Co się stało
11 czerwca 2026 Sejm uchwalił ustawę o systemach sztucznej inteligencji — krajowy akt, który dopina unijny AI Act (rozporządzenie 2024/1689) do polskiego porządku prawnego. Za uchwaleniem głosowało 421 posłów, trzech było przeciw, osiemnastu się wstrzymało. To jeszcze nie obowiązujące prawo: ustawa trafia teraz do Senatu, a po nim do podpisu Prezydenta. Mówimy więc o akcie na ścieżce legislacyjnej, nie o przepisie, który dziś kogokolwiek wiąże.
Sednem ustawy jest rozstrzygnięcie, na które rynek czekał najdłużej: kto w Polsce nadzoruje AI. Powstaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — jeden krajowy organ nadzoru rynku i jeden punkt kontaktu z instytucjami unijnymi. Polska wybrała model scentralizowany: zamiast rozproszyć kompetencje między kilka istniejących urzędów, stawia osobną komisję, której przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. KRiBSI dostaje twarde uprawnienia — może kontrolować firmy i instytucje korzystające z AI, badać zgodność systemów z AI Act, nakładać kary administracyjne i wycofywać niezgodne systemy z rynku. Ustawa wprowadza też piaskownice regulacyjne, w których firmy testują rozwiązania pod okiem nadzoru, zanim wyjdą z nimi na rynek.
Kontekst dat jest tu istotny. Termin na wyznaczenie krajowych organów nadzoru wynikający z AI Act minął 2 sierpnia 2025 — Polska domyka to z opóźnieniem. Szeroka stosowalność samego rozporządzenia przypada na sierpień 2026, a pełne wdrożenie krajowych przepisów planowane jest na 2027. Organ powstaje więc mniej więcej w momencie, w którym obowiązki z AI Act zaczynają realnie obowiązywać.
Nasza teza
Najważniejsze w tej ustawie nie jest to, że Polska wdraża AI Act — to było przesądzone od 2024 roku. Ważne jest, że pojawia się adres: konkretny urząd z prawem wejścia do firmy, oceny systemu i nałożenia kary. Dotąd „zgodność z AI Act" bywała dla zarządów pozycją na slajdzie — obowiązkiem bez egzekutora. Z chwilą, w której KRiBSI zacznie działać, po drugiej stronie stołu siada ktoś, kto może poprosić o dowody.
To przesuwa pytanie operatora. Nie brzmi już „czy AI Act nas dotyczy" — dotyczy, niezależnie od tego, kiedy ustawa wyjdzie z Senatu — tylko „czy umiemy pokazać, co u nas robi AI, kto to zatwierdził i na jakiej podstawie". Jedno zaznaczam jako spekulację: dokładny termin uruchomienia komisji i jej pierwszych kontroli zależy od tempa prac w Senacie oraz powołania przewodniczącego, więc dziś go nie znamy. Kierunek jest jednak pewny, a przygotowanie nie wymaga czekania na ostatni podpis.
Dlaczego to ma znaczenie
Private Equity
Dla funduszu to nowa pozycja w diligence i w nadzorze nad portfelem. Skoro pojawia się krajowy regulator z prawem kontroli i kar, pytanie „czy spółka portfelowa używa AI" przestaje być ciekawostką techniczną, a staje się ryzykiem regulacyjnym, które ma już swojego adresata. Przed kolejną transakcją warto wiedzieć, które systemy AI w spółce łapią się na wysokie ryzyko z AI Act, czy istnieje ich rejestr i kto odpowiada za zgodność — bo to są dokładnie rzeczy, o które nowy organ może zapytać po fakcie. Jak układamy ten przegląd po stronie funduszu, opisujemy przy pracy z private equity.
Enterprise
Dla dużej organizacji ustawa zamienia ład AI z dokumentu w coś, co trzeba umieć okazać. Scentralizowany nadzór oznacza jeden tryb kontroli i jeden zestaw oczekiwań — łatwiej się przygotować niż przy rozproszonych regulatorach, ale trudniej schować się za „to nie nasz urząd". Warto mieć gotowe trzy rzeczy, zanim komisja ruszy: rejestr systemów AI z ich klasyfikacją ryzyka, jasną granicę decyzji człowieka tam, gdzie system działa w obszarze wysokiego ryzyka, oraz log decyzji, który da się przedstawić. To ta sama robota, którą opisywaliśmy przy roku obowiązywania AI Act w zarządach — teraz dochodzi do niej regulator, który może o nią poprosić.
MŚP / średni rynek
Tu wraca obawa, że krajowy nadzór to problem wyłącznie dużych — i jest ona myląca. AI Act nie zwalnia mniejszych firm, a piaskownice regulacyjne są wręcz pomyślane jako wejście dla podmiotów, które chcą przetestować rozwiązanie bez ryzyka, że potkną się o przepis. Właściciel firmy średniej wielkości, który puścił obsługę klienta albo obieg dokumentów na AI, nie potrzebuje działu zgodności — potrzebuje trzech artefaktów, które da się okazać: co system robi z danymi, gdzie kończy się jego decyzja a zaczyna człowiek, i prostego zapisu tego, co rozstrzygnął.
Jeden krok, który możesz zrobić w tym tygodniu
Zrób listę systemów AI, które już u Ciebie działają — łącznie z tymi kupionymi jako funkcja w innym narzędziu, bo liczą się tak samo. Przy każdym dopisz jedno zdanie: do czego służy i czy podejmuje albo wspiera decyzję dotyczącą człowieka — klienta, kandydata, pracownika. Ta jedna kartka jest zalążkiem rejestru, o który zapyta nowy organ, i jednocześnie najszybszym sposobem, żeby zobaczyć, gdzie naprawdę masz ryzyko. Nie odkładaj jej do podpisu Prezydenta — obowiązek wynika z AI Act, nie z daty, w której ustawa wyjdzie z Senatu.
Opisz swój przypadek
Jeśli chcesz wiedzieć, które z Twoich systemów AI łapią się na wysokie ryzyko z AI Act i jak wygląda minimalny rejestr, który zniesie kontrolę, przynieś listę tego, co już działa. Zaczynamy od konkretu, nie od polityki. Opisz swój przypadek: mailto:[email protected]?subject=Rozmowa%20z%20Aurora%20AI.