Co KRiBSI może skontrolować i od kiedy

Czym jest KRiBSI?

KRiBSI to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, siedmioosobowy organ powołany polską ustawą o systemach sztucznej inteligencji. Pełni rolę krajowego organu nadzoru rynku, którego wymaga AI Act.

Według ELI ustawa weszła w życie 11 sierpnia 2026 roku. Artykuły 8–18 oraz rozdziały 3–5, 8 i 9 wchodzą w życie 28 października 2026 roku. Terminu ustawowego nie należy utożsamiać z potwierdzeniem faktycznego składu lub rozpoczęcia kontroli.

28 października 2026 roku to termin wejścia w życie wskazanych w ustawie przepisów o nadzorze i postępowaniach.

ELI, Dz.U. 2026 poz. 1003

Czy to dotyczy firmy, która tylko używa AI?

Tak. AI Act nakłada obowiązki nie tylko na dostawców systemów AI, ale też na podmioty stosujące, czyli na firmy, które używają cudzego systemu we własnej działalności. Jeśli kupujesz asystenta AI i puszczasz go na swoje procesy, jesteś podmiotem stosującym.

To rozróżnienie decyduje o tym, których artykułów szukać. Dostawca odpowiada za system jako produkt. Podmiot stosujący odpowiada za to, jak go używa: czy zgodnie z instrukcją, czy pod nadzorem kompetentnej osoby, czy z zachowaniem logów.

O co realnie może zapytać kontrola?

O rzeczy, które albo są zapisane, albo ich nie ma. Poniższa lista to nie interpretacja przepisów pod konkretną firmę, tylko zestaw pytań, na które odpowiedź powinna istnieć w formie dokumentu albo logu.

• Jakie systemy AI działają w firmie i kto za każdy z nich odpowiada.
• Jak zapewniono osobom używającym AI kompetencje odpowiednie do ich roli i kontekstu, na przykład przez szkolenie (artykuł 4 AI Act).
• Dla systemu wysokiego ryzyka: jak zapewniono nadzór człowieka i możliwość przerwania działania (artykuł 14).
• Dla podmiotu stosującego system wysokiego ryzyka: czy używa go zgodnie z instrukcją dostawcy (artykuł 26).
• Dla systemu wysokiego ryzyka: jakie automatyczne logi powstają i które są zachowywane pod kontrolą dostawcy lub podmiotu stosującego (artykuły 12, 19 i 26).
• Czy użytkownik jest informowany, że rozmawia z AI, tam gdzie wymaga tego artykuł 50.

Czego nie trzeba robić już teraz?

Obowiązki dla systemów wysokiego ryzyka z załącznika III zostały przesunięte na 2 grudnia 2027 roku rozporządzeniem (UE) 2026/1744. To termin dla systemów objętych tą klasyfikacją. System, który nie jest wysokiego ryzyka, nie podlega tym konkretnym obowiązkom z samego powodu nadejścia daty; trzeba osobno ustalić właściwy zakres przepisów.

To jednak nie zwalnia z artykułu 4, który obowiązuje od 2 lutego 2025 roku, ani z artykułu 50, który stosuje się od 2 sierpnia 2026 roku. Najczęstszy błąd polega na czekaniu na 2027 rok z rzeczami, które są wymagane od dawna.

Co przygotować, żeby kontrola była nudna?

Trzy rzeczy, wszystkie możliwe do zrobienia bez kupowania czegokolwiek: rejestr systemów AI z właścicielem każdego z nich, zapis szkoleń z datami i zakresem, oraz logi z działania systemów z jasno ustaloną retencją.

Czwarta rzecz jest trudniejsza i najczęściej jej brakuje: zapis tego, kto pozwolił agentowi wykonać konkretne działanie na zewnątrz. Jeśli agent wysłał wiadomość do klienta, powinno dać się odpowiedzieć na pytanie, na jakiej podstawie.

Zastrzeżenie

To nie jest porada prawna. Daty i numery artykułów podajemy razem ze źródłami, żeby dało się je sprawdzić. Ocena, które obowiązki dotyczą konkretnej firmy, wymaga analizy jej konkretnych systemów i procesów.

Źródła

• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencjiDziennik Ustaw, ELI, odczytano 2026-10-14
• AI Act: zakres i terminy stosowaniaKomisja Europejska, odczytano 2026-10-14
• Article 12: Record-keepingEuropean Commission AI Act Service Desk, odczytano 2026-10-14
• Article 26: Obligations of deployers of high-risk AI systemsEuropean Commission AI Act Service Desk, odczytano 2026-10-14