Ustawa o systemach sztucznej inteligencji weszła w życie 11 sierpnia, ale organ nadzoru dopiero się organizuje. Przewodniczącego Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ma powołać Sejm za zgodą Senatu do 11 października, pełny skład ma zostać obsadzony miesiąc później. Przepisy o kontrolach, karach, opiniach indywidualnych i piaskownicach regulacyjnych zaczną obowiązywać 28 października.

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona 27 lipca (Dz.U. z 2026 r. poz. 1003). Nie zastępuje rozporządzenia (UE) 2024/1689, które obowiązuje w Polsce bezpośrednio — buduje wokół niego krajową obudowę: wskazuje organ nadzoru rynku, opisuje tryb kontroli i postępowań, reguluje skargi, opinie indywidualne, piaskownice regulacyjne oraz zasady nakładania kar.

Czytaj również: Ustawa o systemach sztucznej inteligencji opublikowana — opracowanie DigitalHR

Dwa terminy wejścia w życie

Zasadnicza część przepisów, w tym rozdziały o organizacji nadzoru, jednostkach notyfikowanych i środkach wspierających innowacyjność, obowiązuje od 11 sierpnia 2026 r. Później, po upływie trzech miesięcy od ogłoszenia — czyli 28 października 2026 r. — wejdą w życie przepisy o opiniach indywidualnych i wyjaśnieniach (art. 8–18) oraz rozdziały dotyczące kontroli, postępowania przed organem nadzoru, układu w sprawie złagodzenia sankcji i administracyjnych kar pieniężnych.

Rozłożenie w czasie było zamierzone: najpierw miało powstać zaplecze instytucjonalne, dopiero potem uruchomione zostały narzędzia władcze. W praktyce oznacza to, że przez pierwsze tygodnie obowiązywania ustawy nie działa ani ścieżka skargowa, ani mechanizm opinii.

Skład Komisji i harmonogram jej powołania

KRiBSI jest niezależnym organem kolegialnym, obsługiwanym administracyjnie przez Ministerstwo Cyfryzacji. Pracami kieruje przewodniczący powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję. Poza nim w skład wchodzą dwaj zastępcy oraz czterej członkowie wskazani przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE.

Ustawa wyznacza terminy: przewodniczący ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, cała Komisja — w ciągu trzech. Resort cyfryzacji przekłada to na październik dla przewodniczącego i listopad dla rozpoczęcia działalności przez Komisję w pełnym składzie. Zgodnie z art. 125 minister cyfryzacji ma dwa miesiące na podjęcie działań niezbędnych do utworzenia komórki obsługującej organ.

Warto odnotować, że są to terminy ustawowe dla organów, a nie gwarancja gotowości operacyjnej. Prawnicy komentujący ustawę zwracają uwagę, że pełna zdolność do działania może zostać osiągnięta dopiero po kilku miesiącach — wymaga obsadzenia stanowisk i zbudowania zaplecza eksperckiego obejmującego technologie AI, ochronę danych, cyberbezpieczeństwo, prawa podstawowe i ryzyka dla zdrowia. Pozyskanie takich specjalistów wskazywane jest jako jedno z głównych wyzwań organizacyjnych.

Konstrukcja kolegialna, z udziałem czterech istniejących regulatorów, ma pozwolić korzystać z ich doświadczenia zamiast budować kompetencje od zera. Jednocześnie zapowiada okres docierania procedur: wiele spraw dotyczących AI będzie jednocześnie sprawami z zakresu ochrony konsumentów, danych osobowych i regulacji sektorowych, a koordynacja z UOKiK, KNF, UKE, KRRiT i UODO będzie musiała zostać dopiero wypracowana.

Opinia indywidualna: nowe narzędzie i jego ograniczenia

Od 28 października przedsiębiorcy będą mogli występować do KRiBSI o opinię indywidualną. To mechanizm zbliżony w konstrukcji do interpretacji podatkowej, choć nie identyczny — przedmiotem wniosku nie musi być wykładnia konkretnego przepisu, można pytać zarówno o sposób wykonania obowiązku, jak i o zgodność całego rozwiązania.

Termin wydania opinii to co do zasady 30 dni, a w sprawach szczególnie skomplikowanych 60 dni. Jeżeli Komisja nie dotrzyma terminu, stanowisko przedstawione we wniosku uznaje się za prawidłowe.

Trwałość opinii budzi jednak wątpliwości. Ustawa wyłącza możliwość jej zmiany, gdy wystąpiły lub mogą wystąpić nieodwracalne skutki, ale przewiduje równolegle uchylenie opinii oraz stwierdzenie jej wygaśnięcia. Katalog przyczyn uchylenia ma charakter otwarty, a wygaśnięcie może nastąpić wskutek sprzeczności opinii z ogólnymi wyjaśnieniami publikowanymi przez Komisję w Biuletynie Informacji Publicznej. Prawnicy wskazują, że gwarancja utrzymania opinii jest w tej konstrukcji pozorna, bo organ może wyeliminować ją z obrotu inną drogą niż zmiana.

Sporna pozostaje też droga odwoławcza. Rozstrzygnięcia KRiBSI poddano kontroli sądu ochrony konkurencji i konsumentów, ale kontrola ta obejmuje decyzje i postanowienia, na które przysługuje zażalenie. Zdaniem części prawników opinie indywidualne oraz akty ich uchylenia lub wygaśnięcia będą podlegać sądom administracyjnym — czyli powstanie model mieszany. Nie jest to kwestia rozstrzygnięta i praktyka wykształci się dopiero po pierwszych sprawach.

Piaskownica regulacyjna: konkurs, nie zgłoszenie

Piaskownica regulacyjna nie jest instytucją tworzoną równolegle i niezależnie od Komisji — to jej kompetencja. KRiBSI odpowiada za ustanawianie piaskownic i nadzór nad nimi, a projekty wybierane są w konkursach organizowanych i rozstrzyganych przez Komisję. Uczestnictwo trwa od 6 do 12 miesięcy, a uczestnicy składają przewodniczącemu raport półroczny i końcowy.

Nie jest to więc mechanizm dostępny na wniosek w dowolnym momencie ani przeznaczony wyłącznie dla systemów wysokiego ryzyka. Ścieżka regulacyjna kierowana jest do przedsiębiorców oraz administracji rozwijających systemy AI, ze szczególnym uwzględnieniem rozwiązań wysokiego ryzyka, ale kryterium wejścia jest innowacyjność projektu i wskazanie barier regulacyjnych, które uniemożliwiają jego realizację poza piaskownicą.

Zachęty są konkretne: Komisja może udzielić uczestnikowi czasowego odstępstwa od stosowania niektórych obowiązków wynikających z AI Act na potrzeby realizacji projektu oraz wspierać go w osiągnięciu zgodności. Po zakończeniu uczestnik otrzymuje dokumentację potwierdzającą udział i raport końcowy, a także może wystąpić o opinię indywidualną dotyczącą przetestowanego systemu. Uczestnictwo mikroprzedsiębiorców oraz małych i średnich przedsiębiorców jest nieodpłatne, samorządy korzystają z opłat preferencyjnych.

Równolegle budowana jest infrastruktura. Centrum Projektów Polska Cyfrowa ogłosiło nabór dotyczący centralnego portalu polskiej piaskownicy AI oraz środowiska testowego. Portal ma obsługiwać dwie ścieżki: regulacyjną, opisaną wyżej, oraz technologiczną, przeznaczoną dla administracji rządowej i samorządowej, umożliwiającą testy poza infrastrukturą produkcyjną urzędów. Zaplecze obliczeniowe mają zapewnić Cyfronet AGH i Poznańskie Centrum Superkomputerowo-Sieciowe.

Kalendarz obowiązków przesunął się niezależnie od polskiej ustawy

Uruchomienie nadzoru zbiega się z przesunięciem części terminów samego AI Act. Pakiet zmian znany jako Digital Omnibus on AI przeszedł pełną ścieżkę legislacyjną: porozumienie z 7 maja 2026 r., zatwierdzenie przez Parlament Europejski 16 czerwca i zgoda Rady UE 29 czerwca 2026 r. Powodem były opóźnienia w otoczeniu regulacyjnym, przede wszystkim w pracach nad zharmonizowanymi normami CEN-CENELEC, które miały dawać domniemanie zgodności.

Skutek jest istotny dla działów kadr. Obowiązki rozdziału III dla samodzielnych systemów wysokiego ryzyka z załącznika III — a w tym katalogu mieszczą się systemy wykorzystywane w rekrutacji, selekcji kandydatów, przydzielaniu zadań, ocenie i monitorowaniu pracowników oraz w decyzjach o awansie i rozwiązaniu stosunku pracy — zaczną obowiązywać dopiero 2 grudnia 2027 r. Dla systemów wbudowanych w produkty z załącznika I termin przesunięto na 2 sierpnia 2028 r. Uproszczenia przewidziane dla MŚP objęto podmiotami zatrudniającymi do 500 pracowników.

Przesunięcie nie jest derogacją. Systemy HR pozostają w katalogu wysokiego ryzyka, zmienił się wyłącznie termin.

Bez zmian pozostają natomiast zakazy praktyk z art. 5, stosowane od 2 lutego 2025 r. — obejmujące między innymi rozpoznawanie emocji w miejscu pracy — oraz wymóg zapewnienia kompetencji w zakresie AI po stronie personelu, obowiązujący od tej samej daty. To jedyne elementy reżimu AI Act, które dotyczą dziś większości pracodawców korzystających z narzędzi AI, i to one mogą stać się przedmiotem pierwszych postępowań KRiBSI.

Skargi i sankcje

Krajowy tryb składania skarg do Komisji zacznie działać 28 października. Zgłoszenia mogą składać obywatele, przedsiębiorcy i instytucje, a postępowanie może rozpocząć się właśnie od skargi. Ministerstwo Cyfryzacji jako przykłady podaje sytuacje, w których system AI prowadzi do decyzji dyskryminującej albo powoduje zagrożenie dla zdrowia i bezpieczeństwa.

Ustawa buduje krajowy system egzekwowania kar przewidzianych w art. 99 AI Act: do 35 mln euro lub 7 proc. światowego obrotu za praktyki zakazane oraz do 15 mln euro lub 3 proc. obrotu za większość pozostałych naruszeń, z miarkowaniem na rzecz MŚP. W toku prac parlamentarnych usunięto natomiast z ustawy część uprawnień Komisji o charakterze nakazowym, takich jak nakaz wycofania systemu z rynku, i wzmocniono ochronę tajemnicy przedsiębiorstwa.

Dla pracodawców najbliższe miesiące to okres, w którym nadzór dopiero się organizuje, a najbardziej wymagające obowiązki mają odległy termin. Nie zmienia to jednak wartości inwentaryzacji wykorzystywanych narzędzi AI — ustalenia, gdzie są używane, na jakich danych, kto jest ich dostawcą i jaka jest rola człowieka w procesie decyzyjnym. Bez tego trudno będzie zarówno skorzystać z opinii indywidualnej, jak i przygotować się do terminu grudniowego 2027 r.