Polska jako jedna z pierwszych w UE przyjęła ustawę wdrażającą AI Act. Co jest w środku?

Analiza projektu ustawy o systemach sztucznej inteligencji przyjętego przez Radę Ministrów
31 marca 2026 · Czas czytania: ok. 12 minut

31 marca 2026. Rada Ministrów przyjmuje projekt ustawy o systemach sztucznej inteligencji. Premier Donald Tusk mówi wprost: "Polska jest jednym z pierwszych krajów w Europie, który przygotował regulację dotyczącą AI". I ma rację. Z 27 krajów UE tylko 9 wyznaczyło swoje krajowe organy nadzoru AI na początku 2026 roku. Dwie trzecie Europy wciąż nie ma gotowego modelu.

Nie czytałeś projektu ustawy. Rozumiem, ma ponad 80 stron. Ja przeczytałem. Rozkładam to na czynniki pierwsze, żebyś wiedział co się właściwie zmienia.

Najpierw kontekst, żebyś rozumiał dlaczego to ważne

AI Act jako rozporządzenie UE obowiązuje bezpośrednio we wszystkich krajach członkowskich od 1 sierpnia 2024 roku. Teoretycznie nie wymaga "wdrożenia" w sensie transpozycji do prawa krajowego, bo rozporządzenia unijne działają automatycznie. Ale tu pojawia się kluczowy problem.

Samo rozporządzenie nie działa bez infrastruktury wykonawczej. Żeby AI Act miał sens, każde państwo musi osobno: wyznaczyć krajowy organ nadzoru rynku AI, stworzyć procedury kontrolne, obsłużyć skargi obywateli i uruchomić piaskownice regulacyjne do testowania innowacji. Bez tego AI Act jest jak prawo bez policji. Przepisy są, ale nikt ich nie egzekwuje.

Deadline na powołanie organu nadzoru minął 2 sierpnia 2025 roku. Polska się spóźniła z samą instytucją, ale projekt ustawy jest teraz gotowy i trafia do Sejmu. To i tak jeden z szybszych ruchów w całej UE.

KRiBSI: nowa instytucja od zera

Polska tworzy coś, czego nie ma prawie nikt inny w Europie: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI.

To nie jest rebrand istniejącego urzędu. Nie jest to UOKiK "z nową nazwą" ani UODO "z rozszerzonymi kompetencjami". To zupełnie nowa instytucja budowana od zera, co jest podejściem wyjątkowym w skali całej Unii Europejskiej. Dla porównania: Francja rozdzieliła kompetencje nadzoru AI między 14 różnych organów. Niemcy poszły w model rozproszony oparty na istniejących regulatorach sektorowych. Polska postawiła na jedno centrum decyzyjne i pełną centralizację.

Dlaczego to ma znaczenie? Bo w modelu rozproszonym zawsze pojawia się pytanie kto tak naprawdę odpowiada za daną decyzję. Kiedy system AI banku dyskryminuje kredytobiorców, to czy sprawą zajmuje się regulator finansowy, regulator danych, regulator AI? W Polsce odpowiedź będzie prosta: KRiBSI.

Przewodniczący Komisji jest powoływany przez premiera w drodze otwartego i konkurencyjnego naboru. W skład wchodzą zastępcy przewodniczącego, prezes UOKiK, prezes UKE, przedstawiciel KNF i przedstawiciel KRRiT. Prezes UODO jest osobno odpowiedzialny za systemy AI używane przez służby bezpieczeństwa. To jest celowy zabieg, żeby nie mieszać nadzoru nad komercyjnym AI z nadzorem nad AI w rękach państwa.

Co z budżetem? Pierwotna propozycja Ministerstwa Cyfryzacji zakładała w pełni niezależną agencję z własną osobowością prawną i budżetem 448 mln zł na 10 lat. Ministerstwo Finansów powiedziało nie. Ostatecznie KRiBSI dostaje 278 mln zł na 10 lat, działa operacyjnie pod Ministerstwem Cyfryzacji i ma dojść do 70 specjalistów do 2027 roku. To kompromis, który budzi pytania o faktyczną niezależność Komisji, ale był niezbędny do przepchnięcia projektu.

Co KRiBSI faktycznie robi

Zakres kompetencji Komisji jest szeroki. KRiBSI prowadzi nadzór rynku, czyli sprawdza czy konkretne systemy AI spełniają wymogi AI Act. Rozpatruje skargi obywateli, gdy system AI banku, platformy ubezpieczeniowej czy systemu rekrutacyjnego zadziałał wobec nich wadliwie. Wydaje zezwolenia na wprowadzenie do obrotu systemów high-risk, przyjmuje zgłoszenia poważnych incydentów i nadzoruje piaskownice regulacyjne.

Ważna rzecz, którą warto zapamiętać: KRiBSI może wszcząć postępowanie z urzędu. Nie musi czekać na skargę. Jeśli Komisja dostanie sygnał o możliwym naruszeniu ze strony mediów, branżowych raportów czy anonimowego zgłoszenia, może sama zacząć procedurę. To model aktywnego regulatora, nie pasywnego organu czekającego na papier od prawnika.

KRiBSI opiniuje też projekty ustaw i dokumentów rządowych dotyczących AI i współpracuje z EU AI Office i odpowiednimi organami w innych państwach członkowskich. W praktyce oznacza to, że polskie regulacje będą kalibrowane z tym, co robi reszta Europy, a nie rozwijane w próżni.

Regulatory sandbox, czyli jak przetestować AI bez ryzyka kary

Jeden z najbardziej praktycznych elementów całej ustawy. Wiceminister Standerski nazwał to "pierwszym takim rozwiązaniem w UE, które umożliwia testowanie przed pełnym wejściem na rynek".

Mechanizm jest prosty. Zanim wypuścisz swój system AI na rynek, możesz go przetestować w kontrolowanym środowisku regulacyjnym. Przez czas trwania testu nie grożą ci kary za naruszenie przepisów krajowych ani unijnych, nawet jeśli twój system nie jest jeszcze w pełni compliant. To fundamentalna zmiana w podejściu: zamiast "najpierw zrób wszystko perfekcyjnie, potem wejdź na rynek", Polska mówi "wejdź do piaskownicy, przetestuj, dostosuj, a potem idź dalej".

Dla MŚP piaskownica jest bezpłatna. Duże firmy płacą symboliczną opłatę administracyjną. Infrastruktura jest centralna i odpowiednio zabezpieczona, a Polskie Centrum Akredytacji może wystawić certyfikację po przejściu procesu. Cały rozdział 8 ustawy jest poświęcony wsparciu innowacji, co jest sygnałem, że ustawodawca naprawdę chciał żeby ten element działał, a nie żeby był martwym przepisem.

Opinie indywidualne: wiążąca odpowiedź zamiast domysłów

To jest coś czego AI Act explicite nie wymaga. Polska dodała to z własnej inicjatywy i to jeden z najbardziej praktycznych elementów całej regulacji.

Mechanizm wygląda tak: twoja firma oficjalnie pyta KRiBSI "czy nasz system AI kwalifikuje się jako high-risk?". Komisja analizuje, odpowiada, i ta odpowiedź jest wiążąca. Wiążąca nie tylko dla samej KRiBSI, ale dla wszystkich organów państwowych i jednostek organizacyjnych właściwych dla danego przedsiębiorcy.

W kontekście AI Act to naprawdę duża sprawa. Kwalifikacja systemu jako "high-risk" uruchamia szereg obowiązków: pełną dokumentację techniczną, system zarządzania ryzykiem, wymagania co do jakości danych treningowych, mechanizmy nadzoru człowieka i obowiązkową rejestrację w unijnej bazie danych. Mylna kwalifikacja we własnym zakresie może skończyć się wielomilionową karą. Możliwość zapytania regulatora i dostania oficjalnej odpowiedzi to realna ochrona przed takim scenariuszem.

W większości krajów UE firmy muszą sięgać po zewnętrznych prawników specjalizujących się w AI Act albo po prostu zgadywać. To jest konkretna przewaga polskiego podejścia.

Sankcje: ile można stracić i za co

KRiBSI nakłada kary decyzją administracyjną, środki zasilają budżet państwa. Skala jest niebanalna.

Za naruszenie zakazanych praktyk AI z artykułu 5 AI Act, czyli scoring społeczny, biometrię w czasie rzeczywistym w przestrzeni publicznej, manipulację podprogową czy systemy do oceny wrażliwości emocjonalnej, grozi kara do 35 mln euro lub 7% globalnego rocznego obrotu, cokolwiek jest wyższe. Za inne naruszenia AI Act, które zaczną obowiązywać od 2 sierpnia 2026, maksymalna kara to 15 mln euro lub 3% obrotu. Kwoty w euro są przeliczane po kursie NBP z 28 stycznia każdego roku.

Poza karami finansowymi KRiBSI ma do dyspozycji całe spektrum narzędzi. Może wydać ostrzeżenie z nakazem działań naprawczych, w tym nakaz zablokowania dostępu do systemu. Przy mniejszych nieprawidłowościach zamiast kary może wydać zalecenia pokontrolne. W przypadku bezpośredniego i poważnego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych może nakazać wycofanie systemu z rynku w trybie przyspieszonym z rygorem natychmiastowej wykonalności. To ostatnie jest szczególnie silnym narzędziem, bo decyzja jest wykonalna od razu, zanim firma zdąży się odwołać.

Komisja przy wymierzaniu kary musi brać pod uwagę charakter i wagę naruszenia, czas jego trwania, stopień winy i wcześniejsze naruszenia. Możliwe jest złagodzenie kary o 10-50% przy spełnieniu określonych warunków.

Procedury: jak wygląda postępowanie

Postępowanie w sprawie nałożenia kary jest jednoinstancyjne. Odwołanie od decyzji KRiBSI przysługuje do Sądu Okręgowego w Warszawie, konkretnie do Sądu Ochrony Konkurencji i Konsumentów. Wybór SOKiK nie jest przypadkowy, ten sąd ma już ugruntowane doświadczenie w sprawach z zakresu nadzoru rynku i technologii cyfrowych.

Istnieje też opcja układu z KRiBSI w celu negocjacji wysokości kary. Jeśli firma niedotrzyma postanowień układu, Komisja wznawia pierwotne postępowanie. To mechanizm znany z prawa konkurencji i dobrze sprawdzający się w praktyce: regulatorowi zależy na szybkim usunięciu naruszenia, firmie na ograniczeniu kary. Układ działa na obie strony.

AI w służbach: osobny tor nadzoru

Tu jest wrażliwy temat, który warto rozumieć dokładnie. Systemy AI high-risk używane do ścigania przestępstw, kontroli granicznej i wymiaru sprawiedliwości nie trafiają pod KRiBSI. Nadzór nad nimi sprawuje Prezes UODO, który jednocześnie jest członkiem Komisji.

To celowe rozdzielenie. Uzasadnienie jest proste: systemy AI Policji, Straży Granicznej i Służby Ochrony Państwa operują na danych osobowych w sposób szczególnie wrażliwy, często w kontekście praw podstawowych, i logicznym jest żeby nadzór sprawował organ z doświadczeniem w ochronie danych, a nie nowo powstała instytucja. Ministerstwo Cyfryzacji twierdzi przy tym twardo, że przepisy w pełni obejmą działania tych służb i nie będzie dla nich żadnego blanket exemption.

Społeczna Rada: kto pilnuje regulatora

Przy KRiBSI powstaje organ doradczo-opiniodawczy: Społeczna Rada ds. Sztucznej Inteligencji. Liczy od 9 do 15 członków wyłanianych z nominacji Rzecznika Praw Obywatelskich, izb gospodarczych, związków zawodowych, uczelni i NGO.

Kandydaci muszą mieć ekspertyzę w przynajmniej jednym z obszarów: AI i systemy uczące się, IT i cyberbezpieczeństwo, prawo nowych technologii albo prawa człowieka. Kadencja trwa 2 lata, celowo krótka, żeby skład nadążał za tempem zmian w technologii. Pozycje są nieodpłatne, a opinie Rady są publicznie dostępne online.

W teorii to narzędzie do utrzymywania regulatora w kontakcie z rzeczywistością. W praktyce skuteczność takich ciał zależy od tego jak poważnie traktuje ich głos sam regulator. Zobaczymy.

Prawa obywateli, czyli co zyska zwykły człowiek

Jeśli system AI odrzuci twój wniosek kredytowy albo wyłączy cię z platformy na podstawie zautomatyzowanej decyzji, możesz złożyć skargę do KRiBSI. Komisja zajrzy pod maskę systemu i sprawdzi czy działał zgodnie z prawem. Ustawa ogranicza też możliwość podejmowania decyzji wywołujących skutki prawne wyłącznie w sposób zautomatyzowany, bez udziału człowieka.

Wszystkie decyzje KRiBSI będą publicznie dostępne, a Komisja co roku, do 31 marca, publikuje raport z przykładami dobrych praktyk we wdrażaniu AI przez przedsiębiorców. To mechanizm miękkiego wpływu, który w praktyce potrafi kształtować standardy branżowe bardziej niż kary.

Co to znaczy dla ciebie jako buildera

Jeśli budujesz produkt AI w Polsce i masz 2 sierpnia 2026 w kalendarzu, oto co musisz zrobić teraz.

Zacznij od inwentaryzacji. Każdy system AI w twojej firmie musisz sklasyfikować według kategorii ryzyka AI Act: prohibited (całkowity zakaz), high-risk (pełen reżim compliance), limited risk (wymogi transparentności) albo minimal risk (brak specjalnych obowiązków). To nie jest zadanie dla prawnika z zewnątrz, to jest zadanie dla founding team, bo tylko wy wiecie jak system naprawdę działa.

Jeśli budujesz coś w szarej strefie i nie jesteś pewien kwalifikacji, masz dwie opcje. Pierwsza: piaskownica regulacyjna, bezpłatna dla MŚP, gdzie testujesz bez ryzyka kary. Druga: opinia indywidualna z KRiBSI, wiążąca odpowiedź od regulatora zanim wyjdziesz na rynek. Używaj obu. To nie jest czas na domysły przy potencjalnej karze sięgającej 35 mln euro.

Dla systemów high-risk czeka cię: dokumentacja techniczna, system zarządzania ryzykiem, data governance, mechanizmy nadzoru człowieka i rejestracja w unijnej bazie danych. Na to potrzeba miesięcy pracy. Masz mniej niż cztery.

Gdzie stoi Polska na tle Europy

Tylko 9 z 27 krajów UE wyznaczyło krajowe organy nadzoru AI na początku 2026. Kolejne 10 jest w trakcie procesu, ponad dwie trzecie państw nie ma jeszcze gotowego modelu. Polska jest jedynym krajem w całej UE budującym od zera nową, centralną instytucję jako jedyny punkt nadzoru AI.

Oxford Blavatnik School of Government w analizie z marca 2026 wskazał model KRiBSI jako interesujący przypadek centralnego podejścia do egzekwowania AI Act w UE, zwracając uwagę na unikalność decyzji o budowie nowej instytucji zamiast opierania się na istniejących regulatorach. Polska nawiązała też formalną współpracę z Litwą w zakresie AI w styczniu 2026, co wskazuje na ambicje regionalne w tym obszarze.

Projekt trafia teraz do Sejmu. Poprawki parlamentarne są możliwe. Kierunek jednak jest wyznaczony. Ustawa musi być gotowa przed 2 sierpnia 2026, kiedy wchodzą pełne przepisy AI Act dla systemów high-risk.

Masz mniej niż cztery miesiące.

Nota od autora: FOTOhub jest ready

Jako CEO FOTOhub.app cieszę się z tego kierunku. Regulacje AI, które Polska właśnie przyjmuje, to coś na co czekałem i do czego się przygotowywałem.

FOTOhub to polska platforma kreatywna do generowania obrazu, wideo, głosu i audio. Działamy w kategorii limited/minimal risk zgodnie z AI Act, co oznacza brak obowiązku formalnej certyfikacji ani rejestracji w unijnych bazach. Nie podejmujemy decyzji wpływających na życie użytkowników. Generujemy treść kreatywną.

Ale zrobiliśmy więcej niż minimum. Rozwijamy własne modele AI w ramach FOTOcore, naszego wewnętrznego orkiestratora i silnika AI całej platformy. Trenujemy na własnych zbiorach danych i publicznych zbiorach od użytkowników, którzy wyrazili na to zgodę. Domyślnie jest to wyłączone, opt-in, nie opt-out. Każdy materiał wygenerowany przez FOTOhub przechodzi przez pipeline kontrolny FOTOcore zanim dotrze do użytkownika. AI-generated content jest oznaczany zgodnie z wymogami art. 50 AI Act.

Kiedy KRiBSI ruszy i będzie można składać opinie indywidualne, złożymy je formalnie. Żeby mieć czarno na białym.

Polskie regulacje AI to dla FOTOhub nie zagrożenie. To szansa na budowanie w kraju, który rozumie że AI potrzebuje zasad, ale nie może dusić innowacji. I to jest dokładnie to, czego potrzebują polskie startupy AI.

Artykuł oparty na projekcie ustawy o systemach sztucznej inteligencji (UC71) przyjętym przez Radę Ministrów 31 marca 2026 r., opracowanym przez Ministerstwo Cyfryzacji pod kierownictwem ministra Krzysztofa Gawkowskiego i sekretarza stanu Dariusza Standerskiego.