Poradniki · 23 września 2026 · aktualizacja 23 września 2026 · powiązana strona po angielsku

Kontrola KRiBSI: jak się przygotować

Od 28 października 2026 r. KRiBSI może kontrolować firmy. Co mówi ustawa o przebiegu kontroli, czego może żądać kontrolujący, co dzieje się po kontroli i jakie dokumenty warto mieć gotowe, zanim przyjdzie zawiadomienie.

W skrócie

• Od kiedy: przepisy o kontroli (rozdział 3 ustawy o systemach sztucznej inteligencji) wchodzą w życie 28 października 2026 r., trzy miesiące po ogłoszeniu ustawy (art. 127, Dz.U. 2026 poz. 1003).
• Zawiadomienie: kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia o jej wszczęciu (art. 49 ust. 2).
• Zdalnie: kontrola lub poszczególne czynności odbywają się zdalnie, bez jednoczesnej fizycznej obecności stron, za pomocą środków komunikacji na odległość (art. 49 ust. 3).
• Wyjątek: przy uzasadnionym podejrzeniu szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych Komisja może zarządzić czynności w siedzibie firmy i kontrolę bez 7-dniowego terminu (art. 49 ust. 4).
• Kary: KRiBSI nakłada administracyjne kary pieniężne w przypadkach i wysokości określonych w rozdziale XII AI Act (art. 104 ustawy): do 35 mln euro albo 7% światowego obrotu za zakazane praktyki, do 15 mln euro albo 3% za naruszenie m.in. obowiązków z art. 50, do 7,5 mln euro albo 1% za nieprawidłowe informacje dla organów. Dla MŚP liczy się niższa z dwóch kwot.

Siedem dni wystarczy, żeby wysłać dokumenty, które już istnieją. Nie wystarczy, żeby je napisać.

Skąd się bierze kontrola

KRiBSI kontroluje przestrzeganie AI Act (rozporządzenie (UE) 2024/1689) i ustawy według zatwierdzonego planu kontroli, na podstawie uzyskanych informacji albo w ramach monitorowania rynku (art. 48 ust. 2). Kontrolę wszczyna z urzędu, na wniosek przewodniczącego, zastępcy lub członka Komisji albo na wniosek organu chroniącego prawa podstawowe, o którym mowa w art. 77 AI Act (art. 49 ust. 1).

Do kontroli przedsiębiorcy, w sprawach, których ustawa nie reguluje, stosuje się rozdział 5 Prawa przedsiębiorców (art. 48 ust. 3). Kontrolę prowadzi upoważniony pracownik ministerstwa cyfryzacji (art. 50 ust. 1), a w sprawach transgranicznych mogą w niej uczestniczyć przedstawiciele organów innych państw UE lub Komisji Europejskiej (art. 50 ust. 2).

Co będzie w upoważnieniu

Kontrolujący przeprowadza kontrolę po doręczeniu imiennego upoważnienia (art. 51 ust. 1). Upoważnienie zawiera m.in. podstawę prawną, zakres przedmiotowy kontroli oraz datę rozpoczęcia i przewidywany termin zakończenia (art. 51 ust. 2). Zakres to najważniejsza informacja: mówi, których systemów i obowiązków dotyczy kontrola, a więc które dokumenty trzeba zebrać.

Czego może żądać kontrolujący

Zgodnie z art. 52 ust. 1 kontrolujący może m.in.:

• żądać udostępnienia materiałów, dokumentów i korespondencji elektronicznej związanych z przedmiotem kontroli;
• żądać dostępu do systemów informatycznych, także do chmury obliczeniowej innego podmiotu, w której są dane firmy, w zakresie, w jakim firma ma do niej dostęp;
• sporządzać notatki, kopie i wyciągi oraz zabezpieczać materiały;
• żądać ustnych lub pisemnych wyjaśnień;
• nagrywać kontrolę lub jej części, po uprzednim poinformowaniu kontrolowanego.

Firma ma obowiązek udzielić potrzebnych informacji i wyjaśnień, potwierdzać zgodność kopii z oryginałem i zapewnić warunki do sprawnego przeprowadzenia kontroli (art. 52 ust. 2). W praktyce oznacza to, że dostęp do konsoli administracyjnej czatbota, eksport logów czy umowa z dostawcą narzędzia AI powinny być możliwe do przekazania w ciągu godzin, a nie tygodni.

Tajemnica przedsiębiorstwa i korespondencja z prawnikiem

Kontrolujący ma obowiązek zachować poufność informacji, w tym danych osobowych i tajemnicy przedsiębiorstwa (art. 50 ust. 8). Warto więc oznaczać takie materiały i krótko uzasadniać oznaczenie, ale nie wstrzymywać ich udostępnienia.

Osobna ochrona dotyczy komunikacji z adwokatem lub radcą prawnym, wytworzonej w celu uzyskania ochrony prawnej: po oświadczeniu firmy kontrolujący pozostawia te materiały, a spór co do ich charakteru rozstrzyga Sąd Okręgowy w Warszawie – sąd ochrony konkurencji i konsumentów (art. 54). Ciężar dowodu spoczywa na firmie (art. 54 ust. 4).

Po kontroli: protokół i zalecenia

1. Kontrolujący sporządza protokół w postaci elektronicznej i doręcza go firmie (art. 56 ust. 5).
2. Firma ma 14 dni od doręczenia, żeby podpisać protokół albo złożyć na piśmie zastrzeżenia (art. 56 ust. 6). Brak reakcji w tym terminie oznacza odmowę podpisania (art. 56 ust. 8).
3. Jeśli kontrola wykaże nieprawidłowości, KRiBSI wydaje zalecenia pokontrolne z terminem ich usunięcia, co do zasady nie krótszym niż 30 dni (art. 57 ust. 1–3).
4. Jeśli firma nie usunie nieprawidłowości albo nie powiadomi Komisji w terminie, Komisja może wszcząć postępowanie w sprawie naruszenia (art. 57 ust. 5), a w nim nałożyć karę.

Co KRiBSI może sprawdzić już teraz

Obowiązki dla systemów wysokiego ryzyka Digital Omnibus przesunął na 2 grudnia 2027 r. (Załącznik III) i 2 sierpnia 2028 r. (Załącznik I). Obowiązują natomiast już:

• zakazane praktyki (art. 5 AI Act), od 2 lutego 2025 r.;
• kompetencje w zakresie AI (art. 4), od 2 lutego 2025 r., czyli szkolenia i zasady dla osób korzystających z AI; więcej w poradniku Szkolenia z AI (art. 4 AI Act);
• obowiązki w zakresie przejrzystości (art. 50), od 2 sierpnia 2026 r.: czatbot informuje, że jest AI, a treści syntetyczne są oznakowane.

Naszym zdaniem to te obowiązki będą najczęściej sprawdzane w pierwszych kontrolach: są już stosowane, łatwo je zweryfikować na podstawie dokumentów i dotyczą większości firm, które korzystają z AI.

Dokumenty, które warto mieć przed zawiadomieniem

Plan na 7 dni po zawiadomieniu

Braków nie ukrywaj. Rzeczowa informacja („kwestionariusz wysłany do dostawcy 10 września, czekamy na odpowiedź”) jest lepsza niż zgadywanie: nieprawidłowe informacje dla organu to osobny próg kar.

Gdy przepis jest niejasny: opinia indywidualna

Firma objęta AI Act, albo planująca działania, które ją nim obejmą, może zapytać KRiBSI, jak przepisy stosują się do jej sytuacji. Opłata wynosi 150 zł, termin 30 dni, a w sprawach szczególnie skomplikowanych 60 dni. Jeśli Komisja nie zdąży, opinię uznaje się za zgodną ze stanowiskiem z wniosku, a opłata jest zwracana. Opinia wiąże KRiBSI i inne organy państwowe, a jej późniejsza zmiana nie może szkodzić wnioskodawcy (art. 8–13 i 15). Przy sprawach granicznych, na przykład czy firma stała się dostawcą po modyfikacji systemu, to tańsze niż spór po kontroli.

Materiały

• Kalendarium KRiBSI: każdy wpis z artykułem ustawy i źródłem; daty także w kalendarzu do subskrypcji.
• Lista kontrolna przed kontrolą KRiBSI (PDF): jedna strona do wydruku.
• Darmowy szablon rejestru systemów AI, z kolumną do rejestru czynności przetwarzania RODO.
• Przykłady klasyfikacji: 20 typowych zastosowań AI z rozumowaniem krok po kroku.
• Pakiet na kontrolę KRiBSI: polityka zarządzania AI, zasady korzystania z AI, rejestr systemów AI i protokół gotowości do kontroli, po polsku i po angielsku. Pełny AI Compliance Kit zawiera też program szkoleń, kwestionariusz dostawcy i klauzule umowne.

Tekst ustawy: Dz.U. 2026 poz. 1003 w ISAP.