Kontrola KRiBSI: jak wygląda kontrola zdalna z ustawy o AI i jakie dokumenty warto mieć gotowe?

Wielu właścicieli firm wyobraża sobie kontrolę państwową jako wizytę inspektorów w sekretariacie. Przy przepisach o sztucznej inteligencji regułą jest coś innego: kontrola zdalna, na dokumentach.

Poniżej opisujemy, co mówi ustawa, jak wygląda przebieg kontroli i co warto przygotować, zanim przyjdzie zawiadomienie.

Od kiedy i na jakiej podstawie KRiBSI prowadzi kontrole?

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie 11 sierpnia 2026 r. Powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która nadzoruje przestrzeganie unijnego AI Act i polskiej ustawy (art. 48 ust. 1).

Rozdział o kontroli wchodzi w życie później. Zgodnie z art. 127 pkt 2 przepisy o kontrolach, postępowaniach i karach obowiązują od 28 października 2026 r.

Więcej o samym organie pisaliśmy w analizie polskiej ustawy o AI i KRiBSI.

Dlaczego kontrola z ustawy o AI jest co do zasady zdalna?

Kluczowy przepis to art. 49 ust. 3: kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron, z wykorzystaniem środków porozumiewania się na odległość.

Przebieg wygląda tak:

1. Zawiadomienie. Kontrola może się rozpocząć najwcześniej 7 dni po doręczeniu zawiadomienia o jej wszczęciu (art. 49 ust. 2).
2. Upoważniony kontrolujący. Czynności kontrolne prowadzi pracownik urzędu obsługującego ministra właściwego do spraw informatyzacji, upoważniony przez Komisję (art. 50 ust. 1).
3. Żądania. Kontrolujący może żądać udostępnienia materiałów, dokumentów, korespondencji elektronicznej, dostępu do systemów (w tym w chmurze innego dostawcy, w zakresie, w jakim firma ma do nich dostęp) oraz ustnych lub pisemnych wyjaśnień (art. 52 ust. 1).
4. Protokół. Firma ma 14 dni od doręczenia protokołu na jego podpisanie albo złożenie zastrzeżeń (art. 56 ust. 6).

Wyjątkiem jest kontrola na miejscu. Komisja może ją zarządzić postanowieniem, gdy ma uzasadnione podejrzenie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych (art. 49 ust. 4).

Dla przedsiębiorcy oznacza to jedno: wynik kontroli w dużej mierze rozstrzyga się na dokumentach, które firma przekaże.

Jakie dokumenty warto mieć gotowe przed kontrolą?

Ustawa nie zawiera listy dokumentów, o które zapyta kontrolujący. Kontrole ruszają dopiero 28 października, więc nie ma jeszcze praktyki, na której można by się oprzeć. Na podstawie obowiązków, które AI Act nakłada na firmy korzystające z AI, warto uporządkować 4 obszary:

1. Spis używanych systemów AI. Lista narzędzi (asystenci AI, moduły w CRM, automatyzacje), z których korzysta zespół, z celem użycia i rodzajem danych, które do nich trafiają.
2. Ustalenie roli: dostawca czy podmiot stosujący. Czy firma tylko korzysta z gotowych narzędzi, czy wprowadza na rynek własne rozwiązania pod swoją marką. Różnicę wyjaśniamy w artykule dostawca czy podmiot stosujący AI Act.
3. Zasady nadzoru człowieka. Kto i jak weryfikuje wyniki modelu przed ich udostępnieniem klientowi albo publikacją.
4. Ślad po kompetencjach zespołu. Art. 4 AI Act po nowelizacji jest obowiązkiem starannego działania. Sprawdzalny jest ślad: zakres szkolenia, data, lista obecności, wewnętrzne zasady korzystania z AI.

Jakie kary grożą za utrudnianie kontroli i naruszenia AI Act?

Trzeba odróżnić dwie rzeczy.

• Utrudnianie kontroli (polska ustawa). Kto utrudnia lub udaremnia czynności kontrolne, podlega karze ograniczenia wolności albo grzywny. Odpowiada osoba działająca w imieniu firmy, a sprawy rozpatruje się w trybie wykroczeniowym (art. 112-114).
• Naruszenia AI Act (art. 99 rozporządzenia 2024/1689). Za zakazane praktyki grozi do 35 mln euro lub 7% rocznego światowego obrotu. Za naruszenie większości pozostałych obowiązków, w tym obowiązków podmiotów stosujących (art. 26) i obowiązków przejrzystości (art. 50), do 15 mln euro lub 3%. Za podanie organom nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji do 7,5 mln euro lub 1%. W przypadku MŚP stosuje się niższą z tych kwot (art. 99 ust. 6).

Ostatni punkt ma znaczenie przy kontroli: odpowiedź na żądanie kontrolującego musi być prawdziwa i kompletna.

Jak mała firma powinna przygotować się przed 28 października?

Przygotowanie nie wymaga segregatorów. Wystarczą 3 kroki:

1. Sprawdźcie, z jakich narzędzi AI korzysta zespół, także na telefonach i kontach prywatnych.
2. Spiszcie zasady korzystania z AI. Pomoże w tym poradnik ustawa o AI: co mała firma powinna zrobić w tym tygodniu. Wystarczy jedna strona.
3. Wskażcie osobę odpowiedzialną, która w razie kontroli zbierze dokumenty i będzie kontaktem dla kontrolującego.

Jeśli chcecie szybko sprawdzić, które obowiązki unijne i krajowe dotyczą Waszej firmy, skorzystajcie z bezpłatnego narzędzia do wstępnej orientacji po AI Act.