KRiBSI rusza. Co kontrole AI od 28 października oznaczają dla Twojej firmy

KRiBSI rusza. Co kontrole AI od 28 października oznaczają dla Twojej firmy

W skrócie: od 28 października 2026 roku Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może kontrolować firmy, prowadzić postępowania i nakładać kary za naruszenia AI Act. 11 listopada 2026 roku Komisja zbiera się na pierwszym posiedzeniu. Dotyczy to każdej firmy, która używa AI w pracy, a nie tylko tych, które ją tworzą. Najpilniejsze dziś są obowiązki przejrzystości z art. 50 i zakazane praktyki z art. 5.

---

Czym jest KRiBSI

KRiBSI to polski organ nadzoru nad rynkiem sztucznej inteligencji. Powołała go ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), która wdraża w Polsce unijne rozporządzenie AI Act (rozporządzenie (UE) 2024/1689).

• Przewodnicząca: Pamela Krzypkowska, powołana przez Sejm we wrześniu 2026 roku; Senat wyraził zgodę 24 września.
• Skład: w Komisji zasiadają m.in. przedstawiciele UOKiK, KNF, KRRiT i UKE.
• Zadania: kontrole, postępowania i kary, rozpatrywanie skarg, wydawanie opinii indywidualnych, a od 2027 roku także piaskownice regulacyjne, w których firmy mogą testować rozwiązania pod okiem organu.

Co dokładnie zmieniło się 28 października 2026

Sama ustawa obowiązuje od 11 sierpnia 2026 roku, ale przepisy o egzekwowaniu weszły w życie później. Od 28 października działają:

• kontrole i postępowania w sprawie naruszeń AI Act,
• kary administracyjne nakładane przez KRiBSI,
• skargi, które może złożyć np. pracownik, kandydat do pracy albo klient,
• opinie indywidualne, czyli możliwość zapytania organu, jak przepisy stosuje się w konkretnej sytuacji Twojej firmy.

Do 28 października polski organ nie mógł nikogo kontrolować ani karać. Teraz może. Pierwsze posiedzenie Komisji w pełnym składzie ustawa wyznacza na 11 listopada 2026 roku, więc w najbliższych tygodniach warto śledzić pierwsze wyjaśnienia organu na stronie Ministerstwa Cyfryzacji.

Kogo to dotyczy

Częsty błąd: „AI Act dotyczy firm, które tworzą sztuczną inteligencję”. Nie tylko. Rozporządzenie nakłada obowiązki także na podmioty stosujące, czyli firmy, które po prostu używają AI w swojej pracy: chatbota na stronie, generatora grafik w marketingu, narzędzia do selekcji CV czy ChatGPT do pisania ofert.

Zakres obowiązków zależy od tego, jak używasz AI. Dlatego pierwszym krokiem jest zawsze spis narzędzi i ich zastosowań. Jak go zrobić, opisaliśmy w artykule Jak zbudować mapę AI w firmie.

Za co KRiBSI może dziś ukarać firmę

Kara jest możliwa tylko za obowiązki, które już się stosują. Na dziś to przede wszystkim:

Obowiązek	Od kiedy	Górna granica kary
Zakazane praktyki (art. 5), np. manipulacja wykorzystująca słabości ludzi, rozpoznawanie emocji pracowników w miejscu pracy	2 lutego 2025	35 mln euro albo 7% światowego obrotu
Przejrzystość (art. 50): informowanie, że rozmawia się z AI, oznaczanie deepfake'ów	2 sierpnia 2026	15 mln euro albo 3% obrotu
Nieprawdziwe lub niepełne informacje przekazane organowi	2 sierpnia 2025	7,5 mln euro albo 1% obrotu

Dla małych i średnich firm górną granicą jest niższa z dwóch wartości. To limity, nie cennik. Polska ustawa przewiduje też obniżenie kary: w układzie z KRiBSI zwykle o 20–70%, a o 10–50%, jeśli firma szybko wykona ostrzeżenie organu. Od decyzji można odwołać się do sądu ochrony konkurencji i konsumentów.

Obowiązek dbania o kompetencje AI pracowników (art. 4) obowiązuje od lutego 2025 roku, ale nie ma własnej kary w art. 99. W razie kontroli dokumentacja szkoleń jest jednak pierwszym dowodem, że firma traktuje AI poważnie.

Co zrobić w tym tygodniu: 5 kroków

1. Spisz narzędzia AI, których używa zespół. Także te „prywatne”: darmowe czaty, wtyczki do przeglądarki, generatory grafik.
2. Sprawdź chatboty i asystentów na stronie. Klient musi wiedzieć, że rozmawia z AI. Jeden jasny komunikat na początku rozmowy zwykle wystarcza.
3. Oznacz treści syntetyczne. Deepfake w reklamie albo filmie trzeba ujawnić, nawet w formie satyrycznej czy artystycznej, tylko w sposób, który nie psuje odbioru.
4. Wyklucz zakazane praktyki. Upewnij się, że żadne narzędzie nie ocenia emocji pracowników ani nie wykorzystuje słabości klientów.
5. Udokumentuj szkolenia. Lista uczestników, program i data. To najprostszy dowód starań z art. 4. Jeśli szkolenia jeszcze nie było, zobacz nasze szkolenia AI dla zespołu.

Co nadchodzi

• 2 grudnia 2026: nowe zakazy w art. 5 (m.in. generowanie intymnych obrazów realnych osób bez ich zgody) i oznaczanie maszynowe treści dla narzędzi obecnych na rynku przed 2 sierpnia 2026.
• 2 grudnia 2027: obowiązki dla systemów wysokiego ryzyka z Załącznika III, np. AI w rekrutacji czy ocenie pracowników.
• 2 sierpnia 2028: systemy wysokiego ryzyka wbudowane w produkty (Załącznik I).

Terminy dla wysokiego ryzyka przesunięto w lipcu 2026 roku pakietem upraszczającym. Przejrzystości nie przesunięto. Plan, który odkłada art. 50 na 2027 rok, opisuje niezgodność, a nie przygotowanie.

Jak możemy pomóc

Jeśli chcesz uporządkować to samodzielnie, przeprowadzi Cię przez to nasz kurs AI Act dla firm: 10 odcinków, gotowe szablony i aktualny aneks o stanie prawnym. Jeśli wolisz, żeby ktoś zrobił to z Tobą, zacznij od audytu procesów: sprawdzimy, gdzie w firmie działa AI i co z tego wynika.

Najczęstsze pytania

Czy KRiBSI może skontrolować małą firmę?

Tak. Ustawa nie wyłącza małych firm z kontroli. Dla MŚP niższe są tylko górne granice kar: liczy się niższa z dwóch wartości.

Czy używanie ChatGPT w firmie jest zgodne z AI Act?

Samo używanie jest dozwolone. Obowiązki zależą od zastosowania: publikowane treści syntetyczne wymagają oznaczenia, a użycie do oceny kandydatów albo pracowników może od grudnia 2027 roku oznaczać obowiązki dla systemów wysokiego ryzyka.

Czym są opinie indywidualne KRiBSI?

To możliwość zapytania organu, jak przepisy stosuje się w konkretnej sytuacji firmy. Wniosek można składać od 28 października 2026 roku.

Od kiedy obowiązuje AI Act w Polsce?

Rozporządzenie weszło w życie 1 sierpnia 2024 roku i stosuje się etapami. Polska ustawa obowiązuje od 11 sierpnia 2026 roku, a kontrole i kary od 28 października 2026 roku.

Stan prawny na 10 listopada 2026 roku. Artykuł ma charakter informacyjny i nie jest poradą prawną.