Od 28 października nowy urząd może zapukać do firmy. Mała firma z ChatGPT ma jednak inny problem

Ustawa o systemach sztucznej inteligencji wchodzi w życie na raty

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw jako poz. 1003. Zasadniczo obowiązuje od 11 sierpnia 2026 r., ale z metryki aktu w systemie ELI wynika, że art. 8-18 oraz rozdziały 3-5, 8 i 9 wchodzą w życie dopiero 28 października 2026 r. Chodzi o przepisy o opiniach indywidualnych, kontroli, postępowaniu przed Komisją, układach i karach. Do tej pory organ formalnie istniał, ale nie mógł w pełni egzekwować prawa wobec przedsiębiorców.

Same obowiązki wynikają z unijnego rozporządzenia 2024/1689 (AI Act), stosowanego bezpośrednio. Polska ustawa określa, kto i w jakim trybie sprawdzi ich przestrzeganie.

Kim jest KRiBSI i jak działa

Komisja jest organem nadzoru rynku i pojedynczym punktem kontaktowym dla AI Act (art. 5 ustawy). Tworzą ją przewodniczący, dwóch zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE (art. 19). Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. We wrześniu Sejm wybrał na to stanowisko Pamelę Krzypkowską, a Senat wyraził zgodę.

Kontrola i kary za naruszenie AI Act

Kontrolę wszczyna się z urzędu lub na wniosek, a co do zasady nie wcześniej niż 7 dni od doręczenia zawiadomienia (art. 49). Po kontroli firma ma 14 dni na zastrzeżenia do protokołu, a zalecenia pokontrolne muszą dawać co najmniej 30 dni na wykonanie (art. 56 i 57).

Samo postępowanie nie może trwać dłużej niż 6 miesięcy (art. 60). Ustawa przewiduje ostrzeżenie, po którym przedsiębiorca ma 21 dni na wykazanie, że naprawił sytuację (art. 61), a w razie bezpośredniego zagrożenia Komisja może nakazać zaprzestanie stosowania systemu z rygorem natychmiastowej wykonalności (art. 63). Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów (art. 65).

Górne granice kar wyznacza art. 99 AI Act: do 35 mln euro lub 7 proc. światowego obrotu za zakazane praktyki, do 15 mln euro lub 3 proc. za naruszenie obowiązków operatorów, w tym podmiotów stosujących, oraz do 7,5 mln euro lub 1 proc. za wprowadzające w błąd informacje dla organów. Dla MŚP i start-upów liczy się niższa z dwóch wartości.

Co AI Act oznacza dla firmy korzystającej z ChatGPT i Copilota

Firma, która używa gotowych narzędzi w swojej działalności, jest w języku AI Act „podmiotem stosującym”. Od 2 lutego 2025 r. obowiązują zakazy praktyk z art. 5 (np. rozpoznawanie emocji pracowników w miejscu pracy) oraz art. 4 o kompetencjach w zakresie AI. Przepisy o modelach ogólnego przeznaczenia (od 2 sierpnia 2025 r.) obciążają ich dostawców. Od 2 sierpnia 2026 r. działają obowiązki przejrzystości z art. 50, m.in. oznaczanie deepfake'ów.

Rozporządzenie zmieniające, tzw. Digital Omnibus, weszło w życie 27 lipca 2026 r. Według harmonogramu Rady UE obowiązki dla samodzielnych systemów wysokiego ryzyka (np. AI w rekrutacji czy ocenie pracowników) przesunięto na 2 grudnia 2027 r., a dla systemów wbudowanych w produkty na 2 sierpnia 2028 r. Złagodzono też art. 4: firmy mają wspierać rozwój kompetencji AI personelu, zamiast gwarantować ich określony poziom. Warto pamiętać, że naruszenie art. 4 nie figuruje w katalogu kar z art. 99.

Moim zdaniem dla przeciętnego biura rachunkowego czy agencji marketingowej AI Act jest dziś mniej groźny, niż sugerują webinary sprzedawane przy okazji każdej nowej regulacji. Szerzej o zakazach pisaliśmy w tekście o tym, jak wygląda AI Act w firmie w praktyce. Kto nie rekrutuje algorytmem i nie produkuje deepfake'ów, ten przed KRiBSI raczej się nie znajdzie.

Shadow AI w firmie, czyli ryzyko poza radarem

Znacznie poważniej wygląda kwestia, o której mało kto mówi głośno. Jak podała „Rzeczpospolita”, Konrad Komornicki, zastępca Prezesa UODO, wskazywał, że „aż 54 proc. pracowników korzystających z narzędzi AI nie informuje o tym swoich pracodawców”. Źródła pierwotnego tej liczby nie udało mi się ustalić. Podobny wynik dało badanie firmy doradczej KPMG „Sztuczna inteligencja w Polsce. Krajobraz pełen paradoksów” na próbie 1082 osób z Polski: według niego 55 proc. pracowników korzystających z AI nie ujawnia tego, a tylko 29 proc. Polaków przeszło jakiekolwiek szkolenie z AI.

Pracownik wklejający do darmowego czatbota umowę z klientem, arkusz z cenami czy dane pacjentów robi kilka rzeczy naraz. Po pierwsze, przekazuje dane osobowe podmiotowi, z którym pracodawca nie ma umowy powierzenia z art. 28 RODO, co dla administratora oznacza ryzyko naruszenia i obowiązek oceny, czy trzeba zgłosić incydent do UODO. Po drugie, wynosi informacje poufne poza firmę. Mechanizm przypomina sytuację, w której przesłanie wiadomości na prywatną pocztę może skończyć się dyscyplinarką.

Tajemnica przedsiębiorstwa i błędne odpowiedzi AI

Jest też haczyk mniej oczywisty. Art. 11 ustawy o zwalczaniu nieuczciwej konkurencji chroni jako tajemnicę przedsiębiorstwa tylko te informacje, co do których przedsiębiorca podjął działania w celu utrzymania ich w poufności. Firma bez żadnych zasad korzystania z AI będzie miała trudniej w sporze o kradzież tajemnicy handlowej, bo trudno wykazać staranność, której nie było.

Do tego dochodzą zwykłe pomyłki modeli. Jeśli czatbot wymyśli przepis albo stawkę, a pracownik wyśle to klientowi, problem odpowiedzialności za błędy AI spada na przedsiębiorcę, nie na dostawcę narzędzia.

Polityka korzystania z AI zamiast zakazów

Całkowity zakaz rzadko działa, co widać po danych o ukrywaniu AI. Sankcje dyscyplinarne też mają ograniczenia: wspomaganie się AI w pracy wbrew poleceniu nie zawsze uzasadni zwolnienie. Rozsądniej jest uporządkować temat w kilku krokach:

Przy wdrożeniach dotykających danych osobowych przydatne są listy kontrolne opublikowane w sierpniu przez UODO. Przedsiębiorca niepewny, czy jego rozwiązanie mieści się w przepisach, od 28 października może też wystąpić do KRiBSI o opinię indywidualną (art. 8-18 ustawy). Jeśli Komisja nie wyda jej w terminie, stanowisko wnioskodawcy uznaje się za prawidłowe.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj