Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r. Nr 131, s. 1689; dalej: AIAct) ustanowiło pierwsze kompleksowe ramy prawne regulujące projektowanie, rozwój, wprowadzanie do obrotu oraz wykorzystywanie systemów sztucznej inteligencji na rynku Unii Europejskiej. Jednocześnie stworzyło nowy model nadzoru nad rynkiem AI, oparty nie tylko na obowiązkach nakładanych na uczestników rynku, ale również na skutecznych mechanizmach ich egzekwowania. Oznacza to, że przedsiębiorcy muszą przygotować się nie tylko do spełnienia wymagań wynikających z AIAct, lecz także do ewentualnej kontroli prowadzonej przez właściwy organ nadzoru.
Realizując obowiązek wynikający z AIAct, polski ustawodawca przyjął ustawę z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU), powierzając Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji funkcję organu nadzoru rynku oraz pojedynczego punktu kontaktowego w rozumieniu art. 70 AIAct. Do podstawowych zadań Komisji należy kontrola przestrzegania przepisów rozporządzenia i ustawy, prowadzenie postępowań w sprawach naruszeń oraz nakładanie administracyjnych kar pieniężnych.
Kontrola przedsiębiorcy jest jednym z najważniejszych instrumentów wykonywania nadzoru nad rynkiem systemów sztucznej inteligencji. Jej przeprowadzenie może wiązać się z daleko idącą ingerencją w działalność przedsiębiorcy, obejmującą dostęp do dokumentacji technicznej, systemów informatycznych, korespondencji elektronicznej czy danych wykorzystywanych w związku z funkcjonowaniem systemów AI. Jednocześnie ustawodawca, przyznając Komisji szerokie kompetencje kontrolne, wyposażył przedsiębiorców w szereg gwarancji procesowych, które mają zapewnić zachowanie proporcjonalności działań organu oraz ochronę praw kontrolowanego.
Kontrola jako podstawowe narzędzie nadzoru
Skuteczność systemu nadzoru ustanowionego przez AIAct zależy nie tylko od zakresu obowiązków nakładanych na uczestników rynku, lecz również od możliwości ich rzeczywistej weryfikacji. Z tego względu ustawodawca wyposażył Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w kompetencje kontrolne pozwalające ocenić, czy przedsiębiorcy wykonują obowiązki wynikające zarówno z AIAct, jak i z ustawy o systemach sztucznej inteligencji. Zgodnie z art. 48 ust. 1 AIU Komisja sprawuje kontrolę przestrzegania przepisów obu tych aktów prawnych, co czyni kontrolę podstawowym instrumentem wykonywania funkcji organu nadzoru rynku.
Na uwagę zasługuje fakt, że ustawodawca nie uzależnił możliwości wszczęcia kontroli od uprzedniego stwierdzenia ani nawet uprawdopodobnienia naruszenia przepisów. Z art. 48 ust. 2 AIU wynika, że czynności kontrolne mogą być prowadzone zarówno na podstawie informacji uzyskanych przez Komisję, jak i w ramach zatwierdzonego planu kontroli oraz monitorowania przestrzegania przepisów AIAct. Oznacza to, że działalność kontrolna nie ma wyłącznie charakteru reaktywnego. Komisja może podejmować czynności również z własnej inicjatywy, niezależnie od tego, czy wobec konkretnego przedsiębiorcy pojawiły się wcześniej informacje wskazujące na możliwość naruszenia prawa. Rozwiązanie to odzwierciedla przyjęty w AIAct model nadzoru oparty na analizie ryzyka oraz systematycznym monitorowaniu rynku.
Kontrolę należy odróżnić od postępowania administracyjnego prowadzonego w sprawie naruszenia przepisów AIAct lub ustawy o systemach sztucznej inteligencji. Jej celem jest ustalenie stanu faktycznego oraz zgromadzenie materiału dowodowego pozwalającego ocenić zgodność działalności przedsiębiorcy z obowiązującymi przepisami. Sama kontrola nie prowadzi do rozstrzygnięcia o prawach lub obowiązkach kontrolowanego. Dopiero ustalenia poczynione w jej toku mogą stanowić podstawę wydania zaleceń pokontrolnych albo wszczęcia postępowania administracyjnego, którego rezultatem może być wydanie decyzji, w tym decyzji nakładającej określone obowiązki lub administracyjną karę pieniężną.
Zakres kontroli
Punktem wyjścia do określenia zakresu kontroli jest art. 48 ust. 1 AIU. Z przepisu wynika, że Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji kontroluje przestrzeganie zarówno AIAct, jak i przepisów samej ustawy. Ustawodawca nie zdecydował się jednak na stworzenie zamkniętego katalogu obowiązków podlegających kontroli. Oznacza to, że zakres czynności kontrolnych będzie zależał od tego, jaką rolę pełni przedsiębiorca na rynku sztucznej inteligencji i jakie obowiązki nakłada na niego AIAct.
W praktyce nie każdy przedsiębiorca będzie więc kontrolowany w takim samym zakresie. Innych obowiązków Komisja będzie oczekiwała od dostawcy systemu AI, innych od importera czy dystrybutora, a jeszcze innych od przedsiębiorcy wykorzystującego system sztucznej inteligencji w swojej działalności. Jest to konsekwencja samej konstrukcji AIAct, który rozdziela odpowiedzialność pomiędzy wszystkich uczestników łańcucha dostaw i użytkowania systemów AI.
Najszerszy zakres kontroli będzie dotyczył dostawców systemów AI wysokiego ryzyka. To właśnie oni odpowiadają za zapewnienie zgodności systemu z wymaganiami rozporządzenia. Komisja będzie mogła zatem zweryfikować, czy przedsiębiorca prawidłowo zarządza ryzykiem związanym z systemem AI, zapewnił odpowiednią jakość danych wykorzystywanych do jego trenowania i testowania, prowadzi wymaganą dokumentację techniczną oraz rejestry zdarzeń, a także spełnia wymagania dotyczące przejrzystości działania systemu, nadzoru człowieka, dokładności, odporności i cyberbezpieczeństwa. Kontroli podlegać będzie również sposób realizacji obowiązków związanych z oceną zgodności, oznakowaniem CE, monitorowaniem systemu po jego wprowadzeniu do obrotu oraz zgłaszaniem poważnych incydentów i wadliwego działania systemu.
Nieco inaczej wygląda zakres kontroli importerów i dystrybutorów. W ich przypadku Komisja będzie przede wszystkim sprawdzała, czy przed wprowadzeniem lub udostępnieniem systemu na rynku dopełniono obowiązków weryfikacyjnych przewidzianych w art. 23 i 24 AIAct. Kontrola może więc obejmować m.in. sprawdzenie, czy system przeszedł procedurę oceny zgodności, posiada wymaganą dokumentację i oznakowanie CE oraz czy przedsiębiorca właściwie reaguje na informacje o ewentualnej niezgodności systemu z wymaganiami rozporządzenia.
Odmienny charakter będzie miała również kontrola przedsiębiorcy wykorzystującego system AI w swojej działalności. W tym przypadku Komisja nie będzie oceniała procesu projektowania systemu, lecz sposób jego faktycznego używania. Przedmiotem kontroli będzie zatem m.in. korzystanie z systemu zgodnie z instrukcją dostawcy, zapewnienie odpowiedniego nadzoru człowieka, prowadzenie wymaganych rejestrów zdarzeń czy wykonywanie obowiązków związanych z monitorowaniem działania systemu. W określonych przypadkach kontrola może również obejmować wykonanie obowiązku przeprowadzenia oceny wpływu na prawa podstawowe.
Zakres kontroli nie ogranicza się jednak wyłącznie do systemów AI wysokiego ryzyka. Komisja może również weryfikować wykonywanie obowiązków dotyczących przejrzystości, o których mowa w art. 50 AIAct, w tym obowiązków związanych z informowaniem użytkowników o interakcji z systemem sztucznej inteligencji czy oznaczaniem treści wygenerowanych lub zmanipulowanych przez AI. Na warunkach określonych w AIU i AIAct Komisja będzie współpracowała z dostawcami modeli AI ogólnego przeznaczenia.
Skoro art. 48 ust. 1 AIU odsyła nie tylko do AIAct, ale również do przepisów krajowych, oznacza to, że Komisja może kontrolować także wykonywanie obowiązków wynikających z samej ustawy o systemach sztucznej inteligencji, zwłaszcza tych, które aktualizują się już w toku postępowania kontrolnego. Chodzi przede wszystkim o obowiązek współpracy z organem nadzoru, udzielania wyjaśnień oraz zapewnienia dostępu do dokumentów, danych i systemów informatycznych na zasadach określonych w art. 52 AIU.
W drugiej i trzeciej części artykułu
Zakres kontroli to tylko jeden z elementów nowego modelu nadzoru nad rynkiem AI. W drugiej części artykułu, która ukaże się na Legalis.pl 17.8.2026 r., omówione zostaną szczegółowe uprawnienia Komisji w toku kontroli, w tym możliwość żądania dostępu do dokumentów, danych, systemów informatycznych i korespondencji elektronicznej oraz uzyskiwania wyjaśnień od przedsiębiorcy. W trzeciej części, która zostanie opublikowana 18.8.2026 r., przedstawione zostaną obowiązki kontrolowanego, a także przysługujące mu prawa i gwarancje procesowe.
Gabriela Gąsior – radca prawny w Dziale Własności Intelektualnej/E-commerce/Nowoczesnych Technologii kancelarii MKZPartnerzy. Ekspertka w zakresie prawa nowych technologii, specjalizująca się również w prawie chińskim; zna język chiński.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
