KRiBSI i polska ustawa o AI: weszły w życie nowe przepisy

11 sierpnia 2026 roku weszła w życie polska Ustawa o systemach sztucznej inteligencji, podpisana 24 lipca 2026 roku przez Prezydenta RP. Dokument tworzy krajową architekturę nadzoru nad rynkiem oraz powołuje nowy organ – Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Przepisy te stanowią uzupełnienie bezpośrednio stosowanego unijnego rozporządzenia EU AI Act, wyznaczając krajowe ramy prawne dla firm wdrażających rozwiązania oparte na algorytmach.

Pojawienie się polskiej ustawy wykonawczej budziło wiele obaw wśród właścicieli małych i średnich przedsiębiorstw. Warto jednak rozdzielić wymogi prawne nakładane przez unijne rozporządzenie od funkcji, jakie pełni nowo powołany polski regulator.

Rola Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jest niezależnym organem kolegialnym, którego obsługę organizacyjno-kancelaryjną zapewnia Ministerstwo Cyfryzacji. Pracami Komisji kieruje przewodniczący powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję. Organ ten uzyskuje pełne uprawnienia operacyjne oraz możliwość przyjmowania formalnych zgłoszeń w listopadzie 2026 roku.

Do głównych zadań KRiBSI należy monitorowanie polskiego rynku pod kątem zgodności z EU AI Act, rozpatrywanie skarg od obywateli i przedsiębiorców oraz prowadzenie rejestru systemów wysokiego ryzyka. Ustawa nie daje jednak Komisji prawa do arbitralnego zakazywania działających systemów bez przeprowadzenia rzetelnego postępowania wyjaśniającego.

Dla przedsiębiorców istotną informacją jest fakt, że ustawa nakłada na regulatora obowiązek ochrony tajemnicy przedsiębiorstwa w trakcie prowadzonych czynności kontrolnych. Decyzje wydawane przez Komisję podlegają pełnej kontroli ze strony polskich sądów administracyjnych.

Opinie indywidualne i piaskownice regulacyjne dla MŚP

Uchwalona ustawa wprowadza dwa mechanizmy wsparcia, które mają na celu ułatwienie bezpiecznego wdrażania innowacji przez mniejsze podmioty gospodarcze. Pierwszym z nich jest możliwość uzyskania tak zwanej opinii indywidualnej w konkretnej sprawie.

Przedsiębiorca planujący wdrożenie nietypowego systemu AI może wystąpić do KRiBSI o formalne stanowisko co do legalności planowanych działań. Rozwiązanie to działa analogicznie do znanych z prawa podatkowego indywidualnych interpretacji przepisów, zapewniając firmie ochronę prawną w przypadku późniejszych wątpliwości.

Drugim kluczowym elementem ustawy są tak zwane piaskownice regulacyjne (regulatory sandboxes). Są to specjalne, kontrolowane środowiska testowe, w których firmy mogą bezpiecznie sprawdzać swoje aplikacje pod nadzorem regulatora przed ich rynkową premierą. Zgodnie z ustawą udział w piaskownicach regulacyjnych dla mikro-, małych i średnich przedsiębiorców jest całkowicie bezpłatny.

Co ustawa zmienia w codziennych obowiązkach firm

Sama ustawa krajowa nie nakłada na małe firmy nowych obowiązków merytorycznych ponad te, które wynikają bezpośrednio z unijnego rozporządzenia EU AI Act. Wymóg zachowania kompetencji personelu obowiązuje w całej Unii Europejskiej od 2 lutego 2025 roku, natomiast zasady transparentności i oznaczania botów weszły w życie 2 sierpnia 2026 roku.

Polska ustawa zmienia natomiast sytuację pod kątem egzekwowania przepisów. Do tej pory na polskim rynku brakowało wyspecjalizowanej instytucji, do której klienci lub pracownicy mogliby zgłosić naruszenie zasad dotyczących sztucznej inteligencji. Od momentu uruchomienia prac KRiBSI w listopadzie 2026 roku skargi będą trafiać do jednego wyznaczonego organu.

Eksperci do spraw prawa cyfrowego zalecają wykorzystanie pozostałego czasu na przeprowadzenie wewnętrznego audytu używanych narzędzi. Kluczowym krokiem jest zweryfikowanie, czy pracownicy nie korzystają z komercyjnych modeli AI na prywatnych kontach (tzw. Shadow AI) bez wiedzy i zgody kierownictwa.

Przygotowanie firmy na nadchodzące kontrole

Wdrożenie zgodności z przepisami w małym przedsiębiorstwie nie wymaga tworzenia rozbudowanej dokumentacji prawnej. Podstawą jest stworzenie prostej, wewnętrznej polityki korzystania z narzędzi cyfrowych, która określa, jakie dane (np. zakaz wprowadzania danych osobowych klientów) mogą trafiać do zewnętrznych aplikacji.

Należy również upewnić się, że pracownicy przeszli podstawowe szkolenie z zakresu ograniczeń i odpowiedzialności za weryfikację wyników generowanych przez algorytmy. Przepisy unijne wymagają, aby każda decyzja wywołująca skutki prawne lub finansowe dla klienta była ostatecznie zatwierdzana przez człowieka.

Ostatnim elementem jest zweryfikowanie komunikacji na stronie internetowej i dodanie krótkich informacji przy formularzach lub w oknach czatu, zawiadamiających użytkowników o interakcji z automatycznym asystentem.

Co z tego wynika

Wejście w życie polskiej ustawy o systemach AI 11 sierpnia 2026 roku porządkuje struktury nadzoru w kraju i daje firmom jasny punkt kontaktowy w postaci KRiBSI. Dla małych i średnich przedsiębiorstw najważniejszą korzyścią jest dostęp do bezpłatnych piaskownic regulacyjnych oraz możliwość uzyskania wiążących opinii indywidualnych przed wdrożeniem nowych narzędzi. Przedsiębiorcy nie muszą obawiać się nowych obciążeń biurokratycznych, powinni jednak zadbać o przetestowanie używanych botów oraz przeszkolenie zespołu z zasad weryfikacji pracy AI.