Kto egzekwuje AI Act w Polsce: organ nadzoru i ustawa krajowa

Rozporządzenie unijne, egzekucja krajowa

AI Act jako rozporządzenie unijne obowiązuje bezpośrednio w Polsce, bez potrzeby przepisywania go w osobnej ustawie. Polska mimo to przyjęła własną ustawę o systemach sztucznej inteligencji, której głównym zadaniem nie jest powtarzanie treści rozporządzenia, tylko ustanowienie krajowego organu nadzoru oraz trybu, w jakim ten organ prowadzi kontrole i nakłada kary. Bez takiej ustawy rozporządzenie istniałoby na papierze bez żadnego krajowego mechanizmu egzekwowania go w praktyce.

KRiBSI jako polski organ nadzoru

Organem odpowiedzialnym za nadzór nad przestrzeganiem AI Act w Polsce jest KRiBSI. Zgodnie z harmonogramem wdrożenia, organ ten rozpoczyna formalne działanie 11 sierpnia 2026, razem ze startem polskiej ustawy o systemach AI, a pełny zakres egzekucyjny, czyli moment, w którym kontrole prowadzone są na pełną skalę, obowiązuje od 28 października 2026. Pełny harmonogram, zarówno unijny, jak i krajowy, opisuje artykuł Kalendarz wejścia w życie AI Act.

Do kompetencji tego typu organu, zgodnie z ogólną logiką rozporządzenia, należy typowo: prowadzenie kontroli u dostawców i podmiotów stosujących systemy AI, żądanie dokumentacji i informacji potwierdzających zgodność, nakładanie kar administracyjnych w granicach progów ustalonych w art. 99 AI Act (opisanych w artykule Kary za naruszenie AI Act) oraz współpraca z odpowiednikami w innych krajach członkowskich UE i z instytucjami unijnymi nadzorującymi modele GPAI.

Ważne zastrzeżenie: Ai Act (ta strona, aiact.waw.pl) to prywatna usługa techniczno-konsultingowa. Nie jest częścią KRiBSI, nie reprezentuje żadnego urzędu i nie wydaje decyzji administracyjnych. Naszą rolą jest pomoc firmom w przygotowaniu się do ewentualnej kontroli, nie prowadzenie jej ani orzekanie w jej sprawie.

Polska ustawa o systemach sztucznej inteligencji

Krajowa ustawa pełni funkcję uzupełniającą wobec rozporządzenia unijnego, nie zastępczą. Typowa treść tego rodzaju ustawy krajowej obejmuje: wyznaczenie organu nadzoru, określenie jego struktury i kompetencji proceduralnych, tryb odwoławczy od decyzji tego organu oraz ewentualne dodatkowe, krajowe sankcje karne za najpoważniejsze naruszenia, wykraczające poza kary administracyjne przewidziane wprost w samym rozporządzeniu unijnym. Więcej o samej ustawie w artykule Polska ustawa o systemach sztucznej inteligencji.

Jak w praktyce wygląda tryb kontroli

Ogólny mechanizm kontroli nad zgodnością z AI Act, wspólny dla organów nadzoru w całej Unii, zwykle obejmuje kilka etapów: zgłoszenie lub wykrycie potencjalnej niezgodności (samodzielnie przez organ albo na podstawie skargi), żądanie dokumentacji i wyjaśnień od firmy, ocenę zebranych materiałów, a przy stwierdzeniu naruszenia zwykle w pierwszej kolejności wezwanie do usunięcia braków w wyznaczonym terminie, zanim dojdzie do nałożenia kary finansowej. Szczegółowy, dokładny harmonogram i procedurę konkretnie stosowaną przez polski organ nadzoru poznamy w pełni dopiero po faktycznym uruchomieniu jego działalności; do tego czasu warto opierać się na ogólnych zasadach z rozporządzenia, nie na domysłach co do szczegółów proceduralnych.

Tabela: kto za co odpowiada w Polsce

Podmiot	Rola
AI Act (rozporządzenie UE 2024/1689)	Źródło obowiązków materialnych, obowiązuje bezpośrednio w całej UE
Polska ustawa o systemach sztucznej inteligencji	Ustanawia krajowy organ nadzoru i tryb kontroli
KRiBSI	Krajowy organ nadzoru, prowadzi kontrole, nakłada kary administracyjne
Instytucje unijne nadzorujące GPAI	Nadzór nad dostawcami modeli ogólnego przeznaczenia na poziomie całej UE
Ai Act (aiact.waw.pl)	Prywatna usługa techniczno-konsultingowa, pomaga firmom przygotować się do zgodności, nie prowadzi kontroli

Skąd organ nadzoru może dowiedzieć się o Twojej firmie

Ogólny mechanizm, wspólny dla organów nadzoru w całej Unii, przewiduje kilka źródeł, z których może wyniknąć zainteresowanie konkretną firmą: skarga klienta lub konkurenta, kontrola prowadzona przy okazji innego postępowania (np. konsumenckiego), własna inicjatywa organu w ramach szerszego przeglądu danej branży, albo, w przypadku poważniejszych naruszeń wysokiego ryzyka, zgłoszenie incydentu przez samą firmę lub jej dostawcę. Dla typowej małej firmy najbardziej realnym scenariuszem jest zwykle skarga klienta, np. dotycząca braku informacji, że rozmawiał z chatbotem, a nie z człowiekiem.

Dlaczego warto przygotować się zanim organ zapuka

Kontrola bez wcześniej przygotowanej dokumentacji zwykle oznacza presję czasową: firma musi w krótkim terminie zebrać dowody zgodności, które mogła przygotować spokojnie wcześniej. Praktyczny przewodnik po tym, co warto mieć gotowe zanim dojdzie do kontroli, opisuje artykuł Jak przygotować firmę na kontrolę.

Warto też pamiętać, że sam fakt kontroli nie oznacza automatycznie kary. W większości systemów nadzoru regulacyjnego w UE, także w obszarach pokrewnych jak ochrona danych osobowych, pierwszym krokiem organu jest zwykle żądanie wyjaśnień lub wezwanie do usunięcia stwierdzonych braków w wyznaczonym terminie, a kara pojawia się dopiero przy braku reakcji albo przy naruszeniach o istotnej wadze. Nie ma jednak pewności, że polski organ nadzoru przyjmie dokładnie taki sam model postępowania we wszystkich przypadkach, dlatego nie warto traktować tego jako gwarancji, tylko jako ogólny, prawdopodobny scenariusz.

Najczęściej zadawane pytania

Czy KRiBSI to ten sam organ co UODO albo UOKiK?

Nie. KRiBSI to organ dedykowany nadzorowi nad AI Act, ustanowiony osobną, krajową ustawą o systemach sztucznej inteligencji, odrębny od organu ochrony danych osobowych czy ochrony konkurencji, choć w praktyce współpraca między takimi organami bywa naturalna przy naruszeniach dotykających kilku obszarów prawa naraz.

Czy firma z siedzibą poza Polską, ale działająca na polski rynek, podlega KRiBSI?

Co do zasady nadzór nad danym podmiotem sprawuje organ kraju, w którym ma on siedzibę lub prowadzi główną działalność, z uwzględnieniem mechanizmów współpracy transgranicznej między organami nadzoru państw członkowskich. Szczegółowa ocena zależy od konkretnej sytuacji firmy.

Czy Ai Act (ta strona) ma jakiekolwiek powiązania z KRiBSI?

Nie, żadne. Ai Act to prywatna usługa techniczno-konsultingowa, niezależna od jakiegokolwiek urzędu, nieuprawniona do wydawania decyzji administracyjnych ani do reprezentowania organu nadzoru w jakiejkolwiek formie.

Czy przed 11 sierpnia 2026 nie ma w Polsce żadnego nadzoru nad AI Act?

Same obowiązki merytoryczne rozporządzenia (np. zakaz praktyk niedopuszczalnych czy kompetencje AI) obowiązują wcześniej, od lutego 2025, na mocy samego rozporządzenia unijnego. Krajowy organ nadzoru z pełnym zapleczem proceduralnym zaczyna formalnie działać dopiero po wejściu w życie polskiej ustawy.