Ustawa o sztucznej inteligencji 2026: obowiązki firm

Co dokładnie podpisał prezydent

24 lipca 2026 roku prezydent Karol Nawrocki podpisał ustawę o systemach sztucznej inteligencji, o czym jako jedne z pierwszych poinformowały Prawo.pl i Rzeczpospolita. Ustawa wdraża unijny AI Act do polskiego porządku prawnego: rozporządzenie obowiązywało wprost już wcześniej, ale dopiero ustawa krajowa tworzy organ, który może je w Polsce realnie egzekwować.

Sejm uchwalił ją 11 czerwca 2026 roku stosunkiem głosów 421 za, 3 przeciw i 18 wstrzymujących się, z projektu rządowego przygotowanego przez Ministerstwo Cyfryzacji. Moment podpisu nie jest przypadkowy: tydzień później, 2 sierpnia, zaczynają się stosować unijne obowiązki przejrzystości z art. 50 AI Act, m.in. informowanie użytkownika, że rozmawia z systemem AI.

KRiBSI, czyli kto będzie patrzył firmom na ręce

Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI): krajowy organ nadzoru rynku AI i punkt kontaktowy dla instytucji unijnych. W składzie, obok przewodniczącego i dwóch zastępców, zasiądą osoby wskazane przez prezesa UOKiK, KNF, KRRiT i prezesa UKE.

Uprawnienia są konkretne. Według relacji Rzeczpospolitej Komisja będzie mogła kontrolować firmy, nakazywać działania naprawcze i wycofywać systemy z rynku, a także rozpatrywać skargi obywateli, na co dostaje maksymalnie sześć miesięcy. Odwołania od decyzji trafią do Sądu Okręgowego w Warszawie, występującego w roli sądu do spraw nadzoru nad technologiami cyfrowymi.

Jest też mechanizm, który wprost przyda się wdrażającym: na wniosek firmy KRiBSI wyda indywidualną opinię o stosowaniu przepisów w 30 dni, a w sprawach szczególnie skomplikowanych w 60. Milczenie organu oznacza akceptację stanowiska wnioskodawcy.

Harmonogram: cztery daty, które warto znać

Z tego harmonogramu wynika rozróżnienie, o które łatwo się potknąć: obowiązki to nie to samo co egzekwowanie. Przejrzystość z art. 50 obowiązuje od 2 sierpnia 2026 niezależnie od polskiej ustawy, ale organ, który może za jej brak ukarać, ruszy dopiero w listopadzie. Traktowanie tego okna jako taryfy ulgowej to proszenie się o problemy: kontrola obejmie także stan z przeszłości, a klasyfikacji systemu nie da się udokumentować wstecznie.

Kary do 35 mln euro

Za najpoważniejsze naruszenia, czyli stosowanie zakazanych praktyk AI, ustawa przewiduje kary sięgające 35 mln euro lub 7% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. To pułapy przeniesione wprost z AI Act.

Dla typowej firmy wdrażającej chatbota czy automatyzację dokumentów te maksima są odległe. Realne ryzyko pierwszych lat leży gdzie indziej: w braku udokumentowanej klasyfikacji systemów i w botach, które nie informują, że są botami. Obie rzeczy kosztują godziny pracy, nie miliony, i obie sprawdzam w ramach audytu gotowości AI.

Piaskownica regulacyjna: marchewka dla MŚP

Najciekawszy element ustawy to piaskownica regulacyjna: środowisko, w którym firma testuje system AI pod okiem nadzoru, zanim wprowadzi go na rynek. Dla firm z sektora MŚP udział jest bezpłatny. Duże przedsiębiorstwa zapłacą jednorazowo równowartość trzykrotności minimalnego wynagrodzenia, co przy skali ich projektów jest kwotą symboliczną.

Według wiceministra cyfryzacji Dariusza Standerskiego, cytowanego przez CyberDefence24, ma to być pierwsza w Europie państwowa piaskownica regulacyjna dla AI uruchamiana od razu, bez fazy pilotażu. Start zaplanowano w ciągu trzech miesięcy od ogłoszenia ustawy.

Co zrobić w firmie do końca 2026 roku

Trzy rzeczy, w kolejności od najpilniejszej:

1. Sprawdź boty i generatory przed 2 sierpnia. Każdy system rozmawiający z klientem musi informować, że jest AI. To jedno zdanie w pierwszej wiadomości, a od listopada będzie miał to kto skontrolować.
2. Zaklasyfikuj i udokumentuj systemy AI, których używasz. Ocena, czy system jest wysokiego ryzyka, to godziny pracy, a jej brak jest jedynym uchybieniem, którego nie da się naprawić wstecznie. Jak ułożyć to w całość, opisałem w tekście jak wdrożyć AI w firmie.
3. Jeśli budujesz produkt AI, policz wariant z piaskownicą. Dla MŚP to darmowy sposób na przetestowanie zgodności pod okiem regulatora, zanim zrobi to za ciebie kontrola.

Terminy dla systemów wysokiego ryzyka pozostają bez zmian wobec nowelizacji Digital Omnibus: 2 grudnia 2027 dla systemów samodzielnych i 2 sierpnia 2028 dla wbudowanych w produkty. Pełną oś czasu prowadzę w tekście o terminach AI Act.