Nowe przepisy o AI w 2026 roku: co sprawdzi regulator, a na co musi przygotować się biznes?

• Polska ustawa o systemach AI - kogo będzie dotyczyć
• Państwowy „audytor algorytmów”
• Kontrola zasadniczo w trybie zdalnym
• Na celowniku: zgodność, dokumentacja i rejestry
• Kary, które mogą zaboleć
• Bezpieczna przestrzeń do innowacji
• Kalendarz wdrożenia

Polska ustawa o systemach AI - kogo będzie dotyczyć

Przepisy aktu prawnego o randze rozporządzenia Parlamentu Europejskiego i Rady (UE) nie wymagają transpozycji do krajowego porządku prawnego, a wiążą wprost każde państwo członkowskie. Polska ustawa o systemach sztucznej inteligencji nie powiela więc unijnych obowiązków, lecz tworzy mechanizmy ich egzekwowania - wprowadza krajowy system nadzoru, kontroli i sankcji, który w praktyce zmienia sposób funkcjonowania przedsiębiorstw korzystających z AI.

Nowe przepisy obejmą szeroki krąg podmiotów. Dotyczą nie tylko dużych firm technologicznych, ale wszystkich przedsiębiorców wykorzystujących systemy AI w działalności zawodowej - od banków i firm e-commerce HR korzystające z algorytmów rekrutacyjnych.

Do podmiotów wyłączonych z kręgu adresatów obowiązków są m.in. osoby fizyczne używające AI wyłącznie w celach osobistych, niezwiązanych z działalnością gospodarczą, rolniczą lub inną działalnością regulowaną przez prawo. Istotne znaczenie ma przy tym rozróżnienie wprowadzone przez Rozporządzenie, które dzieli uczestników rynku m.in. na dostawców systemów, podmioty stosujące, a także importerów i dystrybutorów. To od roli w łańcuchu wdrażania systemów AI zależy zakres obowiązków.

Przepisów nie stosuje się także do badań podstawowych, aplikacyjnych oraz prac rozwojowych (za wyjątkiem testów w warunkach rzeczywistych). Wyłączenie to pozwala na swobodniejszy rozwój nauki i innowacji, bez konieczności spełniania dodatkowych wymagań.

Z zakresu stosowania przepisów ustawy wyłączone zostały również systemy AI udostępniane na podstawie bezpłatnych licencji otwartego oprogramowania, chyba że są wprowadzane do obrotu jako systemy wysokiego ryzyka lub systemy objęte art. 5 (zakazane praktyki) lub art. 50 (obowiązek przejrzystości) Rozporządzenia.

Państwowy „audytor algorytmów”

Największą zmianą jest jednak pojawienie się realnego nadzoru. Projekt ustawy przewiduje powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która stanie się centralnym organem kontrolującym rynek AI w Polsce. Jej kompetencje wykraczają poza klasyczne funkcje administracyjne. Komisja będzie mogła: prowadzić kontrole, wszczynać postępowania, nakładać kary, a także rozpatrywać skargi składane przez uprawnione podmioty, w tym samych użytkowników. Co istotne, postępowanie może zostać wszczęte nie tylko z inicjatywy organu, ale również na skutek sygnału z zewnątrz - od klienta, kontrahenta czy nawet konkurenta.

W tym sensie ryzyko regulacyjne przestaje być abstrakcyjne. Każda firma zobowiązana do stosowania AI Act musi liczyć się z możliwością weryfikacji swoich systemów oraz przestrzegania obowiązków nałożonych przez Rozporządzenie. Sztuczna inteligencja trafia tym samym do kategorii obszarów objętych nadzorem porównywalnym z ochroną danych osobowych czy sektorem finansowym. Nieprzypadkowo coraz częściej pojawia się porównanie, że AI Act może mieć dla biznesu znaczenie podobne do tego, jakie kilka lat temu miało RODO.

Docelowo w nadzorze uczestniczyć będą również organy sektorowe właściwe do nadzoru nad systemami wysokiego ryzyka, m.in. w obszarach medycyny, transportu, bezpieczeństwa publicznego czy polityki migracyjnej. Opracowanie przepisów w tym zakresie jest uzależnione od publikacji wytycznych Komisji Europejskiej oraz prac nad projektem uproszczeń (tzw. Omnibus AI).

Kontrola zasadniczo w trybie zdalnym

Projektowane przepisy zmieniają również sam charakter kontroli, jaka jest nam znana obecnie. Docelowo kontrole będą prowadzone zdalnie, bez fizycznej obecności urzędników w firmie. To z pozoru techniczne rozwiązanie może mieć jednak spore znaczenie w praktyce. Łatwość wszczęcia kontroli może się przełożyć na częstotliwość jej przeprowadzania, choć organ może zadecydować o przeprowadzeniu kontroli w sposób „tradycyjny”, tj. w siedzibie kontrolowanego podmiotu. Zasadniczo przedsiębiorca powinien zostać poinformowany o kontroli z co najmniej 7-dniowym wyprzedzeniem.

Kontrolujący będzie mógł zażądać dostępu do dokumentów, systemów informatycznych, baz danych czy środowisk chmurowych, a także żądać wyjaśnień od pracowników. Uprawnienia obejmują również kopiowanie danych oraz utrwalanie przebiegu kontroli. Oznacza to, że przedsiębiorstwo musi być przygotowane na swego rodzaju audyt i to o dość szerokim zakresie. To z kolei przekłada się na konieczność dostosowania funkcjonowania firmy do nowych standardów. Przepisy dotyczące sztucznej inteligencji tworzą właśnie kolejny obszar do zaopiekowania w ramach compliance firmy.

Na celowniku: zgodność, dokumentacja i rejestry

Co dokładnie sprawdzi regulator? W centrum zainteresowania znajdzie się przede wszystkim zgodność systemów AI z wymogami wynikającymi z AI Act, czyli m.in. weryfikacja posiadania odpowiedniej dokumentacji technicznej i przeprowadzania ocen zgodności. Brak dokumentacji nie będzie traktowany jako uchybienie formalne, lecz jako realny brak zgodności z przepisami. Należy mieć jednak na uwadze, że nie każde wykorzystanie sztucznej inteligencji w ramach prowadzonej działalności wiąże się z koniecznością spełnienia szeregu wymogów nakładanych Rozporządzeniem, dlatego już teraz warto przeprowadzić analizę podlegania pod AI Act.

Regulator przyjrzy się również temu, jak przedsiębiorstwa zarządzają ryzykiem związanym z AI. Wymagane będzie nie tylko zidentyfikowanie potencjalnych zagrożeń, ale także wdrożenie procedur ich monitorowania i ograniczania. Sztuczna inteligencja wchodzi tym samym do obszaru klasycznego zarządzania ryzykiem, znanego dotąd głównie z sektora finansowego.

Nie mniej istotna jest kwestia tzw. gotowości audytowej, w szczególności w odniesieniu do systemów AI wysokiego ryzyka. Przedsiębiorcy wykorzystujący takie rozwiązania będą musieli być w stanie odtworzyć sposób działania systemu w określonym momencie, co wynika m.in. z obowiązków dotyczących logowania zdarzeń, prowadzenia dokumentacji technicznej oraz monitorowania działania systemu. W praktyce oznacza to konieczność przechowywania logów, historii decyzji i innych danych operacyjnych.

To z kolei wymaga budowy zaplecza organizacyjnego i technologicznego, które umożliwi taką analizę. Innymi słowy, firmy powinny już dziś być w stanie odpowiedzieć na trzy pytania: jakie systemy AI wysokiego ryzyka wykorzystują, jak one działają oraz czy potrafią to udokumentować i obronić przed regulatorem.

Wszystkie te obowiązki przekładają się na konkretne koszty. Wdrożenie regulacji będzie wymagało stworzenia systemów zgodności, przygotowania dokumentacji, wdrożenia procedur raportowania oraz przeszkolenia pracowników. W przypadku systemów wysokiego ryzyka dochodzą koszty certyfikacji i notyfikacji. Z drugiej strony, firmy, które szybko osiągną zgodność z regulacjami, mogą zyskać przewagę konkurencyjną - szczególnie na rynku unijnym, gdzie zgodność z AI Act stanie się w niedługim czasie standardem rynkowym.

Kary, które mogą zaboleć

Nowy system nadzoru nie byłby egzekwowalny bez sankcji – a te mogą okazać się niemałe. Za naruszenie przepisów, w szczególności zakazów dotyczących niedozwolonych praktyk AI, mogą grozić kary sięgające nawet 35 mln euro lub 7% globalnego rocznego obrotu przedsiębiorcy.

W przypadku nieprzestrzegania innych przepisów Rozporządzenia, kara wyniesie do 15 mln euro lub 3% globalnego rocznego obrotu przedsiębiorcy.

Co więcej, postępowanie przed organem nadzorczym ma charakter jednoinstancyjny, a jedyną drogą odwoławczą jest skarga do Sądu Ochrony Konkurencji i Konsumentów. Oznacza to ograniczone możliwości przeciągania spraw i większą presję na szybkie dostosowanie się do zaleceń regulatora.

Ustawodawca przewidział jednak mechanizmy łagodzące. W określonych sytuacjach możliwe będzie nawet zawarcie układu z organem. Do zmniejszenia dolegliwości może przyczynić się również wykonanie zaleceń pokontrolnych lub usunięcie skutków naruszenia. Efektem może być obniżenie kary, a nawet odstąpienie od jej wymierzenia. Czas i sposób działania przedsiębiorcy, u którego dojdzie do wykrycia nieprawidłowości będą miały więc realny wpływ na ostateczny kształt i wysokość kary.

Bezpieczna przestrzeń do innowacji

Na marginesie warto zwrócić uwagę na tzw. piaskownicę regulacyjną w zakresie sztucznej inteligencji. W jej ramach wybrane podmioty będą mogły testować rozwiązania oparte na sztucznej inteligencji w kontrolowanych warunkach, uzyskując czasowe odstępstwa od części obowiązków wynikających z regulacji. Nie chodzi więc o całkowite „wyłączenie prawa”, lecz o stworzenie środowiska, w którym innowacje mogą być rozwijane pod nadzorem regulatora, ale bez pełnego ciężaru formalnego na wczesnym etapie projektu.

Zakres takich odstępstw obejmie m.in. obowiązki związane z systemem zarządzania jakością, prowadzeniem dokumentacji czy przechowywaniem logów działania systemu. Jednocześnie uczestnictwo w piaskownicy będzie obwarowane określonymi warunkami, w tym ograniczeniem skali testów, np. liczby użytkowników, na których system może oddziaływać. Ma to zapewnić równowagę między wspieraniem innowacji a ochroną interesu publicznego.

Dostęp do piaskownicy nie będzie automatyczny. Projekty mają być wybierane w ramach procedury konkursowej, a sam mechanizm może być realizowany również we współpracy z innymi organami krajowymi lub regulatorami z innych państw UE. To sygnał, że ustawodawca widzi rozwój AI jako proces wymagający nie tylko nadzoru, ale także aktywnego wsparcia instytucjonalnego.

Istotnym ułatwieniem jest preferencyjne traktowanie sektora MŚP. Dla mikro, małych i średnich przedsiębiorców udział w piaskownicy ma być bezpłatny. W przypadku większych podmiotów przewidziano opłaty, ale ich maksymalna wysokość zostanie ograniczona, co ma zapobiegać tworzeniu barier wejścia.

Piaskownice regulacyjne mogą stać się więc narzędziem ograniczania ryzyka regulacyjnego. Pozwolą przetestować model biznesowy i technologię jeszcze przed pełnym wdrożeniem i wejściem w rygorystyczny reżim zgodności. Dla wielu firm, zwłaszcza start-upów, może to być istotny etap przejścia od prototypu do rozwiązania gotowego do wdrożenia w skali produkcyjnej.

Kalendarz wdrożenia

Ustawa o systemach sztucznej inteligencji jest na etapie procedowania w Sejmie. Projekt przewiduje wejście w życie przepisów po 14 dniach od dnia ogłoszenia, przy czym przepisy dotyczące powołania organu nadzoru zaczną obowiązywać od dnia następującego po jej ogłoszeniu. Oznacza to, że przedsiębiorcy będą mieli stosunkowo krótki czas na dostosowanie się do nowych realiów.

Nowe regulacje wprowadzają fundamentalną zmianę relacji między biznesem a państwem. Sztuczna inteligencja przestaje być wyłącznie narzędziem innowacji, a staje się obszarem podlegającym stałemu nadzorowi. W erze regulowanej sztucznej inteligencji przewagę zyskają nie tylko ci, którzy tworzą najlepsze algorytmy, ale przede wszystkim ci, którzy potrafią je udokumentować i obronić. Warto więc już teraz zadbać o zgodność z regulacjami.

Weronika Szachniewicz - Radczyni prawna | Associate w KWKR

Podstawa prawna:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act).
- Rządowy projekt ustawy o systemach sztucznej inteligencji – druk sejmowy nr 2443 – przebieg procedury legislacyjnej w Sejmie.