Ustawa o systemach sztucznej inteligencji wchodzi w zycie: co oznacza KRiBSI dla dokumentacji i logow

Nowy regulator, ustawa w zyciu juz jutro

Jutro, 11 sierpnia 2026 roku, w Polsce wchodzi w zycie ustawa o systemach sztucznej inteligencji, potocznie okreslana skrotem KRiBSI. To data, ktora wiekszosc firm korzystajacych z narzedzi AI lub je dostarczajacych przeoczyla, a wraz z nia pojawia sie zupelnie nowy organ nadzoru, o ktorym niewiele przedsiebiorstw jeszcze slyszalo. Sejm uchwalil ustawe 3 lipca 2026 roku, przyjmujac 24 z 25 poprawek Senatu. Prezydent podpisal ja 24 lipca 2026 roku, a tekst opublikowano w Dzienniku Ustaw 27 lipca 2026 roku. Od jutra przepisy obowiazuja w praktyce.

Ustawa powoluje Komisje Rozwoju i Bezpieczenstwa Sztucznej Inteligencji, czyli KRiBSI: niezalezny organ dzialajacy przy Ministerstwie Cyfryzacji. W jego skladzie znajda sie przedstawiciele UOKiK, KNF, KRRiT oraz Prezesa UKE. Pelny sklad Komisji ma zostac powolany w ciagu trzech miesiecy, co oznacza, ze organ powinien zaczac dzialac operacyjnie okolo listopada 2026 roku. To wazny sygnal: przepisy juz obowiazuja, ale realny nadzor bedzie sie rozkrecal stopniowo w kolejnych miesiacach.

Uprawnienia KRiBSI: kontrole, skargi, piaskownice regulacyjne i kary

KRiBSI otrzymuje szeroki wachlarz kompetencji. Komisja bedzie mogla prowadzic kontrole u dostawcow i uzytkownikow systemow AI, przyjmowac i rozpatrywac skargi zwiazane z dzialaniem tych systemow oraz prowadzic regulacyjne piaskownice, czyli kontrolowane srodowiska testowe dla nowych rozwiazan AI. Udzial w piaskownicach bedzie bezplatny dla mikro, malych i srednich przedsiebiorstw, co ma ulatwic mniejszym firmom testowanie zgodnosci ich systemow z przepisami bez ponoszenia dodatkowych kosztow.

Najbardziej odczuwalnym uprawnieniem beda jednak kary administracyjne. KRiBSI zyska mozliwosc ich nakladania dopiero od 28 pazdziernika 2026 roku, a nie od dnia wejscia ustawy w zycie. To daje przedsiebiorstwom kilka tygodni buforu na uporzadkowanie procesow, zanim sankcje faktycznie zaczna obowiazywac.

Wysokosc kar: stawki z unijnego AI Act egzekwowane krajowo

Progi kar, ktore bedzie stosowac KRiBSI, wynikaja bezposrednio z unijnego rozporzadzenia AI Act, ale to polski organ bedzie je egzekwowal na gruncie krajowym. Za stosowanie zakazanych praktyk AI grozi kara do 35 milionow euro lub 7% globalnego obrotu firmy, w zaleznosci od tego, ktora wartosc jest wyzsza. Za pozostale naruszenia dotyczace systemow wysokiego ryzyka kara moze wyniesc do 15 milionow euro lub 3% obrotu. Za przekazanie organom falszywych lub niepelnych informacji przewidziano kare do 7,5 miliona euro lub 1% obrotu. Kwoty wyrazone w euro przelicza sie na zlote wedlug sredniego kursu NBP z 28 stycznia danego roku.

Dwa obowiazki dokumentacyjne, ktore trzeba znac juz teraz

Dla dzialow odpowiedzialnych za dokumentacje i archiwizacje kluczowe sa dwa terminy retencji wynikajace z AI Act, ktore polska ustawa bedzie egzekwowac przez KRiBSI. Pierwszy dotyczy dokumentacji technicznej systemu AI, ktora dostawcy musza przechowywac przez 10 lat od momentu wprowadzenia systemu na rynek. To dlugoterminowy obowiazek archiwizacyjny, porownywalny z wymogami znanymi z innych regulacji sektorowych, wymagajacy trwalego, dostepnego i uporzadkowanego przechowywania dokumentow przez ponad dekade.

Drugi obowiazek dotyczy logow systemowych generowanych automatycznie przez system AI w trakcie jego dzialania. Takie logi nalezy przechowywac przez co najmniej 6 miesiecy. W praktyce oznacza to koniecznosc wdrozenia procesow, ktore zapewnia ciaglosc zapisu logow, ich integralnosc oraz mozliwosc udostepnienia na zadanie organu nadzoru, w tym wlasnie KRiBSI, w ramach kontroli lub postepowania wyjasniajacego skarge.

Harmonogram wdrozenia: od jutra do konca roku

Warto uporzadkowac chronologie, bo poszczegolne elementy systemu zaczynaja dzialac w roznym czasie. Od 2 sierpnia 2026 roku obowiazuja juz na poziomie calej Unii Europejskiej wymogi dla systemow wysokiego ryzyka wymienionych w zalaczniku III do AI Act: to fundament, na ktorym opiera sie polska ustawa. Od 11 sierpnia 2026 roku, czyli od jutra, obowiazuje polska ustawa o systemach AI i formalnie istnieje KRiBSI jako instytucja. Do okolo listopada 2026 roku ma zostac powolany pelny sklad Komisji, co pozwoli jej dzialac operacyjnie. Od 28 pazdziernika 2026 roku KRiBSI zyskuje faktyczna mozliwosc nakladania kar administracyjnych.

Co warto zrobic juz teraz

Firmy korzystajace z systemow AI lub je dostarczajace powinny w pierwszej kolejnosci sprawdzic, czy ich systemy podlegaja klasyfikacji jako systemy wysokiego ryzyka w rozumieniu zalacznika III do AI Act. Nastepnym krokiem jest przeglad procesow przechowywania dokumentacji technicznej pod katem dziesiecioletniego okresu retencji oraz weryfikacja, czy logi generowane przez systemy AI sa zapisywane w sposob ciagly i przechowywane przez co najmniej szesc miesiecy. Warto rowniez sledzic komunikaty Ministerstwa Cyfryzacji dotyczace powolania pelnego skladu KRiBSI oraz ewentualnych wytycznych wykonawczych, ktore Komisja moze opublikowac przed 28 pazdziernika 2026 roku, gdy zacznie realnie korzystac z uprawnien do nakladania kar.