Czym jest KRiBSI i od kiedy może skontrolować firmę?

Krótka odpowiedź: KRiBSI, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, to polski organ nadzoru rynku AI powołany ustawą z 3 lipca 2026 roku o systemach sztucznej inteligencji. Skontrolować firmę może od 28 października 2026 roku, bo dopiero wtedy zaczynają obowiązywać przepisy o kontrolach, skargach, karach i opiniach indywidualnych. Przewodniczącą jest Pamela Krzypkowska: Sejm powołał ją 18 września, a Senat zgodził się 24 września 2026 roku. Pierwsze posiedzenie Komisji przewodnicząca ma zwołać do 11 listopada. Kary Komisja liczy z progów AI Act: za chatbota, który nie mówi, że jest AI, grozi do 15 mln euro lub 3% obrotu.

Kto zasiada w KRiBSI

Siedem osób (art. 19 ust. 1 ustawy): przewodnicząca, dwóch zastępców i czterech członków wskazanych przez prezesa UOKiK, KNF, KRRiT i prezesa UKE. Przewodniczącą na pięcioletnią kadencję została Pamela Krzypkowska, wcześniej dyrektorka Departamentu Badań i Innowacji w Ministerstwie Cyfryzacji. Sejm powołał ją 18 września 2026 roku (271 za, 24 przeciw, 140 wstrzymujących się), Senat zgodził się 24 września (56 za, 2 przeciw, 28 wstrzymujących się). Resztę ustawy, z piaskownicą dla MŚP, opisałem w tekście o ustawie o sztucznej inteligencji.

Od kiedy KRiBSI może skontrolować firmę

Od 28 października 2026 roku. Ustawę ogłoszono 27 lipca 2026 roku (Dz.U. 2026 poz. 1003), a według jej art. 127 pkt 2 przepisy o opiniach (art. 8⁠–⁠18), rozdziały o kontroli, postępowaniu, układach i karach oraz zmiany w innych ustawach (rozdział 9) wchodzą w życie po upływie trzech miesięcy od ogłoszenia. Przepisu przejściowego ustawa nie ma, więc wprost nie przesądza, czy Komisja może ukarać za stan sprzed tej daty.

Do decyzji potrzebny jest jednak skład: Komisja rozstrzyga, także o karach, uchwałami przy obecności co najmniej 5 z 7 osób (art. 21 ust. 2 i 3) i sama zatwierdza plan kontroli (art. 48 ust. 2). Pierwsze posiedzenie przewodnicząca ma zwołać do 11 listopada 2026 roku (art. 125 ust. 3), bo trzy miesiące liczy się od wejścia ustawy w życie 11 sierpnia 2026 roku. Do 29 września 2026 roku nie znalazłem komunikatu, że UOKiK, KNF, KRRiT albo UKE wskazały członków. Z tego odczytuję, że pierwsze decyzje zapadną dopiero po pierwszym posiedzeniu i dopiero wtedy, gdy w Komisji zasiądzie co najmniej pięć osób, na przykład przewodnicząca i czterej członkowie wskazani przez te urzędy.

Przebieg kontroli opisuje rozdział 3 ustawy:

• kontrola jest domyślnie zdalna i zaczyna się najwcześniej 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2 i 3); przy uzasadnionym podejrzeniu szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych Komisja może wejść do siedziby bez tego terminu (art. 49 ust. 4);
• kontrolujący może żądać dokumentów, korespondencji elektronicznej oraz dostępu do systemów i chmury obliczeniowej, także „będących własnością innego podmiotu”, jeśli są tam dane firmy związane z kontrolą (art. 52 ust. 1 pkt 1);
• na podpisanie protokołu albo złożenie na piśmie zastrzeżeń do jego treści firma ma 14 dni (art. 56 ust. 6), a na usunięcie nieprawidłowości co najmniej 30 dni od doręczenia zaleceń, chyba że firma zgodzi się na krótszy termin albo naruszenia się powtarzały (art. 57 ust. 3 i 4).

Za co może ukarać i jak wysoko

Za naruszenia AI Act, według progów z jego art. 99, bo polska ustawa własnych kwot nie ustala (art. 104 ust. 1). Euro przelicza się na złote po średnim kursie NBP z 28 stycznia danego roku (art. 104 ust. 4); kwoty w tabeli policzyłem po kursie z 2026 roku, 4,2009 zł.

Firmowy chatbot podpada pod drugi próg, bo art. 50 jest w katalogu art. 99 ust. 4. Na moim przykładzie: firma z sektora MŚP z obrotem 20 mln zł, która narusza art. 50, ma pułap 600 000 zł, bo 3% obrotu to mniej niż 63 013 500 zł. W układzie z Komisją karę można obniżyć o 20⁠–⁠70%, ale układ wchodzi w grę tylko wtedy, gdy firma zaprzestała naruszenia albo usunęła stan niezgodności, ujawniła wszystkie istotne okoliczności i przedstawiła dowody, a naruszenie nie spowodowało śmierci, poważnego uszczerbku na zdrowiu, poważnego i nieodwracalnego zakłócenia infrastruktury krytycznej ani poważnej szkody w mieniu lub środowisku (art. 70 ust. 1 i 4). Obniżka może sięgnąć 30⁠–⁠90%, gdy postępowanie wszczęto na podstawie samozgłoszenia, w którym firma ujawniła te okoliczności i przedstawiła dowody, a naruszenia zaprzestała jeszcze przed zgłoszeniem (art. 70 ust. 6 i art. 84 ust. 1). Poza układem Komisja może obniżyć karę o 10⁠–⁠50%, jeśli w ciągu 3 miesięcy od doręczenia decyzji firma wykona działania wskazane w ostrzeżeniu Komisji (art. 61 ust. 1), a naruszenie nie doprowadziło do śmierci ani poważnego uszczerbku na zdrowiu (art. 107 ust. 1).

Co przewodnicząca zapowiada na start

Kontrole tam, gdzie obowiązki już działają albo zaraz zaczną. Na przesłuchaniu w Senacie 15 września 2026 roku Pamela Krzypkowska mówiła, według „Rzeczpospolitej”: „W pierwszym planie kontroli chcę zaadresować systemy zakazane związane z oceną emocji w miejscu pracy”. Wymieniła też narzędzia tworzące materiały CSAM i aplikacje do rozbierania. W sejmowej komisji cyfryzacji zapowiedziała też, według PAP, kontrole oznaczania deepfake’ów.

Rozpoznawania emocji w miejscu pracy zakazuje art. 5 ust. 1 lit. f AI Act od 2 lutego 2025 roku, poza względami medycznymi i bezpieczeństwa. Zakazy z art. 5 ust. 1 lit. ba i bb, dodane przez Digital Omnibus i stosowane od 2 grudnia 2026 roku, obejmą systemy tworzące intymne wizerunki bez zgody i materiały CSAM. Deepfake trzeba ujawniać od 2 sierpnia 2026 roku (art. 50 ust. 4); jak oznaczać treści AI, opisałem osobno.

Na pierwszym posiedzeniu przewodnicząca chce przyjąć pierwsze wyjaśnienia, czyli interpretacje przepisów wydawane przez Komisję z urzędu lub na wniosek (art. 16 ust. 1), rozpocząć nabór do Społecznej Rady do spraw Sztucznej Inteligencji i zadbać, „żeby jak najszybciej Komisja mogła być w pełni operacyjna” (PAP, 24 września). Zapowiedziała też, że każdy ma wiedzieć, gdzie złożyć skargę i wniosek o opinię, ale na 29 września 2026 roku takiego miejsca nie ma: nie znalazłem strony Komisji, formularza ani numeru rachunku do opłaty, a adres gov.pl/web/kribsi prowadzi na stronę główną gov.pl.

Opinia indywidualna za 150 zł

Od 28 października firma może zapytać Komisję, jak przepisy stosują się do jej systemu, i dostać odpowiedź wiążącą organ w tej sprawie (art. 13 ust. 1). Wniosek kosztuje 150 zł (art. 11 ust. 1), dotyczy jednego zagadnienia i zawiera własne stanowisko firmy co do oceny prawnej (art. 9 ust. 3). Komisja ma 30 dni, a w sprawach szczególnie skomplikowanych 60 (art. 12 ust. 1). Jeśli nie zdąży, opinię uznaje się za wydaną zgodnie ze stanowiskiem firmy, a opłata wraca w całości (art. 12 ust. 3 i art. 11 ust. 4 pkt 3). Zastosowanie się do opinii nie może firmie zaszkodzić, nawet gdy Komisja później ją zmieni (art. 15 ust. 5).

Kolejny wniosek ten sam podmiot złoży dopiero po 30 dniach od poprzedniego (art. 9 ust. 5), więc przy kilku pytaniach liczy się kolejność. Do wniosku dołącza się oświadczenie, że sprawa nie toczy się przed innym organem ani sądem; fałszywe pozbawia opinię skutków prawnych (art. 10). Wersja o bezpłatnych opiniach (ITReseller, 16 września 2026 roku) jest błędna: bez opłaty ustawa przewiduje tylko opinię po udziale w piaskownicy, wydawaną w 14 dni (art. 101).

Kto może złożyć skargę

Każdy: osoba fizyczna, osoba prawna i jednostka organizacyjna bez osobowości prawnej (art. 59 ust. 1), elektronicznie, bez opłaty i bez terminu. Jeśli ze skargi wynika, że mogło dojść do naruszenia, Komisja wszczyna postępowanie, które trwa najwyżej 6 miesięcy (art. 60 ust. 3). Z art. 60 ust. 1 wnioskuję, że skarżący nie staje się stroną i nie odwoła się od decyzji; to warto potwierdzić u prawnika. Dostawców systemów zbudowanych na własnym modelu ogólnego przeznaczenia, na przykład ChatGPT, nadzoruje poza wyjątkami unijny Urząd ds. AI (art. 75 ust. 1 AI Act w brzmieniu nadanym przez Digital Omnibus), więc skargi na takiego dostawcę KRiBSI nie rozpatrzy; piszę o tym przy fałszywych odpowiedziach AI o firmie. Firma, która taki system tylko stosuje, w zakresie własnych obowiązków, na przykład oznaczania deepfake’ów, nadal podlega Komisji.

KRiBSI a UODO

Prezes UODO nie jest członkiem Komisji, ale ustawa każe obu organom współpracować (art. 20 ust. 1 pkt 3, a od 28 października także nowy art. 59a ustawy o ochronie danych osobowych). W piaskownicy UODO opiniuje przetwarzanie danych „bez uszczerbku dla swoich uprawnień nadzorczych” (art. 92). Chatbot przetwarzający dane klientów dalej podlega RODO i nadzorowi UODO, a zgodność z AI Act sprawdza KRiBSI; więcej w odpowiedzi o RODO przy sztucznej inteligencji w firmie. Na 30 września 2026 roku (godz. 10:00⁠–⁠12:00) UODO zapowiedział webinar, który mieli otworzyć razem prezes Mirosław Wróblewski i Pamela Krzypkowska.

Co przygotować przed 28 października

To, co Komisja może sprawdzić od pierwszego dnia. Kontrola obejmuje przestrzeganie AI Act i ustawy (art. 48 ust. 1) poza obowiązkami, które egzekwuje Komisja Europejska albo unijny Urząd ds. AI. Z obowiązków firm stosują się już przede wszystkim zakazy z art. 5, przejrzystość z art. 50 i kompetencje w zakresie AI z art. 4. Obowiązków dla systemów wysokiego ryzyka KRiBSI w 2026 roku nie wyegzekwuje, bo stosują się od 2 grudnia 2027 roku (załącznik III) albo 2 sierpnia 2028 roku (załącznik I).

1. Otwórz swój czat jako klient i sprawdź, czy z pierwszej wiadomości wynika, że rozmowa toczy się z AI (art. 50 ust. 1). Dostawca systemu generującego treści, wprowadzonego do obrotu przed 2 sierpnia 2026 roku, ma na maszynowe oznaczanie czas do 2 grudnia 2026 roku. Resztę obowiązków opisuje odpowiedź o AI Act od 2 sierpnia 2026.
2. Przejrzyj narzędzia HR i monitoringu pracowników pod kątem rozpoznawania emocji, bo to pierwszy zapowiedziany cel kontroli.
3. Przygotuj wniosek o opinię: jedno zagadnienie, własne stanowisko prawne, oświadczenie z art. 10 i dowód wpłaty 150 zł.
4. Ustal, kto w 7 dni od zawiadomienia zbierze dokumentację systemu i korespondencję oraz zapewni dostęp do kont u dostawców chmury.
5. Zapisz klasyfikację każdego systemu AI, bo bez niej nie wiesz, czy od 2 grudnia 2027 roku albo od 2 sierpnia 2028 roku dojdą ci obowiązki wysokiego ryzyka. To część audytu gotowości AI.

To nie jest porada prawna.