Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może prowadzić postępowania i nakładać administracyjne kary pieniężne za naruszenia AI Act. Najwyższa sankcja wynosi 35 mln EUR albo 7% całkowitego rocznego światowego obrotu przedsiębiorstwa. To zasadnicza zmiana z perspektywy przedsiębiorców. Do tej pory w dyskusjach o AI Act dominowało pytanie, jak przygotować się do kolejnych etapów jego stosowania. Teraz równie ważne staje się pytanie, czy organizacja potrafi wykazać, iż przestrzega już obowiązujących zakazów i obowiązków. Szczególnie iż impuls do kontroli może przyjść nie tylko od organu, ale także od niezadowolonego klienta, pracownika lub konkurenta.

Za co grozi kara?

Już jutro wejdzie w życie ostatnia grupa przepisów ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji, kończąc tym samym etapowy proces jej wdrażania. Dotyczą one m.in. postępowania w sprawie naruszenia przepisów AI Act, administracyjnych kar pieniężnych, odwołań od decyzji KRiBSI do sądu oraz opinii indywidualnych. Kara grozi na razie tylko za naruszenie przepisów AI Act, które już są stosowane. Dziś są to przede wszystkim zakazy z art. 5 i obowiązki przejrzystości z art. 50.[1]

Zestawienie poniżej pokazuje, które obowiązki KRiBSI może egzekwować od jutra, a które dopiero w kolejnych miesiącach.

W przypadku pułapów kwotowych i procentowych stosuje się wyższą z dwóch wartości. Wyjątek dotyczy MŚP i małych spółek o średniej kapitalizacji, o czym więcej niżej.

Zakazane praktyki – do 35 mln EUR albo 7% obrotu

Najwyższe kary grożą za naruszenie art. 5 AI Act.[2] Przepis ten zakazuje m.in. wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów AI, które:

• stosują techniki podprogowe będące poza świadomością danej osoby lub celowe techniki manipulacyjne lub wprowadzające w błąd, o ile istotnie zniekształcają zachowanie osoby i wyrządzają lub mogą wyrządzić jej poważną szkodę;
• wykorzystują słabości osoby fizycznej lub grupy osób ze względu na ich wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną, z takim samym skutkiem;
• służą ocenie lub klasyfikacji osób na podstawie ich zachowania społecznego lub cech osobistych (scoring społeczny), o ile prowadzi to do krzywdzącego lub niekorzystnego traktowania;
• służą ocenie ryzyka popełnienia przestępstwa przez osobę fizyczną wyłącznie na podstawie profilowania lub oceny jej cech osobowości;
• tworzą lub rozbudowują bazy danych służące rozpoznawaniu twarzy poprzez nieukierunkowane pozyskiwanie wizerunków twarzy z internetu lub nagrań z telewizji przemysłowej;
• służą wyciąganiu wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych, z wyjątkiem zastosowań ze względów medycznych lub bezpieczeństwa;
• kategoryzują osoby na podstawie ich danych biometrycznych w celu wydedukowania lub wywnioskowania informacji na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych, seksualności lub orientacji seksualnej.

Zakazane praktyki AI dotyczą raczej specyficznych zastosowań, z którymi większość przedsiębiorców nie spotyka się na co dzień. Nie oznacza to jednak, iż ryzyko ich naruszenia jest wyłącznie teoretyczne. Szczególną uwagę warto zwrócić na narzędzia wykorzystywane w marketingu, np. do wpływania na decyzje zakupowe konsumentów, oraz w HR, zwłaszcza rozwiązania analizujące emocje pracowników czy kandydatów podczas rekrutacji. W takich przypadkach organizacja może choćby nieświadomie wejść w obszar zakazanych praktyk, szczególnie gdy korzysta z gotowego narzędzia bez dokładnej weryfikacji jego funkcjonalności. Zadeklarowane przez dostawcę przeznaczenie produktu nie przesądza bowiem jeszcze o jego zgodności z AI Act. Znaczenie ma przede wszystkim to, jak system jest faktycznie wykorzystywany i jakie skutki może wywoływać.

Brak przejrzystości – do 15 mln EUR albo 3% obrotu

Dla większości firm bliższe codziennej działalności są obowiązki z art. 50 AI Act.[3] Nie dotyczą one wyłącznie systemów wysokiego ryzyka i obejmują narzędzia powszechnie używane w marketingu, obsłudze klienta i komunikacji. Część z nich spoczywa na dostawcy systemu, część na podmiocie, który go stosuje.

Na dostawcach ciąży w szczególności:

• obowiązek zapewnienia, aby osoba rozmawiająca z systemem AI (np. chatbotem lub wirtualnym asystentem AI) wiedziała, iż prowadzi interakcję z AI;
• obowiązek oznaczania obrazów, dźwięku, wideo lub tekstu generowanych przez system AI w formacie nadającym się do odczytu maszynowego.

Podmioty stosujące muszą natomiast m.in.:

• ujawniać, iż treści stanowiące deepfake, wygenerowane lub zmanipulowane przy użyciu systemu AI, np. w materiałach reklamowych, zostały sztucznie wygenerowane lub zmanipulowane;
• ujawniać, iż tekst publikowany w celu informowania o sprawach w interesie publicznym został wygenerowany lub zmodyfikowany przez AI, chyba iż poddano go kontroli redakcyjnej, a osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną za jego publikację.

Szczególnie łatwo pomylić oznaczanie treści przez dostawcę z ujawnianiem deepfake’ów. Techniczne oznaczenie treści (np. znak wodny) to obowiązek dostawcy narzędzia. Widoczna informacja dla odbiorcy to obowiązek firmy, która treść publikuje. Korzystanie z narzędzia, które oznacza treści automatycznie w formacie maszynowym, nie zwalnia więc firmy z obowiązku ujawniania deepfake’ów. Więcej informacji na ten temat znajdą Państwo w publikacji pod adresem https://www.traple.pl/obowiazki-przejrzystosci-z-art-50-ai-act/

Art. 50 stosuje się od 2 sierpnia 2026 r. Dostawcy systemów wprowadzonych do obrotu przed tą datą mają czas do 2 grudnia 2026 r. na dostosowanie ich do wymogu oznaczania treści z art. 50 ust. 2.[4]

Nieprawidłowe informacje dla organu – do 7,5 mln EUR albo 1% obrotu

Karę może ponieść także operator, który w odpowiedzi na wniosek jednostki notyfikowanej lub adekwatnego organu krajowego udzieli nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji.[5] Od jutra to ryzyko będzie realne w każdej kontroli i każdym postępowaniu przed KRiBSI. Odpowiedź udzielona w pośpiechu, bez sprawdzenia, jak system faktycznie działa, może sama stać się podstawą sankcji.

Za jakie naruszenia kary nie będą jeszcze nakładane?

Najbardziej rozbudowane wymogi AI Act, dotyczące systemów wysokiego ryzyka, będą stosowane dopiero od 2 grudnia 2027 r. (załącznik III, np. systemy używane w rekrutacji, edukacji czy ocenie zdolności kredytowej) i od 2 sierpnia 2028 r. (załącznik I, systemy związane z produktami objętymi unijnym prawodawstwem harmonizacyjnym).[6] Dostawców tych systemów obejmą m.in. obowiązki dotyczące systemu zarządzania ryzykiem, dokumentacji technicznej, nadzoru ze strony człowieka i oceny zgodności. Podmioty stosujące będą musiały m.in. wykorzystywać system zgodnie z instrukcją obsługi, powierzyć sprawowanie nadzoru ze strony człowieka osobom o niezbędnych kompetencjach, monitorować działanie systemu, przechowywać generowane przez niego rejestry zdarzeń i informować pracowników o wykorzystywaniu systemu w miejscu pracy. Organizacje, które dziś kupują lub projektują takie systemy, powinny jednak uwzględniać te wymogi w już zawieranych umowach i specyfikacjach systemów.

Od 2 lutego 2025 r. obowiązuje też art. 4 AI Act, który wymaga zapewnienia personelowi odpowiednich kompetencji w zakresie AI. Art. 99 ust. 4 nie wymienia go jednak w katalogu naruszeń zagrożonych karą.[7] Brak szkoleń nie oznacza więc automatycznie sankcji, ale może mieć znaczenie przy ocenie staranności w innym postępowaniu.

Ile realnie wyniesie kara?

Kwoty z AI Act wyznaczają maksimum, którego organ nie musi wykorzystać. O wysokości kary przesądzi ocena konkretnej sprawy. Komisja uwzględni m.in. charakter, wagę i czas trwania naruszenia oraz jego konsekwencje, umyślny lub wynikający z zaniedbania charakter naruszenia, działania podjęte w celu złagodzenia szkody oraz stopień współpracy z organem. Znaczenie mają też stopień odpowiedzialności operatora z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych, jego wielkość, roczny obrót i udział w rynku, uzyskane dzięki naruszeniu korzyści finansowe lub uniknięte straty, a także to, czy i w jakim zakresie operator sam zgłosił naruszenie.[8]

Dla dużych organizacji wyższy jest zwykle próg procentowy. Podstawą obliczeń jest całkowity roczny światowy obrót przedsiębiorstwa z poprzedniego roku obrotowego, niezależnie od tego, ile zarabia sam system AI. Dla przedsiębiorstwa z obrotem 2 mld EUR pułap za naruszenie art. 50 wynosi więc 60 mln EUR, a nie 15 mln EUR.

Mniejsze podmioty traktuje się łagodniej. W przypadku MŚP, w tym przedsiębiorstw typu startup, górną granicę kary wyznacza niższa z dwóch wartości, czyli kwota albo odpowiedni procent obrotu.[9] Organizacja z obrotem 10 mln EUR zapłaci więc za naruszenie art. 50 najwyżej 300 tys. EUR. Tę samą regułę stosuje się do małych spółek o średniej kapitalizacji (SMC).

Polski ustawodawca przewidział także dodatkowe narzędzia, które pomogą zmniejszyć dolegliwość sankcji. W decyzji stwierdzającej naruszenie Komisja nakazuje usunięcie jego skutków w terminie 14 dni, a dobrowolne i terminowe wykonanie decyzji uwzględnia się jako okoliczność łagodzącą przy wymiarze kary.[10] Ustawa przewiduje też możliwość zawarcia układu w sprawie warunków nadzwyczajnego złagodzenia sankcji oraz odroczenia terminu zapłaty kary lub rozłożenia jej na raty.[11]

Kara to nie jedyny „koszt”. Decyzje Komisji będą jawne, z wyłączeniem informacji chronionych prawem, a systemy AI objęte karą trafią do publicznie dostępnego wykazu. Naruszenie AI Act często idzie też w parze z naruszeniem innych przepisów, np. RODO, prawa konsumenckiego lub przepisów chroniących wizerunek. Wtedy firmie grozi kilka postępowań naraz, a także roszczenia osób poszkodowanych.

Jak można trafić pod lupę KRiBSI?

Postępowanie w sprawie naruszenia AI Act Komisja wszczyna z urzędu, najczęściej po kontroli albo po rozpatrzeniu skargi.[12]

Skargę może złożyć osoba fizyczna, np. klient, pracownik lub kandydat do pracy, a także, co ważne, osoba prawna lub jednostka organizacyjna bez osobowości prawnej. Skarżący musi wskazać system, opisać istotne fakty i wyjaśnić, dlaczego uważa, iż doszło do naruszenia. Nie potrzebuje dostępu do kodu źródłowego ani dokumentacji dostawcy.[13] Skarga nie wszczyna postępowania automatycznie. Komisja najpierw ją bada i dopiero wtedy decyduje, czy wszcząć postępowanie. Skargę wnosi się w postaci elektronicznej, a o ile nie jest to możliwe, w postaci papierowej. Co ciekawe, na stronie internetowej KRiBSI działa już zakładka „Skargi”, ale formularz elektroniczny jest na razie opisany jako „w trakcie opracowania”.[14]

Komisja co do zasady prowadzi kontrolę zdalnie. Czynności rozpoczynają się nie wcześniej niż 7 dni po doręczeniu zawiadomienia. Kontrolujący ma prawo dostępu do związanych z przedmiotem kontroli materiałów, dokumentów, korespondencji przesyłanej drogą elektroniczną i informatycznych nośników danych, a także do systemów informatycznych i chmury obliczeniowej w zakresie, w jakim podmiot kontrolowany ma do nich dostęp. Organizacja, która korzysta z narzędzia w chmurze dostawcy, musi więc udostępnić to, co sama widzi na swoim koncie. Kontrolę stacjonarną Komisja może zarządzić, gdy podejrzewa zagrożenie dla życia, zdrowia, bezpieczeństwa lub praw podstawowych.[15] o ile kontrola wykaże nieprawidłowości, Komisja wydaje zalecenia pokontrolne z terminem na ich usunięcie.

W toku postępowania Komisja może także wydać ostrzeżenie i wskazać działania przywracające zgodność z prawem, np. ograniczenie dostępu do systemu lub wykonanie obowiązków informacyjnych. Strona ma 21 dni, aby poinformować o ich wykonaniu. W najpoważniejszych przypadkach Komisja może nakazać zaprzestanie stosowania systemu lub wycofanie go z rynku.[16]

Od decyzji o nałożeniu kary przysługuje odwołanie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów. Wnosi się je za pośrednictwem Komisji w terminie miesiąca od doręczenia decyzji.[17]

Co ważne, kontrola może objąć również podmioty, które nie rozwijają własnych systemów AI, a jedynie korzystają z gotowych narzędzi. One także mają obowiązki wynikające z AI Act, np. muszą przestrzegać zakazów z art. 5 czy ujawniać deepfake’i. Problemem bywa wtedy nie sama technologia, ale brak wiedzy o tym, z jakich narzędzi AI korzystają pracownicy, w jakim celu, jakie funkcjonalności zostały uruchomione i kto odpowiada za realizację obowiązków.

Kiedy pierwsze kary?

Możliwość nakładania kar od 28 października nie oznacza, iż pierwsze decyzje zapadną w najbliższych tygodniach. Choć przewodnicząca Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, Pamela Krzypkowska, została już powołana, organ wciąż znajduje się na etapie organizacji. Zgodnie z ustawą pierwsze posiedzenie Komisji powinno zostać zwołane najpóźniej do 11 listopada 2026 r.[18]

Sama procedura jest wieloetapowa. Kontrola rozpoczyna się co najmniej 7 dni po zawiadomieniu, a w razie stwierdzenia nieprawidłowości jej wynikiem są zalecenia pokontrolne z terminem na ich wykonanie. W toku postępowania Komisja może również wydać ostrzeżenie z 21-dniowym terminem na podjęcie wskazanych działań, a od decyzji o nałożeniu kary przysługuje odwołanie do sądu. Biorąc pod uwagę te etapy oraz fakt, iż Komisja dopiero rozpoczyna działalność, pierwszych decyzji o nałożeniu kar należy spodziewać się raczej w dalszej perspektywie. Nie zmienia to jednak faktu, iż postępowania mogą dotyczyć naruszeń, które występują już dziś. Przedsiębiorcy powinni więc wykorzystać najbliższe miesiące na weryfikację zgodności z obowiązującymi przepisami.

Opinia indywidualna zamiast niepewności

28 października to nie tylko początek obowiązywania przepisów dotyczących nakładania kar za naruszenia AI Act. Tego samego dnia wchodzą w życie również przepisy umożliwiające przedsiębiorcom występowanie do Komisji o opinie indywidualne, które mogą pomóc w rozstrzygnięciu wątpliwości dotyczących stosowania nowych regulacji, zanim dojdzie do kontroli. Wniosek może złożyć podmiot, który stosuje system AI albo dopiero planuje jego wdrożenie. We wniosku opisuje stan faktyczny lub zdarzenie przyszłe i przedstawia własne stanowisko. Komisja wydaje opinię w ciągu 30 dni, a w sprawach szczególnie skomplikowanych w ciągu 60 dni. o ile nie zrobi tego w terminie, stanowisko wnioskodawcy uważa się za prawidłowe.[19]

Opinie będą publikowane po anonimizacji, co z czasem pozwoli zbudować praktykę interpretacyjną dostępną dla całego rynku. Komisja może też wydawać, z urzędu lub na wniosek, wyjaśnienia o charakterze ogólnym.

Co sprawdzić w swojej organizacji?

W związku z uruchomieniem mechanizmu nakładania kar za naruszenia AI Act warto w pierwszej kolejności zweryfikować, czy organizacja przestrzega obowiązków, które już znajdują zastosowanie. W szczególności należy:

1. zidentyfikować systemy AI wykorzystywane w organizacji, szczególnie w obsłudze klienta, marketingu, HR i tworzeniu treści wizualnych;
2. ustalić rolę organizacji w odniesieniu do poszczególnych systemów AI, tj. czy występuje jako dostawca, czy podmiot stosujący;
3. sprawdzić, czy żadne z zastosowań nie spełnia przesłanek zakazanej praktyki z art. 5, zwłaszcza w HR i w komunikacji marketingowej;
4. sprawdzić realizację obowiązków przejrzystości wynikających z art. 50 AI Act, w tym zasad informowania o interakcji z AI i oznaczania treści generowanych lub modyfikowanych przez AI, i w razie potrzeby wprowadzić procedurę wewnętrzną w tym zakresie;
5. zebrać dowody zgodności, np. zrzuty ekranu komunikatów, ustawienia narzędzi i umowy z dostawcami, oraz ustalić miejsce ich przechowywania i osobę odpowiedzialną;
6. przygotować organizację do ewentualnych kontroli i postępowań prowadzonych przez Komisję, w zależności od potrzeb np. przeszkolić personel i przygotować procedurę obsługi kontroli i żądań KRiBSI.
7. w przypadku wątpliwości dotyczących stosowania przepisów rozważyć w przyszłości wystąpienie do Komisji o opinię indywidualną.

Choć pierwsze decyzje o nałożeniu sankcji prawdopodobnie nie zapadną w najbliższym czasie, przedsiębiorcy już teraz powinni zadbać o zgodność z obowiązującymi wymogami. Najlepszą ochroną jest dziś możliwość pokazania organowi, jak organizacja wypełnia obowiązki, i przedstawienia dokumentów, które to potwierdzają. Najbliższe miesiące będą też istotne z perspektywy kształtowania się praktyki stosowania AI Act w Polsce. Warto więc na bieżąco śledzić działalność Komisji, w szczególności wydawane przez nią wyjaśnienia, opinie indywidualne oraz pierwsze rozstrzygnięcia, które pozwolą lepiej ocenić, jak nowe przepisy będą interpretowane i egzekwowane w praktyce.

[1] Art. 99 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (Dz.Urz. UE L z 12.07.2024 r.), dalej „AI Act”; art. 104 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. poz. 1003), dalej „ustawa”.

[2] Art. 5 i art. 99 ust. 3 AI Act.

[3] Art. 50 i art. 99 ust. 4 lit. g AI Act.

[4] Art. 111 ust. 4 i art. 113 AI Act w brzmieniu nadanym rozporządzeniem (UE) 2026/1744.

[5] Art. 99 ust. 5 AI Act.

[6] Art. 113 AI Act w brzmieniu nadanym rozporządzeniem (UE) 2026/1744.

[7] Art. 4 i art. 99 ust. 4 AI Act.

[8] Art. 99 ust. 7 AI Act.

[9] Art. 99 ust. 6 AI Act w brzmieniu nadanym rozporządzeniem (UE) 2026/1744.

[10] Art. 62 ust. 3 ustawy.

[11] Art. 104 ust. 4–5 i art. 105 i nast. ustawy.

[12] Art. 58 pkt 1 ustawy.

[13] Art. 59 ust. 1–2 i 4 ustawy.

[14] Art. 59 ust. 3 ustawy; Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, „Skargi”, gov.pl/web/kribsi/skargi (dostęp: 25.10.2026 r.).

[15] Art. 48 i nast., w szczególności art. 52 ustawy.

[16] Art. 55 i art. 60–63 ustawy.

[17] Dział IVfa „Postępowanie w sprawach z zakresu sztucznej inteligencji” Kodeksu postępowania cywilnego, dodany ustawą.

[18] Art. 125 ustawy.

[19] Art. Art. 12 ust. 3 ustawy.