Trzy progi kar, nie jeden

AI Act (Rozporządzenie 2024/1689) przewiduje w art. 99 trzy progi kar administracyjnych: do 35 mln euro lub 7% światowego obrotu za praktyki zakazane, do 15 mln euro lub 3% za pozostałe obowiązki merytoryczne oraz do 7,5 mln euro lub 1% za wprowadzenie organu nadzoru w błąd. Dla MŚP i startupów rozporządzenie każe stosować niższą z dwóch wartości, nie wyższą.

Media i część rynku usług “zgodności z AI Act” powtarzają jedną liczbę: 35 milionów euro. To prawdziwa kwota, ale dotyczy wyłącznie najcięższej kategorii naruszeń. Rozróżnienie progów jest ważniejsze niż zapamiętanie najwyższej liczby, bo pokazuje, że kara za typowe uchybienie, na przykład brak oznaczenia treści AI, mieści się w zupełnie innym rzędzie wielkości niż nagłówkowe 35 milionów.

Stan prawny opisany w tym artykule to sierpień 2026. Art. 99 nie został zmieniony omnibusem cyfrowym z lipca 2026, który przesunął terminy dla systemów wysokiego ryzyka, ale nie ruszył przepisów o karach.

Próg pierwszy: praktyki zakazane (art. 5)

Najwyższy próg kar, do 35 milionów euro lub 7% globalnego rocznego obrotu firmy, w zależności od tego, która z tych dwóch kwot jest wyższa (dla MŚP odwrotnie, zob. sekcja o art. 99 ust. 6 niżej), dotyczy wyłącznie stosowania praktyk niedopuszczalnych wymienionych w art. 5: scoringu społecznego, manipulacji podprogowej, nieukierunkowanego pobierania wizerunków twarzy i pozostałych praktyk z tej listy. Pełny opis tych praktyk znajdziesz w artykule Zakazane praktyki AI.

Ta kategoria kar jest najwyższa nie bez powodu: dotyczy zachowań uznanych przez ustawodawcę za tak szkodliwe, że nie ma dla nich żadnej ścieżki legalizacji przez dokumentację czy nadzór, w przeciwieństwie do systemów wysokiego ryzyka.

Próg drugi: pozostałe obowiązki merytoryczne

Kary do 15 milionów euro lub 3% globalnego rocznego obrotu firmy (wyższa z dwóch kwot, dla MŚP niższa) dotyczą niezgodności z pozostałymi obowiązkami rozporządzenia, które nie są zakazem, tylko wymogiem proceduralnym lub informacyjnym. Mieści się tu m.in.:

  • niespełnienie wymogów dla systemów wysokiego ryzyka (dokumentacja, ocena zgodności, nadzór człowieka),
  • naruszenie obowiązków przejrzystości z art. 50 (brak ujawnienia chatbota, brak oznaczenia treści syntetycznych),
  • niespełnienie obowiązków dostawcy modelu GPAI (dokumentacja techniczna, podsumowanie danych treningowych),
  • brak działań w zakresie kompetencji AI z art. 4.

To próg, który w praktyce dotyczy zdecydowanej większości realnych naruszeń popełnianych przez małe i średnie firmy, bo to tutaj mieszczą się najbardziej powszechne uchybienia: brak oznaczenia chatbota, brak udokumentowanego szkolenia zespołu, brak rejestru systemów AI.

Próg trzeci: nieprawdziwe informacje dla organu nadzoru

Kary do 7,5 miliona euro lub 1% globalnego rocznego obrotu firmy (wyższa z dwóch kwot, dla MŚP niższa) dotyczą dostarczenia nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym w odpowiedzi na ich żądanie. To najniższy z trzech progów, ale dotyczy sytuacji szczególnie wrażliwej: nie samego naruszenia obowiązku merytorycznego, tylko nieuczciwości wobec organu prowadzącego kontrolę.

Tabela: trzy progi kar

Próg Kwota stała Procent obrotu Czego dotyczy
Najwyższy 35 mln euro 7% globalnego rocznego obrotu Praktyki zakazane z art. 5
Środkowy 15 mln euro 3% globalnego rocznego obrotu Pozostałe obowiązki merytoryczne (wysokie ryzyko, przejrzystość, GPAI, kompetencje AI)
Najniższy 7,5 mln euro 1% globalnego rocznego obrotu Nieprawdziwe informacje przekazane organowi nadzoru

Która z dwóch kwot obowiązuje, zależy od wielkości firmy i jest to reguła wspólna dla wszystkich trzech progów: firma inna niż MŚP odpowiada do wyższej z nich, MŚP i startup do niższej. Podstawa: art. 99 Rozporządzenia (UE) 2024/1689, ustępy 3, 4 i 5 dla reguły ogólnej oraz ustęp 6 dla MŚP.

Zasada wyższej kwoty i wyjątek, który dotyczy właśnie Ciebie

W regule ogólnej z art. 99 ust. 3, 4 i 5 brana jest pod uwagę kwota wyższa z dwóch wartości: stała kwota w euro albo procent światowego rocznego obrotu. Dla dużej międzynarodowej korporacji wyższy jest zwykle procent obrotu, dla mniejszej firmy stała kwota.

Od tej reguły istnieje wyjątek i jest to najważniejsze zdanie tego artykułu dla małej firmy. Art. 99 ust. 6 stanowi, że w przypadku MŚP, w tym startupów, każda kara wynosi do niższej z tych dwóch wartości, nie do wyższej. Kierunek jest więc odwrotny niż w regule ogólnej.

Skutek liczbowy na przykładzie: firma o rocznym obrocie 20 mln zł, która naruszyła obowiązek przejrzystości z art. 50, mieści się w progu środkowym. Reguła ogólna wskazywałaby wyższą z wartości, czyli 15 mln euro. Jako MŚP ta sama firma podlega wartości niższej, czyli 3% z 20 mln zł, co daje 600 tys. zł jako górną granicę ustawową. Różnica między jedną a drugą interpretacją to dwa rzędy wielkości.

Definicja MŚP jest tu unijna, z zalecenia Komisji 2003/361/WE: mniej niż 250 pracowników oraz roczny obrót do 50 mln euro albo suma bilansowa do 43 mln euro. Zdecydowana większość polskich firm korzystających z narzędzi AI mieści się w tej definicji, a więc podlega regule niższej kwoty.

To są widełki maksymalne, nie automatyczne kary

Najczęstszy błąd w rozmowach o AI Act to traktowanie 35 milionów euro jako kwoty, którą “dostanie się” za pierwsze uchybienie. W rzeczywistości są to górne granice ustawowe, punkt odniesienia dla najpoważniejszych, systemowych naruszeń, nie domyślna stawka za pojedynczy brak w dokumentacji.

Rozporządzenie wprost wskazuje, że przy nakładaniu kary organ nadzoru musi uwzględnić szereg okoliczności, w tym:

  • charakter, wagę i czas trwania naruszenia oraz jego skutki,
  • czy naruszenie było umyślne czy wynikało z zaniedbania,
  • działania podjęte przez firmę w celu złagodzenia szkody,
  • stopień odpowiedzialności z uwzględnieniem środków technicznych i organizacyjnych już wdrożonych,
  • wielkość, roczny obrót i pozycję rynkową firmy, w tym to, czy jest to mikro, mała czy średnia firma,
  • współpracę z organem nadzoru w toku postępowania,
  • to, czy podobne naruszenie było już wcześniej popełnione przez tę samą firmę.

Innymi słowy, kara faktycznie nałożona na małą firmę za pierwsze, nieumyślne uchybienie (np. brak oznaczenia chatbota, szybko naprawiony po zwróceniu uwagi) będzie w praktyce niewspółmiernie niższa niż górna granica ustawowa, zwłaszcza przy współpracy z organem i braku wcześniejszych naruszeń.

Realne ryzyko dla większości firm

Dla typowej małej lub średniej firmy w Polsce sama kara finansowa jest w praktyce mniej prawdopodobnym scenariuszem niż koszt czasu i zasobów potrzebnych na reakcję na kontrolę bez wcześniej przygotowanej dokumentacji. Organ nadzoru w pierwszej kolejności zwykle wzywa do uzupełnienia braków, a kara pojawia się jako kolejny krok przy braku reakcji lub przy poważniejszych, systemowych naruszeniach. Jak wygląda tryb kontroli w Polsce, opisuje artykuł Kto egzekwuje AI Act w Polsce, a dobrą praktyką przygotowawczą jest teczka dowodowa gotowa jeszcze przed ewentualną kontrolą.

Najczęściej zadawane pytania

Czy każda mała firma ryzykuje karę rzędu milionów euro?

Nie. Progi 35, 15 i 7,5 miliona euro to górne granice ustawowe dla najpoważniejszych naruszeń. Faktyczna kara zależy od proporcjonalności, wielkości firmy i charakteru uchybienia, a dla drobnych, szybko naprawionych braków realna kwota bywa znacznie niższa niż te górne progi.

Który próg kary dotyczy braku oznaczenia treści generowanych przez AI?

Brak zgodności z obowiązkiem przejrzystości z art. 50 mieści się w środkowym progu: do 15 milionów euro lub 3% obrotu (wyższa z kwot), nie w najwyższym progu zarezerwowanym dla praktyk zakazanych.

Czy zawsze bierze się pod uwagę wyższą z dwóch kwot (stałą i procentową)?

Nie. W regule ogólnej z art. 99 ust. 3, 4 i 5 stosuje się kwotę wyższą, ale art. 99 ust. 6 odwraca tę zasadę dla MŚP i startupów: dla nich kara sięga do wartości niższej spośród stałej kwoty w euro i procentu obrotu. Dla typowej polskiej małej firmy oznacza to procent obrotu, nie kwotę milionową.

Jaka kara grozi małej firmie za brak oznaczenia chatbota?

Brak zgodności z art. 50 mieści się w progu środkowym, więc górną granicą jest 3% rocznego obrotu tej firmy, jeśli jest MŚP. Przy obrocie 5 mln zł daje to 150 tys. zł jako maksimum ustawowe, a nie kwotę automatycznie nakładaną. Faktyczna kara zależy od wagi naruszenia, umyślności i współpracy z organem.

Czy AI Act przewiduje jakieś okoliczności łagodzące dla MŚP?

Tak, i to na dwa sposoby. Po pierwsze art. 99 ust. 6 obniża sam pułap kary do niższej z dwóch wartości. Po drugie wielkość i sytuacja ekonomiczna firmy, w tym status mikro, małej lub średniej, jest jedną z okoliczności, które organ nadzoru musi uwzględnić przy ustalaniu wysokości kary. Więcej o ułatwieniach w artykule AI Act a MŚP.