Zanim przyjdzie kontrola

Najlepszy moment na przygotowanie do kontroli to długo przed jej rozpoczęciem, nie po otrzymaniu zawiadomienia. Organem nadzoru w Polsce jest KRiBSI, który zyskuje pełne uprawnienia kontrolne wraz z wejściem w życie polskiej ustawy o systemach AI, a pełny zakres egzekucyjny nabiera realnego znaczenia od 28.10.2026, co opisuje szerzej artykuł Kalendarz wejścia w życie AI Act. Szczegółowego, sprawdzonego w praktyce przebiegu takich kontroli na razie nie znamy, bo egzekwowanie przepisów dopiero się rozkręca, więc ten artykuł skupia się na tym, co można zrobić już dziś, niezależnie od tego, jak dokładnie będzie wyglądać sama procedura.

Kolejność działań przed ewentualną kontrolą

  1. Zbuduj i zaktualizuj rejestr systemów AI. To fundament reszty przygotowań, bez niego trudno wykazać, że firma w ogóle wie, jakich narzędzi używa. Zobacz Rejestr systemów AI.
  2. Sprawdź i wdróż oznaczenia wymagane przez art. 50. Chatbot, grafiki, wideo, tekst, wszystkie kanały, w których firma styka się z klientem przez treści AI. Zobacz Jak oznaczyć chatbota i Jak oznaczać treści generowane przez AI.
  3. Przeprowadź i udokumentuj szkolenie zespołu z art. 4. Zobacz Szkolenie zespołu z art. 4.
  4. Spisz politykę korzystania z AI. Zobacz Polityka korzystania z AI.
  5. Zbierz wszystko w jednej, uporządkowanej teczce dowodowej. Zobacz Teczka dowodowa.
  6. Przeprowadź samodzielny audyt przed ewentualnym audytem zewnętrznym. Zobacz Samodzielny audyt AI Act.

Ta kolejność nie jest przypadkowa: każdy kolejny krok opiera się na poprzednim. Trudno napisać wiarygodną politykę bez wiedzy z rejestru, a trudno zbudować teczkę dowodową bez zrealizowanych wcześniej działań.

Jakie dokumenty przygotować

Poniższa lista pokrywa się w dużej mierze z zawartością teczki dowodowej, ale warto ją mieć pod ręką jako zwięzłe podsumowanie tego, co firma powinna móc szybko okazać:

Dokument Co pokazuje
Rejestr systemów AI Jakich narzędzi firma używa i kto za nie odpowiada
Polityka korzystania z AI Jakie zasady obowiązują zespół
Dowody szkolenia (listy, materiały, certyfikaty) Że zespół zna zasady i ograniczenia narzędzi AI
Zrzuty ekranu oznaczeń Że oznaczenia faktycznie są widoczne dla klienta
Korespondencja z dostawcami Że firma dochowała staranności wobec dostawców narzędzi

Jak w ogólnym zarysie może wyglądać kontrola

Bez znajomości szczegółowej procedury KRiBSI (której na tym etapie nikt nie może przedstawić jako pewnika), można w rozsądny sposób założyć ogólny schemat typowy dla kontroli administracyjnych w Polsce: zawiadomienie o kontroli albo wezwanie do przedstawienia dokumentacji, weryfikacja zgodności na podstawie okazanych dowodów i stanu faktycznego (np. sprawdzenie, czy strona rzeczywiście oznacza treści AI tak, jak deklaruje dokumentacja), a następnie albo potwierdzenie zgodności, albo wskazanie braków z terminem na ich usunięcie.

Nie należy jednak traktować tego jako pewnika co do konkretnych terminów, formy zawiadomienia czy zakresu uprawnień kontrolerów, bo te elementy określa ustawa i praktyka organu, która dopiero się kształtuje. W razie realnej kontroli warto skonsultować się z radcą prawnym co do konkretnego trybu postępowania.

Najczęstszy błąd: przygotowywanie się do kontroli dopiero po jej zapowiedzi. Dokumentacja zbierana w pośpiechu, pod presją terminu, jest zwykle niekompletna i widocznie naprędce sklecona, co samo w sobie robi gorsze wrażenie niż drobne, ale rzetelnie udokumentowane braki.

Co zrobić, jeśli firma znajdzie u siebie braki

Znalezienie braków podczas samodzielnego przygotowania nie jest porażką, to dokładnie po to jest ten proces. Praktyczne podejście:

  1. Nie czekaj z naprawą braku na “lepszy moment”, zwłaszcza przy obowiązkach już aktywnych, jak kompetencje z art. 4.
  2. Dokumentuj datę wykrycia braku i podjęte działania naprawcze, to pokazuje, że firma reaguje proaktywnie, nie ukrywa problemu.
  3. Priorytetyzuj braki dotyczące obowiązków już obowiązujących nad tymi z odleglejszym terminem wejścia w życie.

Kto w firmie powinien być punktem kontaktowym

Zanim dojdzie do jakiejkolwiek kontroli, warto z góry wyznaczyć jedną osobę, która w razie realnego zawiadomienia będzie pierwszym punktem kontaktu, zna lokalizację całej dokumentacji i ma uprawnienia do udzielania odpowiedzi w imieniu firmy albo szybkiego eskalowania pytania do zarządu. Brak takiego wyznaczenia oznacza, że w stresującym momencie firma traci czas na ustalanie, kto w ogóle powinien się tym zająć, zamiast od razu przejść do przedstawienia dokumentacji.

Ta sama osoba, najlepiej ta odpowiedzialna za bieżące utrzymanie rejestru systemów AI i teczki dowodowej, powinna też być wpisana w wewnętrzną politykę korzystania z AI jako kontakt w sprawach zgodności, żeby cały zespół wiedział, do kogo kierować pytania na co dzień, nie tylko w sytuacji kontroli.

Kto może pomóc, jeśli firma nie ma czasu robić tego samodzielnie

Przygotowanie do kontroli, zwłaszcza od zera, wymaga czasu, który w małej firmie często jest towarem deficytowym. Jeśli wolisz, żeby ktoś przeprowadził Twoją firmę przez cały ten proces, od inwentaryzacji po gotową teczkę dowodową, dokładnie to obejmuje Sprint AI Act, z dostawą kompletu w 5 dni roboczych. Możesz zacząć od audytu strony, żeby zobaczyć, od czego realnie trzeba zacząć.

Najczęściej zadawane pytania

Czy small biznes bez działu prawnego może przygotować się samodzielnie?

Tak, w dużej mierze. Większość elementów (rejestr, polityka, oznaczenia, szkolenie) to praktyczne, wykonalne działania, nieprzemawiające wymaganiem posiadania własnego działu prawnego. Dla bardziej złożonych sytuacji, np. systemów wysokiego ryzyka, warto jednak skonsultować się ze specjalistą.

Czy brak dokumentacji od razu oznacza karę?

Kary są ostatecznością, nie pierwszym krokiem organu nadzoru. Więcej o progach i rodzajach kar znajdziesz w artykule Kary za naruszenie AI Act. Realne ryzyko dla większości firm to czas i koszt reagowania na kontrolę bez przygotowania, nie sama kara finansowa.

Od czego zacząć, jeśli firma nie zrobiła jeszcze nic z tej listy?

Od rejestru systemów AI, bo bez niego trudno zaplanować cokolwiek innego. Zaraz potem od sprawdzenia, czy chatbot i inne treści AI są w ogóle oznaczone, bo to obowiązek, który najłatwiej i najszybciej ocenić z zewnątrz.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny, w tym opis ogólnego, orientacyjnego zarysu kontroli, nie potwierdzonej procedury. Przygotowanie do konkretnej kontroli powinno odbywać się w konsultacji z radcą prawnym lub adwokatem.