KRiBSI: nowy regulator AI w Polsce - kto to jest i jak realnie wpłynie na Twój produkt

Ilustracja wygenerowana przez AI (model GPT Image 2 na platformie FOTOhub.app). Oznaczenie zgodnie z art. 50 AI Act.

24 lipca 2026 roku prezydent Karol Nawrocki podpisał ustawę o systemach sztucznej inteligencji, kończąc kilkanaście miesięcy prac legislacyjnych i tworząc jednocześnie instytucję, która od listopada 2026 roku będzie decydować o tym, czy polskie firmy budujące produkty oparte na AI mogą spać spokojnie, czy powinny już teraz przemyśleć swoją architekturę zgodności. Ta instytucja nazywa się Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, i choć jej nazwa brzmi jak kolejny biurokratyczny twór z akronimem, który zniknie z pamięci opinii publicznej równie szybko, jak się w niej pojawił, jej realne kompetencje są na tyle szerokie, że każdy founder budujący produkt z komponentem AI powinien poświęcić najbliższą godzinę na zrozumienie, czym KRiBSI faktycznie jest, a czym nie jest.

Zacznijmy od podstaw formalnych, bo w tym przypadku diabeł tkwi w szczegółach ustrojowych, a nie tylko w treści przepisów materialnych. KRiBSI ma być niezależnym organem kolegialnym, obsługiwanym organizacyjnie i administracyjnie przez Ministerstwo Cyfryzacji, co w praktyce oznacza, że Komisja nie będzie samodzielną agencją z własnym budżetem i pełną autonomią operacyjną, lecz ciałem funkcjonującym w strukturze resortu, choć formalnie niezależnym decyzyjnie. To rozwiązanie od początku wzbudzało wątpliwości prawników specjalizujących się w prawie nowych technologii, którzy zwracali uwagę, że obsługa administracyjna organu nadzoru rynku przez ten sam resort, który odpowiada za politykę rozwoju cyfryzacji w Polsce, rodzi pytania o rzeczywistą niezależność instytucjonalną KRiBSI, zwłaszcza w sprawach, w których interesy rozwoju gospodarczego mogłyby się ścierać z interesami restrykcyjnego nadzoru. Wiceminister cyfryzacji Dariusz Standerski uzasadniał to rozwiązanie względami budżetowymi, wskazując, że umieszczenie obsługi Komisji w ramach istniejącej struktury ministerialnej pozwoli zaoszczędzić nawet 23 miliony złotych rocznie w porównaniu do budowy w pełni samodzielnej agencji. To jest pierwszy paradoks, z którym trzeba się zapoznać: regulator, który ma nadzorować, czy Twój produkt AI jest bezpieczny i zgodny z prawem, będzie jednocześnie częścią tego samego aparatu państwowego, który odpowiada za promowanie rozwoju sztucznej inteligencji w polskiej gospodarce.

Na czele Komisji stanie przewodniczący powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję, a w jej skład wejdą również dwaj zastępcy przewodniczącego oraz czterej przedstawiciele wskazani przez kluczowe instytucje regulacyjne państwa: Prezesa Urzędu Ochrony Konkurencji i Konsumentów, Prezesa Urzędu Komunikacji Elektronicznej, Komisję Nadzoru Finansowego oraz Krajową Radę Radiofonii i Telewizji. Ten skład nie jest przypadkowy i mówi wiele o tym, jak ustawodawca wyobraża sobie realne pola konfliktu związane z systemami AI. Obecność przedstawiciela UOKiK sygnalizuje, że regulator traktuje algorytmiczne praktyki konsumenckie, takie jak dynamiczne ustalanie cen czy manipulacyjne interfejsy, jako jeden z priorytetów nadzorczych. Obecność przedstawiciela KNF wskazuje na szczególną wagę przykładaną do systemów AI stosowanych w sektorze finansowym, w tym do scoringu kredytowego i automatycznego podejmowania decyzji przez banki. Obecność przedstawiciela KRRiT sugeruje z kolei, że deepfake'i, treści syntetyczne i ich wpływ na media są traktowane jako odrębny, poważny obszar ryzyka, a nie margines regulacji. Przy Komisji działać będzie ponadto Społeczna Rada do spraw Sztucznej Inteligencji, pełniąca funkcję opiniodawczo-doradczą, choć bez uprawnień decyzyjnych.

Harmonogram powstania samej instytucji jest już dziś znany i warto go zapamiętać, bo wyznacza realny moment, w którym KRiBSI zacznie działać, a nie jedynie istnieć na papierze. Ustawa przewiduje, że w ciągu dwóch miesięcy od jej wejścia w życie Sejm, za zgodą Senatu, powoła przewodniczącego Komisji, a w ciągu kolejnych trzech miesięcy przewodniczący ma obowiązek zwołać pierwsze posiedzenie. Jak wprost potwierdził wiceminister Standerski w rozmowie z "Rzeczpospolitą", to oznacza, że przewodniczący powinien zostać wybrany w październiku 2026 roku, a sama Komisja zacznie faktycznie funkcjonować w listopadzie 2026 roku. To jest kluczowa data dla każdego, kto planuje harmonogram wdrożeń compliance w swojej organizacji: mniej więcej cztery miesiące od podpisania ustawy do momentu, w którym instytucja realnie zacznie przyjmować skargi, prowadzić kontrole i wydawać decyzje.

Czym naprawdę jest KRiBSI: krajowy organ nadzoru rynku, nie kolejny urząd doradczy

Formalnie, zgodnie z art. 5 ust. 1 ustawy o systemach sztucznej inteligencji, Komisja jest organem nadzoru rynku w zakresie systemów sztucznej inteligencji w rozumieniu art. 70 ust. 1 unijnego AI Act, a zgodnie z art. 5 ust. 2 ustawy działa jednocześnie jako jednolity punkt kontaktowy w relacjach z instytucjami unijnymi. To rozstrzyga jedną z fundamentalnych niejasności, która towarzyszyła wdrażaniu AI Act w całej Unii Europejskiej: każde państwo członkowskie miało obowiązek wyznaczyć krajowy organ nadzoru rynku AI do 2 sierpnia 2025 roku, a Polska przez wiele miesięcy pozostawała w tyle wobec tego terminu, dopóki nie uchwalono ustawy o systemach sztucznej inteligencji. Innymi słowy, KRiBSI nie jest fakultatywnym dodatkiem do systemu prawnego, lecz elementem wymaganym przez samo unijne rozporządzenie, i jej brak przez ponad rok stanowił realną, formalną lukę w polskim systemie nadzoru nad AI.

Zadania Komisji, opisane w art. 6 ustawy, obejmują wykonywanie kompetencji organu nadzoru rynku oraz sprawowanie kontroli przestrzegania przepisów AI Act w Polsce. W praktyce oznacza to cztery główne obszary działania, które warto rozłożyć na czynniki pierwsze, ponieważ każdy z nich niesie inne konsekwencje operacyjne dla firmy budującej produkt AI.

Pierwszym obszarem jest nadzór rynkowy i kontrola zgodności. KRiBSI będzie mogła wszczynać kontrole w przedsiębiorstwach i instytucjach wykorzystujących systemy sztucznej inteligencji, badać zgodność tych systemów z wymogami unijnego AI Act, wydawać decyzje i postanowienia administracyjne, a w skrajnych przypadkach nakładać sankcje administracyjne. Co istotne, w toku prac parlamentarnych zrezygnowano z pierwotnie planowanego uprawnienia KRiBSI do nakazywania wycofania systemu z rynku lub usunięcia jego elementów, co jest istotnym złagodzeniem względem wcześniejszych wersji projektu i wersji opisywanych jeszcze w kwietniu 2026 roku, gdy komunikaty rządowe wskazywały na możliwość wycofywania systemów AI z rynku jako jedno z podstawowych narzędzi Komisji. To jest istotna, praktyczna różnica względem wcześniejszych obaw branży: finalna wersja ustawy nie daje KRiBSI narzędzia nuklearnego w postaci przymusowego usunięcia produktu z rynku, choć Komisja zachowuje pełne uprawnienia do nakładania kar administracyjnych i prowadzenia postępowań.

Drugim obszarem są uprawnienia kontrolne o charakterze dochodzeniowym, i to właśnie ten obszar wymaga najbardziej precyzyjnego zrozumienia przez firmy technologiczne, ponieważ dotyczy realnej procedury, z którą organizacja może się zetknąć w praktyce. Zgodnie z analizą opartą na treści ustawy z 3 lipca 2026 roku, opublikowanej w Dzienniku Ustaw pod pozycją 1003, kontrola prowadzona przez KRiBSI ma charakter zdalny, a Komisja zawiadamia podmiot kontrolowany siedem dni wcześniej, po czym firma ma od czternastu do trzydziestu dni na reakcję, w zależności od etapu procedury. Zakres żądań, które Komisja może skierować do kontrolowanego podmiotu, jest szeroki i obejmuje dostęp do systemów teleinformatycznych, korespondencji elektronicznej, a także, co jest szczególnie istotne dla firm korzystających z zewnętrznej infrastruktury chmurowej, dostęp do danych przechowywanych w chmurze innego podmiotu, w takim zakresie, w jakim kontrolowany podmiot sam ma do tych danych dostęp, na podstawie art. 52 ust. 1 pkt 1 ustawy. Towarzyszy temu czynny obowiązek współpracy po stronie kontrolowanego podmiotu, wynikający z art. 52 ust. 2 ustawy, co oznacza, że nie można biernie czekać na zakończenie procedury, lecz trzeba aktywnie udzielać informacji i dostępu na żądanie Komisji. Fizyczna wizyta kontrolerów w siedzibie firmy stanowi wyjątek od zasady kontroli zdalnej i jest zarezerwowana dla przypadków podejrzenia realnego zagrożenia dla życia, zdrowia lub praw podstawowych obywateli.

Trzecim obszarem jest przyjmowanie i rozpatrywanie skarg obywateli, przedsiębiorców i instytucji dotyczących działania systemów AI, w tym błędnych decyzji podejmowanych automatycznie przez algorytmy, przypadków dyskryminacji, naruszenia praw podstawowych czy stosowania zakazanych praktyk, takich jak scoring społeczny. Komisja będzie prowadzić rejestr tych skarg i podejmować działania w razie wykrycia nieprawidłowości, przy czym szczególnym obszarem zainteresowania wskazanym w materiałach rządowych są decyzje banków uznawane przez klientów za niesprawiedliwe lub dyskryminujące, co oznacza, że sektor finansowy, korzystający intensywnie z AI w scoringu kredytowym i automatycznej ocenie ryzyka, powinien liczyć się ze szczególną uwagą regulatora.

Czwartym obszarem, i to prawdopodobnie najważniejszym z perspektywy startupów i firm technologicznych chcących budować innowacyjne rozwiązania AI, są mechanizmy wsparcia rozwoju ekosystemu, obejmujące tworzenie i zarządzanie piaskownicami regulacyjnymi, wydawanie opinii indywidualnych oraz działania edukacyjne i informacyjne. Piaskownica regulacyjna to mechanizm, dzięki któremu wybrane podmioty mogące przyczynić się do rozwoju sztucznej inteligencji mogą uzyskać od KRiBSI zgodę na testowanie nowych technologii w kontrolowanym środowisku, z pewnym odstępstwem od stosowania niektórych przepisów, przed pełnym komercyjnym wdrożeniem produktu na rynek. Opinia indywidualna to z kolei instrument, dzięki któremu przedsiębiorca może zwrócić się do Komisji o wiążącą interpretację, czy konkretne, planowane lub już realizowane rozwiązanie jest zgodne z przepisami AI Act, co ma dać firmom pewność prawną przed poniesieniem kosztów wdrożenia danego systemu. Dla buildera, który się zastanawia, czy warto z tego korzystać, odpowiedź jest prosta: to jest jedyny formalny mechanizm pozwalający zdobyć pewność regulacyjną zanim zainwestuje się miesiące pracy inżynierskiej w produkt, który może się później okazać niezgodny z przepisami.

Co KRiBSI oznacza w praktyce dla firmy budującej produkt AI

Pierwsza, najbardziej praktyczna konsekwencja powstania KRiBSI dotyczy samej struktury odpowiedzialności prawnej. Do tej pory polskie firmy budujące systemy AI funkcjonowały w swoistej przestrzeni nieokreśloności instytucjonalnej: AI Act obowiązywał jako prawo unijne stosowane bezpośrednio, ale nie istniał żaden krajowy organ, do którego można się było zwrócić po wiążącą interpretację, ani żaden organ, który realnie prowadziłby kontrole zgodności na terenie Polski. Ten stan rzeczy się kończy. Od listopada 2026 roku istnieje konkretny adresat skarg, konkretny organ prowadzący kontrole i konkretna instytucja, przed którą trzeba się wykazać zgodnością, jeśli dojdzie do postępowania.

Druga konsekwencja dotyczy kalendarza operacyjnego każdej firmy pracującej z systemami AI wysokiego ryzyka, w rozumieniu unijnego rozporządzenia, obejmującymi między innymi systemy stosowane w edukacji, infrastrukturze krytycznej, procesach rekrutacyjnych czy zarządzaniu migracją. Komisja będzie mogła wydawać zgody dla takich systemów, co oznacza, że dla firm operujących w tych sektorach proces wejścia na rynek zyskuje dodatkowy, formalny etap administracyjny, którego dotąd nie było w praktyce, mimo że teoretycznie wynikał już z samego AI Act.

Trzecia konsekwencja, o której zbyt rzadko się mówi w publicznej dyskusji wokół ustawy, dotyczy realnego zakresu żądań kontrolnych KRiBSI wobec infrastruktury chmurowej. Fakt, że Komisja może żądać dostępu do danych przechowywanych w chmurze innego podmiotu, w zakresie, w jakim kontrolowana firma sama ma do nich dostęp, oznacza, że polityka zarządzania dostępem do danych w architekturze chmurowej firmy staje się elementem bezpośrednio istotnym z perspektywy compliance, a nie tylko z perspektywy bezpieczeństwa informatycznego. Firmy korzystające z rozwiązań multi-tenant, w których dostęp do danych klienta jest ograniczony kontraktowo, powinny już teraz przeanalizować, czy i w jakim zakresie taki dostęp może zostać objęty żądaniem kontrolnym regulatora.

Czwarta konsekwencja dotyczy samego tempa reakcji, jakiego wymaga procedura kontrolna. Terminy rzędu czternastu, dwudziestu jeden i trzydziestu dni na kolejne etapy reakcji na zawiadomienie kontrolne nie są długie, zwłaszcza dla mniejszych firm bez wyodrębnionej funkcji compliance czy działu prawnego. Oznacza to, że firmy budujące produkty AI powinny już teraz mieć przygotowaną, choćby podstawową, dokumentację techniczną systemu, opis zastosowanych zabezpieczeń, rejestr ryzyk i historię decyzji projektowych, tak aby w razie zawiadomienia o kontroli nie trzeba było tworzyć tej dokumentacji od zera pod presją bardzo krótkiego terminu.

Dlaczego to ma znaczenie wykraczające poza samą literę ustawy

KRiBSI jest w pewnym sensie testem tego, czy Polska potrafi zbudować instytucję regulacyjną, która jednocześnie chroni obywateli i nie dusi innowacji technologicznej w zarodku, zanim ta innowacja zdąży wygenerować jakąkolwiek wartość gospodarczą. Skład Komisji, łączący przedstawicieli organów ochrony konkurencji, nadzoru finansowego, mediów i telekomunikacji, sugeruje ambicję objęcia szerokiego spektrum zastosowań AI, od scoringu bankowego, przez treści syntetyczne w mediach, aż po praktyki konsumenckie w e-commerce. Jednocześnie umiejscowienie obsługi administracyjnej Komisji w strukturze Ministerstwa Cyfryzacji, uzasadnione względami budżetowymi, rodzi realne pytania o to, na ile ten organ będzie w stanie działać z pełną niezależnością decyzyjną w sytuacjach, w których interesy rozwoju gospodarczego kraju i interesy restrykcyjnej ochrony obywateli będą się ze sobą ścierać.

Dla polskiego ekosystemu startupowego kluczowe będzie to, jak Komisja w praktyce wykorzysta swoje dwa najbardziej przyjazne dla biznesu instrumenty, czyli piaskownice regulacyjne i opinie indywidualne, w pierwszych miesiącach swojego działania. Jeżeli KRiBSI potraktuje te mechanizmy jako realne narzędzie wsparcia innowacji, a nie jako formalność biurokratyczną obciążoną wielomiesięcznym czasem oczekiwania, może stać się realnym wyróżnikiem konkurencyjnym polskiego rynku AI na tle innych krajów Unii Europejskiej, które wciąż zwlekają z powołaniem własnych organów nadzoru rynku. Jeżeli natomiast te mechanizmy okażą się w praktyce trudno dostępne, przeciążone albo nadmiernie sformalizowane, KRiBSI może szybko zyskać reputację kolejnej instytucji, która w teorii wspiera innowacje, a w praktyce głównie generuje dodatkowy obowiązek dokumentacyjny dla firm, które i tak mają dość wyzwań związanych z samym budowaniem produktu.

Listopad 2026 roku, kiedy Komisja faktycznie zacznie działać, będzie momentem, w którym te pytania przestaną być teoretyczne. Do tego czasu każda firma budująca produkt AI w Polsce ma jasno określone, ograniczone okno czasowe, aby przygotować swoją dokumentację, przemyśleć architekturę zgodności i, jeśli operuje w obszarze systemów wysokiego ryzyka, rozważyć skorzystanie z piaskownicy regulacyjnej, zanim KRiBSI zacznie prowadzić pierwsze kontrole na dobre.