KRiBSI zaczyna pracę. Co się zmienia dla firm od 28 października

O unijnym AI Act napisano w Polsce setki tekstów. O tym, kto konkretnie będzie go u nas egzekwował, prawie nic. A to właśnie ta część zaczyna działać najszybciej.

28 października 2026 wchodzą w życie przepisy, które dają polskiemu organowi nadzoru realne narzędzia: kontrole, postępowania i kary. Poniżej to, co warto wiedzieć wcześniej.

Kto to jest KRiBSI

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z 3 lipca 2026 o systemach sztucznej inteligencji, ogłoszoną w Dzienniku Ustaw 27 lipca pod pozycją 1003.

To organ kolegialny, nie jednoosobowy urząd. W jego skład wchodzą przedstawiciele instytucji, które już dziś nadzorują poszczególne rynki: Urzędu Ochrony Konkurencji i Konsumentów, Komisji Nadzoru Finansowego, Krajowej Rady Radiofonii i Telewizji oraz Urzędu Komunikacji Elektronicznej.

Ta konstrukcja mówi coś istotnego o tym, czego się spodziewać. KRiBSI nie startuje od zera. Zasiadają w niej ludzie, którzy prowadzili postępowania w sprawach o nieuczciwe praktyki rynkowe, nadzór nad instytucjami finansowymi i ochronę danych. Doświadczenie proceduralne jest już na miejscu, brakowało tylko podstawy prawnej dla nowego obszaru.

Kalendarz

• 11 sierpnia 2026 - weszła w życie zasadnicza część ustawy: przepisy o organizacji nadzoru, jednostkach notyfikowanych i środkach wspierających innowacje, w tym piaskownica regulacyjna.
• Październik 2026 - termin powołania przewodniczącego Komisji, dwa miesiące od wejścia ustawy w życie.
• 28 października 2026 - wchodzą przepisy o kontrolach, postępowaniach przed organem, ugodach dotyczących obniżenia sankcji oraz karach pieniężnych, a także o indywidualnych opiniach i wyjaśnieniach.
• Listopad 2026 - termin ukonstytuowania się całej Komisji, trzy miesiące od wejścia ustawy w życie.

Do 28 października Komisja nie prowadzi kontroli i nie nakłada kar. Nie znaczy to jednak, że obowiązki nie obowiązują. AI Act jest rozporządzeniem unijnym i stosuje się bezpośrednio, niezależnie od tego, czy krajowy organ zdążył się zorganizować. Polska ustawa reguluje wyłącznie tryb nadzoru.

Rzecz, o której warto wiedzieć wcześniej

W dyskusji o nadzorze nad AI dominuje obraz kontroli: przychodzi urzędnik, prosi o dokumenty, wystawia decyzję. Ten obraz jest niepełny i przez to uspokajający w niewłaściwy sposób.

Ustawa otwiera możliwość składania skarg na działanie systemu AI każdemu, w tym pracownikom. W praktyce znaczy to, że postępowanie może zacząć się nie od decyzji organu, tylko od jednej osoby, która uznała, że coś ją dotknęło.

Kandydat, którego CV odrzucił automat. Pracownik oceniony przez system, którego zasad nikt mu nie wyjaśnił. Klient, któremu algorytm odmówił usługi. To są realni ludzie z realnym powodem, żeby napisać skargę, i nie potrzebują do tego prawnika ani opłaty.

Zarząd, który czyta "kontrola", myśli "kiedyś, może, nie u nas". Ten sam zarząd, czytając "skargę może złożyć kandydat do pracy", zaczyna myśleć o własnej rekrutacji. Ta druga myśl jest bliższa temu, jak to prawdopodobnie będzie wyglądać.

Co to znaczy dla zwykłej firmy

Jeśli używacie AI w standardowy sposób, ryzyko kontroli z urzędu jest niewielkie. Organ z ograniczonymi zasobami zaczyna od spraw, które do niego trafiają, i od podmiotów o największym wpływie.

Ale trzy rzeczy warto mieć uporządkowane, zanim ktokolwiek zapyta.

Wiedzcie, z czego korzystacie. Rejestr narzędzi AI nie jest wymogiem AI Act dla zwykłego podmiotu stosującego, ale bez niego nie odpowiecie na żadne pytanie o to, jak używacie AI. Jeśli skarga dotyczy narzędzia, o którym nikt w firmie nie wiedział, że działa, sytuacja robi się nieprzyjemna szybciej niż z powodu samego naruszenia.

Miejcie dowód szkoleń. Obowiązek kompetencji działa od lutego 2025 i po lipcowej zmianie brzmienia liczy się to, co da się pokazać: przeprowadzone szkolenia, daty, potwierdzenia zapoznania się z zasadami.

Sprawdźcie rekrutację i ocenę pracowników. To najczęstsze miejsce, w którym firma nieświadomie wchodzi do kategorii wysokiego ryzyka, i jednocześnie ten obszar, z którego najłatwiej o skargę od konkretnej osoby.

Piaskownica regulacyjna

Ustawa daje też podstawę prawną do uruchomienia piaskownicy regulacyjnej. To mechanizm dla firm, które chcą testować rozwiązania AI w kontrolowanym środowisku, przy wsparciu organu i bez ryzyka, że pierwszy błąd skończy się karą.

Dla firm budujących własne systemy AI to realna wartość. Dla tych, które AI wyłącznie używają, ciekawostka, ale warto wiedzieć, że istnieje.

Co zrobić w tym kwartale

Do końca października są dwa i pół miesiąca. To wystarczająco dużo, żeby uporządkować podstawy, i za mało, żeby zdążyć, jeśli zacznie się w październiku.

• Spisać narzędzia AI używane w organizacji, łącznie z tymi kupionymi przez pojedyncze działy.
• Sprawdzić, czy któreś z zastosowań dotyczy decyzji o ludziach: rekrutacja, ocena, dostęp do usług.
• Przeszkolić zespół i zachować dokumentację.
• Sprawdzić, czy chatbot i treści generowane przez AI są oznaczone zgodnie z art. 50.

Nie wiecie, od czego zacząć? AI Ready Check to bezpłatna diagnoza wstępna w trzy minuty, która pokazuje, które obowiązki mogą dotyczyć Waszej organizacji.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.