Kto sprawdzi oznaczenia treści AI? Rola KRiBSI, kontrola i postępowanie

Obowiązki przejrzystości wynikające z art. 50 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689[1] wiążą się nie tylko z ryzykiem sankcji za ich naruszenie, ale również z praktycznym pytaniem o sposób ich egzekwowania. Praktyka adekwatnych organów dopiero się kształtuje, dlatego na tym etapie nie sposób przesądzić, jak będą one podchodziły do poszczególnych przypadków naruszeń. Obowiązujące regulacje pozwalają jednak już dziś określić, jakie kompetencje kontrolne i proceduralne będą przysługiwać adekwatnym organom, w jaki sposób może dojść do wszczęcia postępowania oraz jakich działań i dokumentów organy mogą oczekiwać od podmiotów objętych obowiązkami z art. 50 AI Act.

W artykule wyjaśnimy, kto będzie sprawdzał, czy treści generowane lub modyfikowane przez AI są prawidłowo oznaczone, oraz jak może przebiegać postępowanie. Podstawą analizy jest ustawa o systemach sztucznej inteligencji[2] wraz z uzasadnieniem jej projektu.

1. KRiBSI jako organ kontrolujący oznaczenia treści AI

Polskim organem adekwatnym do nadzoru rynku systemów AI, w tym do kontroli obowiązków oznaczania treści z art. 50 AI Act, jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Pełni ona zarazem funkcję pojedynczego punktu kontaktowego[3]. W jej skład wchodzą, obok Przewodniczącego i zastępców, członkowie wskazani przez: Prezesa UOKiK, Komisję Nadzoru Finansowego, KRRiT oraz Prezesa UKE, co już na poziomie ustrojowym wiąże jej działanie z pozostałymi regulatorami rynku cyfrowego. Proces organizacji Komisji przez cały czas trwa. 18 września 2026 r. Sejm powołał Pamelę Krzypkowską na stanowisko Przewodniczącej KRiBSI, a 24 września 2026 r. Senat wyraził zgodę na jej powołanie.

Komisja nie będzie jednak mogła od razu korzystać z pełnego zakresu swoich kompetencji kontrolnych i sankcyjnych. Ustawa weszła zasadniczo w życie 11 sierpnia 2026 r., jednak przepisy regulujące kontrolę, postępowanie, układ oraz administracyjne kary pieniężne objęto dłuższym vacatio legis[4] i zaczną obowiązywać 28 października 2026 r.

Nie oznacza to jednak, iż KRiBSI będzie adekwatna w każdej sprawie dotyczącej art. 50 AI Act. Po zmianach wprowadzonych przez AI Omnibus w odniesieniu do określonych systemów AI, wyłączne kompetencje nadzorcze i egzekucyjne przysługują Urzędowi ds. AI. Dotyczy to w szczególności przypadków wskazanych w art. 75 AI Act, przy czym zakres tej wyłącznej kompetencji zależy także od roli danego podmiotu jako dostawcy lub podmiotu stosującego[5].

Należy przy tym pamiętać o okresie przejściowym dotyczącym art. 50 ust. 2 AI Act: dostawcy systemów generujących treści syntetyczne, które zostały wprowadzone do obrotu przed 2 sierpnia 2026 r., mają czas na dostosowanie się do tego obowiązku do 2 grudnia 2026 r.

2. Skąd KRiBSI dowie się o potencjalnym naruszeniu?

Komisja może wszcząć postępowanie z urzędu lub na wniosek[6]. Wszczęcie z urzędu może nastąpić między innymi na podstawie ustaleń z kontroli albo w wyniku rozpatrzenia skargi. Z wnioskiem o wszczęcie mogą wystąpić także Przewodniczący, zastępca lub członek Komisji, krajowe organy i podmioty publiczne wskazane w AI Act oraz Społeczna Rada do spraw Sztucznej Inteligencji, pełniąca przy Komisji funkcję organu opiniodawczego i doradczego.

Skargę może złożyć każdy: osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej[7]. Powinna ona wskazywać nazwę lub opis systemu, w miarę możliwości podmiot, którego dotyczy, oraz opis faktów i powody, dla których zdaniem skarżącego doszło do naruszenia. Skargę składa się elektronicznie. Jednak w przypadku braku możliwości złożenia jej w tej postaci dopuszcza się także złożenie skargi w postaci papierowej. W praktyce oznacza to, iż konkurent, konsument lub organizacja społeczna może więc zwrócić uwagę Komisji na potencjalne naruszenie, a złożona skarga może stać się podstawą wszczęcia postępowania, o ile w toku jej rozpatrywania Komisja stwierdzi, iż mogło dojść do naruszenia. Niezależnie od tego, Komisja może natomiast prowadzić kontrolę na zasadach określonych w art. 48-49 ustawy o SSI[8]. Co istotne, źródłem informacji mogą być również sygnały od współpracujących organów krajowych.

3. Kto może być stroną postępowania?

Stroną postępowania jest każdy, wobec kogo zostało ono wszczęte[9]. Skarżący nie staje się zatem automatycznie stroną. W sprawach dotyczących art. 50 AI Act stroną będzie podmiot, na którym ciąży dany obowiązek przejrzystości, czyli dostawca albo podmiot stosujący system AI. Praktyczne znaczenie ma tu podział ról w łańcuchu tworzenia i publikacji treści. Ustalenie, który z tych podmiotów (korzystający z systemu AI, reklamodawca, agencja czy dom produkcyjny) pełni w danym przypadku rolę dostawcy lub podmiotu stosującego, przesądza o tym, wobec kogo może zostać wszczęte postępowanie.

4. Czego KRiBSI może żądać w toku kontroli i czy bada tylko opublikowaną treść?

Uprawnienia kontrolne Komisji są szerokie. Kontrolujący może żądać udostępnienia materiałów, dokumentów i korespondencji przesyłanej drogą elektroniczną, uzyskać dostęp do nośników danych oraz systemów informatycznych i teleinformatycznych, w tym do chmury obliczeniowej w zakresie, w jakim kontrolowany ma do nich dostęp, a także żądać ustnych lub pisemnych wyjaśnień. Wyjaśnienia mogą obejmować omówienie sposobu działania danego systemu oraz sporządzenie analiz i zestawień. Uprawnienia te dotyczą materiałów i danych związanych z przedmiotem kontroli.

Wynika z tego istotny wniosek: kontrola nie musi ograniczać się do samej opublikowanej treści. Skoro organ może sięgnąć do dokumentacji, systemów informatycznych i wyjaśnień dotyczących sposobu wygenerowania oraz oznaczenia materiału, w praktyce może badać również proces prowadzący do jego powstania i oznaczenia, a nie tylko oceniać efekt końcowy. Ustawa przewiduje przy tym zabezpieczenia, w tym ochronę tajemnicy przedsiębiorstwa oraz poufności komunikacji z pełnomocnikiem, z kontrolą sądu w razie sporu[10].

5. Znaczenie regulaminów wewnętrznych, umów z agencjami i historii wersji plików

W tym kontekście praktyczne znaczenie zyskują dokumenty, które często bywają w innych sprawach traktowane jako drugorzędne. Wewnętrzne regulaminy i polityki oznaczania treści mogą wykazywać, iż przejrzystość została uwzględniona na poziomie organizacyjnym. Może mieć to znaczenie przy ocenie poziomu odpowiedzialności podmiotu oraz wdrożonych przez niego środków organizacyjnych.

Znaczenie będzie miało także to, czy procedury były faktycznie stosowane[11]. Umowy z agencjami, domami produkcyjnymi lub dostawcami systemów AI mogą porządkować podział czynności i odpowiedzialności kontraktowej oraz stanowić istotny materiał dowodowy. W praktyce warto określić w nich również zasady korzystania z narzędzi AI przy realizacji zlecenia, w szczególności czy i w jakim zakresie ich użycie jest dopuszczalne, jakie informacje o wykorzystaniu AI powinny zostać przekazane zamawiającemu oraz kto odpowiada za weryfikację i oznaczenie finalnego materiału.

Uzgodnienia kontraktowe nie przesądzają jednak o kwalifikacji danego podmiotu jako dostawcy lub podmiotu stosującego w rozumieniu AI Act. O tej kwalifikacji decyduje rzeczywista rola danego podmiotu w konkretnym modelu działania. Historia wersji plików, metadane i pliki produkcyjne mogą także stanowić istotny materiał dowodowy pozwalający ustalić:

• czy i kiedy wykorzystano AI,
• czy oznaczenie zostało nałożone i zachowane w całym łańcuchu dystrybucji oraz
• kiedy i przez kogo podjęto decyzję dotyczącą oznaczenia materiału.

6. Publikowanie decyzji KRiBSI

Konsekwencje postępowania nie mają wyłącznie wymiaru finansowego. Komisja udostępnia w Biuletynie Informacji Publicznej treść wydawanych decyzji (po usunięciu informacji objętych tajemnicą prawnie chronioną) wraz z informacją o ich prawomocności oraz prowadzi publiczny wykaz systemów AI, co do których wydano decyzję w sprawie nałożenia kary[12]. Wykaz obejmuje między innymi nazwę systemu i operatora, opis działania systemu, informacje o rozstrzygnięciach dotyczących tego samego operatora lub podmiotów z nim powiązanych wydanych przez adekwatne organy innych państw członkowskich lub Komisję Europejską, a także o decyzjach innych krajowych organów nadzoru rynku dotyczących tego samego systemu.

7. Relacja KRiBSI z UOKiK, UODO i KRRiT

KRiBSI nie działa w oderwaniu od innych regulatorów. Ustawa zobowiązuje Komisję do współpracy między innymi z Prezesem UOKiK, Prezesem UODO oraz KRRiT, a obowiązki współpracy potwierdzają także zmiany w ustawach odrębnych[13].

W przypadku oznaczania treści AI podział ten ma czytelne przełożenie praktyczne. Gdy brak oznaczenia treści może wprowadzać konsumenta w błąd lub stanowić nieuczciwą praktykę rynkową, naturalna staje się styczność z obszarem adekwatności Prezesa UOKiK. Gdy treść dotyczy danych osobowych, na przykład wizerunku konkretnej osoby w deepfake’u, pojawia się wspólna płaszczyzna z Prezesem UODO. kooperacja z KRRiT dotyczy natomiast systemów generujących obrazy oraz treści audio lub wideo w zakresie działalności dostawców usług medialnych i platform udostępniania wideo. To samo zachowanie może więc podlegać ocenie z perspektywy kilku reżimów. W takiej sytuacji trzeba jednak uwzględnić zasadę ne bis in idem, czyli zakaz ponownego karania tego samego podmiotu za to samo naruszenie, przy czym jej zastosowanie wymaga każdorazowo indywidualnej oceny.

8. Co to oznacza w praktyce?

Dla podmiotów wykorzystujących systemy AI do tworzenia lub publikowania treści nasuwa się kilka wniosków. Do wszczęcia postępowania może dojść między innymi w wyniku rozpatrzenia skargi lub działania Komisji z urzędu. Stroną będzie podmiot, na którym ciąży dany obowiązek z art. 50 AI Act, dlatego warto z góry zidentyfikować role poszczególnych uczestników procesu oraz szczegółowo uregulować w umowach podział czynności i odpowiedzialności. Kontrola może objąć nie tylko opublikowaną treść, ale również dokumentację, systemy informatyczne i proces powstania materiału, co zwiększa znaczenie wewnętrznych polityk oznaczania treści i materiałów AI, a także zachowania historii wersji plików. Należy wreszcie uwzględnić, iż decyzje są publikowane, a ten sam stan faktyczny może równolegle podlegać ocenie różnych organów na podstawie odrębnych reżimów prawnych, przy jednoczesnych mechanizmach współpracy między nimi. Odpowiednie przygotowanie organizacji w tych obszarach może ograniczyć zatem zarówno ryzyko sankcji, jak i ryzyko reputacyjne.

[1]Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 12.07.2024 r.), dalej: „AI Act”.

[2]Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz. U. poz. 1003), dalej: „ustawa o SSI”.

[3]Art. 70 ust. 1 i 2 rozporządzenia 2024/1689 (organ nadzoru rynku oraz pojedynczy punkt kontaktowy). Komisję ustanowiono ustawą o SSI; jej skład, w tym członkowie wskazywani przez Prezesa UOKiK, Komisję Nadzoru Finansowego, KRRiT i Prezesa UKE, określa art. 19 ustawy o SSI.

[4]Art. 127 ustawy o SSI. Przepisy rozdziałów 3–5 (kontrola, postępowanie, układ) oraz rozdziału 8, a także art. 8–18, wchodzą w życie po upływie 3 miesięcy od dnia ogłoszenia. Powołanie Przewodniczącego oraz pierwsze posiedzenie Komisji – art. 125 ustawy o SSI.

[5]Art. 75 AI Act

[6]Art. 58 ustawy o SSI.

[7]Art. 59 ustawy o SSI; skarga w rozumieniu art. 85 rozporządzenia 2024/1689.

[8]Art. 48–49, art. 58 ustawy o SSI.

[9]Art. 60 ust. 1 ustawy o SSI.

[10]Art. 38, 42 i 54 ustawy o SSI; w zakresie materiałów objętych ochroną komunikacji z pełnomocnikiem ciężar wykazania przesłanek z art. 54 ust. 1 spoczywa na kontrolowanym; w razie sporu rozstrzyga Sąd Okręgowy w Warszawie – SOKiK.

[11]Art. 99 ust. 7 AI Act, dotyczący okoliczności uwzględnianych przy wymiarze kary; zob. poprzedni wpis.

[12]Art. 66 ustawy o SSI (udostępnianie treści decyzji oraz prowadzenie wykazu systemów w Biuletynie Informacji Publicznej). Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej – art. 67 ustawy o SSI.

[13]Art. 20 ust. 1 ustawy o SSI, w tym pkt 2 (Prezes UOKiK i organy nadzoru rynku), pkt 3 (Prezes UODO) oraz pkt 10 (KRRiT – systemy generujące obrazy, treści audio lub wideo w zakresie działalności dostawców usług medialnych i platform udostępniania wideo). Obowiązki współpracy potwierdzają zmiany w ustawach odrębnych, m.in. art. 117 (ustawa o radiofonii i telewizji) oraz art. 123 (art. 59a ustawy o ochronie danych osobowych).