Od 28 października KRiBSI może Was skontrolować. Zawiadomienie przychodzi siedem dni wcześniej, kontrola jest zdalna, a postępowanie zaczyna się dopiero wtedy, gdy nie wykonacie zaleceń

Co dokładnie zaczyna działać 28 października

Ustawa o systemach sztucznej inteligencji weszła w życie 11 sierpnia 2026 roku, ale nie cała. Ustawodawca rozłożył ją na dwa etapy i to rozłożenie jest sensowne: najpierw powstała instytucja, potem dostaje narzędzia. Od sierpnia działa więc sama Komisja, przepisy ustrojowe, piaskownice regulacyjne i opiniowanie projektów. Od 28 października wchodzą rozdziały dotyczące kontroli, postępowań, kar i środków odwoławczych oraz przepisy o opiniach indywidualnych.

To rozróżnienie warto rozumieć, bo z niego wynika właściwa reakcja. Gdyby 28 października wchodził nowy obowiązek, sensowną odpowiedzią byłoby wdrożenie czegoś nowego. Ponieważ wchodzi egzekwowanie, sensowną odpowiedzią jest sprawdzenie, czy to, co już robicie, da się pokazać. To są dwa zupełnie różne rodzaje pracy — pierwszy trwa miesiące, drugi zwykle dwa dni.

Co już obowiązuje i co właśnie zyskuje egzekutora: zakazane praktyki z artykułu 5 AI Act oraz obowiązek zapewnienia kompetencji w zakresie AI z artykułu 4 — od 2 lutego 2025 roku. Obowiązki przejrzystości z artykułu 50, czyli informowanie, że po drugiej stronie jest system AI, oraz oznaczanie treści generowanych i deepfake'ów — od 2 sierpnia 2026 roku. Rozpisaliśmy je wcześniej w tekście o AI Act w małej firmie; ten artykuł jest o tym, co się stanie, jeśli ich nie dopełniliście.

Zastrzeżenie, które stawiamy raz i wyraźnie: to jest tekst o praktyce operacyjnej — o tym, jak wygląda procedura i co warto mieć przygotowane. Nie jest poradą prawną. Ocena konkretnego systemu, roli firmy w łańcuchu dostaw i treści pism w postępowaniu wymaga prawnika, który zobaczy dokumenty.

Kto to właściwie jest KRiBSI

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to krajowy organ nadzoru rynku w rozumieniu AI Act i jednocześnie punkt kontaktowy wobec instytucji unijnych. Na jej czele stoi Pamela Krzypkowska, wybrana przez Sejm 18 września 2026 roku, za zgodą Senatu z 24 września, na pięcioletnią kadencję. W pracach Komisji, obok przewodniczącej i dwóch jej zastępców wyłanianych w naborze, uczestniczą członkowie wskazani przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa Urzędu Komunikacji Elektronicznej. Obsługę administracyjną zapewnia Ministerstwo Cyfryzacji, a przy Komisji ma działać Społeczna Rada ds. Sztucznej Inteligencji.

Teraz część, która mówi o realnej skali ryzyka więcej niż tabela kar. W październiku 2026 roku zespół Komisji liczył sześć osób, łącznie z przewodniczącą. Ustawa przewiduje zatrudnienie kilkudziesięciu, rekrutacja dopiero się rozpoczynała, a sama przewodnicząca opisywała organ jako „urzędowy startup”. Pierwsze posiedzenie Komisji ma się odbyć najpóźniej 11 listopada 2026 roku. Limit wydatków na skutki ustawy to 9,30 mln zł w 2026 roku i 247,79 mln zł w perspektywie dziesięciu lat.

Wniosek praktyczny jest dwojaki i oba jego elementy są ważne. Pierwszy: nie ma mowy o masowych kontrolach w listopadzie — organ o takiej liczebności fizycznie nie przeprowadzi setek postępowań, a jego własne priorytety na pierwsze miesiące to piaskownice regulacyjne, wyjaśnienia ogólne i działania edukacyjne. Drugi: brak zasobów nie oznacza braku ryzyka, bo większość spraw nie zaczyna się od decyzji urzędu o kontroli, tylko od skargi, którą ktoś złoży. A skargę może złożyć każdy.

Skarga, czyli najbardziej prawdopodobny początek sprawy

Od 28 października skargę do Komisji może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej. Nie trzeba mieć w sprawie interesu prawnego, nie trzeba być klientem ani pracownikiem. Forma jest elektroniczna — przez formularz na stronie Komisji w gov.pl — a papierowa dopuszczalna wtedy, gdy elektroniczna jest niemożliwa. Skarga powinna wskazać system AI, podmiot, jeśli jest znany, oraz opisać fakty i uzasadnić, dlaczego skarżący widzi naruszenie.

Jedna cecha tej konstrukcji zasługuje na uwagę, bo zmienia rachunek ryzyka. Skarżący nie staje się automatycznie stroną postępowania — stroną jest dostawca albo podmiot stosujący system. To znaczy, że złożenie skargi jest dla skarżącego praktycznie bezkosztowe i nie wiąże go z dalszym tokiem sprawy. Koszt i obowiązki są w całości po Waszej stronie.

Kto realnie złoży pierwsze skargi? Nie organizacje branżowe, choć o nich mówi się najwięcej. Najprawdopodobniej: były pracownik, którego CV odrzucił system rekrutacyjny albo który uważa, że narzędzie oceniało jego zaangażowanie; klient, który zorientował się, że rozmawiał z botem, choć nikt go o tym nie poinformował; konkurent, który zobaczył na Waszym profilu realistyczne wideo bez oznaczenia. Trzy sytuacje, w których skarga nie wymaga wiedzy prawniczej — wystarczy zrzut ekranu.

I rzecz, która bywa zaskoczeniem: skarga nie prowadzi automatycznie do sankcji. Jest podstawą do wszczęcia postępowania z urzędu, ale Komisja może sprawę zakończyć na wyjaśnieniach albo skierować do kontroli. Panika po otrzymaniu pisma jest więc kosztowna i przedwczesna — droga od skargi do kary jest długa i ma na niej kilka miejsc, w których można ją skutecznie zatrzymać.

Kontrola krok po kroku — i dlaczego pierwsza faza jest łagodniejsza, niż się mówi

Kontrolę Komisja prowadzi z urzędu albo na wniosek. Przepisy o niej są zbudowane w sposób, który firmie przygotowanej daje realną przewagę, a firmie nieprzygotowanej odbiera wszystkie wymówki. Poniżej przebieg z terminami, które warto znać, zanim przyjdzie zawiadomienie.

• Zawiadomienie. Kontrola nie może się rozpocząć wcześniej niż siedem dni od doręczenia zawiadomienia. To nie jest formalność — to jest Wasz czas na zebranie dokumentów, wyznaczenie osoby prowadzącej sprawę i rozmowę z prawnikiem. Wyjątek: przy uzasadnionym podejrzeniu, że system zagraża życiu, zdrowiu, bezpieczeństwu albo prawom podstawowym, kontrolujący mogą przyjść bez zachowania tego terminu.
• Upoważnienie. Czynności prowadzi się na podstawie imiennego upoważnienia, które wskazuje podstawę prawną, zakres przedmiotowy, daty i pouczenie o prawach kontrolowanego. Pierwsza rzecz do zrobienia przy drzwiach albo na pierwszym połączeniu: przeczytać zakres i zapisać go, bo on wyznacza granice tego, o co można pytać.
• Tryb zdalny. Kontrola jest z zasady prowadzona na odległość. To ma praktyczne znaczenie dla przygotowania: w większości przypadków nie chodzi o wizytę w biurze, tylko o uporządkowane pliki i zdolność odpowiedzenia na pytania w kilka dni.
• Żądanie dokumentów i wyjaśnień. Kontrolujący może żądać dokumentów i korespondencji elektronicznej, dostępu do nośników i systemów informatycznych — także tych u podmiotów trzecich, w zakresie, w jakim macie do nich dostęp, czyli również w chmurze. Może sporządzać kopie, zabezpieczać dane, żądać wyjaśnień ustnych i pisemnych oraz zestawień i analiz. Nagrywanie czynności jest możliwe po uprzednim poinformowaniu kontrolowanego.
• Korespondencja z pełnomocnikiem. Korespondencję z adwokatem lub radcą prawnym można zastrzec. Spór o zakres tego zastrzeżenia rozstrzyga sąd. Warto o tym wiedzieć, zanim ktoś z zespołu w dobrej wierze wyśle cały wątek mailowy.
• Protokół. Sporządzany elektronicznie. Macie czternaście dni na podpisanie albo na zgłoszenie zastrzeżeń — brak reakcji jest traktowany jak odmowa podpisu. To jedyny moment, w którym można poprawić ustalenia faktyczne bez wchodzenia w postępowanie, i jedyny moment, którego nie da się odzyskać.
• Zalecenia pokontrolne. Wyznaczają termin usunięcia nieprawidłowości, co do zasady nie krótszy niż trzydzieści dni. Krótszy jest możliwy za Waszą zgodą albo przy naruszeniach powtarzających się.

Najważniejszy przepis całej procedury

Jeśli z tego artykułu mielibyście zapamiętać jedno zdanie, to brzmi ono tak: postępowanie w sprawie naruszenia zaczyna się dopiero od niewykonania zaleceń pokontrolnych. Kontrola, która wykryje braki, nie kończy się karą. Kończy się listą rzeczy do naprawienia i terminem co najmniej trzydziestodniowym.

To zmienia całą kalkulację ryzyka i warto ją przeliczyć na konkret. Firma, która nie ma rejestru narzędzi AI, nie ma polityki korzystania z nich i nie oznaczyła chatbota, w scenariuszu kontroli nie dostaje kary — dostaje trzydzieści dni na zrobienie rzeczy, które zajmują dwa popołudnia. Kara wchodzi w grę dopiero wtedy, gdy przez te trzydzieści dni nic się nie stanie, albo gdy naruszenie dotyczy praktyki zakazanej z artykułu 5, przy której rozmowa jest zupełnie inna.

Praktyczny wniosek jest nieoczywisty: największe ryzyko nie leży w brakach w dokumentacji. Leży w braku kogoś, kto odbierze zawiadomienie i zareaguje. Zalecenie pokontrolne, które wpadnie do skrzynki ogólnej i poleży tam pięć tygodni, zamienia sprawę naprawialną w jednym tygodniu w postępowanie. To samo dotyczy czternastu dni na zastrzeżenia do protokołu i dwudziestu jeden dni na odpowiedź na ostrzeżenie. Cała ta procedura karze przede wszystkim milczenie.

Jest też druga strona. Utrudnianie kontroli jest wykroczeniem zagrożonym grzywną albo karą ograniczenia wolności — i to jest odrębna od wszystkiego powyższego ścieżka. Odmowa udostępnienia dokumentów, do których macie dostęp, nie jest strategią obronną.

Kiedy zaczyna się postępowanie i ile to kosztuje

Postępowanie w sprawie naruszenia wszczyna się postanowieniem i trwa maksymalnie sześć miesięcy od jego doręczenia. W jego toku Komisja może wydać ostrzeżenie — wtedy macie dwadzieścia jeden dni na przedstawienie działań naprawczych. Decyzja kończąca postępowanie może nakazać usunięcie skutków naruszenia w ciągu czternastu dni od doręczenia, nałożyć karę pieniężną albo jedno i drugie. Przy systemach stwarzających ryzyko w rozumieniu AI Act istnieje tryb pilny: postępowanie trwa do siedmiu dni, a decyzja może nakazać zaprzestanie stosowania albo wycofanie systemu z natychmiastową wykonalnością.

Wysokość kar bierze się wprost z progów AI Act i są one wyższe, niż większość firm zakłada. Za praktyki zakazane z artykułu 5 — do 35 mln euro albo 7% światowego rocznego obrotu. Za naruszenie większości pozostałych obowiązków, w tym obowiązków przejrzystości z artykułu 50 — do 15 mln euro albo 3% obrotu. Za podanie organowi informacji nieprawdziwych lub wprowadzających w błąd — do 7,5 mln euro albo 1% obrotu. Dla małych i średnich przedsiębiorstw stosuje się niższą z dwóch kwot, dla dużych wyższą. Dane o obrocie trzeba podać w czternaście dni od żądania, w przeciwnym razie Komisja je oszacuje. Karę płaci się w trzydzieści dni od uprawomocnienia decyzji.

Odwołanie składa się za pośrednictwem Komisji do Sądu Okręgowego w Warszawie, w terminie miesiąca od doręczenia decyzji. Opłata od odwołania to 1000 zł, od zażalenia 500 zł. Rozstrzygnięcia Komisji podlegają publikacji, a ukarane systemy trafiają do publicznego wykazu — i w wielu branżach to będzie dolegliwsze od samej kwoty.

Warto przy tym zachować proporcje. Progi liczone w dziesiątkach milionów euro są pisane z myślą o dostawcach modeli i o praktykach zakazanych, nie o firmie, która nie dopisała zdania „rozmawiasz z asystentem AI” pod czatem. Dla MŚP realistyczny scenariusz to zalecenie pokontrolne, a przy braku reakcji — kara liczona w stosunku do skali naruszenia i obrotu, z możliwymi obniżkami opisanymi niżej. Groza tabeli kar bywa używana w sprzedaży usług doradczych; nam zależy na tym, żeby mieli Państwo właściwe liczby i właściwy porządek zdarzeń.

Dwa narzędzia, których prawie nikt nie użyje

W tej ustawie są dwa mechanizmy, które realnie przenoszą ryzyko z firmy na urząd — i oba wymagają działania, zanim cokolwiek się stanie. Prawie nikt z nich nie skorzysta, bo wymagają wysłania pisma w momencie, w którym nic nie boli.

Pierwszy to opinia indywidualna. Za 150 zł można zapytać Komisję, czy konkretne rozwiązanie jest zgodne z przepisami i jak je zaklasyfikować. Komisja odpowiada w trzydzieści dni, a w sprawach szczególnie skomplikowanych w sześćdziesiąt. Dwie cechy czynią z tego narzędzie o nieproporcjonalnej wartości: brak odpowiedzi w terminie oznacza opinię zgodną ze stanowiskiem wnioskodawcy, a wydana opinia wiąże Komisję w tej sprawie. To jest, w praktyce, możliwość kupienia sobie pewności prawnej za cenę jednej roboczogodziny prawnika — przy czym sama przewodnicząca Komisji wskazywała opinie indywidualne jako kluczowe narzędzie i mówiła wprost, że głównym kosztem regulacji dla biznesu nie jest jej istnienie, lecz niepewność, jak ją stosować.

Kiedy warto po nią sięgnąć? Wtedy, gdy klasyfikacja jest realnie niepewna i dużo od niej zależy: narzędzie wspierające decyzje kadrowe, które może być systemem wysokiego ryzyka z załącznika III; analiza zachowania klientów, przy której granica z rozpoznawaniem emocji jest cienka; produkt, w którym model wpływa na decyzje dotyczące pieniędzy albo zdrowia. Gdy chodzi o to, czy pod czatem ma być komunikat o AI, opinia jest stratą czasu — odpowiedź znacie.

Drugi mechanizm to samozgłoszenie i układ z Komisją. Układ zawarty po zaprzestaniu naruszenia daje obniżkę kary o 20–70%. Układ po samodzielnym zgłoszeniu naruszenia — o 30–90%. Osobno działa mechanizm ostrzeżenia: wykonanie wskazanych w nim działań w ciągu trzech miesięcy od decyzji obniża karę o 10–50%. Układu nie można zawrzeć, gdy naruszenie spowodowało śmierć, poważny uszczerbek na zdrowiu, poważne zakłócenie infrastruktury krytycznej albo poważną szkodę w mieniu lub środowisku. Zawarcie układu oznacza zrzeczenie się odwołania — to jest cena, którą trzeba policzyć świadomie.

Wniosek operacyjny jest niewygodny, bo wymaga decyzji zarządu, a nie działania działu prawnego: jeżeli audyt wewnętrzny wykaże u Was coś, co jest naruszeniem, najtańsza droga prowadzi przez zakończenie naruszenia i zgłoszenie go samemu. Najdroższa prowadzi przez nadzieję, że nikt nie zauważy — i różni się od tej pierwszej nawet nie kilkukrotnie, a rzędem wielkości.

Co Komisja będzie kontrolować najpierw

Przewodnicząca Komisji mówiła o pierwszym planie kontroli otwarcie i warto to przeczytać dosłownie, bo oszczędza niepotrzebnego lęku. Priorytetem numer jeden są systemy zakazane, a w nich rozpoznawanie emocji w miejscu pracy. Drugim obszarem są narzędzia służące do tworzenia materiałów przedstawiających wykorzystywanie seksualne dzieci oraz aplikacje do „rozbierania” zdjęć — zakazy w tym zakresie wchodzą 2 grudnia 2026 roku. Trzecim: oznaczanie deepfake'ów.

Dla większości firm oznacza to, że ich wdrożenia AI nie są przedmiotem pierwszej fali zainteresowania. Asystent na dokumentach, streszczanie spotkań, model prognozujący popyt, agent odpowiadający na maile — to nie są obszary z listy priorytetów i nie ma powodu, by traktować 28 października jako terminu dla nich.

Jest natomiast jedna kategoria, w której polskie firmy wpadają w artykuł 5 nieświadomie, bo narzędzie nie nazywa się „rozpoznawaniem emocji”. Rozpoznawanie emocji w miejscu pracy jest zakazane od 2 lutego 2025 roku, z wyjątkami dotyczącymi względów medycznych i bezpieczeństwa. Tymczasem na rynku sprzedaje się funkcje opisywane jako analiza nastrojów w zespole, badanie zaangażowania na podstawie komunikacji, ocena tonu rozmów handlowych czy wykrywanie wypalenia na podstawie wzorców pracy. Jeżeli którakolwiek z nich dotyczy pracowników i wnioskuje o ich stanach emocjonalnych, rozmowa przestaje być o dokumentacji, a zaczyna o praktyce zakazanej — z najwyższym progiem kary i bez możliwości naprawienia tego zaleceniem pokontrolnym.

Druga kategoria, zupełnie innego rodzaju, to systemy, których w firmie nikt nie zarejestrował, bo zostały wprowadzone przez zespoły poza IT. Skarga nie przychodzi do działu prawnego z listą narzędzi — przychodzi z opisem jednego konkretnego zachowania, które ktoś zobaczył. Jeżeli nie wiecie, czym w Waszej firmie ludzie przetwarzają dane klientów, nie jesteście w stanie odpowiedzieć na pytanie Komisji w terminie. Opisaliśmy ten mechanizm osobno w tekście o shadow AI w firmie i to jest dziś jego najmocniejsze uzasadnienie.

Gdzie w zwykłej polskiej firmie leży realne ryzyko

Poniższa lista nie jest katalogiem obowiązków — to są miejsca, w których z naszego doświadczenia najczęściej brakuje jednego zdania, jednego zrzutu ekranu albo jednej notatki, a nie całego systemu zgodności.

• Chatbot albo agent głosowy bez wyraźnej informacji, że po drugiej stronie jest AI, podanej najpóźniej przy pierwszym kontakcie. Najczęstszy brak w polskim e-commerce i najłatwiejszy do naprawienia. Przy agentach telefonicznych dochodzi kwestia momentu, w którym komunikat pada — po trzydziestu sekundach rozmowy jest za późno.
• Realistyczne materiały wizualne i dźwiękowe przedstawiające istniejące osoby, miejsca lub zdarzenia, publikowane bez oznaczenia. Dotyczy to również kampanii marketingowych z wygenerowanym wizerunkiem i filmów z klonowanym głosem lektora. Kontekst rozpisaliśmy przy treściach AI w marketingu firmy.
• Narzędzia wspierające rekrutację i ocenę pracowników. Wymogi dla systemów wysokiego ryzyka z załącznika III obowiązują od 2 grudnia 2027 roku, ale trzy rzeczy są aktualne już teraz: człowiek musi realnie podejmować decyzję, kandydat powinien wiedzieć o użyciu AI, a wyniki warto kontrolować pod kątem dyskryminacji. Szerzej w tekście o AI w rekrutacji po AI Act.
• Wszystko, co wnioskuje o emocjach pracowników — niezależnie od tego, jak to nazywa dostawca. To jedyna pozycja na tej liście, której nie da się naprawić zaleceniem pokontrolnym, więc warto ją sprawdzić w pierwszej kolejności.
• Dane osobowe w promptach i w bazach wiedzy. Komisja nie jest organem ochrony danych, ale Prezes UODO, Państwowa Inspekcja Pracy, Rzecznik Praw Dziecka i Rzecznik Praw Pacjenta mają na mocy AI Act własne uprawnienia do żądania dokumentacji systemów wysokiego ryzyka. Jedna skarga może uruchomić dwie ścieżki jednocześnie — o tej drugiej pisaliśmy w tekście o RODO przy wdrożeniu AI.
• Brak jakiejkolwiek ewidencji tego, co w firmie działa. Nie dlatego, że ustawa nakazuje rejestr — nie nakazuje. Dlatego, że bez niego nie odpowiecie na pytanie z zawiadomienia w siedem dni.

Co mieć w teczce — i czego ustawa nie wymaga

Tu trzeba być uczciwym, bo rynek doradczy tego nie jest: ani ustawa, ani AI Act nie zawierają zamkniętej listy dokumentów, które firma stosująca gotowe narzędzia musi okazać przy kontroli. Nie ma obowiązkowego rejestru systemów AI dla podmiotów stosujących, nie ma wymaganego certyfikatu, nie ma formularza zgłoszeniowego do Komisji. Każdy, kto sprzedaje „obowiązkowy audyt przed 28 października”, sprzedaje coś, czego w przepisach nie ma.

Jest natomiast pytanie, na które będziecie musieli odpowiedzieć szybko i konkretnie: czego używacie, do czego, na jakich danych, z czyją odpowiedzialnością i co z tym zrobił człowiek. Poniższa teczka nie jest wymogiem prawnym — jest najkrótszą formą odpowiedzi na to pytanie i powstaje w jeden dzień.

• Rejestr narzędzi: nazwa, wersja albo model, dział, do czego służy, jakie dane do niego wchodzą, kto jest właścicielem po Waszej stronie, data ostatniego przeglądu. Arkusz, nie system.
• Jednozdaniowa notatka o roli przy każdej pozycji: jesteście podmiotem stosującym cudze narzędzie czy dostawcą własnego systemu. To rozróżnienie decyduje o całym zakresie obowiązków i w kontroli jest pierwszym pytaniem.
• Polityka korzystania z AI: co wolno, czego nie wolno, jakie dane nie mogą wyjść z firmy, kto zatwierdza nowe narzędzie. Dwie strony wystarczą — ważniejsze, żeby ludzie ją znali, niż żeby była obszerna.
• Dowód na działania w zakresie kompetencji AI: temat szkolenia, data, lista uczestników, materiały. Artykuł 4 nie wymaga ani określonej liczby godzin, ani certyfikatu — wymaga podjęcia środków, a te trzeba umieć pokazać.
• Zasady oznaczania i zrzuty ekranu z komunikatów: czat, agent głosowy, treści publikowane. Zrzut ekranu z datą jest w kontroli wart więcej niż opis procedury.
• Krótki przegląd zakazanych praktyk: potwierdzenie, że nie używacie rozpoznawania emocji wobec pracowników ani innych praktyk z artykułu 5. Jedna strona z datą i podpisem.
• Umowy i dokumentacja od dostawców: co obiecali, co dostarczyli, kto odpowiada za co. Jak takie umowy czytać i o co pytać, rozpisaliśmy w tekście o umowie z dostawcą AI.
• Procedura na zawiadomienie: kto je odbiera, kto w ciągu dwóch dni zbiera pliki, który prawnik dostaje telefon. To jest ta pozycja, której brak kosztuje najwięcej, a która nic nie kosztuje.

Czego 28 października nie zmienia

Granicę trzeba postawić jawnie, bo nadmiarowa reakcja kosztuje w tym obszarze tyle samo co zaniechanie. Wymogi dla systemów wysokiego ryzyka z załącznika III — w tym rekrutacja i ocena pracowników — obowiązują od 2 grudnia 2027 roku i nie przyspieszają z powodu 28 października. Piaskownice regulacyjne mają działać najpóźniej od 2 sierpnia 2027 roku. Zakazy dotyczące narzędzi CSAM i aplikacji do „rozbierania” wchodzą 2 grudnia 2026 roku. Okres przejściowy na maszynowe oznaczanie treści z generatorów wprowadzonych do obrotu przed 2 sierpnia 2026 roku kończy się 2 grudnia 2026 roku.

Nie zmienia się też to, co i tak Was dotyczyło szerzej i wcześniej: RODO, prawo pracy, prawo konsumenckie, tajemnica przedsiębiorstwa. Z praktycznego punktu widzenia ryzyko związane z wyciekiem danych do zewnętrznego modelu było i pozostaje większe od ryzyka kary z AI Act — tylko że teraz obie ścieżki mogą się uruchomić z jednej skargi.

I rzecz, którą warto położyć obok w kalendarzu, bo dotyczy innej grupy firm: 9 grudnia 2026 roku zaczyna się stosować dyrektywa, na mocy której oprogramowanie i systemy AI są produktami w rozumieniu odpowiedzialności za produkt. Dla firmy używającej AI wewnętrznie to zmienia niewiele; dla firmy, która AI sprzedaje albo wbudowuje w swój produkt, zmienia reżim odpowiedzialności cywilnej. Rozpisaliśmy to w tekście o odpowiedzialności za AI jako produkt. Te dwie daty — 28 października i 9 grudnia — wymagają zupełnie innej pracy i warto ich nie mieszać.

Ostatnia uwaga o tonie, bo łatwo go zgubić. Komisja w pierwszych miesiącach zapowiada wyjaśnienia ogólne, opinie indywidualne i działania edukacyjne, a nie kampanię kontrolną. To jest dobra wiadomość i jednocześnie okno, które się zamknie. Firma, która w listopadzie wyśle wniosek o opinię indywidualną w sprawie wątpliwej klasyfikacji, rozmawia z urzędem, który chce rozmawiać. Rok później będzie rozmawiać z urzędem, który ma już praktykę orzeczniczą i obsadzone etaty.

Plan na pierwsze siedem dni po zawiadomieniu

Gdyby zawiadomienie przyszło w listopadzie, poniższa kolejność wykorzystuje siedmiodniowy termin tak, żeby nie marnować go na ustalanie, kto się tym zajmuje.

1. Przeczytajcie zakres przedmiotowy z zawiadomienia i wypiszcie go zdaniami. Wszystko, co jest poza nim, jest poza kontrolą — i to Wy musicie o tym wiedzieć.
2. Wyznaczcie jedną osobę prowadzącą i jeden kanał kontaktu. Dwie osoby odpowiadające niezależnie na te same pytania to najszybsza droga do informacji wprowadzającej w błąd, za którą jest odrębny próg kary.
3. Zadzwońcie do prawnika pierwszego dnia, nie piątego. Decyzja o zastrzeżeniu korespondencji z pełnomocnikiem ma sens tylko wtedy, gdy zostanie podjęta przed zebraniem materiałów.
4. Zbierzcie teczkę z poprzedniej sekcji w takim stanie, w jakim jest. Dokument z dziurami i datą jest lepszy od dokumentu, który powstaje w trakcie kontroli i wygląda, jakby powstał w trakcie kontroli.
5. Sprawdźcie jedną rzecz techniczną: czy umiecie odtworzyć, jaka wersja narzędzia i jaka konfiguracja odpowiadały na zapytania w okresie, którego dotyczy sprawa. To pytanie pada w każdym postępowaniu dotyczącym modelu i dla większości firm jest najtrudniejsze. Dlaczego warto to mieć niezależnie od kontroli, opisaliśmy w tekście o utrzymaniu AI po wdrożeniu.
6. Zapiszcie w kalendarzu dwa terminy: czternaście dni na zastrzeżenia do protokołu i trzydzieści dni z zaleceń pokontrolnych. Oba są nieprzywracalne i oba decydują o tym, czy sprawa skończy się na kontroli.

Od czego zacząć

Najtańszy pierwszy krok zajmuje jedno spotkanie i nie wymaga prawnika. Wypiszcie wszystkie narzędzia AI, których w firmie faktycznie ktoś używa — także te, których nie kupował dział IT. Przy każdym odpowiedzcie na trzy pytania: czy kontaktuje się z nim człowiek z zewnątrz, czy dotyczy pracowników, czy wychodzą do niego dane osobowe. Jeżeli przy wszystkich pozycjach wyjdą trzy razy „nie”, 28 października nie jest dla Was datą i wracacie do pracy. Jeżeli gdzieś padnie „tak”, macie zakres i wiecie, co uporządkować — prawie zawsze w kilka dni, nie w kilka miesięcy.

Tak prowadzimy takie projekty: najpierw audyt tego, co w firmie realnie działa i gdzie model wpływa na decyzje, potem uporządkowanie oznaczeń, polityki i dokumentacji, a w sprawach niejednoznacznych wniosek o opinię indywidualną, zanim ktoś złoży skargę. Zakres konsultingu i wdrożeń AI opisaliśmy osobno, stawki znajdziecie w cenniku, a jeśli chcecie sprawdzić, co w Waszej firmie wygląda inaczej z perspektywy kontroli niż z perspektywy projektu — umówcie bezpłatną konsultację.