24 lipca 2026 roku Prezydent podpisał ustawę o systemach sztucznej inteligencji — i to nie jest kolejna zapowiedź regulacyjna, o których czytaliście dziesiątki tekstów opisujących poziomy ryzyka w AI Act. To konkretny akt prawny, który powołuje polski organ nadzoru z realnymi uprawnieniami kontrolnymi i sankcyjnymi oraz wyznacza twarde daty, od których obowiązują nowe wymogi transparentności. Dla firm wdrażających chatboty, generatory treści czy systemy scoringowe oznacza to, że czas na „przemyślenie tematu AI Act” się skończył — teraz trzeba działać, bo mechanizm egzekucji już rusza.

KRiBSI — kto to i jakie ma uprawnienia

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to nowy, samodzielny organ nadzoru, który stanie się polskim „jednym punktem kontaktowym” wymaganym przez unijny AI Act. W praktyce oznacza to, że KRiBSI będzie odpowiadać za nadzór rynkowy nad systemami AI działającymi w Polsce, prowadzić postępowania wyjaśniające i kontrolne oraz — co najważniejsze dla działów compliance — nakładać kary administracyjne na przedsiębiorców, którzy naruszają przepisy AI Act lub krajowej ustawy.

Zgodnie z informacjami resortu cyfryzacji i doniesieniami branżowymi, Komisja będzie mogła:

  • żądać dokumentacji technicznej i organizacyjnej dotyczącej wdrożonych systemów AI,
  • przeprowadzać kontrole u dostawców i użytkowników systemów wysokiego ryzyka,
  • nakładać kary pieniężne za brak zgodności z obowiązkami transparentności i zarządzania ryzykiem,
  • wydawać opinie i wytyczne interpretacyjne, które będą realnym drogowskazem dla firm niepewnych klasyfikacji swoich systemów.

To istotna różnica w porównaniu z ogólnymi tekstami o „poziomach ryzyka AI Act” — tam kończy się teoria, tutaj zaczyna się egzekucja z konkretnym adresatem i konkretnymi konsekwencjami finansowymi.

Harmonogram powstania Komisji — te daty trzeba zapamiętać

Ustawa precyzuje etapy budowy nowego organu, co pozwala firmom przewidzieć, kiedy KRiBSI faktycznie zacznie działać operacyjnie. Według doniesień z prac legislacyjnych przewodniczący Komisji ma zostać powołany do października 2026 roku, natomiast pełny skład organu — łącznie z pozostałymi członkami — powinien być gotowy do listopada 2026 roku. To oznacza, że jeszcze przed końcem roku Polska będzie miała w pełni ukonstytuowany organ zdolny do prowadzenia postępowań, a nie jedynie zapisaną na papierze strukturę.

Dla firm to sygnał, żeby nie liczyć na „okres przejściowy bez nadzoru”. Zanim Komisja rozpocznie pierwsze kontrole, minie zapewne kilka miesięcy organizacyjnych, ale obowiązki materialne — w tym transparentność — obowiązują niezależnie od tego, czy organ już fizycznie kontroluje, czy dopiero się formuje.

Piaskownice regulacyjne — realne wsparcie dla MŚP, nie tylko dla korporacji

Jednym z praktycznych elementów ustawy, o którym mówi się zdecydowanie za mało, są bezpłatne piaskownice regulacyjne (regulatory sandboxes) dedykowane w szczególności małym i średnim przedsiębiorstwom. To środowisko testowe, w którym firma może wdrożyć i przetestować system AI pod nadzorem regulatora, zanim w pełni wejdzie na rynek — z zachowaniem możliwości konsultacji zgodności z AI Act i uzyskania wskazówek co do klasyfikacji ryzyka.

Dla mniejszych firm to szansa na uniknięcie kosztownych błędów projektowych bez konieczności zatrudniania drogich kancelarii na etapie planowania. Warto już teraz sprawdzać komunikaty Ministerstwa Cyfryzacji dotyczące naboru do pierwszych edycji piaskownic — to najtańsza droga do przetestowania systemu scoringowego czy chatbota w bezpiecznych warunkach regulacyjnych.

2 sierpnia 2026: obowiązki transparentności, które już obowiązują

To data, która powinna znaleźć się w kalendarzu każdego działu IT i marketingu. Od 2 sierpnia 2026 roku obowiązują konkretne wymogi transparentności wynikające z AI Act, które w praktyce oznaczają dla firm średnich i dużych:

  • obowiązek oznaczania treści generowanych przez AI — dotyczy to generatorów tekstu, obrazu, wideo czy audio wykorzystywanych np. w marketingu, materiałach szkoleniowych czy komunikacji z klientem,
  • obowiązek informowania użytkownika o kontakcie z maszyną — każdy chatbot obsługujący klientów musi jasno komunikować, że rozmowa odbywa się z systemem AI, a nie z człowiekiem,
  • obowiązek dodatkowej przejrzystości przy systemach scoringowych — firmy stosujące automatyczną ocenę klientów, pracowników czy kontrahentów muszą umieć wykazać, na jakiej podstawie system podejmuje decyzje.

W praktyce oznacza to konieczność przeglądu wszystkich wdrożonych rozwiązań AI — od prostych botów na stronie WWW, przez narzędzia do automatycznego generowania opisów produktów, po systemy HR czy kredytowe oparte na modelach scoringowych. Brak wyraźnego oznaczenia lub informacji dla użytkownika to już nie kwestia dobrych praktyk, tylko naruszenie przepisów, które KRiBSI będzie mogła sankcjonować.

Co to oznacza dla firm już dziś

Połączenie działającego organu nadzoru z konkretnymi terminami transparentności zmienia perspektywę projektów AI w firmach. To już nie jest temat na „później”, tylko realne ryzyko compliance z jasno określonym adresatem kontroli i karą finansową.

Praktyczna wskazówka: zacznij od inwentaryzacji wszystkich systemów AI używanych w firmie — chatbotów, generatorów treści, narzędzi scoringowych — i sprawdź, czy każdy z nich spełnia obowiązek informowania użytkownika o kontakcie z maszyną oraz oznaczania treści generowanych przez AI. To pierwszy krok, który można wykonać jeszcze przed pierwszą kontrolą KRiBSI.