłącznie w tym samym celu (art. 54 ust. 1). Po oświadczeniu kontrolowanego kontrolujący zostawia taki materiał na miejscu, ale wolno mu ustalić autora, adresata, tytuł, przedmiot i datę, żądać ustnych wyjaśnień i wersji bez treści chronionych (ust. 2). Przy wątpliwościach materiał trafia do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, który w ciągu miesiąca postanawia o zwrocie kontrolowanemu albo o wydaniu organowi na potrzeby kontroli (ust. 3 i 5). Ciężar dowodu spoczywa na kontrolowanym (ust. 4), a na postanowienie przysługuje zażalenie do sądu drugiej instancji (ust. 6). Warto o tym wiedzieć zawczasu, bo w trakcie czynności nie ma czasu na budowanie argumentacji.

Kontrola kończy się protokołem, do którego kontrolowany w ciągu czternastu dni podpisuje się albo składa zastrzeżenia (art. 56 ust. 6). Zalecenia pokontrolne wyznaczają termin usunięcia nieprawidłowości nie krótszy niż trzydzieści dni, a ich niewykonanie może skutkować wszczęciem postępowania (art. 57).

Postępowanie, decyzja, odwołanie

Postępowanie wszczyna Komisja z urzędu, także na podstawie ustaleń kontroli albo w toku rozpatrywania skargi, lub na wniosek Przewodniczącego, Zastępcy, członka Komisji, krajowego organu publicznego albo Społecznej Rady (art. 58). Nie może trwać dłużej niż sześć miesięcy od doręczenia postanowienia o wszczęciu, a w sprawach nieuregulowanych stosuje się Kodeks postępowania administracyjnego (art. 60 ust. 3, art. 64).

Komisja może najpierw wydać ostrzeżenie w drodze postanowienia; strona ma wtedy dwadzieścia jeden dni na poinformowanie o wykonaniu wskazanych działań (art. 61). Decyzja stwierdzająca naruszenie zawiera środki nakazujące usunięcie skutków w czternaście dni od doręczenia (art. 62 ust. 2). Przy bezpośrednim ryzyku dla życia, zdrowia, bezpieczeństwa lub praw podstawowych Komisja będzie mogła nakazać zaprzestanie stosowania systemu albo wycofanie go z rynku, z rygorem natychmiastowej wykonalności (art. 63).

Droga odwoławcza jest cywilna, nie administracyjna, i to jest zaskoczenie dla wielu praktyków. Odwołanie od decyzji wnosi się do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, za pośrednictwem Komisji, w terminie miesiąca od doręczenia; na postanowienia przysługuje zażalenie w terminie tygodnia. Sąd nie ogranicza się do kasacji: uchyla albo zmienia decyzję i orzeka co do istoty, a skarga kasacyjna przysługuje niezależnie od wartości przedmiotu zaskarżenia. Opłata od odwołania wynosi 1000 zł, od zażalenia 500 zł (art. 32 ustawy o kosztach sądowych w sprawach cywilnych w brzmieniu nadanym art. 120 ustawy).

Skutek wstrzymujący trzeba czytać wąsko. Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej, ale art. 67 odsyła do odwołania z art. 65 ust. 2, czyli od decyzji stwierdzającej naruszenie (art. 62 ust. 1) i decyzji o zaprzestaniu stosowania albo wycofaniu systemu (art. 63 ust. 2). Odwołanie od samej decyzji nakładającej administracyjną karę pieniężną idzie osobnym trybem z art. 109 i ustawa nie łączy z nim skutku wstrzymującego.

Kto może złożyć skargę

Skargę, o której mowa w art. 85 AI Act, będzie mogła złożyć każda osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej (art. 59 ust. 1). Ustawa nie wymaga wykazania interesu prawnego ani opłaty. Skarga powinna wskazywać nazwę lub opis systemu, w miarę możliwości dane podmiotu, opis istotnych faktów i powody, dla których skarżący uważa, że doszło do naruszenia (art. 59 ust. 2). Forma jest elektroniczna, papierowa dopuszczalna tylko wtedy, gdy złożenie elektroniczne nie jest możliwe (art. 59 ust. 3).

Jedna rzecz bywa myląca: skarga sama nie wszczyna postępowania. Komisja wszczyna je z urzędu, jeżeli w toku rozpatrywania skargi stwierdzi, że mogło dojść do naruszenia, a skarżący nie staje się przez to stroną (art. 58 pkt 1 lit. b, art. 60 ust. 1).

Kary

Administracyjne kary pieniężne nakłada Komisja w drodze decyzji, w przypadkach, wysokości i na warunkach określonych w rozdziale XII AI Act (art. 104 ust. 1). Karę ponosi podmiot obowiązany do przestrzegania rozporządzenia, czyli operator: spółka, jednostka organizacyjna albo osoba fizyczna, która sama prowadzi działalność. Kara administracyjna nie obciąża osoby kierującej organizacją z samego tytułu kierowania, ale też nie omija przedsiębiorcy dlatego, że działa jednoosobowo. Widełki wynikają z art. 99 rozporządzenia: do 35 000 000 EUR albo 7% całkowitego rocznego światowego obrotu za praktyki zakazane z art. 5 i do 15 000 000 EUR albo 3% za naruszenie obowiązków podmiotu stosującego z art. 26 lub obowiązków przejrzystości z art. 50, w zależności od tego, która kwota jest wyższa; dla małych i średnich przedsiębiorstw stosuje się kwotę niższą (art. 99 ust. 6).

Osobno, od 28 października 2026 r., ustawa przewiduje odpowiedzialność za wykroczenie i to jest miejsce, w którym sankcja dosięga wprost osobę fizyczną działającą za organizację. Karze ograniczenia wolności albo grzywny podlega ten, kto utrudnia lub udaremnia czynności kontrolne albo czynności w postępowaniu administracyjnym (art. 112 ust. 1), oraz ten, kto nie wykonuje decyzji Komisji nakazującej zaprzestanie stosowania systemu lub wycofanie go z rynku, wydanej przy bezpośrednim zagrożeniu dla życia, zdrowia, bezpieczeństwa lub praw podstawowych (art. 113 ust. 1 w związku z art. 63 ust. 2). W obu wypadkach ustawa wprost obejmuje tą samą karą tego, kto dopuszcza się czynu, działając w imieniu lub w interesie osoby prawnej albo jednostki organizacyjnej nieposiadającej osobowości prawnej (art. 112 ust. 2 i art. 113 ust. 2). Orzekanie następuje w trybie Kodeksu postępowania w sprawach o wykroczenia (art. 114).

Co z tego wynika w praktyce

Poniżej moja ocena, a nie treść przepisów. Po pierwsze, do końca października nie ma organu, do którego dałoby się złożyć skargę, ani trybu, w którym dałoby się przeprowadzić kontrolę; to nie znaczy jednak, że obowiązki z AI Act nie działają, bo one wiążą niezależnie od tego, kto ich pilnuje. Po drugie, w praktyce pierwsze realne postępowania wydają się mało prawdopodobne przed ukonstytuowaniem się Komisji i obsadzeniem jej obsługi, a więc raczej w 2027 roku niż w tym. Po trzecie, dla kancelarii i działów prawnych najważniejszy jest dziś art. 54: warto z góry wiedzieć, jak oznaczana i przechowywana jest komunikacja z prawnikiem, bo w razie sporu to kontrolowany musi wykazać, że dany materiał spełnia przesłanki z tego przepisu, a są one węższe niż potoczne rozumienie tajemnicy zawodowej.

Źródła: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, ogłoszona 27 lipca 2026 r. (Dziennik Ustaw, przebieg prac: druk sejmowy 2443); rozporządzenie (UE) 2024/1689 (EUR-Lex) w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 (EUR-Lex). Skrót „KRiBSI”, spotykany w komunikatach, nie występuje w tekście ustawy. Terminy powołania Przewodniczącego i pierwszego posiedzenia wynikają z policzenia terminów z art. 125 w związku z art. 127; ustawa nie podaje ich wprost ani nie reguluje przesunięcia terminu przypadającego na dzień wolny. Treść ma charakter ogólny i nie zastępuje porady prawnej w indywidualnej sprawie.