Status: wyrok Divisional Court; tekst sprawdzony u źródła (judiciary.uk) 5.08.2026.

Status: postanowienie w przedmiocie dozwolonego użytku; spór zakończony ugodą zatwierdzoną prawomocnie 20.07.2026, więc nie powstał precedens co do istoty; sprawdzone w publicznej bazie akt (CourtListener) 5.08.2026.

Status: PRAWOMOCNE: żadna ze stron nie wniosła apelacji, co potwierdza komunikat pekińskiego portalu organów wymiaru sprawiedliwości ze stycznia 2024 r. Uwaga co do źródła: komunikat, do którego odsyła ten wpis, nie zawiera sygnatury ani daty wyroku; te dwa elementy pochodzą z opracowań wtórnych. Sprawdzone 5.08.2026.

Status: wyrok uchylający decyzję organu ochrony danych; sąd uznał zwykłą rewizję do Trybunału Administracyjnego za niedopuszczalną (art. 133 ust. 4 B-VG); tekst sprawdzony u źródła (RIS, urzędowy system informacji prawnej) 5.08.2026; nie sprawdzałem, czy wniesiono rewizję nadzwyczajną.

Status: NIEPRAWOMOCNE. Trybunał uchylił orzeczenie pierwszej instancji i przekazał sprawę do ponownego rozpoznania co do istoty, więc kara 7,5 mln funtów ani nakaz nie zostały przywrócone. 19.12.2025 spółka uzyskała zgodę na apelację; na 5.08.2026 nie ma wyroku Court of Appeal ani nowego rozstrzygnięcia pierwszej instancji. Sprawdzone w urzędowej bazie orzeczeń gov.uk 5.08.2026.

Status: środek pilny z art. 58 ust. 2 lit. f RODO, wydany w toku postępowania wyjaśniającego i obejmujący całość przetwarzania danych osób we Włoszech, ze skutkiem natychmiastowym od doręczenia. NIE jest to rozstrzygnięcie kończące sprawę; pouczenie przewiduje opozycję do sądu powszechnego. Na 5.08.2026 blokada obowiązuje, postępowanie wyjaśniające nie zakończyło się karą pieniężną, nie znalazłem informacji o wniesieniu opozycji. Sprawdzone u źródła 5.08.2026.

Status: decyzja UCHYLONA wyrokiem Trybunału w Rzymie z 18.03.2026 z powodu braku właściwości organu włoskiego; zarzuty merytoryczne nie zostały rozstrzygnięte; sprawdzone 5.08.2026 (komunikat organu oraz relacje z wyroku).

Status: wyrok trybunału konstytucyjnego w trybie kontroli orzeczeń o ochronie praw (tutela); tekst sprawdzony u źródła (relatoria Trybunału) 5.08.2026.

Status: decyzja ZASKARŻONA: w opublikowanym tekście odnotowano, że dodatkowej sankcji w postaci publikacji nie stosuje się z uwagi na toczące się postępowanie z opozycji. Na 5.08.2026 nie ustaliłem, przed którym sądem toczy się sprawa ani czy karę wykonano. Uwaga co do kwoty: w opublikowanej decyzji jest zakryta, 5 mln euro podaje komunikat organu z 19.05.2025 (docweb 10132048). Sprawdzone u źródła 5.08.2026.

Status: wyrok NIEPRAWOMOCNY (sąd zaznaczył to wprost w komunikacie); pozwana zapowiedziała rozważenie apelacji, na 5.08.2026 brak informacji o jej wniesieniu; sprawdzone u źródła (komunikat prasowy sądu nr 16/2026) 5.08.2026.

Status: wyrok I instancji; metryka sprawdzona u źródła (judiciary.uk) 5.08.2026.

Status: wyroki sądu apelacyjnego zmieniające rozstrzygnięcia pierwszej instancji; sygnatury i rozstrzygnięcia sprawdzone w publicznej bazie orzeczeń (rechtspraak.nl) 5.08.2026.

Status: orzeczenie First-tier Tribunal; tekst sprawdzony u źródła (National Archives, Find Case Law) 5.08.2026.

Status: SPRAWA NIEZAKOŃCZONA. Postanowienie z 25.06.2025 rozstrzygnęło wzajemne wnioski o częściowe rozstrzygnięcie bez procesu i dotyczy wyłącznie roszczenia o zwielokrotnienie oraz trzynastu wskazanych powodów. Roszczenie z ustawy CDAFA oddalono w marcu 2025 r., roszczenie z ustawy DMCA pozwana wygrała w czerwcu 2025 r. Dalej toczą się roszczenia o rozpowszechnianie w sieci BitTorrent oraz o pomocnictwo w naruszeniu (to drugie dopuszczone postanowieniem z 25.03.2026). 8.07.2026 sąd odmówił certyfikacji apelacji wpadkowej. Sprawdzone w aktach sprawy 5.08.2026.

Status: postanowienie oznaczone „FOR PUBLICATION”, czyli wiążące w Dziewiątym Okręgu; tekst sprawdzony u źródła (serwer sądu, 30 stron) 5.08.2026; przebiegu postępowania przed izbą adwokacką Kalifornii nie sprawdzałem.

Status: wyrok NIEPRAWOMOCNY; apelacja do Sądu Krajowego Wyższego w Monachium w toku, nierozstrzygnięta na 5.08.2026; sygnatura i rozstrzygnięcie sprawdzone u źródła (komunikat prasowy sądu) 5.08.2026.

Status: postanowienie o sankcjach; sprawa zakończona w pierwszej instancji; sygnatura, data i rozstrzygnięcie sprawdzone w publicznej bazie orzeczeń 5.08.2026.

Status: orzeczenie trybunału; sygnatura, data i rozstrzygnięcie sprawdzone w publicznej bazie orzeczeń (CanLII) 5.08.2026.

Status: wyrok NIEPRAWOMOCNY; rewizja dopuszczona i wniesiona, sprawa zawisła przed Federalnym Trybunałem Sprawiedliwości pod sygnaturą I ZR 281/25, rozprawa wyznaczona na 3 września 2026 r.; tekst wyroku sprawdzony u źródła 5.08.2026.

Status: orzeczenie w postępowaniu ZABEZPIECZAJĄCYM, oparte na ocenie pobieżnej; sąd apelacyjny orzekał jako jedyna instancja, więc w tym trybie nie przysługuje dalszy środek zaskarżenia, ale strony zachowały drogę procesu głównego. W tym trybie nie można też zadać pytania prejudycjalnego do TSUE, więc wykładnia art. 6 ust. 1 lit. f i art. 9 RODO nie została skonfrontowana z Trybunałem. Na 5.08.2026 nie znalazłem informacji o wszczęciu sprawy głównej. Sprawdzone w urzędowej bazie orzeczeń NRWE 5.08.2026.

Status: wyrok sądu okręgowego, niezaskarżony przez państwo; sygnatura i rozstrzygnięcie sprawdzone w publicznej bazie orzeczeń (rechtspraak.nl) 5.08.2026.

Status: ZAKOŃCZONA. Wniosek o ponowne rozpoznanie oddalono 12.05.2025; skargę o przyjęcie sprawy do rozpoznania złożono 9.10.2025, kierowano na konferencje 12.12.2025 i 27.02.2026, a 2.03.2026 Sąd Najwyższy odmówił jej uwzględnienia (co nie jest rozstrzygnięciem co do istoty). Tekst wyroku sprawdzony u źródła 5.08.2026.

Status: orzeczenie częściowe w I instancji; zażalenie przyjęte przez Sąd Apelacyjny dla Trzeciego Okręgu, rozprawa 11.06.2026, sprawa NIEROZSTRZYGNIĘTA; sprawdzone w publicznej bazie akt (CourtListener) 5.08.2026.

Status: wyrok prejudycjalny TSUE, wiążąca wykładnia; sygnatura i sentencja sprawdzone w bazie orzeczeń TSUE 5.08.2026.

Status: wyrok prejudycjalny TSUE, wiążąca wykładnia; sygnatura i sentencja sprawdzone w bazie orzeczeń TSUE 5.08.2026.

Status: uzasadnienie wraz z zarządzeniem; nazwisko pełnomocnika sąd zanonimizował. UWAGA co do źródła: sąd nie udostępnia tego orzeczenia pod adresem otwartym dla automatycznego pobrania (AustLII i strona sądu odpowiadają odmową dostępu), więc treść sprawdziłem 5.08.2026 na pełnej transkrypcji dokumentu sądowego w Wikiźródłach, a nie w serwisie urzędowym.

Status: orzeczenie o kosztach (wersja skorygowana 23.02.2024); tekst sprawdzony u źródła (serwis sądów Kolumbii Brytyjskiej) 5.08.2026; wyniku postępowania przed samorządem prawniczym nie sprawdzałem.

[ustalone] Przepis stosuje się od 2 lutego 2025 r. i obejmuje nie tylko dostawców, lecz także każdy podmiot stosujący systemy AI w ramach działalności zawodowej (art. 3 pkt 4), a więc kancelarię, urząd i spółkę, których personel korzysta z takich narzędzi w pracy. Przepis nie przewiduje odrębnej kary pieniężnej; braki w weryfikacji wyników pracy narzędzia bywają jednak oceniane na gruncie standardów zawodowych i etyki, niezależnie od AI Act.

[sporne] Spór o to, czy przepis każe zagwarantować każdej osobie określony poziom kompetencji, zamknęła nowelizacja: od 27.07.2026 zdanie drugie ust. 1 wprost tego nie wymaga. Otwarte zostaje pytanie węższe, za to praktyczniejsze: jakie środki są wystarczające i czym się je wykazuje. Przepis mówi o środkach wspierających rozwój kompetencji, nie wskazując ani formy, ani miary. Praktyczne przykłady ma publikować Komisja na platformie z art. 62 ust. 3 lit. b), a zalecenia, z uwzględnieniem europejskich ram kompetencji, ma przyjąć Rada ds. AI (ust. 2 i 3).

[ocena] W kancelarii rozsądnym punktem wyjścia jest ustalenie pisemnych zasad korzystania z AI, wskazanie osoby odpowiedzialnej i szkolenie prowadzone na narzędziach, których zespół naprawdę używa, a nie ogólny wykład. Taki układ odpowiada też kierunkowi przyjętemu w Rekomendacjach KIRP.

[ustalone] Artykuł zakazuje ośmiu praktyk w zakresie AI, obowiązujących od 2 lutego 2025 r. Są to: stosowanie technik podprogowych lub manipulacyjnych, które w istotny sposób zniekształcają zachowanie danej osoby i wyrządzają jej poważną szkodę (ust. 1 lit. a); wykorzystywanie słabości osoby ze względu na wiek, niepełnosprawność albo trudną sytuację społeczną lub ekonomiczną (lit. b); scoring społeczny, czyli ocenianie lub klasyfikowanie osób na podstawie ich zachowania społecznego w sposób krzywdzący lub nieproporcjonalny (lit. c); ocenę ryzyka popełnienia przestępstwa opartą wyłącznie na profilowaniu (lit. d); masowe pobieranie wizerunków twarzy z internetu lub nagrań monitoringu do baz rozpoznawania twarzy (lit. e); rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych, poza wyjątkiem medycznym lub bezpieczeństwa (lit. f); kategoryzację biometryczną służącą wnioskowaniu o rasie, poglądach politycznych, przynależności związkowej, przekonaniach religijnych lub orientacji seksualnej (lit. g); oraz, co do zasady i z wąskimi wyjątkami, zdalną identyfikację biometryczną w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw (lit. h). Naruszenie zakazu podlega jednej z najwyższych kar przewidzianych w całym rozporządzeniu.

[ocena] Dla kancelarii i urzędu praktyczne znaczenie mają moim zdaniem przede wszystkim trzy z tych zakazów. Po pierwsze, zakaz rozpoznawania emocji pracownika w miejscu pracy (lit. f) obejmuje narzędzia AI, które wnioskują o stanie emocjonalnym zatrudnionej osoby na podstawie jej danych biometrycznych, na przykład z obrazu twarzy lub z cech głosu, jak przy ocenie nagrań z rozmów rekrutacyjnych albo przy monitoringu wideokonferencji. Warunek danych biometrycznych wynika z definicji systemu rozpoznawania emocji (art. 3 pkt 39 rozporządzenia), a potwierdzają go motyw 44 oraz wytyczne Komisji Europejskiej w sprawie zakazanych praktyk z lutego 2025 r. Dlatego sama analiza treści tekstu, w tym analiza sentymentu wypowiedzi pracownika, jeżeli nie sięga po dane biometryczne, nie jest systemem rozpoznawania emocji w rozumieniu rozporządzenia i nie podlega zakazowi z lit. f, choć może podlegać RODO, prawu pracy oraz zakazowi dyskryminacji. Po drugie, zakaz scoringu społecznego (lit. c) ogranicza budowanie profili oceniających klientów, obywateli lub pracowników na podstawie ich zachowania z różnych, niepowiązanych kontekstów. Po trzecie, zakaz zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej (lit. h) jest adresowany do organów ścigania i w zwykłej działalności kancelarii nie znajduje zastosowania, ale może mieć znaczenie dla urzędu współpracującego z takimi organami albo prowadzącego własny monitoring przestrzeni publicznej.

[sporne] Przepis nie precyzuje, co dokładnie mieści się w wyjątku „ze względów medycznych lub bezpieczeństwa” od zakazu rozpoznawania emocji w miejscu pracy (lit. f). Według jednego stanowiska wyjątek obejmuje wyłącznie systemy o wyraźnie medycznym lub bezpieczeństwym przeznaczeniu, na przykład wykrywanie zmęczenia kierowcy w transporcie. Według drugiego stanowiska wyjątek można odczytywać szerzej i objąć nim także narzędzia opisane przez pracodawcę jako służące zapobieganiu wypadkom lub przeciążeniu, nawet jeśli w praktyce oceniają samopoczucie pracownika w szerszym zakresie niż wąsko rozumiane bezpieczeństwo. Sam przepis tej granicy nie wyznacza.

[ocena] Przegląd narzędzi AI pod kątem art. 5 warto zacząć od prostego spisu systemów używanych w organizacji, ze szczególnym naciskiem na te stosowane w rekrutacji, ocenie pracowniczej oraz obsłudze klienta lub obywatela: to tam najczęściej pojawia się rozpoznawanie emocji, profilowanie albo elementy scoringu. Przy każdym takim narzędziu warto ustalić, do czego faktycznie służy funkcja opisana przez dostawcę, a nie tylko, jak ta funkcja jest nazwana w materiałach marketingowych, bo to rzeczywiste zastosowanie decyduje o tym, czy mieści się w zakazie.

[ustalone] Artykuł ustanawia katalog obowiązków podmiotu stosującego system AI wysokiego ryzyka: podjęcie odpowiednich środków technicznych i organizacyjnych, aby system był wykorzystywany zgodnie z dołączoną do niego instrukcją obsługi (ust. 1), powierzenie nadzoru ze strony człowieka osobom mającym niezbędne kompetencje, przeszkolenie, uprawnienia i wsparcie (ust. 2), kontrolę adekwatności i wystarczającej reprezentatywności danych wejściowych w zakresie, w jakim podmiot stosujący ma nad nimi kontrolę (ust. 4), monitorowanie działania systemu z obowiązkiem informowania dostawcy, a przy poważnym incydencie także właściwego organu nadzoru rynku (ust. 5), oraz przechowywanie generowanych automatycznie rejestrów zdarzeń przez co najmniej sześć miesięcy, chyba że inny przepis każe dłużej (ust. 6). Naruszenie tych obowiązków podlega administracyjnej karze pieniężnej w wysokości do 15 000 000 EUR lub do 3% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 lit. e). Po nowelizacji rozporządzeniem (UE) 2026/1744 obowiązki te stosuje się od 2 grudnia 2027 r. dla systemów wysokiego ryzyka z załącznika III oraz od 2 sierpnia 2028 r. dla systemów z załącznika I; pierwotny termin 2 sierpnia 2026 r. został odroczony.

[ustalone] Obowiązki z ust. 1 i 2 nie zwalniają podmiotu stosującego z innych obowiązków wynikających z prawa Unii lub prawa krajowego i pozostawiają mu swobodę organizowania własnych zasobów przy wdrażaniu środków nadzoru wskazanych przez dostawcę (ust. 3). Wynika z tego rozgraniczenie ról: dostawca projektuje system i pisze instrukcję obsługi, podmiot stosujący odpowiada za użycie systemu zgodnie z tą instrukcją. Przed oddaniem systemu do użytku w miejscu pracy pracodawca informuje o tym pracowników, których to dotyczy, oraz ich przedstawicieli (ust. 7). Podmioty stosujące będące organami publicznymi mają dodatkowo obowiązek rejestracji w unijnej bazie danych (art. 49) i nie mogą stosować systemu, który nie został w niej zarejestrowany (ust. 8), a informacje otrzymane od dostawcy na podstawie art. 13 wykorzystują, w stosownych przypadkach, do przeprowadzenia oceny skutków dla ochrony danych (ust. 9). Organ nadzoru rynku właściwy w Polsce wynika z ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003, ogłoszonej 27 lipca 2026 r.), która wchodzi w życie 11 sierpnia 2026 r. Jest nim Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (art. 5 ust. 1 ustawy). Przepisy o kontroli, postępowaniu i karach zaczynają obowiązywać 28 października 2026 r., więc praktyka nadzorcza dopiero się ukształtuje; szerzej o trybie kontroli i drodze odwoławczej piszę w opracowaniu o nadzorze nad AI w Polsce.

[sporne] Sporne pozostaje, jak godzić obowiązek przechowywania rejestrów zdarzeń z zasadami ochrony danych osobowych. Ustęp 6 każe przechowywać rejestry przez co najmniej sześć miesięcy, chyba że prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej. Jedno stanowisko czyta ten zapis jako sztywne minimum, po upływie którego dane powinny zostać usunięte zgodnie z zasadą minimalizacji i ograniczenia przechowywania. Drugie stanowisko przyjmuje, że okres ten trzeba wydłużyć ponad sześć miesięcy, jeżeli jest to potrzebne do wykazania zgodności z rozporządzeniem albo do obrony przed roszczeniem, co samo prawo o ochronie danych dopuszcza jako odrębną podstawę przetwarzania. Przepis tej granicy sam nie rozstrzyga.

[ocena] W urzędzie rozsądnym punktem wyjścia jest najpierw ustalić, które z używanych narzędzi w ogóle kwalifikują się jako systemy AI wysokiego ryzyka w rozumieniu załącznika III do rozporządzenia, bo dopiero wtedy aktualizują się obowiązki z art. 26. Następnie warto wyznaczyć konkretną osobę odpowiedzialną za nadzór ludzki, z opisanym zakresem kompetencji i czasem faktycznie przeznaczonym na tę funkcję, oraz założyć prosty rejestr zdarzeń i zgłoszeń, zanim pojawi się pierwszy przypadek wymagający zgłoszenia dostawcy lub organowi. Udokumentowanie tych kroków od początku jest tańsze niż odtwarzanie ich po fakcie, gdy o zgodność zapyta organ nadzoru rynku.

[ustalone] Art. 50 nakłada cztery odrębne obowiązki przejrzystości, skierowane do różnych podmiotów. Ustęp 1 obciąża dostawcę: system AI przeznaczony do bezpośredniej interakcji z ludźmi ma być tak zaprojektowany, aby osoba fizyczna wiedziała, że rozmawia z systemem AI, chyba że jest to oczywiste z punktu widzenia osoby dostatecznie poinformowanej, uważnej i ostrożnej. Ustęp 2 obciąża dostawcę obowiązkiem oznakowania, w formacie nadającym się do odczytu maszynowego, syntetycznych dźwięków, obrazów, wideo lub tekstu generowanych przez system AI, w tym systemy AI ogólnego zastosowania. Ustępy 3 i 4 dotyczą podmiotu stosującego: informowania osób poddanych rozpoznawaniu emocji lub kategoryzacji biometrycznej oraz ujawniania, że obraz, dźwięk lub wideo stanowiące treść deepfake albo tekst publikowany w sprawach interesu publicznego zostały sztucznie wygenerowane lub zmanipulowane.

[ustalone] Wszystkie te obowiązki stosuje się od 2 sierpnia 2026 r., czyli od terminu zasadniczego wskazanego w rozporządzeniu; art. 50 nie należy do przepisów, dla których przewidziano zastosowanie wcześniejsze (rozdział V, od 2 sierpnia 2025 r.) ani późniejsze (po nowelizacji 2026/1744: załącznik III od 2 grudnia 2027 r., art. 6 ust. 1 i załącznik I od 2 sierpnia 2028 r.). Ustęp 5 wymaga, aby informacja dotarła do zainteresowanej osoby w sposób jasny i wyraźny, najpóźniej przy pierwszej interakcji lub pierwszym użyciu, oraz spełniała wymogi dostępności. Ustęp 6 zastrzega, że obowiązki z art. 50 nie wpływają na wymogi rozdziału III dotyczącego systemów wysokiego ryzyka i pozostają bez uszczerbku dla innych obowiązków przejrzystości z prawa unijnego lub krajowego.

[sporne] Ustęp 4 zwalnia z obowiązku ujawnienia, że tekst został wygenerowany przez AI, sytuacje, w których został on poddany weryfikacji przez człowieka lub kontroli redakcyjnej, a za jego publikację odpowiedzialność redakcyjną ponosi osoba fizyczna lub prawna; ten wyjątek dotyczy wyłącznie tekstu, nie obrazu, dźwięku ani wideo. Sporne pozostaje, jak szeroko rozumieć sam próg, od którego w ogóle powstaje ten obowiązek, czyli „tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym”. Część stanowisk ogranicza go do publikacji o charakterze dziennikarskim w tradycyjnym rozumieniu; inne obejmują nim także wpisy na blogach firmowych, stanowiska zawodowe czy publikacje instytucji publicznych dotyczące spraw ogółu. Przepis granicy tej nie precyzuje.

[ocena] Niezależnie od tego, jak rozstrzygnie się ten spór, praktycznie bezpieczniejsze wydaje mi się oznaczanie każdej publicznie udostępnianej treści, przy której powstaniu system AI odegrał istotną rolę, niezależnie od tego, czy dana publikacja mieści się w wąskim czy szerokim rozumieniu „spraw interesu publicznego”. Dotyczy to zwłaszcza kancelarii i urzędów publikujących na swoich stronach artykuły, komentarze czy stanowiska: koszt jednego zdania informującego o wykorzystaniu AI jest niewielki, a spór interpretacyjny akurat w tym miejscu nie jest wart ryzyka zarzutu naruszenia art. 50 ust. 4.

[ustalone] Artykuł wprowadza trzy poziomy kar administracyjnych, powiązane z wagą naruszenia. Najwyższy dotyczy złamania zakazu praktyk z art. 5 (na przykład manipulacyjnych technik podprogowych czy niedopuszczalnego scoringu społecznego): do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa (ust. 3). Niższy próg, do 15 000 000 EUR lub do 3% obrotu, obejmuje naruszenie obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów i podmiotów stosujących (w tym z art. 26), obowiązków jednostek notyfikowanych oraz obowiązków przejrzystości z art. 50 (ust. 4). Najniższy próg, do 7 500 000 EUR lub do 1% obrotu, dotyczy przekazania jednostkom notyfikowanym lub organom krajowym informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd (ust. 5).

[ustalone] Każdy z trzech progów łączy ta sama zasada: bierze się pod uwagę wyższą z dwóch wartości, kwoty nominalnej albo procentu obrotu, co przy dużych przedsiębiorstwach w praktyce oznacza rozstrzygające znaczenie procentu, nie kwoty. Dla MŚP, w tym przedsiębiorstw typu start-up, rozporządzenie odwraca regułę: kara nie przekracza tej z dwóch wartości, która jest niższa (ust. 6). Samą wysokość kary w granicach danego progu ustala się indywidualnie, uwzględniając między innymi wagę i czas trwania naruszenia oraz jego skutki, liczbę poszkodowanych osób, wielkość operatora i jego roczny obrót, stopień współpracy z organem, umyślny lub wynikający z zaniedbania charakter naruszenia oraz działania podjęte w celu złagodzenia szkody (ust. 7).

[sporne] Sporne pozostaje, jak liczyć „całkowity roczny światowy obrót” spółki należącej do grupy kapitałowej. Jedno stanowisko przenosi na grunt tego przepisu pojęcie przedsiębiorstwa znane z unijnego prawa konkurencji i z praktyki kar na gruncie RODO, czyli za podstawę bierze obrót całej grupy, nie tylko spółki odpowiedzialnej za naruszenie. Drugie stanowisko wskazuje, że przepis mówi o obrocie przedsiębiorstwa, które dopuściło się naruszenia, i bez wyraźnej podstawy nie należy automatycznie doliczać obrotu podmiotów powiązanych. Sam art. 99 tej kwestii wprost nie rozstrzyga.

[ustalone] Widełki kwotowe i procentowe działają wprost, bez potrzeby przenoszenia ich do prawa krajowego, ale rozporządzenie pozostawia państwom członkowskim ustanowienie przepisów o karach i innych środkach egzekwowania prawa wobec operatorów, w tym o ostrzeżeniach i środkach niepieniężnych (ust. 1), a także decyzję, w jakim zakresie karom pieniężnym mogą podlegać krajowe organy i podmioty publiczne (ust. 8). W zależności od systemu prawnego danego państwa karę nakłada właściwy sąd krajowy albo inny właściwy organ (ust. 9), a państwa członkowskie powiadamiają o swoich przepisach Komisję najpóźniej do dnia rozpoczęcia stosowania (ust. 2). Sam art. 99 należy do rozdziału XII rozporządzenia (Kary, art. 99-101), który stosuje się od 2 sierpnia 2025 r., czyli rok przed ogólną datą stosowania rozporządzenia, z wyjątkiem art. 101 o karach dla dostawców modeli AI ogólnego przeznaczenia.

[ocena] Na start stosowania tego przepisu w Polsce nie spodziewam się fali wysokich kar pieniężnych. Zanim organ nadzoru rynku zacznie nakładać kary w górnych widełkach, musi sprawnie działać, czyli mieć wyznaczoną strukturę, obsadę i praktykę kontroli, a to zwykle rozkłada się w czasie po wejściu przepisów w życie. Bardziej prawdopodobne na początku są ostrzeżenia i środki niepieniężne, które rozporządzenie wprost dopuszcza (ust. 1), a pierwsze decyzje pieniężne spodziewam się raczej w sprawach o jaskrawe naruszenie zakazanych praktyk z art. 5 niż w sprawach o niuanse dokumentacyjne. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) wchodzi w życie 11 sierpnia 2026 r. i ustanawia organem nadzoru rynku Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, ale przepisy o kontroli, postępowaniu i karach zaczynają obowiązywać dopiero 28 października 2026 r., a Przewodniczącego Komisji Sejm ma powołać w ciągu dwóch miesięcy od wejścia ustawy w życie. Kary administracyjne nakłada Komisja na podmiot obowiązany do przestrzegania rozporządzenia (art. 104 ust. 1 ustawy), czyli na operatora, którym bywa spółka, jednostka organizacyjna albo osoba fizyczna prowadząca działalność. Osobno ustawa przewiduje odpowiedzialność za wykroczenie, karą ograniczenia wolności albo grzywny, za utrudnianie czynności kontrolnych oraz za niewykonanie decyzji nakazującej zaprzestanie stosowania systemu, i wprost obejmuje nią tego, kto działa w imieniu lub interesie osoby prawnej (art. 112 i art. 113 ustawy). Szerzej: nadzór nad AI w Polsce. Prognoza nie zmniejsza zakresu obowiązków i nie powinna być podstawą decyzji o odłożeniu wdrożenia.

Status: wyrok KIO; prawomocność niepotwierdzona (pouczenie o skardze do Sądu Zamówień Publicznych); zweryfikowane u źródła 23.07.2026.

Status: postanowienie NSA; zweryfikowane u źródła 23.07.2026.