Krajowe ramy stosowania AIAct
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz UE L z 2024 r. s. 1689; dalej: AIAct), obowiązuje bezpośrednio jako rozporządzenie unijne, jednak jego egzekwowanie wymaga wyznaczenia krajowych organów oraz ustanowienia procedur kontrolnych, postępowań i sankcji. Polska ustawa nie zastępuje AIAct ani nie powtarza wszystkich obowiązków jego adresatów, lecz tworzy krajowy system nadzoru nad ich wykonywaniem. Wprowadza wyspecjalizowany organ nadzoru rynku AI, zasady kontroli i postępowań, tryb sądowego zaskarżania decyzji, opinie indywidualne, piaskownice regulacyjne oraz reguły akredytacji i notyfikacji jednostek oceniających zgodność.
Komisja jako organ nadzoru rynku i punkt kontaktowy
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będzie organem nadzoru rynku oraz pojedynczym punktem kontaktowym w sprawach stosowania AIAct w Polsce. Do jej zadań należeć będą m.in. kontrole, prowadzenie postępowań, wydawanie decyzji, rozpatrywanie skarg, nakładanie kar, publikowanie wyjaśnień i opinii indywidualnych, zarządzanie piaskownicami regulacyjnymi oraz upowszechnianie dobrych praktyk. Komisja będzie współpracować z organami sektorowymi, w tym KNF, UOKiK, UODO, KRRiT, UKE i instytucjami właściwymi w sprawach cyberbezpieczeństwa. W praktyce jeden system AI może więc podlegać równocześnie kilku reżimom regulacyjnym, a status Komisji jako punktu kontaktowego nie wyłączy kompetencji pozostałych organów.
Opinie indywidualne w konkretnych sprawach
Jednym z instrumentów przewidzianych w ustawie są opinie indywidualne. O wydanie opinii indywidualnej będzie mógł wystąpić zarówno podmiot już objęty AIAct lub ustawą, jak i organizacja planująca podjęcie działań prowadzących do objęcia tymi przepisami. Wniosek może dotyczyć istniejącego stanu faktycznego albo zdarzenia przyszłego, powinien obejmować jedno zagadnienie i zawierać stanowisko wnioskodawcy. Opinia będzie wiążąca dla Komisji oraz innych organów państwowych i jednostek organizacyjnych wskazanych w ustawie, wyłącznie w zakresie danej sprawy i opisanego we wniosku stanu faktycznego albo zdarzenia przyszłego. Zastosowanie się do niej przed zmianą, uchyleniem lub wygaśnięciem nie będzie mogło szkodzić wnioskodawcy. Zanonimizowane opinie i wyjaśnienia Komisji będą publikowane, co może z czasem ułatwić praktyczne stosowanie AIAct w Polsce.
Kontrole i dostęp do dokumentacji systemów AI
Kontrola będzie co do zasady rozpoczynać się nie wcześniej niż po siedmiu dniach od doręczenia zawiadomienia i odbywać zdalnie, choć w razie ryzyka szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych Komisja będzie mogła przeprowadzić czynności w siedzibie podmiotu, a w określonych przypadkach także odstąpić od tego terminu. Kontrolujący uzyskają prawo żądania dokumentów, korespondencji elektronicznej, nośników danych oraz dostępu do urządzeń, systemów informatycznych i chmury obliczeniowej, jednak tylko w zakresie, w jakim dostęp posiada sam kontrolowany. Ustawa chroni przy tym komunikację objętą tajemnicą zawodową adwokata lub radcy prawnego. W praktyce organizacje powinny uporządkować dokumentację dotyczącą AI, ustalić osoby odpowiedzialne oraz zapewnić dostęp do informacji niezbędnych podczas kontroli.
Postępowania, ostrzeżenia i środki naprawcze
Postępowanie w sprawie naruszenia będzie wszczynane z urzędu, m.in. na podstawie wyników kontroli lub skargi, którą może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna, a jego zasadniczy termin wyniesie sześć miesięcy. Przed wydaniem decyzji Komisja będzie mogła skierować ostrzeżenie i wskazać działania naprawcze, takie jak zablokowanie dostępu do systemu, usunięcie niezgodności lub wykonanie obowiązków informacyjnych. Strona będzie miała 21 dni na poinformowanie o wykonaniu zaleceń, a brak reakcji może skutkować publikacją informacji o ich niewykonaniu. W razie stwierdzenia naruszenia Komisja określi środki służące usunięciu jego skutków, co do zasady wykonywane w terminie 14 dni, a wobec systemów stwarzających bezpośrednie ryzyko będzie mogła nakazać zaprzestanie stosowania lub wycofanie ich z rynku albo użytku, także z rygorem natychmiastowej wykonalności.
Układ z Komisją i złagodzenie sankcji
Ustawa wprowadza możliwość zawarcia z Komisją układu dotyczącego nadzwyczajnego złagodzenia sankcji, jeżeli przemawia za tym realizacja celów AIAct i ustawy, a naruszenie nie wywołało najpoważniejszych skutków wskazanych w przepisach. Warunkiem będzie zaprzestanie naruszenia lub usunięcie niezgodności oraz ujawnienie wszystkich istotnych okoliczności i dowodów; strona może także zobowiązać się do naprawienia szkody lub usunięcia skutków naruszenia. Układ może skutkować obniżeniem kary o 20-70 proc., a w przypadku dobrowolnego ujawnienia naruszenia o 30-90 proc., zaś w nadzwyczajnych okolicznościach także odstąpieniem od sankcji. Komisja będzie jednak każdorazowo oceniać zakres współpracy i wykonanie zobowiązań, a przyjęcie układu oznacza zrzeczenie się prawa do odwołania od wydanej na jego podstawie decyzji.
Kary, publikacja decyzji i kontrola sądowa
Komisja będzie nakładać administracyjne kary pieniężne na zasadach określonych w AIAct, natomiast ustawa reguluje krajowy tryb ich wymierzania i wykonywania. Organ będzie mógł żądać danych finansowych potrzebnych do ustalenia wysokości kary, a w razie ich nieprzekazania określić jej podstawę w drodze oszacowania. Treść decyzji Komisji będzie publikowana w BIP po usunięciu danych zawierających tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa, a informacje o ukaranych systemach AI trafią także do publicznego wykazu zawierającego m.in. nazwę systemu i operatora, opis działania oraz wskazanie naruszonych przepisów, co może powodować również skutki reputacyjne. Od decyzji i wskazanych postanowień Komisji będzie przysługiwało odwołanie albo zażalenie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów; opłata wyniesie odpowiednio 1000 zł i 500 zł.
Piaskownice regulacyjne i wsparcie innowacji
Komisja będzie mogła organizować piaskownice regulacyjne, w których projekty AI będą testowane w kontrolowanym środowisku i przy wsparciu regulatora. Udział będzie przyznawany w drodze konkursu na podstawie planu obejmującego m.in. harmonogram, cele, zarządzanie ryzykiem, zasady przetwarzania danych oraz warunki testów rzeczywistych. Testowanie projektu w piaskownicy będzie mogło trwać od 6 do 12 miesięcy, a dla mikro-, małych i średnich przedsiębiorców udział będzie bezpłatny. Uczestnicy pozostaną jednak objęci obowiązkami informacyjnymi, sprawozdawczymi i kontrolnymi, a udział w piaskownicy nie będzie oznaczał zwolnienia z odpowiedzialności ani automatycznego potwierdzenia zgodności systemu z AIAct.
Terminy wejścia w życie
Zasadnicza część ustawy wejdzie w życie 11.8.2026 r., po 14 dniach od ogłoszenia, natomiast już 28.7.2026 r. zaczął obowiązywać przepis nakazujący podjęcie działań organizacyjnych związanych z utworzeniem zaplecza Komisji. Przepisy dotyczące opinii indywidualnych, kontroli, postępowań, układów, kar administracyjnych, odpowiedzialności karnej oraz zmian w innych ustawach zaczną obowiązywać 28.10.2026 r. Przewodniczący Komisji ma zostać powołany przez Sejm za zgodą Senatu w terminie dwóch miesięcy od wejścia ustawy w życie, a pierwsze posiedzenie Komisji powinno odbyć się w ciągu trzech miesięcy.
Ogłoszenie ustawy oznacza, że organizacje powinny rozpocząć przygotowania do krajowego nadzoru nad AI, w szczególności przez inwentaryzację wykorzystywanych i rozwijanych systemów, ustalenie ich przeznaczenia, kategorii ryzyka oraz roli organizacji na gruncie AIAct. Należy także przypisać odpowiedzialność, uporządkować dokumentację, zasady zarządzania ryzykiem i nadzoru człowieka oraz zweryfikować umowy z dostawcami pod kątem dostępu do informacji, logów i dokumentacji technicznej. Warto również wdrożyć procedurę reagowania na skargi, ostrzeżenia i żądania Komisji, określającą udział działów prawnych, compliance, IT, bezpieczeństwa i ochrony danych. Trzymiesięczne odroczenie przepisów kontrolnych i sankcyjnych powinno służyć zbudowaniu zdolności do wykazania zgodności i przygotowaniu organizacji do kontaktu z nowym organem nadzoru.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
