Kontrola przedsiębiorcy na podstawie ustawy o systemach sztucznej inteligencji. Cz. III

W pierwszej części cyklu omówione zostały podstawy prowadzenia kontroli na gruncie ustawy o systemach sztucznej inteligencji, jej zakres oraz rodzaje obowiązków przedsiębiorców, które mogą podlegać weryfikacji przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Druga część została poświęcona uprawnieniom kontrolujących oraz obowiązkom kontrolowanego przedsiębiorcy, w tym zasadom dostępu do dokumentów, danych i systemów informatycznych, żądania wyjaśnień oraz utrwalania przebiegu czynności kontrolnych.

Trzecia część koncentruje się na sytuacji samego przedsiębiorcy – przysługujących mu gwarancjach procesowych oraz praktycznym przygotowaniu organizacji do kontroli. Szerokim kompetencjom Komisji odpowiadają bowiem określone granice ingerencji organu i uprawnienia kontrolowanego, których znajomość może mieć istotne znaczenie dla prawidłowego przebiegu kontroli.

Przedsiębiorca nie jest wyłącznie biernym uczestnikiem kontroli. Ustawa z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU) przewiduje bowiem szereg gwarancji procesowych, które mają zapewnić równowagę pomiędzy skutecznością działań organu nadzoru a ochroną praw kontrolowanego. Obejmują one zarówno sposób wszczęcia kontroli, zasady prowadzenia czynności kontrolnych, jak i prawa przysługujące przedsiębiorcy w toku całego postępowania kontrolnego.

Zawiadomienie o wszczęciu kontroli

Pierwszą z takich gwarancji jest obowiązek uprzedniego zawiadomienia o wszczęciu kontroli. Zgodnie z art. 49 ust. 2 AIU kontrola co do zasady może rozpocząć się dopiero po upływie siedmiu dni od doręczenia przedsiębiorcy zawiadomienia. Termin ten ma umożliwić kontrolowanemu odpowiednie przygotowanie się do czynności kontrolnych, w szczególności zgromadzenie dokumentacji, zapewnienie dostępu do systemów informatycznych oraz wyznaczenie osób odpowiedzialnych za współpracę z Komisją. Wyjątek od tej zasady przewidziano wyłącznie w sytuacjach, w których istnieje uzasadnione podejrzenie albo znaczące prawdopodobieństwo wystąpienia szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. W takich przypadkach Komisja może przeprowadzić kontrolę bez zachowania siedmiodniowego terminu.

Przedsiębiorca ma również prawo zweryfikować, czy kontrola prowadzona jest przez osoby do tego uprawnione. Zgodnie z art. 50 AIU czynności kontrolne mogą wykonywać wyłącznie osoby upoważnione przez Komisję. Upoważnienie określa między innymi podstawę prawną kontroli, jej zakres oraz osoby upoważnione do jej przeprowadzenia (art. 51 AIU). Rozwiązanie to ma istotne znaczenie praktyczne, ponieważ wyznacza granice prowadzonej kontroli i pozwala przedsiębiorcy zweryfikować, czy podejmowane czynności mieszczą się w zakresie udzielonego upoważnienia.

Granice uprawnień kontrolnych

Istotną gwarancję procesową stanowi również sposób wykonywania przez Komisję uprawnień określonych w art. 52 AIU. Choć kontrolowany jest zobowiązany do udostępnienia dokumentów, danych, systemów informatycznych oraz udzielania wyjaśnień, obowiązek ten nie ma charakteru nieograniczonego. Kontrolujący mogą żądać wyłącznie materiałów pozostających w związku z przedmiotem kontroli, natomiast przetwarzanie danych osobowych jest dopuszczalne jedynie w zakresie niezbędnym do realizacji celu kontroli. Również utrwalanie przebiegu czynności kontrolnych dzięki urządzeń rejestrujących obraz lub dźwięk wymaga uprzedniego poinformowania kontrolowanego. Przepisy te wyznaczają granice dopuszczalnej ingerencji organu nadzoru i stanowią wyraz zasady proporcjonalności.

Legal professional privilege

Najdalej idącą gwarancję ochrony praw przedsiębiorcy przewiduje jednak art. 54 AIU, który wprowadza ochronę komunikacji pomiędzy kontrolowanym a profesjonalnym pełnomocnikiem. o ile przedsiębiorca albo osoba przez niego upoważniona oświadczy, iż ujawnione w toku kontroli materiały, dokumenty lub dane obejmują komunikację z adwokatem, radcą prawnym, prawnikiem z Unii Europejskiej lub inną osobą objętą zakresem tego przepisu, prowadzoną w celu zapewnienia przedsiębiorcy ochrony prawnej w toku przeprowadzanej kontroli, kontrolujący zobowiązany jest pozostawić takie materiały w miejscu przeprowadzenia kontroli. Ochroną objęte są również dokumenty sporządzone wyłącznie w celu uzyskania pomocy prawnej. Rozwiązanie to odpowiada instytucji legal professional privilege, od lat funkcjonującej między innymi w postępowaniach prowadzonych przez Prezesa UOKiK oraz Komisję Europejską.

Ochrona tajemnicy komunikacji z pełnomocnikiem nie ma jednak charakteru bezwzględnego. Kontrolujący może zapoznać się z dokumentem w zakresie pozwalającym ustalić jego autora, adresata, tytuł, przedmiot oraz datę sporządzenia, a także zażądać od przedsiębiorcy dodatkowych wyjaśnień lub przygotowania wersji dokumentu niezawierającej informacji objętych ochroną, o ile jest to możliwe. o ile złożone oświadczenie budzi wątpliwości, materiały są przekazywane do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów, który rozstrzyga, czy rzeczywiście korzystają z ochrony przewidzianej w art. 54 AIU. Na przedsiębiorcy spoczywa przy tym ciężar wykazania, iż dokument spełnia przesłanki objęcia ochroną. Dopiero prawomocne rozstrzygnięcie sądu przesądza, czy materiał zostanie zwrócony przedsiębiorcy, czy też będzie mógł zostać wykorzystany na potrzeby kontroli.

Pomoc Policji i wyspecjalizowanych jednostek

Na uwagę zasługuje również art. 55 AIU regulujący możliwość korzystania przez Komisję z pomocy Policji lub jednostek podległych ministrowi adekwatnemu do spraw informatyzacji. Przedsiębiorca powinien mieć świadomość, iż udział tych podmiotów nie oznacza rozszerzenia zakresu kontroli ani przyznania im samodzielnych kompetencji kontrolnych. Rola Policji ogranicza się do zapewnienia porządku oraz bezpieczeństwa osób obecnych podczas kontroli, natomiast jednostki wyspecjalizowane w obszarze informatyzacji udzielają Komisji wsparcia wyłącznie w zakresie wymagającym wiadomości specjalnych dotyczących bezpieczeństwa systemów sztucznej inteligencji. Także w tym przypadku ustawodawca zachował zasadę proporcjonalności, przewidując możliwość skorzystania z pomocy innych służb jedynie w szczególnie uzasadnionych przypadkach.

Przygotowanie organizacji na kontrolę

Wejście w życie AIU oznacza, iż obowiązki związane z AI nie kończą się na wdrożeniu procedur wymaganych przez rozporządzenie 2024/1689 (dalej: AIAct). Równie istotne staje się przygotowanie organizacji na ewentualną kontrolę Komisji. Z perspektywy przedsiębiorcy kontrola nie będzie bowiem wyłącznie oceną zgodności dokumentacji z przepisami, ale w praktyce sprawdzianem całego systemu zarządzania zgodnością (compliance) w obszarze sztucznej inteligencji.

Przedsiębiorcy powinni w pierwszej kolejności zidentyfikować swoją rolę w łańcuchu wartości systemów AI. Zakres obowiązków, a tym samym również zakres ewentualnej kontroli, będzie odmienny dla dostawcy systemu, importera, dystrybutora czy podmiotu wykorzystującego system AI w działalności. Dopiero prawidłowe określenie statusu pozwala ustalić, jakie obowiązki wynikające z AIAct powinny zostać wdrożone oraz jaka dokumentacja może zostać objęta kontrolą.

W praktyce warto również przeprowadzić wewnętrzny audyt dokumentacji dotyczącej systemów sztucznej inteligencji. Dotyczy to nie tylko dokumentów wymaganych przez AIAct, ale również procedur wewnętrznych, rejestrów, dokumentacji technicznej oraz materiałów potwierdzających wykonywanie obowiązków związanych z monitorowaniem systemów AI. Z perspektywy kontroli równie istotne jak samo wykonanie obowiązków jest bowiem możliwość wykazania, iż zostały one rzeczywiście zrealizowane.

Przedsiębiorcy korzystający z rozwiązań chmurowych powinni zwrócić szczególną uwagę na organizację dostępu do danych i dokumentacji. Z art. 52 AIU wynika bowiem, iż obowiązek udostępnienia danych obejmuje również systemy informatyczne i teleinformatyczne oraz chmurę obliczeniową należące do podmiotów trzecich, o ile kontrolowany posiada do nich dostęp. Powierzenie infrastruktury zewnętrznemu dostawcy nie zwalnia więc przedsiębiorcy z obowiązków związanych z kontrolą.

Istotnym elementem przygotowania do kontroli powinno być również opracowanie wewnętrznej procedury współpracy z organem nadzoru. W praktyce warto z góry wskazać osoby odpowiedzialne za kontakt z Komisją, sposób udostępniania dokumentów oraz zasady udzielania wyjaśnień. Pozwala to ograniczyć ryzyko udostępnienia dokumentów niezwiązanych z przedmiotem kontroli lub przekazania niespójnych informacji przez różnych pracowników.

Na szczególną uwagę zasługuje także ochrona komunikacji z profesjonalnym pełnomocnikiem. Przedsiębiorcy powinni z wyprzedzeniem zidentyfikować dokumenty i korespondencję, które mogą korzystać z ochrony przewidzianej w art. 54 AIU. W praktyce odpowiednie oznaczenie takiej dokumentacji oraz znajomość procedury przewidzianej w ustawie mogą mieć istotne znaczenie dla skutecznego skorzystania z tej gwarancji procesowej podczas kontroli.

Ostatecznie przygotowanie do kontroli Komisji powinno być traktowane jako element szerszego systemu compliance w zakresie sztucznej inteligencji. Przedsiębiorca, który na bieżąco wykonuje obowiązki wynikające z AIAct, prowadzi wymaganą dokumentację oraz posiada jasno określone procedury postępowania na wypadek kontroli, nie tylko ogranicza ryzyko naruszenia przepisów, ale również znacząco zwiększa szanse na sprawne i bezkonfliktowe przeprowadzenie czynności kontrolnych.

W praktyce największym ryzykiem dla przedsiębiorców może okazać się nie sama kontrola, ale brak wcześniejszego przygotowania organizacji do jej przeprowadzenia.

Gabriela Gąsior – radca prawny w Dziale Własności Intelektualnej/E-commerce/Nowoczesnych Technologii kancelarii MKZPartnerzy. Ekspertka w zakresie prawa nowych technologii, specjalizująca się również w prawie chińskim; zna język chiński.