Najważniejsza ustawa XXI wieku wejdzie w życie. Polska tworzy organ odpowiedzialny za nadzór nad sztuczną inteligencją. Przedsiębiorstwo, które wykorzysta AI do szkodliwego manipulowania ludźmi, może zapłacić nawet 7 proc. swojego światowego obrotu.

Polska ustawa o AI ma chronić ludzi przed szkodliwym manipulowaniem ich zachowaniem, wykorzystywaniem ich słabości oraz automatycznym podejmowaniem decyzji, które mogą zagrozić zdrowiu, bezpieczeństwu albo prawom podstawowym. Prezydent podpisał nowe przepisy, a 27 lipca 2026 roku ustawa została opublikowana w Dzienniku Ustaw pod pozycją 1003.

Prawo tworzy polski system nadzoru nad sztuczną inteligencją. Określa, kto przyjmie skargę obywatela, jak będzie przebiegała kontrola przedsiębiorstwa, kiedy organ może nakazać przerwanie używania niebezpiecznego systemu oraz w jaki sposób zostanie obliczona kara pieniężna.

– To ważny krok w rozwoju sztucznej inteligencji w Polsce. To nie tylko wsparcie nowych technologii, ale także lepsze zrozumienie i kontrolowanie systemów AI. Dzięki temu przepisy te z jednej strony tworzą dobre warunki rozwoju sztucznej inteligencji, a z drugiej – zwiększają bezpieczeństwo jej użytkowników – powiedział wicepremier, minister cyfryzacji Krzysztof Gawkowski.

Społeczeństwo

AI może zagrozić 4,5 mln Polaków. To głównie kobiety pracujące w biurach. Raport GUS

Co dokładnie wprowadza ustawa o AI w Polsce

Nowe przepisy nie tworzą polskiego odpowiednika całego europejskiego prawa o sztucznej inteligencji. Najważniejsze obowiązki przedsiębiorstw, zakazane zastosowania technologii i maksymalne wysokości kar wynikają z unijnego AI Act, czyli rozporządzenia Parlamentu Europejskiego i Rady Unii Europejskiej 2024/1689.

Ministerstwo Cyfryzacji wyjaśnia, że ustawa „zapewnia stosowanie w Polsce rozwiązań wynikających z unijnego rozporządzenia AI Act”. Trzeba przy tym podkreślić, że AI Act nie jest dyrektywą. Jest rozporządzeniem, a więc obowiązuje bezpośrednio we wszystkich państwach Unii Europejskiej. Polska ustawa uzupełnia je o krajowy organ nadzoru, zasady kontroli, procedurę prowadzenia postępowań, możliwość składania skarg, tryb odwoławczy i sposób nakładania sankcji.

Zgodnie z ustawą z 3 lipca 2026 roku o systemach sztucznej inteligencji polskie przepisy regulują pięć głównych obszarów. Są to organizacja nadzoru nad rynkiem AI, postępowania dotyczące naruszeń, akredytacja jednostek oceniających zgodność, wspieranie innowacji oraz nakładanie administracyjnych kar pieniężnych.

Ustawa nie dotyczy prywatnego używania AI przez osobę fizyczną, jeżeli nie ma ono związku z działalnością zawodową, gospodarczą albo rolniczą. Wyłączenia dotyczą również między innymi obrony narodowej, działalności służb specjalnych, kontrwywiadu i wywiadu wojskowego oraz badań naukowych, o ile nie prowadzi się testów systemu w warunkach rzeczywistych.

Społeczeństwo

Minister Gawkowski: AI wykona pracę pięciu urzędników. GUS: zagrożonych jest 4,5 mln Polaków

Jakich manipulacji i praktyk AI zakazuje prawo

Najwyższe sankcje grożą za zakazane praktyki AI wymienione w artykule 5 unijnego rozporządzenia. Zakaz nie dotyczy każdej reklamy wykorzystującej algorytmy ani każdego komunikatu, który wpływa na decyzję klienta. Aby manipulacja została objęta zakazem, system musi istotnie ograniczać zdolność człowieka do podjęcia świadomej decyzji, skłaniać go do zachowania, na które inaczej by się nie zdecydował, oraz powodować albo z dużym prawdopodobieństwem móc spowodować poważną szkodę.

Prawo zabrania następujących praktyk:

1. Szkodliwej manipulacji i wprowadzania ludzi w błąd. Zakaz dotyczy systemów wykorzystujących techniki podprogowe, których człowiek świadomie nie dostrzega, albo celowo zaprojektowane techniki manipulacyjne. Przykładem może być asystent sprzedażowy, który analizuje stan emocjonalny klienta, ukrywa przed nim istotne informacje i stosuje indywidualnie dobraną presję, aby nakłonić go do zaciągnięcia ryzykownej pożyczki. Sama personalizacja oferty nie wystarczy do uznania praktyki za zakazaną. Musi dojść do istotnego ograniczenia możliwości podjęcia świadomej decyzji oraz do poważnej szkody albo wysokiego ryzyka jej wystąpienia.
2. Wykorzystywania szczególnej podatności człowieka. System nie może wykorzystywać wieku, niepełnosprawności ani trudnej sytuacji społecznej lub ekonomicznej po to, aby zmienić zachowanie danej osoby w sposób mogący wyrządzić jej poważną szkodę. Przykładem byłaby gra kierowana do dzieci, w której AI rozpoznaje frustrację użytkownika i nakłania go do kolejnych płatności. Innym przykładem może być aplikacja finansowa, która identyfikuje osoby zadłużone i wykorzystuje ich trudną sytuację do sprzedaży wyjątkowo niekorzystnych produktów.
3. Prowadzenia niedopuszczalnej punktacji społecznej. System nie może przez dłuższy czas oceniać ludzi na podstawie ich zachowania społecznego, cech osobistych albo przewidywanej osobowości, a następnie wykorzystywać tej oceny w zupełnie innym celu. Niedopuszczalna byłaby sytuacja, w której ocena aktywności pracownika, jego zakupów i wypowiedzi w mediach społecznościowych wpływa na dostęp do mieszkania, ubezpieczenia albo usługi publicznej. Zakaz obejmuje również traktowanie nieproporcjonalne do zachowania, na podstawie którego przyznano punkty.
4. Przewidywania popełnienia przestępstwa wyłącznie na podstawie profilu człowieka. Policja albo inna instytucja nie może uznać osoby za potencjalnego sprawcę tylko dlatego, że system przypisał jej określony typ osobowości, sposób zachowania lub profil społeczny. AI może natomiast wspierać ocenę człowieka, jeżeli istnieją już obiektywne i możliwe do sprawdzenia fakty bezpośrednio związane z konkretną działalnością przestępczą. Ostateczna ocena nie może opierać się wyłącznie na prognozie algorytmu.
5. Masowego i nieukierunkowanego zbierania zdjęć twarzy. Zabronione jest tworzenie albo rozszerzanie baz rozpoznawania twarzy poprzez automatyczne pobieranie zdjęć z internetu lub nagrań z monitoringu. Firma nie może więc masowo kopiować fotografii z portali społecznościowych, stron internetowych i kamer miejskich po to, aby zbudować komercyjną bazę biometryczną.
6. Rozpoznawania emocji pracowników i uczniów. Pracodawca nie może używać kamery i AI do ustalania, czy pracownik jest lojalny, zestresowany, znudzony lub zaangażowany. Szkoła nie może w ten sposób oceniać koncentracji, motywacji albo emocji ucznia podczas lekcji lub egzaminu. Wyjątek dotyczy zastosowań medycznych i związanych z bezpieczeństwem. Przykładowo system wykrywający stan wymagający pomocy medycznej może być dopuszczalny, jeżeli rzeczywiście służy ochronie zdrowia, a nie ocenie pracownika.
7. Wyprowadzania wniosków o szczególnie chronionych cechach na podstawie danych biometrycznych. System nie może analizować twarzy, głosu lub innych cech biologicznych człowieka po to, aby wnioskować o jego rasie, poglądach politycznych, przynależności związkowej, religii, przekonaniach filozoficznych, życiu seksualnym albo orientacji seksualnej. Przykładem zakazanej praktyki byłaby kamera, która na podstawie wyglądu przechodnia przypisuje mu orientację seksualną albo poglądy polityczne.
8. Zdalnej identyfikacji biometrycznej w czasie rzeczywistym przez organy ścigania w miejscach publicznych. Chodzi między innymi o rozpoznawanie twarzy osób znajdujących się na ulicy, dworcu albo stadionie. Rozporządzenie przewiduje wąskie wyjątki, na przykład poszukiwanie konkretnej ofiary porwania, zapobieganie bezpośredniemu zagrożeniu życia lub atakowi terrorystycznemu oraz poszukiwanie podejrzanego o ściśle określone poważne przestępstwo. Organ musi spełnić dodatkowe warunki i uzyskać wymagane zezwolenie.

News

Koniec manipulacji AI. Polska wdraża unijny AI Act. Sztuczna inteligencja nie może nas oszukiwać

Pierwszych osiem zakazów stosuje się już od lutego 2025 roku. Po zmianach wprowadzonych przez AI Omnibus europejski katalog zawiera także dziewiąty zakaz. Dotyczy on systemów tworzących bez zgody zainteresowanej osoby treści seksualne, intymne materiały typu deepfake oraz materiały przedstawiające seksualne wykorzystywanie dzieci. Zakaz obejmie między innymi aplikacje służące do cyfrowego „rozbierania” ludzi na zdjęciach. Według Komisji Europejskiej ta regulacja zacznie być stosowana w grudniu 2026 roku.

System zakazany a system wysokiego ryzyka – na czym polega różnica

System zakazany nie może być legalnie oferowany ani używany w celu objętym zakazem. Natomiast system wysokiego ryzyka może trafić na rynek, jeżeli jego dostawca i podmiot, który go wykorzystuje, spełnią wymagania AI Act.

Do zastosowań wysokiego ryzyka mogą należeć systemy wspomagające rekrutację, ocenianie egzaminów, ustalanie zdolności kredytowej, dostęp do określonych świadczeń, kontrolę infrastruktury krytycznej, analizę wniosków wizowych albo podejmowanie decyzji w wymiarze sprawiedliwości. Dostawca takiego rozwiązania musi między innymi zarządzać ryzykiem, kontrolować jakość danych, przygotować dokumentację techniczną, rejestrować zdarzenia, zapewnić nadzór człowieka oraz odpowiedni poziom dokładności, odporności i cyberbezpieczeństwa.

Z kolei od 2 sierpnia 2026 roku zaczną być stosowane obowiązki dotyczące przejrzystości. Człowiek powinien zostać poinformowany, że rozmawia z chatbotem, chyba że wynika to w sposób oczywisty z okoliczności. Dostawcy systemów generatywnych mają umożliwić wykrycie treści stworzonych przez AI, natomiast podmioty publikujące deepfake muszą oznaczyć jego sztuczny charakter. Obowiązek oznaczenia dotyczy również generowanego przez AI tekstu informującego o sprawach publicznych, chyba że materiał przeszedł kontrolę redakcyjną, a osoba albo organizacja przyjęła odpowiedzialność za jego publikację.

Technologie

Technofaszyzm i kolejny kopniak w ego człowieka. Prof. Leder: AI może odebrać nam złudzenie wyjątkowości

Komisja przyjmie skargi i skontroluje przedsiębiorstwo

Nadzór nad przestrzeganiem przepisów przejmie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, nazywana w ustawie Komisją albo KRiBSI. Będzie ona polskim organem nadzoru rynku AI i pojedynczym punktem kontaktowym dla obywateli, przedsiębiorców, instytucji oraz organów unijnych.

W skład Komisji wejdzie przewodniczący, dwóch zastępców oraz czterech członków wskazanych przez prezesa Urzędu Ochrony Konkurencji i Konsumentów, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz prezesa Urzędu Komunikacji Elektronicznej. Przewodniczącego wybierze Sejm za zgodą Senatu na pięcioletnią kadencję.

Skargę na system AI będzie mogła złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej. Jeżeli skarga albo inne informacje będą wskazywały na naruszenie, Komisja może rozpocząć kontrolę systemów AI. Jeżeli jednak system może spowodować szkodę dla życia, zdrowia, bezpieczeństwa albo praw podstawowych, Komisja będzie mogła wejść do siedziby przedsiębiorstwa i rozpocząć kontrolę bez zachowania siedmiodniowego terminu.

Kontroler otrzyma prawo dostępu do dokumentów, korespondencji elektronicznej, nośników danych, systemów informatycznych oraz danych przechowywanych w chmurze, do których kontrolowany ma dostęp. Będzie mógł sporządzać kopie, zabezpieczać dowody, żądać wyjaśnień oraz rejestrować obraz lub dźwięk po wcześniejszym poinformowaniu kontrolowanego. Jednocześnie ustawa chroni tajemnicę przedsiębiorstwa i poufną korespondencję z adwokatem albo radcą prawnym.

Jeżeli Komisja potwierdzi naruszenie, w decyzji nakaże usunięcie jego skutków w ciągu 14 dni. Natomiast w przypadku bezpośredniego zagrożenia życia, zdrowia, bezpieczeństwa lub praw podstawowych będzie mogła nakazać zaprzestanie używania systemu albo wycofanie go z rynku lub z użytkowania. Takie pilne postępowanie może trwać najwyżej siedem dni, a decyzja może otrzymać rygor natychmiastowej wykonalności.

Przedsiębiorca będzie mógł zaskarżyć decyzję do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.

Społeczeństwo

Javier Milei proponuje korporacje nie-ludzkie. AI miałaby zarządzać firmami w Argentynie

Kto może zapłacić karę za naruszenie AI Act

Kara nie grozi automatycznie każdej firmie korzystającej z popularnego generatora tekstu albo obrazu. Odpowiedzialność zależy od roli przedsiębiorstwa, przeznaczenia systemu oraz naruszonego obowiązku.

Dostawcą jest firma, która opracowała system albo zleciła jego opracowanie, a następnie oferuje go pod własną nazwą lub marką. Importer wprowadza na rynek Unii Europejskiej system pochodzący od podmiotu spoza Unii. Dystrybutor udostępnia system w łańcuchu dostaw, ale nie jest jego dostawcą ani importerem. Podmiot stosujący wykorzystuje AI w ramach działalności zawodowej albo gospodarczej. Jednostka notyfikowana jest natomiast niezależną organizacją uprawnioną do oceny zgodności określonych systemów.

Najwyższy poziom sankcji dotyczy zakazanych praktyk. Przedsiębiorstwu grożą kary do 7 proc. światowego obrotu z poprzedniego roku finansowego albo do 35 mln euro – zastosowanie ma wyższy z tych dwóch pułapów.

Drugi poziom obejmuje naruszenia obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmiotów stosujących systemy, jednostek notyfikowanych oraz obowiązków dotyczących przejrzystości. Maksymalna sankcja wynosi 15 mln euro, czyli około 63 mln zł, albo 3 proc. całkowitego światowego obrotu przedsiębiorstwa. Również w tym przypadku wobec dużego przedsiębiorstwa stosuje się wyższy pułap.

Trzeci poziom dotyczy przekazania jednostce notyfikowanej albo właściwemu organowi nieprawidłowych, niepełnych lub wprowadzających w błąd informacji w odpowiedzi na formalne żądanie. Maksymalna kara wynosi 7,5 mln euro, czyli około 31,5 mln zł, albo 1 proc. światowego obrotu.

Dla mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw mechanizm kar jest korzystniejszy. W ich przypadku maksymalną granicę wyznacza niższy z dwóch pułapów: kwota w euro albo procent obrotu. Jeżeli więc mała firma osiągnęła milion euro światowego obrotu, pułap kary za zakazaną praktykę odpowiada 7 proc. tego obrotu, czyli 70 tys. euro, a nie 35 mln euro.

Dostawcy modeli sztucznej inteligencji ogólnego przeznaczenia podlegają odrębnemu systemowi. Karę nakłada w tym przypadku Komisja Europejska. Maksymalna sankcja wynosi 3 proc. światowego obrotu albo 15 mln euro, w zależności od tego, która wartość jest wyższa. Kara może dotyczyć między innymi naruszenia obowiązków dotyczących modelu, odmowy przekazania dokumentów, przedstawienia informacji wprowadzających w błąd albo uniemożliwienia przeprowadzenia oceny modelu.

Społeczeństwo

AI poległo w bibliotece. Uniwersytet Warszawski szuka ludzi do odczytywania rękopisów

Maksymalna kara nie będzie nakładana automatycznie

Przy ustalaniu sankcji Komisja musi uwzględnić charakter, wagę i czas trwania naruszenia, jego skutki oraz liczbę poszkodowanych osób. Znaczenie będzie miała również wysokość szkody, wielkość przedsiębiorstwa, jego obrót i udział w rynku, korzyść uzyskana dzięki naruszeniu, wcześniejsze podobne sprawy, stopień współpracy z organem oraz to, czy firma działała umyślnie, czy niedbale.

Polska ustawa pozwala zmniejszyć karę o 10–50 proc., jeżeli ukarany podmiot w ciągu trzech miesięcy wykona działania wskazane wcześniej w ostrzeżeniu, a naruszenie nie spowodowało śmierci ani poważnego uszczerbku na zdrowiu. Komisja może również odroczyć płatność lub rozłożyć ją na raty, jeżeli przemawia za tym ważny interes przedsiębiorstwa.

Jeszcze większe obniżenie może nastąpić w ramach układu zawartego z Komisją. Przedsiębiorstwo musi wcześniej przerwać naruszenie albo usunąć niezgodność z prawem, ujawnić wszystkie istotne okoliczności i przedstawić dowody. Może też zobowiązać się do usunięcia skutków oraz naprawienia szkody.

Układ pozwala obniżyć karę o 20–70 proc. Jeżeli przedsiębiorstwo samo zgłosi naruszenie, wcześniej je zakończy i przekaże wszystkie istotne informacje oraz dowody, obniżka może wynieść 30–90 proc. W nadzwyczajnych okolicznościach Komisja może odstąpić od sankcji. Przyjęcie układu oznacza jednak rezygnację z prawa do odwołania, a niewykonanie zobowiązań może doprowadzić do wznowienia postępowania nawet przez dziesięć lat.

Utrudnianie kontroli albo niewykonanie pilnej decyzji nakazującej zaprzestanie używania niebezpiecznego systemu będzie wykroczeniem. Osobie odpowiedzialnej grozi w takim przypadku grzywna albo ograniczenie wolności. Taka odpowiedzialność może objąć również osobę działającą w imieniu lub w interesie spółki.

Biznes / News / Społeczeństwo

Gdy sztuczna inteligencja przeklina własną firmę. Jak DPD musiało wyłączyć swojego chatbota po skandalu z klientem

Piaskownice i opinie mają ograniczyć ryzyko przed wdrożeniem AI

Ustawa nie ogranicza się do nadzoru i kar. Wprowadza także piaskownice regulacyjne, czyli kontrolowane środowisko, w którym przedsiębiorca lub instytucja może testować system i uzyskać wsparcie w spełnianiu wymagań prawa.

Komisja będzie mogła czasowo zgodzić się na odstępstwo od wybranych wymagań dotyczących między innymi dokumentacji zarządzania ryzykiem, zbiorów danych, dokumentacji technicznej, rejestrowania zdarzeń, oceny zgodności, deklaracji zgodności, oznakowania CE, rejestracji w bazie Unii Europejskiej oraz monitorowania systemu po wprowadzeniu go na rynek. Nie oznacza to zgody na dowolne testowanie. Projekt nadal musi chronić zdrowie, bezpieczeństwo i prawa podstawowe.

Udział w piaskownicy potrwa od sześciu do 12 miesięcy. Mikroprzedsiębiorstwa oraz małe i średnie firmy skorzystają z niej bezpłatnie. Opłata dla jednostki samorządu terytorialnego nie może przekroczyć dwukrotności minimalnego wynagrodzenia, natomiast dla pozostałych podmiotów – czterokrotności tej kwoty.

Uczestnik będzie musiał informować osoby, na które wpływa testowany projekt, zamieścić informację o udziale na swojej stronie internetowej, składać roczne raporty i zgłaszać Komisji istotne zmiany. Jeżeli naruszy warunki udziału i nie usunie nieprawidłowości w wyznaczonym terminie, Komisja będzie mogła wykluczyć go z piaskownicy.

– Firmy muszą mieć łatwość w testowaniu rozwiązań wykorzystujących sztuczną inteligencję w bezpiecznym otoczeniu prawnym. Piaskownice regulacyjne AI, które wprowadzamy, przyspieszą rozwój i wykorzystanie komercyjne tej technologii. Naszym głównym celem jest wspieranie innowacji – przekazał wiceminister cyfryzacji Dariusz Standerski.

Przedsiębiorca będzie mógł również wystąpić o opinię indywidualną dotyczącą planowanego albo już używanego rozwiązania. Po zakończeniu udziału w piaskownicy firma otrzyma potwierdzenie i raport końcowy.

Technologie

Psy roboty pilnują centrów danych AI. Boston Dynamics i Ghost Robotics zarobią górę dolarów

Kiedy ustawa o AI zacznie obowiązywać

Większość ustawy wejdzie w życie 11 sierpnia 2026 roku, czyli po 14 dniach od ogłoszenia. Przepisy dotyczące opinii indywidualnych, kontroli, postępowań, układów, kar pieniężnych i zmian w innych ustawach zaczną obowiązywać później – 28 października 2026 roku.

Samo podpisanie ustawy nie oznacza więc, że wszystkie procedury można stosować natychmiast. Najpierw trzeba powołać przewodniczącego, jego zastępców i pozostałych członków Komisji oraz przygotować zaplecze organizacyjne i techniczne. Według Ministerstwa Cyfryzacji przewodniczący ma zostać powołany w październiku, natomiast pełna Komisja powinna rozpocząć działalność w listopadzie 2026 roku.

Dla przedsiębiorców najważniejszym pierwszym krokiem będzie ustalenie, w jakim celu wykorzystują sztuczną inteligencję i jaką pełnią rolę. Następnie powinni sprawdzić, jakie dane przetwarza system, na kogo wpływają jego wyniki, czy człowiek może skontrolować decyzję oraz czy dostawca zapewnia dokumentację i możliwość reagowania na błędy. Dopiero taka analiza pozwoli określić, czy system podlega zwykłym obowiązkom przejrzystości, należy do kategorii wysokiego ryzyka, czy wykorzystuje praktykę całkowicie zakazaną.

Źródła: Fakty Plus, Ministerstwo Cyfryzacji

Rafał Bernasiński