Czy polska Komisja Rozwoju i Bezpieczeństwa AI będzie nakładać kary za AI Act? Nie wiem, ale będzie mogła.

Michał Nowakowski · 8 września 2026

Dzisiaj chciałbym poruszyć wątek ustawy z dnia 3 lipca br., czyli naszej "instytucjonalnej implementacji" AI Act - ustawy o systemach AI. No bo już za chwilę ma działać organ - Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (taki KNF dla AI)

Cześć,

ostatnio moje treści opływają w tematy związane z cyberbezpieczeństwem, co nie jest wynikiem mojego znużenia AI Governance, ale raczej tym, że obecnie pracuję nad kilkoma wdrożeniami w tym obszarze i zbieram dla Was ciekawe "kąski". No i oczywiście doświadczenia, które potem mogę przenieść na konkrety. Takim konkretem jest np. kalkulator kosztów AI Governance, dzięki któremu możecie zweryfikować czy jesteście na właściwym etapie rozwoju do wdrożenia konkretów.

A dzisiaj chciałbym poruszyć wątek ustawy z dnia 3 lipca br., czyli naszej "instytucjonalnej implementacji" AI Act - ustawy o systemach AI. No bo już za chwilę ma działać organ - Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (taki KNF dla AI), która będzie wyposażona w kilka ciekawych (i mniej ciekawych) instrumentów wspierających innowacyjność, ale i karzących za niezgodność.

Zanim przejdziemy do tematu głównego jeszcze ogłoszenia drobne:

pamiętajcie o ZAPISANIU SIĘ DO NEWSLETTERA, który jest dostępny na stronie - zapisy znajdziecie m.in. w prawym górnym rogu, zostało 6 miejsc na trzecią edycję szkolenia "Zostań AI Governance Officer'em", która odbędzie się 22 września (dużo extrasów dla uczestników), na stronie znajdziecie Kalkulator Kosztów AI Governance, który pozwala wyliczyć szacunkowy koszt wdrożenia i utrzymania, udostępniłem narzędzie do samooceny pod kątem posiadanych rozwiązań w zakresie bezpieczeństwa informacji w ramach NIS2 / uKSC - wymaga rejestracji i logowania, ale jest całkowicie darmowe.

Czas przejść do konkretów. Teoretycznie od listopada powinniśmy mieć już działający organ wyposażony w swoje biuro i gotowy do działania. Brzmi pięknie i może tak będzie, choć sam proces wybierania przewodniczącego może nie być wcale tak szybki jak może się wydawać (i pomimo zapowiedzi). No, ale zobaczymy. Nie ma co przesądzać.

My skupimy się na tym co ważne, czyli na kompetencjach tego gremium. A lista jest dość długa, bo zawiera aż 17 pozycji. Powiedźmy jednak sobie, że niektóre mogą nas nieco mniej interesować. Pozwólcie, że dokonam subiektywnego wyboru TOP5 zadań:

✅ sprawowanie kontroli przestrzegania AI Act (z drobnym wyjątkiem), a więc egzekwowania czy adresaci rozporządzenia działają w sposób zgodny z oczekiwaniami [pamiętajmy przy tym, że część przepisów, jak np. praktyki zakazane, obowiązek AI Literacy czy oznaczania treści już jakiś czas obowiązują; systemy wysokiego ryzyka mają jeszcze czas) -> ważne, to zadanie mamy też wypisane w innych, tylko bardziej konkretnie i szczegółowo,

✅ podejmowanie działań mających na celu wspieranie oraz monitorowanie rozwoju, innowacyjności i konkurencyjności w obszarze badań naukowych i stosowania systemów AI (tego się trochę uczepię, bo tego bardzo potrzebujemy),

✅ opracowywanie i wydawanie publikacji oraz realizacja programów edukacyjnych popularyzujących wiedzę o sztucznej inteligencji, a także prowadzenie działań informacyjnych w tym zakresie - czekam już na billboardy w miastach i na polskich wsiach! To można łączyć też z zadaniem prowadzenia działań na rzecz rozwoju innowacji w obszarze AI,

✅ podejmowanie działań mających na celu tworzenie piaskownic regulacyjnych (to dzieje się równolegle) i zarządzanie nimi (z pewnością ze wsparciem konkretnych operatorów),

✅ wspieranie konkurencyjności gospodarki oraz rozwoju badań naukowych i zastosowań systemów AI.

Jest jeszcze zadanie w postaci wydawania opinii indywidualnych w indywidualnych sprawach oraz wyjaśnień, ale temu chciałbym poświęcić odrębny felieton z "instrukcją" jak już jakaś też się pojawi ze strony samego organu.

Jakie są konsekwencje tego, że taki organ - za chwilę - będzie realizował swoje zadania? No cóż, po pierwsze i najważniejsze - będzie mógł przeprowadzać kontrolę przestrzegania rozporządzenia AI Act. Kontrole nie będą rzeczy jasna pozbawione struktury i będą mogły odbywać się w zasadzie na podstawie albo informacji uzyskanych przez Komisję, albo w ramach monitorowania zgodności. Jeżeli temat będzie Was interesował, to z pewnością jeszcze do niego wrócimy.

W każdym razie, po takiej kontroli możemy otrzymać zalecenia pokontrolne z terminem na ich wdrożenie. I dopiero, jeżeli nie zrobimy tego w wyznaczonym czasie, otworzą się kolejne drzwi.

Te kolejne drzwi, to POSTĘPOWANIE. Postępowanie może być już drogą do stwierdzenia naruszenia i być może nałożenia kary. Oby nie. No, ale istotniejsze jest tutaj co innego - kiedy takie postępowanie może zostać wszczęte. Są dwa tryby:

z urzędu, gdy np. Komisja stwierdziła naruszenie w toku kontroli lub na skutek skargi złożonej przez w trybie art. 85 AI Act (specjalny tryb), na wniosek i to może nastąpić z inicjatywy dwóch podmiotów - Przewodniczącego / Zastępcy / Członka Komisji lub podmiotu lub organu odpowiedzialnego za ochronę praw podstawowych, np. Rzecznika Praw Dziecka.

Postępowanie może zakończyć się też układem, wcale nie zamkniętym, jak ma to miejsce np. w sektorze finansowym. Oczywiście tutaj mamy liczne gwarancje, w tym w zakresie postępowania administracyjnego i ochrony sądowej, bo jednak ewentualna kara to dość dotkliwa ingerencja w naszą działalność gospodarczą. Wszystko w rozdziale 8.

Ale jest jeszcze jednak ciekawostka - ostrzeżenia. Takie mogą się pojawić w przypadku uzasadnionego podejrzenia, że działalność strony narusza AI Act lub ustawę. No i takie ostrzeżenie może wskazywać konkrety, czyli działania umożliwiające przywrócenie stanu zgodnego z prawem czym może być np. nakaz zablokowania lub uniemożliwienia użytkownikom uzyskania dostępu do systemu lub jego elementów, a nawet nakazać podjęcie działań naprawczych na rzecz doprowadzenia systemu do stanu lub sposobu. Może też wymusić na podmiocie poinformowania użytkowników końcowych, kontrahentów, pracowników lub innych osób stosujących system, lub osób, na które system oddziałuje, oddziaływał lub może oddziaływać.

Tak więc, niedługo zacznie otwierać się droga do oceny naruszeń AI Act i to jest najważniejsza konsekwencja. Oczywiście nie mamy pewności jak wygląda plan przyszłej Komisji, co do np. kontroli sektorowych (na wzór UODO) i czy kontrole rozpoczną się jeszcze w tym roku, ale o ile wcześniej obowiązywały i powinny być stosowane niektóre przepisy AI Act, ale nie było "zębów", tak teraz te "zęby" się pojawiają. Czy należy się bać? Lepiej zapewnić zgodność niż generować sobie strach ; ) No, ale jeżeli jednak chcemy przetestować Komisję i jej możliwości, to szansa niewątpliwie się pojawia!

O pozostałych, interesujących nas, zadaniach będziemy jeszcze rozmawiać. W szczególności postaram się zastanowić jak będzie wyglądać kwestia opinii indywidualnych i czy będą one dla biznesu rzeczywiście istotne.

Tyle z mojej strony dzisiaj. Jeżeli nuży Was czytanie, to pamiętajcie, że znajdziecie mnie też na Youtube!