Kontrola AI w firmie przestaje być zapowiedzią 28 października, bo wtedy nowy organ dostaje prawo żądać firmowej poczty i dostępu do chmury w zakresie związanym z kontrolą. W piątek 18 września Sejm wskazał osobę, która tym organem pokieruje. Pamela Krzypkowska dostała 271 głosów za, przy 24 przeciw i 140 wstrzymujących się. Procedura na tym się nie zamyka, bo ustawa wymaga jeszcze zgody Senatu.
Kto siedzi w tej komisji i od kiedy może kontrolować
Organ nazywa się Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Powstał na mocy ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji. Ustawa ta ustanawia w Polsce system nadzoru nad stosowaniem unijnego rozporządzenia o sztucznej inteligencji. Sama ustawa weszła w życie 11 sierpnia, a jej kalendarz opisaliśmy przy okazji obowiązków, które nakłada na firmy.
Komisja ma siedem osób. Obok Przewodniczącego są dwaj Zastępcy i czterech członków. Tych czterech wskazują Prezes UOKiK, Komisja Nadzoru Finansowego, Krajowa Rada Radiofonii i Telewizji oraz Prezes Urzędu Komunikacji Elektronicznej. To więc nie jest urząd jednej osoby. Decyzje i postanowienia Komisja podejmuje uchwałami. Wystarczy zwykła większość, ale potrzebna jest obecność co najmniej pięciu osób ze składu. Przy równej liczbie głosów przeważa głos Przewodniczącego. Pracować może na posiedzeniach albo korespondencyjnie, w trybie obiegowym.
Uprawnień kontrolnych Komisja dziś jeszcze nie ma. Rozdział o kontroli wchodzi w życie po upływie trzech miesięcy od ogłoszenia ustawy. Tego samego dnia zaczynają obowiązywać rozdziały o postępowaniu i o karach. Ustawę ogłoszono 27 lipca, więc data ta wypada 28 października 2026. Pierwsze posiedzenie Przewodniczący ma zwołać w ciągu trzech miesięcy od wejścia ustawy w życie, czyli do 11 listopada. Stąd bierze się listopad, który krąży dziś w relacjach.
Milczenie Senatu przez miesiąc znaczy zgodę
Przewodniczącego Komisji powołuje Sejm za zgodą Senatu, na pięcioletnią kadencję. Ta sama osoba nie może sprawować funkcji dłużej niż przez dwie kadencje. Piątkowe głosowanie jest więc pierwszym z dwóch kroków, a nie całą procedurą.
Drugi krok ma w ustawie własny mechanizm i akurat on umyka relacjom. Senat podejmuje uchwałę o wyrażeniu zgody w terminie miesiąca od dnia, w którym przekazano mu uchwałę Sejmu. Jeżeli w tym czasie żadnej uchwały nie podejmie, przepis każe uznać to za wyrażenie zgody. Bierność Senatu nie zablokuje więc powołania, tylko je przypieczętuje. Najbliższe planowane posiedzenie izby to 23 i 24 września, a w porządku obrad opublikowanym na 18 września tego punktu jeszcze nie ma. Kandydatkę Senat przesłuchał publicznie 15 września, przed sejmowym głosowaniem.
Jak wygląda kontrola AI w firmie krok po kroku
Tu jest odpowiedź na pytanie, które interesuje przedsiębiorcę najbardziej. Ustawa opisuje przebieg kontroli dość drobiazgowo i w kilku miejscach wychodzi łagodniej, niż podpowiada wyobraźnia.
Kontrolę Komisja wszczyna z urzędu, na wniosek Przewodniczącego, jego Zastępcy albo członka Komisji, a także na wniosek innego krajowego organu publicznego wskazanego w rozporządzeniu unijnym. Prowadzi ją zgodnie z planem kontroli, który sama zatwierdza, ale równie dobrze na podstawie informacji, które do niej trafiły. Plan nie jest zatem jedynym wejściem do firmy.
Dalej idą trzy rzeczy warte zapamiętania:
- Zawiadomienie i siedem dni. Kontrolę przeprowadza się nie wcześniej niż po siedmiu dniach od doręczenia zawiadomienia o jej wszczęciu.
- Domyślnie zdalnie. Ustawa mówi, że kontrola lub poszczególne czynności przeprowadzane są w sposób zdalny, bez jednoczesnej fizycznej obecności stron, środkami porozumiewania się na odległość.
- Wizyta na miejscu wymaga postanowienia. Komisja może je wydać ze względu na uzasadnione podejrzenie albo znaczące prawdopodobieństwo szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. Tym samym trybem wolno pominąć siedmiodniowe wyprzedzenie.
Kontrolę prowadzi upoważniony pracownik właściwej komórki Ministerstwa Cyfryzacji, bo to ten urząd obsługuje Komisję administracyjnie. Imienne upoważnienie podpisuje Przewodniczący Komisji, a kontrolujący okazuje je razem z dokumentem tożsamości. U przedsiębiorcy stosuje się przy tym przepisy o kontroli z Prawa przedsiębiorców.
Czego kontrolujący może żądać: poczta, nośniki, cudza chmura
Katalog uprawnień jest szeroki i to on decyduje o tym, jak taka kontrola wygląda w praktyce. Kontrolujący może żądać udostępnienia materiałów i dokumentów związanych z przedmiotem kontroli. Ten sam warunek związku obejmuje korespondencję przesyłaną drogą elektroniczną, informatyczne nośniki danych, inne urządzenia z danymi oraz systemy informatyczne i teleinformatyczne.
Najmocniejsze zdanie tego przepisu dotyczy usług, których firma nie ma u siebie. Kontrolujący może żądać zapewnienia dostępu do systemów i chmury obliczeniowej będących własnością innego podmiotu. Warunek jest podwójny. Muszą zawierać dane kontrolowanego związane z przedmiotem kontroli, a żądanie sięga tylko tam, gdzie kontrolowany sam ma dostęp. Firmowa poczta u zewnętrznego dostawcy i dysk w chmurze mieszczą się więc w zakresie żądania.
Poza tym kontrolujący może zabezpieczać dane, robić kopie i wyciągi oraz sporządzać zestawienia. Do tego dochodzą wyjaśnienia ustne i pisemne oraz przetwarzanie danych osobowych w zakresie niezbędnym do celu kontroli. Wolno mu też utrwalać czynności obrazem lub dźwiękiem, po uprzednim poinformowaniu kontrolowanego.
Jedno wyłączenie ustawa opisuje osobno. Korespondencję z adwokatem albo radcą prawnym, wytworzoną dla uzyskania ochrony prawnej, kontrolujący zostawia na miejscu, jeśli kontrolowany złoży takie oświadczenie. Ciężar dowodu spoczywa jednak na kontrolowanym. Wątpliwości rozstrzyga Sąd Okręgowy w Warszawie, w terminie miesiąca od przekazania materiału.
Zalecenia pokontrolne i trzydzieści dni, które decydują o karze
Kontrola kończy się protokołem w postaci elektronicznej, opatrzonym podpisem kwalifikowanym, osobistym albo zaufanym. Kontrolowany ma 14 dni od doręczenia na podpisanie protokołu albo na złożenie pisemnych zastrzeżeń. Brak reakcji w tym terminie ustawa traktuje jak odmowę podpisania.
Jeżeli w ustaleniach są nieprawidłowości, Komisja wydaje zalecenia pokontrolne i podpisuje je Przewodniczący. W zaleceniach wzywa do usunięcia nieprawidłowości, wskazuje środki, termin oraz sposób powiadomienia o wykonaniu. Termin nie może być krótszy niż 30 dni od doręczenia. Krócej wolno tylko wtedy, gdy kontrolowany się na to zgodzi albo gdy te same naruszenia powtarzały się w przeszłości.
Niewykonanie zaleceń albo brak powiadomienia może być podstawą wszczęcia postępowania z urzędu, a postępowanie jest drogą do kary pieniężnej. Nie jest to jednak jedyne wejście. Komisja wszczyna postępowanie także wtedy, gdy informacje zebrane w toku kontroli wskazują na możliwe naruszenie. Tak samo postąpi, jeśli w toku rozpatrywania skargi stwierdzi, że mogło dojść do naruszenia. Polska ustawa własnych widełek nie ma i odsyła do rozdziału o karach z rozporządzenia unijnego, którego terminy rozpisaliśmy w tekście o tym, co i kiedy zaczyna obowiązywać w AI Act.
Czym Komisja chce się zająć najpierw
Plan kontroli będzie decyzją całego siedmioosobowego składu, a nie samej Przewodniczącej, i żadnej uchwały w tej sprawie jeszcze nie ma. Wiadomo natomiast, co Krzypkowska zapowiadała przed głosowaniem.
Podczas posiedzenia komisji sejmowej mówiła o roli, jaką widzi dla KRiBSI. Ma to być miejsce rzetelnej i prostej informacji o incydentach z udziałem sztucznej inteligencji. Jej słowa cytuje PAP w materiale opublikowanym przez “Rzeczpospolitą”: “Chciałabym, żeby komisja szybko reagowała na takie incydenty i publikowała pewne wyjaśnienia, czyli co jest prawdziwe, a co tak naprawdę jest przesadzonym stwierdzeniem”. Zagrożenia wiązała bardzo mocno z cyberbezpieczeństwem i dezinformacją. Jako jeden z pierwszych tematów do planu kontroli wskazała oznaczanie treści typu deepfake, czyli materiałów podrobionych przez model. Podczas wcześniejszego przesłuchania w Senacie mówiła o czterech filarach: pewności prawa, wsparciu instytucji budujących innowacje, edukacji i współpracy. Za priorytet uznała piaskownice regulacyjne, o których nabór pisaliśmy w sierpniu.
To są zapowiedzi kandydatki, nie zobowiązania organu. Warto je czytać jako wskazówkę co do kierunku, a nie jako listę firm, do których pójdzie zawiadomienie.
Cztery rzeczy, które rozstrzygają się przed kontrolą, a nie w jej trakcie
Pierwsza to adres. Zawiadomienie o wszczęciu kontroli uruchamia zegar siedmiu dni, a protokół daje 14, i oba terminy biegną od doręczenia. Jeśli pisma z urzędów trafiają w firmie do skrzynki, którą ktoś otwiera raz na dwa tygodnie, zegar idzie bez was.
Druga to zakres dostępu. Kontrolujący może żądać dostępu do danych w cudzej chmurze, o ile są związane z przedmiotem kontroli i o ile sami je tam widzicie. Warto więc wiedzieć zawczasu, kto w firmie potrafi taki dostęp przygotować i w jakim czasie.
Trzecia to oświadczenie o korespondencji z prawnikiem. Składa je kontrolowany w toku kontroli, a ciężar dowodu jest na nim. Jeżeli opinie prawne leżą wymieszane z resztą dokumentów, wykazanie tego na gorąco bywa trudne.
Czwarta to jedna osoba od kontaktu. Ustawa pozwala kontrolowanemu upoważnić kogoś do reprezentowania go w toku kontroli, a nazwisko tej osoby trafia do protokołu.
Pierwsza Misja AI · Kodożercy
Zagrożenia AI rozumie ten, kto wie, jak ona działa
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Najczęstsze pytania
Czy kontrola AI może się odbyć bez zapowiedzi?
Zasadą jest zawiadomienie i odczekanie siedmiu dni. Ustawa dopuszcza jednak pominięcie tego terminu, jeżeli Komisja wyda postanowienie ze względu na uzasadnione podejrzenie albo znaczące prawdopodobieństwo szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. To samo postanowienie pozwala przenieść czynności do siedziby kontrolowanego. Bez takiej przesłanki kontrola przychodzi z wyprzedzeniem i zdalnie.
Czy Komisja może przyjść z Policją?
Może poprosić Policję o pomoc, ale tylko w szczególnie uzasadnionych przypadkach i w wąskiej roli. Pomoc Policji polega na zapewnieniu porządku w miejscu kontroli oraz bezpieczeństwa i poszanowania godności obecnych tam osób. Czynności kontrolnych funkcjonariusze nie wykonują. Wniosek Komisja składa na piśmie, co najmniej siedem dni przed planowanym rozpoczęciem kontroli, a w sprawach niecierpiących zwłoki trzy dni. Koszt takiej pomocy pokrywa sama Komisja, ryczałtem w wysokości 1,5 procent przeciętnego miesięcznego wynagrodzenia w sektorze przedsiębiorstw za każdy przypadek.
{ agenci AI }Agent AI, który pracuje na danych Twojej firmy
Budujemy agentów, którzy odpowiadają klientom, czytają dokumenty i przygotowują raporty, podłączonych do Waszych systemów. Zaczynamy od jednego procesu i sprawdzamy efekt, zanim pójdziemy dalej.
Podsumowanie
Piątkowe głosowanie zamyka pierwszy z dwóch kroków i domyka ustawowy termin, bo Sejm miał na wskazanie Przewodniczącego czas do 11 października. Drugi krok należy do Senatu, który ma miesiąc od przekazania mu uchwały, a jego milczenie w tym czasie ustawa liczy jako zgodę. Data, która realnie coś zmienia w firmach, to 28 października. Wtedy wchodzą w życie przepisy o kontroli, a organ nadzoru dostaje prawo żądać dokumentów i korespondencji elektronicznej związanych z przedmiotem kontroli. Dostęp do danych w cudzej chmurze sięga przy tym tylko tak daleko, jak dostęp samego kontrolowanego. Kontrola przychodzi z siedmiodniowym wyprzedzeniem i domyślnie zdalnie, a wizyta na miejscu wymaga osobnego postanowienia. Kara nie jest pierwszym skutkiem kontroli. Typowa kolejność to zalecenia pokontrolne i co najmniej 30 dni na usunięcie nieprawidłowości. Postępowanie Komisja może jednak wszcząć także od razu, jeśli informacje z kontroli wskazują na naruszenie.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
