Ustawa a AI Act: polska ustawa o systemach AI

Czy AI Act to ustawa? Nie, i to ma praktyczne skutki

AI Act nie jest ustawą, tylko rozporządzeniem Unii Europejskiej (Rozporządzenie 2024/1689), które obowiązuje w Polsce bezpośrednio. Osobnym aktem jest polska ustawa o systemach sztucznej inteligencji, obowiązująca od 11 sierpnia 2026, która nie powtarza treści AI Act, tylko ustanawia krajowy organ nadzoru i tryb kontroli.

To rozróżnienie ma dwa praktyczne skutki. Po pierwsze, obowiązki merytoryczne firmy wynikają z rozporządzenia unijnego i są identyczne w każdym kraju UE, więc szukanie ich w polskiej ustawie prowadzi donikąd. Po drugie, to, kto puka do drzwi na kontrolę i w jakim trybie, wynika już z ustawy krajowej.

Skrótowo: czego macie przestrzegać stoi w rozporządzeniu, kto to sprawdza i jak stoi w ustawie.

Rozporządzenie unijne a ustawa krajowa: dlaczego jest potrzebna druga

AI Act, jako rozporządzenie Unii Europejskiej, obowiązuje bezpośrednio w Polsce, bez konieczności przepisywania jego treści na nowo w prawie krajowym. To fundamentalna różnica względem dyrektyw, które trzeba wdrażać ustawą. Rozporządzenia unijne mają jednak zwykle jedną wspólną cechę: zostawiają krajom członkowskim zadanie wyznaczenia organu, który będzie pilnował ich przestrzegania na miejscu, oraz określenia trybu, w jakim ten organ działa. Samo rozporządzenie nie tworzy krajowej instytucji nadzoru, bo nie ma takiej kompetencji.

Stąd potrzeba polskiej ustawy o systemach sztucznej inteligencji: nie po to, żeby powtórzyć treść AI Act, tylko po to, żeby osadzić go w krajowym systemie instytucjonalnym.

Co ustawa krajowa wprowadza

Najważniejszym elementem polskiej ustawy jest ustanowienie krajowego organu nadzoru, funkcjonującego pod nazwą KRiBSI. W ogólnym zarysie ustawa reguluje trzy obszary:

• tryb kontroli: sposób, w jaki organ nadzoru może sprawdzać, czy firmy przestrzegają obowiązków z AI Act,
• sankcje krajowe uzupełniające: mechanizm egzekwowania kar przewidzianych w samym rozporządzeniu unijnym oraz, w niektórych obszarach, dodatkowych sankcji krajowych,
• procedurę przyjmowania i rozpatrywania skarg od osób i podmiotów, które uważają, że dany system AI narusza ich prawa.

Więcej o samym organie nadzoru, jego kompetencjach i ogólnym trybie działania, opisuje artykuł Organ nadzoru w Polsce. Kto formalnie odpowiada za egzekwowanie AI Act w Polsce, w tym relację między organem krajowym a instytucjami unijnymi, wyjaśnia artykuł Kto egzekwuje AI Act w Polsce.

Ostrożność w szczegółach proceduralnych

W tym miejscu warto zaznaczyć wprost: szczegółowe procedury krajowe, tryby odwoławcze i dokładny zakres kompetencji organu nadzoru to materia, która bywa doprecyzowywana i zmieniana w kolejnych nowelizacjach oraz aktach wykonawczych. Zamiast podawać fałszywie precyzyjne szczegóły proceduralne, ten artykuł celowo trzyma się poziomu ogólnego. Jeśli Twoja firma znalazła się w realnej procedurze kontrolnej albo dostała konkretne pismo od organu nadzoru, właściwym krokiem jest konsultacja z radcą prawnym, nie poleganie na ogólnym artykule informacyjnym.

Polska ustawa o systemach sztucznej inteligencji nie zastępuje AI Act ani nie zmienia jego treści merytorycznej. Jej rolą jest osadzenie unijnego rozporządzenia w krajowym systemie nadzoru i egzekwowania prawa.

Relacja z sankcjami unijnymi

AI Act sam w sobie przewiduje górne progi kar administracyjnych, sięgające, w najpoważniejszych przypadkach naruszenia zakazanych praktyk, do 35 milionów euro lub 7% globalnego rocznego obrotu firmy. Ustawa krajowa nie zmienia tych progów unijnych, bo nie ma takiej kompetencji wobec rozporządzenia. Może jednak precyzować tryb, w jakim krajowy organ nadzoru nakłada kary w tych granicach, oraz wprowadzać dodatkowe sankcje w obszarach, które rozporządzenie pozostawia do uregulowania krajom członkowskim. Pełne rozbicie progów kar unijnych opisuje artykuł Kary za naruszenie AI Act.

Dlaczego każdy kraj członkowski musiał przyjąć podobną ustawę

Polska nie jest w tej sytuacji wyjątkiem. AI Act, jako rozporządzenie, wymaga od każdego z 27 krajów członkowskich Unii Europejskiej wyznaczenia własnego organu lub organów nadzoru odpowiedzialnych za jego egzekwowanie na terenie danego kraju. Część krajów zdecydowała się powierzyć tę funkcję organom już istniejącym, na przykład tym odpowiedzialnym za ochronę danych osobowych albo za nadzór nad rynkiem, a część, tak jak Polska, zdecydowała się powołać nowy, dedykowany organ. Obie ścieżki są dopuszczalne w ramach rozporządzenia, które w tej kwestii pozostawia krajom członkowskim swobodę wyboru rozwiązania instytucjonalnego najlepiej pasującego do ich systemu prawnego.

Warto o tym pamiętać, bo oznacza to, że firma działająca w kilku krajach Unii Europejskiej może w praktyce mieć do czynienia z różnymi organami nadzoru w różnych krajach, mimo że materialne obowiązki wynikające z samego AI Act pozostają te same w całej Unii.

Dlaczego to dotyczy również małych firm

Łatwo założyć, że krajowy organ nadzoru i tryb kontroli to temat dla dużych korporacji albo dostawców zaawansowanych systemów AI. W praktyce ustawa i wynikające z niej kompetencje kontrolne organu nadzoru dotyczą każdej firmy podlegającej AI Act, niezależnie od wielkości, w tym firm będących wyłącznie stosującymi gotowe narzędzia AI (na przykład chatboty czy generatory grafik). Skala firmy może wpływać na to, jak dokładnie i jak często prowadzone są kontrole, ale nie zwalnia z samego obowiązku przestrzegania przepisów.

Co Ai Act (ta strona) robi, a czego nie robi

Warto to powiedzieć wprost i bez niedomówień: Ai Act, czyli usługa dostępna pod adresem aiact.waw.pl, jest prywatną usługą techniczno-konsultingową. Nie jest organem nadzoru, nie reprezentuje KRiBSI ani żadnej instytucji państwowej i nie wydaje decyzji administracyjnych. Audyt strony i dokumenty przygotowywane w ramach usługi mają charakter techniczno-informacyjny i mają pomóc firmie przygotować się do ewentualnej kontroli, a nie zastąpić ocenę prawną czy formalne postępowanie przed właściwym organem.

Najczęściej zadawane pytania

Jak nazywa się ustawa o AI w Polsce i od kiedy obowiązuje?

To ustawa o systemach sztucznej inteligencji, obowiązująca od 11 sierpnia 2026. Nie jest to polska wersja AI Act, tylko akt osadzający unijne rozporządzenie w krajowym systemie instytucjonalnym: ustanawia organ nadzoru (KRiBSI), tryb kontroli i tryb nakładania kar.

Szukam “ustawy AI Act”, czy taki akt istnieje?

Nie w takiej formie. Potocznie “ustawą AI Act” nazywa się Rozporządzenie (UE) 2024/1689, które ustawą nie jest. Jeżeli szukasz treści obowiązków, właściwym źródłem jest rozporządzenie unijne. Jeżeli szukasz przepisów o kontrolach i organie nadzoru w Polsce, właściwym źródłem jest ustawa o systemach sztucznej inteligencji.

Czy polska ustawa o systemach AI zastępuje unijny AI Act?

Nie. AI Act jako rozporządzenie unijne obowiązuje bezpośrednio i ma pierwszeństwo. Ustawa krajowa uzupełnia go o element, którego samo rozporządzenie nie mogło ustanowić: krajowy organ nadzoru i tryb kontroli.

Czy ustawa krajowa wprowadza nowe, inne kary niż AI Act?

Górne progi kar administracyjnych wynikają z samego rozporządzenia unijnego i są wspólne dla całej Unii Europejskiej. Ustawa krajowa może precyzować tryb nakładania tych kar oraz wprowadzać dodatkowe sankcje w obszarach pozostawionych do uregulowania krajom członkowskim.

Czy każda firma musi się rejestrować w KRiBSI?

To zależy od charakteru systemów AI, z których firma korzysta, i wykracza poza zakres tego artykułu, który ma charakter ogólny. W sprawach dotyczących konkretnego obowiązku rejestracyjnego najlepiej skonsultować się z radcą prawnym lub sięgnąć po oficjalne materiały organu nadzoru.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę sytuacji konkretnej firmy wobec polskiej ustawy o systemach AI powinien przeprowadzić radca prawny lub adwokat.