Ustawa o systemach sztucznej inteligencji wchodzi w zycie: co oznacza KRiBSI dla dokumentacji i logow

Nowy regulator, ustawa w zyciu juz jutro

Jutro, 11 sierpnia 2026 roku, w Polsce wchodzi w zycie ustawa o systemach sztucznej inteligencji, potocznie okreslana skrotem KRiBSI. To data, ktora większość firm korzystajacych z narzędzi AI lub je dostarczajacych przeoczyla, a wraz z nia pojawia sie zupelnie nowy organ nadzoru, o którym niewiele przedsiębiorstw jeszcze slyszalo. Sejm uchwalil ustawe 3 lipca 2026 roku, przyjmujac 24 z 25 poprawek Senatu. Prezydent podpisal ja 24 lipca 2026 roku, a tekst opublikowano w Dzienniku Ustaw 27 lipca 2026 roku. Od jutra przepisy obowiazuja w praktyce.

Ustawa powoluje Komisje Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI: niezalezny organ dzialajacy przy Ministerstwie Cyfryzacji. W jego skladzie znajda sie przedstawiciele UOKiK, KNF, KRRiT oraz Prezesa UKE. Pełny sklad Komisji ma zostac powolany w ciągu trzech miesięcy, co oznacza, ze organ powinien zacząć dzialac operacyjnie około listopada 2026 roku. To ważny sygnal: przepisy juz obowiazuja, ale realny nadzor bedzie sie rozkrecal stopniowo w kolejnych miesiacach.

Uprawnienia KRiBSI: kontrole, skargi, piaskownice regulacyjne i kary

KRiBSI otrzymuje szeroki wachlarz kompetencji. Komisja bedzie mogla prowadzić kontrole u dostawców i użytkowników systemów AI, przyjmowac i rozpatrywac skargi zwiazane z dzialaniem tych systemów oraz prowadzić regulacyjne piaskownice, czyli kontrolowane srodowiska testowe dla nowych rozwiązań AI. Udzial w piaskownicach bedzie bezplatny dla mikro, małych i średnich przedsiębiorstw, co ma ulatwic mniejszym firmom testowanie zgodności ich systemów z przepisami bez ponoszenia dodatkowych kosztów.

Najbardziej odczuwalnym uprawnieniem beda jednak kary administracyjne. KRiBSI zyska mozliwosc ich nakladania dopiero od 28 października 2026 roku, a nie od dnia wejścia ustawy w zycie. To daje przedsiebiorstwom kilka tygodni buforu na uporzadkowanie procesów, zanim sankcje faktycznie zaczna obowiazywac.

Wysokosc kar: stawki z unijnego AI Act egzekwowane krajowo

Progi kar, które bedzie stosowac KRiBSI, wynikaja bezpośrednio z unijnego rozporządzenia AI Act, ale to polski organ bedzie je egzekwowal na gruncie krajowym. Za stosowanie zakazanych praktyk AI grozi kara do 35 milionów euro lub 7% globalnego obrotu firmy, w zależności od tego, ktora wartość jest wyzsza. Za pozostale naruszenia dotyczące systemów wysokiego ryzyka kara moze wyniesc do 15 milionów euro lub 3% obrotu. Za przekazanie organom falszywych lub niepelnych informacji przewidziano kare do 7,5 miliona euro lub 1% obrotu. Kwoty wyrazone w euro przelicza sie na zlote według sredniego kursu NBP z 28 stycznia danego roku.

Dwa obowiązki dokumentacyjne, które trzeba znac juz teraz

Dla dzialow odpowiedzialnych za dokumentacje i archiwizacje kluczowe sa dwa terminy retencji wynikajace z AI Act, które polska ustawa bedzie egzekwowac przez KRiBSI. Pierwszy dotyczy dokumentacji technicznej systemu AI, ktora dostawcy muszą przechowywać przez 10 lat od momentu wprowadzenia systemu na rynek. To dlugoterminowy obowiązek archiwizacyjny, porownywalny z wymogami znanymi z innych regulacji sektorowych, wymagajacy trwalego, dostępnego i uporzadkowanego przechowywania dokumentów przez ponad dekade.

Drugi obowiązek dotyczy logow systemowych generowanych automatycznie przez system AI w trakcie jego działania. Takie logi należy przechowywać przez co najmniej 6 miesięcy. W praktyce oznacza to koniecznosc wdrożenia procesów, które zapewnia ciaglosc zapisu logow, ich integralność oraz mozliwosc udostepnienia na zadanie organu nadzoru, w tym właśnie KRiBSI, w ramach kontroli lub postępowania wyjasniajacego skarge.

Harmonogram wdrożenia: od jutra do końca roku

Warto uporzadkowac chronologie, bo poszczegolne elementy systemu zaczynaja dzialac w roznym czasie. Od 2 sierpnia 2026 roku obowiazuja juz na poziomie całej Unii Europejskiej wymogi dla systemów wysokiego ryzyka wymienionych w zalaczniku III do AI Act: to fundament, na którym opiera sie polska ustawa. Od 11 sierpnia 2026 roku, czyli od jutra, obowiazuje polska ustawa o systemach AI i formalnie istnieje KRiBSI jako instytucja. Do około listopada 2026 roku ma zostac powolany pełny sklad Komisji, co pozwoli jej dzialac operacyjnie. Od 28 października 2026 roku KRiBSI zyskuje faktyczna mozliwosc nakladania kar administracyjnych.

Co warto zrobić juz teraz

Firmy korzystajace z systemów AI lub je dostarczajace powinny w pierwszej kolejnosci sprawdzić, czy ich systemy podlegają klasyfikacji jako systemy wysokiego ryzyka w rozumieniu zalacznika III do AI Act. Nastepnym krokiem jest przegląd procesów przechowywania dokumentacji technicznej pod katem dziesiecioletniego okresu retencji oraz weryfikacja, czy logi generowane przez systemy AI sa zapisywane w sposób ciagly i przechowywane przez co najmniej szesc miesięcy. Warto również śledzić komunikaty Ministerstwa Cyfryzacji dotyczące powolania pelnego skladu KRiBSI oraz ewentualnych wytycznych wykonawczych, które Komisja moze opublikowac przed 28 października 2026 roku, gdy zacznie realnie korzystać z uprawnien do nakladania kar.