KRiBSI: co ustawa o systemach AI oznacza dla Twojej firmy

3 lipca 2026 Sejm zakończył prace nad ustawą o systemach sztucznej inteligencji. Powstaje nowy organ, Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Będzie przyjmować skargi, prowadzić kontrole i nakładać kary administracyjne. Dla części firm to abstrakcja, dla innych, zwłaszcza tych stosujących AI w rekrutacji, edukacji czy ocenie zdolności kredytowej, realny nowy adresat obowiązków. Sprawdźmy, kiedy KRiBSI ma znaczenie, a kiedy to temat do obserwowania, nie do działania.

Kiedy to ma znaczenie dla Twojej firmy

Jeśli stosujesz systemy AI uznane za wysokiego ryzyka, na przykład narzędzia do automatycznej oceny kandydatów w rekrutacji, scoringu kredytowego albo systemy wykorzystywane w edukacji czy infrastrukturze krytycznej, KRiBSI będzie Twoim bezpośrednim nadzorcą. Komisja wydaje zezwolenia dla takich systemów, prowadzi rejestr skarg i może nałożyć karę administracyjną po kontroli.

Znaczenie ma to też, jeśli klienci albo pracownicy mogą złożyć skargę na działanie systemu AI w Twojej firmie. KRiBSI ma prowadzić rejestr skarg i rozpatrywać je formalnie, czyli powstaje realna ścieżka egzekwowania przepisów, nie tylko teoria zapisana w rozporządzeniu unijnym.

Osobno warto śledzić temat, jeśli planujesz wdrożenie systemu AI w obszarze regulowanym: KRiBSI ma też tworzyć piaskownice regulacyjne, czyli formułę testowania nowych rozwiązań AI pod nadzorem, zanim wejdą na rynek na pełną skalę. To może być droga do bezpieczniejszego wdrożenia dla firm działających w bardziej wrażliwych branżach.

Kiedy możesz to zignorować, uczciwa strona

Dla większości małych i średnich firm korzystających z AI w codziennych procesach, takich jak automatyzacja fakturowania, generowanie treści marketingowych czy obsługa klienta przez chatbota, KRiBSI nie jest bezpośrednim adresatem na dziś. Te obowiązki regulowane są wprost przez artykuł 50 AI Act, egzekwowany zresztą już teraz przez inne mechanizmy unijne, nie przez nowo powstającą polską komisję.

Komisja dopiero się organizuje. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję, a w skład wchodzą przedstawiciele UOKiK, KNF, KRRiT i UKE. Zanim taki organ zbuduje realną zdolność do prowadzenia setek kontroli rocznie, minie sporo czasu. Prawnicy komentujący projekt ustawy zwracają uwagę, że Polska przyjęła projekt zaledwie kilka miesięcy przed sierpniowym terminem, więc firmy wchodzą w kluczowy okres bez w pełni działającego nadzoru krajowego.

Nie oznacza to jednak, że można spać spokojnie. Brak w pełni ukształtowanego organu nadzoru nie zwalnia z obowiązków wynikających wprost z rozporządzenia unijnego, które obowiązuje niezależnie od stanu polskiej administracji.

Jak to wygląda w praktyce

KRiBSI ma pełnić funkcję jednego punktu kontaktowego w relacjach z instytucjami unijnymi oraz krajowego organu nadzoru rynku dla systemów AI. Do jej zadań należy kontrola zgodności z przepisami unijnymi i krajowymi, wydawanie decyzji i orzeczeń, prowadzenie działań informacyjnych i edukacyjnych, współpraca z organami krajowymi i unijnymi oraz wspieranie rozwoju innowacji.

W praktyce oznacza to, że firma stosująca system wysokiego ryzyka będzie mogła zwrócić się do komisji o indywidualną opinię czy wyjaśnienie, zamiast zgadywać, jak interpretować przepis. To pozytywna zmiana względem sytuacji, w której firmy musiały polegać wyłącznie na kancelariach prawnych i niepewnej interpretacji unijnych wytycznych.

Z drugiej strony komisja dostaje też twarde narzędzia: prowadzenie postępowań, nakładanie kar administracyjnych, prowadzenie rejestru skarg. To pokazuje kierunek, w którym zmierza egzekwowanie AI Act w Polsce, czyli od deklaratywnych zasad do realnych konsekwencji finansowych za naruszenia.

Decyzja: co zrobić w zależności od sytuacji

Jeśli Twoja firma stosuje systemy AI wysokiego ryzyka, na przykład w rekrutacji czy ocenie zdolności kredytowej, warto już teraz przygotować dokumentację działania systemu i procedury nadzoru człowieka nad decyzjami AI. Gdy KRiBSI zacznie prowadzić kontrole, lepiej mieć to gotowe, niż zbierać w pośpiechu.

Jeśli korzystasz z AI głównie w procesach operacyjnych, takich jak automatyzacja dokumentów, obsługa klienta czy generowanie treści, priorytetem pozostają obowiązki z artykułu 50, czyli oznaczanie treści AI i przejrzystość interakcji z botami. KRiBSI to temat do śledzenia raz na kwartał, nie do pilnego działania.

W obu przypadkach warto zrozumieć pełen zakres kar grożących za naruszenia, żeby ocenić realne ryzyko finansowe, nie tylko regulacyjne.

Podsumowanie

KRiBSI to nowy element polskiego nadzoru nad AI, ale jego realny wpływ na Twoją firmę zależy od tego, jakie systemy stosujesz. Firmy z obszarów wysokiego ryzyka powinny traktować powstanie komisji poważnie i już teraz porządkować dokumentację. Firmy stosujące AI w codziennych procesach operacyjnych powinny skupić się na obowiązkach, które obowiązują od 2 sierpnia niezależnie od tempa prac polskiego ustawodawcy.

Sprawdź, które procesy w Twojej firmie można zautomatyzować zgodnie z przepisami. Bezpłatny AI Audit na daplo.agency.