W pierwszej części artykułu omówione zostały podstawy prowadzenia kontroli na gruncie ustawy o systemach sztucznej inteligencji, jej zakres oraz rodzaje obowiązków przedsiębiorców, które mogą podlegać weryfikacji przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Samo ustalenie, co może zostać objęte kontrolą, nie wyczerpuje jednak praktycznych problemów związanych z nowym modelem nadzoru nad rynkiem AI.
Równie istotne jest to, w jaki sposób Komisja może prowadzić czynności kontrolne, jakich dokumentów, danych i wyjaśnień może żądać oraz jakie obowiązki w toku kontroli ciążą na przedsiębiorcy. Ustawa przyznaje kontrolującym szerokie kompetencje, obejmujące także dostęp do systemów informatycznych, korespondencji elektronicznej i danych przechowywanych przy wykorzystaniu usług podmiotów trzecich. Jednocześnie ustawa wyznacza granice tych uprawnień – kontrolowanemu przysługują określone prawa i gwarancje procesowe.
Druga część została poświęcona uprawnieniom kontrolujących oraz obowiązkom kontrolowanego przedsiębiorcy w toku kontroli.
Instrumenty pozwalające na skuteczne ustalenie stanu faktycznego
Samo przyznanie Komisji kompetencji do prowadzenia kontroli nie byłoby wystarczające, gdyby ustawodawca nie wyposażył jej w instrumenty pozwalające na skuteczne ustalenie stanu faktycznego. Z tego względu art. 52 ustawy z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU) przyznaje kontrolującym szeroki katalog uprawnień dowodowych, obejmujących zarówno dostęp do dokumentów i danych, jak i możliwość pozyskiwania informacji bezpośrednio od kontrolowanego przedsiębiorcy. Zakres tych uprawnień odzwierciedla specyfikę systemów sztucznej inteligencji, których zgodności z przepisami nie sposób ocenić wyłącznie na podstawie tradycyjnej dokumentacji.
Jednym z najdalej idących uprawnień kontrolującego jest możliwość żądania udostępnienia wszelkich materiałów pozostających w związku z przedmiotem kontroli – art. 52 ust. 1 pkt 1 AIU obejmuje nie tylko dokumenty w postaci papierowej, ale również korespondencję elektroniczną, informatyczne nośniki danych, urządzenia zawierające dane informatyczne oraz systemy informatyczne i teleinformatyczne. Co istotne, obowiązek udostępnienia danych nie ogranicza się wyłącznie do infrastruktury należącej do kontrolowanego. Jeżeli przedsiębiorca korzysta z usług chmurowych lub systemów informatycznych prowadzonych przez podmioty trzecie, Komisja może żądać zapewnienia dostępu również do tych zasobów, o ile kontrolowany posiada do nich dostęp i zawierają one dane związane z przedmiotem kontroli. W praktyce oznacza to, że przedsiębiorca nie będzie mógł skutecznie powoływać się na fakt przechowywania dokumentacji lub danych u zewnętrznego dostawcy usług IT.
Samo uzyskanie dostępu do dokumentów nie wyczerpuje jednak kompetencji Komisji. Zgodnie z art. 52 ust. 1 pkt 2–5 AIU kontrolujący mogą zapoznawać się z materiałami zgromadzonymi przez przedsiębiorcę, sporządzać z nich notatki, wykonywać kopie i wyciągi, zabezpieczać dokumenty oraz opracowywać zestawienia i obliczenia na podstawie dokumentów lub elektronicznych baz danych. Uprawnienia te mają istotne znaczenie zwłaszcza w przypadku przedsiębiorców wykorzystujących rozbudowane systemy informatyczne, ponieważ pozwalają Komisji analizować nie tylko dokumentację formalną, ale również dane zgromadzone w systemach wykorzystywanych w działalności przedsiębiorcy.
Wyjaśnienia kontrolowanego
Istotnym elementem kontroli jest również możliwość pozyskiwania informacji bezpośrednio od kontrolowanego. Art. 52 ust. 1 pkt 6 AIU przyznaje kontrolującemu prawo żądania ustnych lub pisemnych wyjaśnień we wszystkich sprawach związanych z przedmiotem kontroli. W praktyce uprawnienie to będzie miało szczególne znaczenie w odniesieniu do systemów sztucznej inteligencji, których funkcjonowanie często wymaga wyjaśnienia procesów technicznych, organizacyjnych lub sposobu realizacji obowiązków wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r. Nr 131, s. 1689; dalej: AIAct). Sama dokumentacja nie zawsze pozwala bowiem odtworzyć sposób działania systemu ani proces podejmowania decyzji przez przedsiębiorcę.
Przetwarzanie danych osobowych i utrwalanie przebiegu kontroli
Na uwagę zasługuje również art. 52 ust. 1 pkt 7 AIU, który uprawnia Komisję do przetwarzania danych osobowych w zakresie niezbędnym do przeprowadzenia kontroli. Jest to rozwiązanie konieczne z perspektywy skuteczności nadzoru, ponieważ w praktyce kontrola systemów sztucznej inteligencji bardzo często będzie wiązała się z analizą danych osobowych przetwarzanych przez przedsiębiorców. Jednocześnie ustawodawca wyraźnie ograniczył zakres tego uprawnienia do danych niezbędnych dla realizacji celu kontroli, co odpowiada zasadzie minimalizacji danych wynikającej z RODO.
Ustawodawca dopuścił również możliwość utrwalania przebiegu kontroli. Zgodnie z art. 52 ust. 1 pkt 8 AIU Komisja może rejestrować przebieg czynności kontrolnych za pomocą urządzeń rejestrujących obraz lub dźwięk, pod warunkiem uprzedniego poinformowania o tym kontrolowanego. Rejestracja ma służyć zapewnieniu prawidłowego przebiegu kontroli oraz może stanowić istotny materiał dowodowy w przypadku późniejszych sporów dotyczących przebiegu czynności kontrolnych.
Obowiązki kontrolowanego
Zakres uprawnień Komisji został skorelowany z obowiązkami nałożonymi na kontrolowanego przedsiębiorcę. Zgodnie z art. 52 ust. 2 AIU przedsiębiorca jest zobowiązany nie tylko do udzielania informacji i wyjaśnień oraz potwierdzania zgodności kopii dokumentów z oryginałami, ale również do zapewnienia kontrolującym warunków umożliwiających sprawne przeprowadzenie kontroli. Obejmuje to w szczególności umożliwienie wstępu do obiektów i pomieszczeń, zapewnienie dostępu do dokumentów, urządzeń oraz systemów informatycznych, w tym korespondencji elektronicznej. Oznacza to, że skuteczność kontroli została oparta na obowiązku aktywnej współpracy przedsiębiorcy z organem nadzoru, a nie wyłącznie na jednostronnych uprawnieniach Komisji.
Przepisy art. 52 AIU, określające uprawnienia kontrolujących oraz obowiązki kontrolowanego w toku kontroli, wejdą w życie 28.10.2026 r., tj. po upływie 3 miesięcy od dnia ogłoszenia ustawy.
W trzeciej części artykułu
Szerokim uprawnieniom kontrolujących towarzyszą określone prawa i gwarancje procesowe przedsiębiorcy, które wyznaczają granice ingerencji organu oraz służą ochronie praw kontrolowanego. Obejmują one m.in. zasady wszczęcia i prowadzenia kontroli, możliwość weryfikacji upoważnienia kontrolujących, ochronę komunikacji z profesjonalnym pełnomocnikiem oraz ograniczenia dotyczące zakresu żądanych informacji i dokumentów.
Prawa i gwarancje procesowe kontrolowanego, a także praktyczne aspekty przygotowania przedsiębiorcy do kontroli Komisji, zostaną omówione w trzeciej części artykułu, która zostanie opublikowana na Legalis.pl 18.8.2026 r. Przedstawione zostaną m.in. zasady zawiadamiania o kontroli i weryfikacji upoważnienia kontrolujących, ochrona komunikacji z profesjonalnym pełnomocnikiem oraz rozwiązania organizacyjne, które mogą ułatwić przedsiębiorcy przygotowanie się do kontroli i jej sprawne przeprowadzenie.
Gabriela Gąsior – radca prawny w Dziale Własności Intelektualnej/E-commerce/Nowoczesnych Technologii kancelarii MKZPartnerzy. Ekspertka w zakresie prawa nowych technologii, specjalizująca się również w prawie chińskim; zna język chiński.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
