Ustawa o systemach sztucznej inteligencji: obowiązki firm. Checklista na 28.10.2026

Krótka odpowiedź

Ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) to polska ustawa wykonawcza do unijnego AI Act, czyli rozporządzenia (UE) 2024/1689. Jeśli pytasz o obowiązki firm, odpowiedź jest dwuczęściowa. Obowiązki merytoryczne, takie jak kompetencje w zakresie AI (art. 4) i przejrzystość (art. 50), wynikają z AI Act i już się stosują. Polska ustawa określa przede wszystkim, kto pilnuje ich przestrzegania i jak: nadzór, postępowanie i zasady nakładania kar (art. 1 ustawy).

28 października 2026 r. wchodzi w życie ta część ustawy, która uruchamia kontrole, postępowania, układy w sprawie złagodzenia sankcji, przepisy o administracyjnych karach pieniężnych i opinie indywidualne (art. 127 pkt 2). Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Dla małej firmy, która korzysta z gotowych narzędzi AI, rozsądna lista na najbliższe tygodnie ma pięć punktów: spis narzędzi, wewnętrzne zasady, szkolenie z AI, sprawdzenie obowiązków przejrzystości i kalendarz terminów. Każdy punkt opisujemy niżej razem z przepisem, na którym się opiera.

To nie jest porada prawna. Ten tekst porządkuje to, co mówią akty prawne i komunikaty Ministerstwa Cyfryzacji, według stanu na 17.10.2026. Przepisy AI Act były już zmieniane, a ocena konkretnego narzędzia zależy od tego, jak go używasz. Przy decyzjach, które mają skutki prawne, skonsultuj się z prawnikiem. Gdzie piszemy, że czegoś nie potwierdziliśmy w źródle, tak właśnie jest.

Co dokładnie zmienia się 28 października 2026

Ustawę ogłoszono w Dzienniku Ustaw 27 lipca 2026 r. Zgodnie z art. 127 weszła w życie po 14 dniach od ogłoszenia, czyli 11 sierpnia 2026 r., z dwoma wyjątkami. Art. 125 ust. 4 (przygotowanie obsługi Komisji w ministerstwie) obowiązuje od 28 lipca 2026 r. Art. 8–18 oraz rozdziały 3–5, 8 i 9 wchodzą w życie po 3 miesiącach od ogłoszenia, czyli 28 października 2026 r. Obie daty podaje też opis aktu w systemie ELI na gov.pl.

Co jest w tej części? Art. 8–18 to opinie indywidualne i wyjaśnienia Komisji. Rozdział 3 opisuje kontrolę przestrzegania przepisów o sztucznej inteligencji, rozdział 4 postępowanie przed organem nadzoru rynku (w tym skargi), rozdział 5 układ w sprawie warunków nadzwyczajnego złagodzenia sankcji. Rozdział 8 zawiera przepisy o administracyjnych karach pieniężnych i przepisy karne, a rozdział 9 zmiany w innych ustawach.

Ministerstwo Cyfryzacji potwierdziło to w odpowiedzi z 29 sierpnia 2026 r. na zapytanie poselskie nr 3798, złożone 4 sierpnia 2026 r.: przepisy rozdziałów 3–5, 8 i 9 „wejdą w życie z dniem 28 października 2026 r. W tym terminie przewidziane jest rozpoczęcie pełnego wykonywania przez Komisję zadań wynikających z ustawy”. W tej samej odpowiedzi resort napisał, że Komisja „będzie wykonywała zadania zgodnie z właściwością w zakresie wszystkich zdarzeń od dnia wskazanego w pytaniu”. Pytanie dotyczyło 2 sierpnia 2026 r.

Czego 28 października nie zmienia? Nie znaleźliśmy w ustawie ani w komunikatach ministerstwa nowego obowiązku dla firm, który zaczynałby się akurat tego dnia. To data uruchomienia krajowego nadzoru i egzekwowania. Obowiązki z art. 4 AI Act stosuje się od 2 lutego 2025 r., a z art. 50 od 2 sierpnia 2026 r.

Krok 1. Spisz narzędzia AI, z których korzysta firma

AI Act nie nakazuje wprost prowadzenia rejestru narzędzi AI. Spis jest naszym praktycznym punktem wyjścia, bo bez niego nie da się odpowiedzieć na pytania z kolejnych kroków. Kto w firmie korzysta z AI? Czy narzędzie rozmawia z klientami? Czy generuje obrazy albo nagrania, które ktoś mógłby wziąć za prawdziwe?

Przy każdym narzędziu ustal też swoją rolę. AI Act rozróżnia dostawcę, czyli podmiot, który rozwija system AI (albo zleca jego rozwój) i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3), oraz podmiot stosujący, czyli kogoś, kto wykorzystuje system AI, nad którym sprawuje kontrolę (art. 3 pkt 4). Firma, która płaci za gotowy czat albo generator obrazów, zwykle jest podmiotem stosującym. Firma, która zbudowała własnego asystenta i udostępnia go klientom pod swoją marką, może być dostawcą. Od tej roli zależą obowiązki z art. 50.

Ile kosztują licencje AI dla małej firmy →

Krok 2. Ustal wewnętrzne zasady korzystania z AI

Tu też trzeba uczciwie powiedzieć: AI Act nie wymaga od małej firmy osobnego regulaminu AI. Krótkie zasady pomagają jednak wykonać dwa obowiązki, które już obowiązują. Ludzie dostają wspólną wiedzę o narzędziach (art. 4), a firma ma ustalone, kto i kiedy oznacza treści objęte art. 50. Wystarczy jedna strona, którą da się przeczytać w pięć minut.

Dobre zasady odpowiadają na pytania, które i tak padną: z jakich narzędzi wolno korzystać, czego nie wklejać, kto sprawdza wynik przed wysłaniem albo publikacją i do kogo zgłosić problem. Przy danych osobowych odwołajcie się do istniejących zasad RODO w firmie zamiast pisać je od nowa.

Zatwierdzanie przez człowieka przed wysyłką (n8n) →Jak sprawdzać źródła w odpowiedziach AI →

Krok 3. Szkolenie z AI: co naprawdę mówi art. 4 AI Act

Art. 4 dotyczy „kompetencji w zakresie AI”, po angielsku AI literacy. Obejmuje i dostawców, i podmioty stosujące, więc także firmę, która korzysta z gotowych narzędzi. Stosuje się od 2 lutego 2025 r., bo art. 113 lit. a rozporządzenia uruchomił wtedy rozdziały I i II, a art. 4 jest w rozdziale I.

Art. 4 został zmieniony rozporządzeniem (UE) 2026/1744, nazywanym Digital Omnibus on AI. W wersji skonsolidowanej (stan na 27.07.2026, AI Act Service Desk Komisji Europejskiej) ust. 1 brzmi: „Dostawcy i podmioty stosujące systemy AI podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu, w którym systemy AI mają być wykorzystywane, a także biorąc pod uwagę osoby lub grupy osób, wobec których systemy AI mają być wykorzystywane. Taki obowiązek nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”.

Pierwotny tekst z 2024 r. mówił o zapewnieniu „w możliwie największym stopniu, odpowiedniego poziomu kompetencji”. Obecny wymaga środków, które wspierają rozwój kompetencji, i wprost mówi, że nie trzeba gwarantować określonego poziomu u każdej osoby. Obowiązek pozostał. Ust. 2 dodaje, że Komisja i państwa członkowskie wspierają firmy, w szczególności MŚP, a Komisja publikuje praktyczne przykłady wykonania tego obowiązku.

Po polskiej stronie art. 25 pkt 3 ustawy przewiduje, że Przewodniczący Komisji określi w drodze zarządzenia sposób i metodę sprawdzania poziomu wiedzy i kompetencji podmiotów kontrolowanych. Komisja ma też co roku raportować Sejmowi o ogólnym poziomie wiedzy i kompetencji kontrolowanych podmiotów (art. 26 ust. 2 pkt 2). Nie znaleźliśmy takiego zarządzenia w Monitorze Polskim, w systemie ELI ani na stronie KRiBSI w serwisie gov.pl, także w jej części BIP (sprawdzono 17.10.2026), więc nie potwierdzamy, że zostało wydane. Szkolenie nie musi kończyć się certyfikatem, bo art. 4 go nie wymaga. Krótka notatka o tym, kto i z czego został przeszkolony, ułatwi jednak odpowiedź na pytania podczas kontroli. To nasza rekomendacja, nie wymóg przepisu.

Jak zacząć z AI: pierwsze kroki dla zespołu →

Krok 4. Obowiązki przejrzystości z art. 50: tylko to, co jest w przepisie

Art. 50 AI Act stosuje się od 2 sierpnia 2026 r. To ogólna data rozpoczęcia stosowania rozporządzenia z art. 113, a Ministerstwo Cyfryzacji opisało te obowiązki w komunikacie z 3 sierpnia 2026 r. Przepis nie wprowadza ogólnego obowiązku oznaczania wszystkiego, co powstało z pomocą AI. Dotyczy pięciu konkretnych sytuacji, a część z nich obciąża dostawcę narzędzia, nie firmę, która z niego korzysta.

Rozmowa z systemem AI (ust. 1). Dostawca musi zaprojektować system przeznaczony do bezpośredniej interakcji z ludźmi tak, żeby wiedzieli, że rozmawiają z AI, chyba że jest to oczywiste. Ministerstwo podaje przykłady: chatboty, wirtualni asystenci, automatyczne systemy obsługi użytkowników. Jeśli macie na stronie gotowy czat, sprawdźcie, czy i jak informuje o tym rozmówcę. Jeśli zbudowaliście go sami i udostępniacie pod własną marką, możecie być jego dostawcą.

Oznaczanie generowanych treści w formacie do odczytu maszynowego (ust. 2). To obowiązek dostawców systemów generujących syntetyczny dźwięk, obraz, wideo lub tekst. Nie dotyczy funkcji wspomagających standardową edycję ani przypadków, gdy system nie zmienia istotnie danych wejściowych. Dostawcy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r. (art. 111 ust. 4 po zmianie). Według ministerstwa materiałów wygenerowanych i udostępnionych przed 2 sierpnia 2026 r. nie trzeba oznaczać wstecznie.

Rozpoznawanie emocji i kategoryzacja biometryczna (ust. 3). Podmiot stosujący informuje osoby, wobec których system działa, i przetwarza dane osobowe zgodnie z RODO.

Deepfake (ust. 4 akapit pierwszy). Podmiot stosujący system, który generuje lub zmienia obrazy, audio albo wideo stanowiące deepfake, ujawnia, że treść została sztucznie wygenerowana lub zmanipulowana. Deepfake to według art. 3 pkt 60 treść przypominająca istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia, którą odbiorca mógłby niesłusznie uznać za autentyczną. Przy utworach o wyraźnie artystycznym, twórczym, satyrycznym lub fikcyjnym charakterze wystarczy ujawnienie, które nie przeszkadza w odbiorze utworu.

Teksty o sprawach interesu publicznego (ust. 4 akapit drugi). Podmiot stosujący ujawnia, że tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym został wygenerowany lub zmanipulowany przez AI. Obowiązek nie ma zastosowania, gdy treść przeszła weryfikację przez człowieka lub kontrolę redakcyjną, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna. Zwykłego tekstu marketingowego art. 50 nie wymienia wprost. To, czy dany tekst informuje o sprawach interesu publicznego, wymaga oceny w konkretnym przypadku.

Jak i kiedy przekazać informację (ust. 5). W jasny i wyraźny sposób, najpóźniej w momencie pierwszej interakcji lub pierwszego stosowania, z zachowaniem wymogów dostępności. Ust. 6 przypomina, że inne przepisy unijne i krajowe mogą nakładać dodatkowe obowiązki przejrzystości.

Agent głosowy AI w obsłudze klientów →

Krok 5. Kalendarz terminów

Daty z tabeli sprawdziliśmy w tekście ustawy, w art. 111 i 113 AI Act (wersja skonsolidowana po zmianach z 2026 r.), w Monitorze Polskim i w komunikatach Ministerstwa Cyfryzacji. Przy terminach „do” (11.10 i 11.11.2026) podajemy termin ustawowy. Przewodniczący Komisji jest już powołany: uchwałą z 18 września 2026 r. Sejm powołał na to stanowisko Pamelę Krzypkowską (M.P. 2026 poz. 945), a uchwałą z 24 września 2026 r. Senat wyraził na to zgodę (M.P. 2026 poz. 946). Obie uchwały ogłoszono w Monitorze Polskim 25 września 2026 r. (sprawdzono 17.10.2026). Nie potwierdziliśmy w źródle pierwotnym, czy zwołano już pierwsze posiedzenie Komisji. Ministerstwo zapowiadało w lipcu, że Komisja rozpocznie działalność w listopadzie 2026 r.

Najczęstsze pytania

Czy 28 października 2026 r. pojawiają się nowe obowiązki dla mojej firmy? W ustawie i w komunikatach ministerstwa nie znaleźliśmy obowiązku dla firm, który zaczynałby się tego dnia. 28.10.2026 wchodzą w życie przepisy o kontroli, postępowaniu, układach, karach i opiniach indywidualnych (art. 127 pkt 2). Obowiązki z art. 4 AI Act stosuje się od 2.02.2025, a z art. 50 od 2.08.2026.

Czy muszę oznaczać każdy tekst napisany z pomocą AI? Art. 50 nie zawiera takiego ogólnego obowiązku. Podmiot stosujący ujawnia użycie AI przy deepfake'ach oraz przy tekstach publikowanych w celu informowania o sprawach interesu publicznego, chyba że tekst przeszedł przegląd człowieka lub kontrolę redakcyjną i ktoś ponosi za niego odpowiedzialność redakcyjną. Inne przepisy mogą wymagać więcej (art. 50 ust. 6).

Czy szkolenie z AI musi kończyć się certyfikatem? Art. 4 AI Act nie wymaga certyfikatu. Po zmianie z 2026 r. wymaga środków wspierających rozwój kompetencji w zakresie AI i wprost mówi, że nie trzeba zapewniać określonego poziomu kompetencji poszczególnych osób. Notatkę o przeprowadzonym szkoleniu polecamy jako dobrą praktykę, nie jako wymóg.

Kto kontroluje przestrzeganie AI Act w Polsce? Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, organ nadzoru rynku i pojedynczy punkt kontaktowy (art. 5 ustawy). Przewodniczącą Komisji jest Pamela Krzypkowska, powołana przez Sejm 18.09.2026 za zgodą Senatu z 24.09.2026 (M.P. 2026 poz. 945 i 946). Kontrolę przeprowadza się nie wcześniej niż 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2). Co do zasady odbywa się zdalnie (art. 49 ust. 3). Przepisy o kontroli obowiązują od 28.10.2026.

Jak zapytać Komisję o mój konkretny przypadek? Od 28.10.2026 można złożyć wniosek o opinię indywidualną (art. 9 ustawy). Opłata wynosi 150 zł (art. 11 ust. 1). Komisja wydaje opinię w ciągu 30 dni, a w sprawach szczególnie skomplikowanych w ciągu 60 dni (art. 12 ust. 1). Jeśli nie zdąży, uznaje się, że wydała opinię zgodną ze stanowiskiem z wniosku (art. 12 ust. 3).

Jakie kary grożą za naruszenie AI Act? Komisja nakłada administracyjne kary pieniężne w przypadkach, wysokości i na warunkach z rozdziału XII rozporządzenia 2024/1689 (art. 104 ust. 1 ustawy). Kwot w tym tekście nie podajemy; znajdziesz je w art. 99 rozporządzenia. Utrudnianie kontroli jest osobno zagrożone karą ograniczenia wolności albo grzywny (art. 112 ustawy).