Wielu właścicieli firm wyobraża sobie kontrolę państwową jako wizytę inspektorów w sekretariacie. Przy przepisach o sztucznej inteligencji regułą jest coś innego: kontrola zdalna, na dokumentach.

Poniżej opisujemy, co mówi ustawa, jak wygląda przebieg kontroli i co warto przygotować, zanim przyjdzie zawiadomienie.

Od kiedy i na jakiej podstawie KRiBSI prowadzi kontrole?

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie 11 sierpnia 2026 r. Powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która nadzoruje przestrzeganie unijnego AI Act i polskiej ustawy (art. 48 ust. 1).

Rozdział o kontroli wchodzi w życie później. Zgodnie z art. 127 pkt 2 przepisy o kontrolach, postępowaniach i karach obowiązują od 28 października 2026 r.

Więcej o samym organie pisaliśmy w analizie polskiej ustawy o AI i KRiBSI.

Dlaczego kontrola z ustawy o AI jest co do zasady zdalna?

Kluczowy przepis to art. 49 ust. 3: kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron, z wykorzystaniem środków porozumiewania się na odległość.

Przebieg wygląda tak:

1. Zawiadomienie. Kontrola może się rozpocząć najwcześniej 7 dni po doręczeniu zawiadomienia o jej wszczęciu (art. 49 ust. 2).
2. Upoważniony kontrolujący. Czynności kontrolne prowadzi pracownik urzędu obsługującego ministra właściwego do spraw informatyzacji, upoważniony przez Komisję (art. 50 ust. 1).
3. Żądania. Kontrolujący może żądać udostępnienia materiałów, dokumentów, korespondencji elektronicznej, dostępu do systemów (w tym w chmurze innego dostawcy, w zakresie, w jakim firma ma do nich dostęp) oraz ustnych lub pisemnych wyjaśnień (art. 52 ust. 1).
4. Protokół. Firma ma 14 dni od doręczenia protokołu na jego podpisanie albo złożenie zastrzeżeń (art. 56 ust. 6).

Wyjątkiem jest kontrola na miejscu. Komisja może ją zarządzić postanowieniem, gdy ma uzasadnione podejrzenie szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych (art. 49 ust. 4).

Dla przedsiębiorcy oznacza to jedno: wynik kontroli w dużej mierze rozstrzyga się na dokumentach, które firma przekaże.

Jakie dokumenty warto mieć gotowe przed kontrolą?

Ustawa nie zawiera listy dokumentów, o które zapyta kontrolujący. Kontrole ruszają dopiero 28 października, więc nie ma jeszcze praktyki, na której można by się oprzeć. Na podstawie obowiązków, które AI Act nakłada na firmy korzystające z AI, warto uporządkować 4 obszary:

1. Spis używanych systemów AI. Lista narzędzi (asystenci AI, moduły w CRM, automatyzacje), z których korzysta zespół, z celem użycia i rodzajem danych, które do nich trafiają.
2. Ustalenie roli: dostawca czy podmiot stosujący. Czy firma tylko korzysta z gotowych narzędzi, czy wprowadza na rynek własne rozwiązania pod swoją marką. Różnicę wyjaśniamy w artykule dostawca czy podmiot stosujący AI Act.
3. Zasady nadzoru człowieka. Kto i jak weryfikuje wyniki modelu przed ich udostępnieniem klientowi albo publikacją.
4. Ślad po kompetencjach zespołu. Art. 4 AI Act po nowelizacji jest obowiązkiem starannego działania. Sprawdzalny jest ślad: zakres szkolenia, data, lista obecności, wewnętrzne zasady korzystania z AI.

Jakie kary grożą za utrudnianie kontroli i naruszenia AI Act?

Trzeba odróżnić dwie rzeczy.

• Utrudnianie kontroli (polska ustawa). Kto utrudnia lub udaremnia czynności kontrolne, podlega karze ograniczenia wolności albo grzywny. Odpowiada osoba działająca w imieniu firmy, a sprawy rozpatruje się w trybie wykroczeniowym (art. 112-114).
• Naruszenia AI Act (art. 99 rozporządzenia 2024/1689). Za zakazane praktyki grozi do 35 mln euro lub 7% rocznego światowego obrotu. Za naruszenie większości pozostałych obowiązków, w tym obowiązków podmiotów stosujących (art. 26) i obowiązków przejrzystości (art. 50), do 15 mln euro lub 3%. Za podanie organom nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji do 7,5 mln euro lub 1%. W przypadku MŚP stosuje się niższą z tych kwot (art. 99 ust. 6).

Ostatni punkt ma znaczenie przy kontroli: odpowiedź na żądanie kontrolującego musi być prawdziwa i kompletna.

Jak mała firma powinna przygotować się przed 28 października?

Przygotowanie nie wymaga segregatorów. Wystarczą 3 kroki:

1. Sprawdźcie, z jakich narzędzi AI korzysta zespół, także na telefonach i kontach prywatnych.
2. Spiszcie zasady korzystania z AI. Pomoże w tym poradnik ustawa o AI: co mała firma powinna zrobić w tym tygodniu. Wystarczy jedna strona.
3. Wskażcie osobę odpowiedzialną, która w razie kontroli zbierze dokumenty i będzie kontaktem dla kontrolującego.

Jeśli chcecie szybko sprawdzić, które obowiązki unijne i krajowe dotyczą Waszej firmy, skorzystajcie z bezpłatnego narzędzia do wstępnej orientacji po AI Act.

Większość artykułów o agentach AI przypomina opowieści z Doliny Krzemowej: roje autonomicznych algorytmów, wielomilionowe budżety i zespoły inżynierów danych. Właściciel polskiej hurtowni albo firmy produkcyjnej po przeczytaniu takich materiałów dochodzi do prostego wniosku: „To nie dla nas, może za pięć lat".

To błąd. W małych i średnich firmach agenci najlepiej sprawdzają się w prostych, powtarzalnych procesach, które codziennie zabierają pracownikom czas.

Czym różni się agent AI od zwykłego czatu?

Tradycyjny czat z modelem językowym wymaga człowieka przy klawiaturze na każdym etapie: wklejasz treść, piszesz prompt, kopiujesz wynik. Jeśli zamkniesz kartę przeglądarki, proces się zatrzymuje.

Agent AI to połączenie modelu rozumującego z konkretnymi narzędziami i dostępem do firmowych danych. Agent potrafi:

1. Odebrać informację ze źródła (np. nowe zapytanie ze skrzynki biuro@twojadomena.pl).
2. Podjąć decyzję na podstawie instrukcji (np. „czy to zapytanie o ofertę, reklamacja, czy spam?").
3. Wykonać sekwencję działań (np. sprawdzić cennik w pliku, przygotować wersję roboczą wyceny i zapisać podsumowanie w arkuszu).

Dla firmy oznacza to, że rutynowe zadania są wstępnie przygotowane, zanim pracownik zdąży w ogóle otworzyć rano pocztę.

Dlaczego małe firmy nie powinny zaczynać od skomplikowanych wdrożeń?

Najczęstszą przyczyną porażki projektów automatyzacji w MŚP jest próba zrobienia wszystkiego naraz: przebudowa całego CRM-u, próba zastąpienia handlowców botem czy budowa rozbudowanego systemu od zera.

Zamiast rewolucji, skuteczna droga wiedzie przez małe, pewne usprawnienia. Sprawdźcie nasz przewodnik, od czego zacząć wdrożenie AI w małej firmie: wybieramy jeden proces, który boli najbardziej, i usuwamy z niego rutynę.

Oto 3 procesy, od których warto zacząć.

Jak zautomatyzować kwalifikację zapytań ofertowych i wstępną wycenę?

W wielu firmach handlowych skrzynka ogólna to chaos: mieszają się tam pytania o dostępność produktów, oferty od dostawców, faktury i wartościowe zapytania od klientów B2B.

Jak działa agent w tym procesie:

• Odczytuje przychodzącą wiadomość.
• Analizuje treść i wyciąga kluczowe dane: nazwa klienta, NIP, szacowany wolumen, terminy realizacji.
• Sprawdza w wewnętrznej tabeli parametrów, czy firma w ogóle realizuje takie zlecenia.
• Przygotowuje projekt odpowiedzi z podziękowaniem i prośbą o brakujące parametry techniczne.
• Przypisuje sprawę do odpowiedniego opiekuna klienta.

Handlowiec nie traci czasu na przekopywanie się przez maile, lecz dostaje gotowe podsumowanie z przygotowanym szkicem odpowiedzi.

Jak powierzyć agentowi kategoryzację dokumentów i wstępny opis faktur?

Faktury kosztowe, potwierdzenia odbioru i protokoły lądują na różnych skrzynkach pocztowych i często leżą bez opisu do końca miesiąca, paraliżując pracę księgowości.

Jak działa agent w tym procesie:

• Odbiera załącznik PDF ze wskazanego folderu pocztowego.
• Model, który czyta skany i pliki PDF, odczytuje dane: sprzedawca, kwota netto/brutto, data, pozycje kosztowe.
• Przypisuje koszt do odpowiedniego projektu lub działu na podstawie firmowego planu kont.
• Zmienia nazwę pliku na zunifikowany format (np. 2026-10_Faktura_Dostawca_1234.pdf) i zapisuje w chmurze dokumentów.
• Jeśli kwota przekracza określony limit lub dokument budzi wątpliwości, powiadamia właściciela firmy.

Jak wdrożyć asystenta do przygotowywania szkiców odpowiedzi na maile?

Wiele pytań klientów powtarza się w kółko: terminy wysyłki, wzorniki, dostępność asortymentu, warunki płatności czy procedury zwrotu.

Jak działa agent w tym procesie:

• Agent ma wgrany zestaw firmowych procedur i instrukcji (tzw. bazę wiedzy).
• Na podstawie pytania klienta tworzy spersonalizowaną, uprzejmą i rzeczową odpowiedź w języku polskim.
• Zapisuje wiadomość jako wersję roboczą (draft) w programie pocztowym pracownika.
• Pracownik czyta gotowy tekst, w razie potrzeby dopisuje jedno zdanie i klika „Wyślij".

Dzięki temu nikt nie pisze tej samej odpowiedzi od zera, a styl komunikacji pozostaje spójny niezależnie od tego, kto danego dnia ma dyżur.

Jak bezpiecznie wdrożyć pierwszego agenta bez ryzyka błędu?

Kluczem do spokoju właściciela firmy jest zasada „człowiek w pętli" (human-in-the-loop).

Nie pozwalamy modelom na wysyłanie czegokolwiek na zewnątrz bez zatwierdzenia. Agent jest asystentem, który wykonuje żmudną część pracy, ale decyzję zawsze podejmuje człowiek. Unijny AI Act wymaga nadzoru człowieka wprost dla systemów wysokiego ryzyka (art. 14 rozporządzenia 2024/1689). Proste procesy w małej firmie zwykle do nich nie należą, ale ta sama zasada sprawdza się także tutaj. Przypominamy o tym w naszym artykule o zasadach korzystania z AI w firmie.

W AI Bez Obaw pomagamy małym firmom zaprojektować i uruchomić takie procesy tak, żeby zostały w firmie i działały stabilnie. Sprawdźcie naszą ofertę szkoleń i wdrożeń automatyzacji.

Wokół PPWR narosło wiele nieporozumień, a jednym z najczęstszych jest cyfrowy paszport produktu (Digital Product Passport, DPP). W wielu materiałach przedstawia się go jako obowiązek wynikający z PPWR, tymczasem rozporządzenie (UE) 2025/40 (PPWR) nie wprowadza takiego wymogu.

Poniżej wyjaśniamy, skąd bierze się cyfrowy paszport produktu, czego PPWR wymaga od opakowań w zakresie oznakowania i od kiedy.

Czym jest cyfrowy paszport produktu (DPP) i skąd się bierze?

Cyfrowy paszport produktu wprowadza rozporządzenie w sprawie ekoprojektu, czyli ESPR (UE) 2024/1781. To cyfrowy rekord produktu, dostępny po zeskanowaniu nośnika danych, na przykład kodu QR. Które produkty muszą go mieć i od kiedy, Komisja określa w aktach delegowanych dla poszczególnych grup produktów.

PPWR dotyczy opakowań i posługuje się innym narzędziem: zharmonizowaną etykietą oraz kodami QR lub innymi cyfrowymi nośnikami danych. Oba akty łączy jeden punkt. Motyw 70 PPWR mówi, że jeśli produkt w opakowaniu ma już cyfrowy paszport z ESPR, informacje o opakowaniu powinny być przekazywane tym samym nośnikiem, żeby nie mnożyć etykiet.

Jakie oznakowanie wymaga PPWR i od kiedy?

Rozporządzenie wprowadza obowiązki etapami:

• Od 12 sierpnia 2026 r.: deklaracja zgodności UE dla każdego typu opakowania, potwierdzająca spełnienie wymogów z art. 5-12 (art. 39).
• Od 12 sierpnia 2028 r. albo 24 miesiące po wejściu w życie aktów wykonawczych, zależnie od tego, która data jest późniejsza: zharmonizowana etykieta z informacją o składzie materiałowym, która ułatwia sortowanie (art. 12 ust. 1). Nie dotyczy opakowań transportowych ani objętych systemem kaucyjnym, ale opakowania dla handlu elektronicznego nie są z niej wyłączone. Kod QR z informacjami o sortowaniu jest tu dobrowolnym dodatkiem.
• Od 12 lutego 2029 r. lub późniejszego terminu określonego w art. 12: etykieta „opakowanie wielokrotnego użytku” i kod QR lub inny cyfrowy nośnik danych z informacjami o ponownym użyciu i punktach zbiórki (art. 12 ust. 2).

Terminy etykiet przesuwają się, jeśli akty wykonawcze Komisji wejdą w życie później. Rozporządzenie wskazuje wtedy późniejszą z dwóch dat.

Kogo dotyczą nowe obowiązki: producentów czy sklepy internetowe?

Obowiązki PPWR spadają na różne role w łańcuchu:

1. Producenci wyrobów, którzy pakują własne towary, potrzebują od dostawców opakowań danych o materiałach, żeby przygotować deklarację zgodności dla każdego typu opakowania.
2. Importerzy odpowiadają za to, że opakowania towarów sprowadzanych spoza Unii spełniają wymogi PPWR.
3. Sklepy internetowe, które pakują przesyłki, od 1 stycznia 2030 r. muszą zapewnić, że pusta przestrzeń w opakowaniu zbiorczym, transportowym lub e-commerce nie przekracza 50% (art. 24).

O tym, co grozi za zaniedbania, piszemy w artykule o karach za brak zgodności z PPWR.

Co zmienia się w 2030 roku?

Od 1 stycznia 2030 r. wchodzą wymogi projektowe:

• na rynek trafiają tylko opakowania zdatne do recyklingu w klasach A, B lub C (art. 6 ust. 3), a od 2038 r. tylko w klasach A lub B,
• plastikowe części opakowań muszą zawierać minimalny udział recyklatu (art. 7),
• obowiązuje wspomniany limit 50% pustej przestrzeni (art. 24).

Także te terminy mogą się przesunąć, jeśli akty Komisji, na których się opierają, wejdą w życie później. Pełny przegląd dat znajdziecie w kalendarzu obowiązków PPWR.

Od czego mała firma powinna zacząć przygotowania?

Najwięcej pracy wymaga uporządkowanie danych u źródła:

1. Spiszcie opakowania. Każde opakowanie jednostkowe, zbiorcze i transportowe, którego używacie. Liczba typów opakowań to liczba deklaracji zgodności.
2. Poproście dostawców o dane. Skład materiałowy, deklaracje zgodności i, przy plastiku, udział recyklatu.
3. Zaplanujcie miejsce na etykietę. Przy kolejnym projekcie nadruku uwzględnijcie pole na zharmonizowaną etykietę, a przy opakowaniach wielokrotnego użytku także na kod QR.

Jeśli chcecie sprawdzić, które przepisy i terminy dotyczą Waszych opakowań, skorzystajcie z audytu gotowości na PPWR. Zakres i ceny audytów znajdziecie w ofercie.

Większość rozmów o sztucznej inteligencji w małych firmach zaczyna się od pytania, z jakiego narzędzia korzystać. Gdy jednak zapytać, jak zespół pracuje z AI dzisiaj, często okazuje się, że pracownicy korzystają z darmowych kont w przeglądarce albo prywatnych subskrypcji opłacanych prywatną kartą.

To zjawisko nazywa się shadow AI. Największym problemem nie jest tu czas pracy, ale los danych finansowych, umów i tajemnic przedsiębiorstwa.

Co dzieje się z danymi na darmowym koncie czatu AI?

Na kontach prywatnych (darmowych i indywidualnych) dostawcy mogą wykorzystywać rozmowy do trenowania modeli. OpenAI pisze wprost, że ChatGPT uczy się na rozmowach, chyba że użytkownik wyłączy to w ustawieniach. Anthropic w cenniku Claude opisuje to samo jako opcję rezygnacji dostępną na kontach prywatnych.

Gdy handlowiec wkleja do prywatnego czatu ofertę z marżami, a księgowa zestawienie kosztów, o tym, czy te treści posłużą do trenowania, decyduje ustawienie na ich prywatnym koncie. Firma nie ma na to wpływu.

Rozwiązaniem nie jest zakaz używania AI. Pracownicy i tak po nie sięgną, bo praca musi być zrobiona na czas. Rozwiązaniem jest oficjalne konto firmowe.

Czym różni się ChatGPT Business od Claude Team?

Obaj dostawcy mają plany dla małych i średnich zespołów: ChatGPT Business (OpenAI, dawniej ChatGPT Team) oraz Claude Team (Anthropic).

Oba plany mają wspólną zasadę, kluczową dla firmy: dostawca domyślnie nie trenuje modeli na danych firmy. Warunki opisują regulaminy biznesowe: OpenAI Business Terms oraz Anthropic Commercial Terms.

Według stron cenowych obu dostawców (stan na 5.10.2026):

1. ChatGPT Business:

- funkcje ChatGPT, ChatGPT Work i Codex, - integracje z Google Workspace, Slackiem, GitHubem, Microsoft 365 i innymi usługami, - agenci w przestrzeni roboczej do własnych procesów, - logowanie SSO, centralne rozliczenia i administracja, statystyki użycia.

1. Claude Team:

- funkcje Claude, w tym Claude Code, Claude Cowork i Claude Design, - integracje z Microsoft 365 i innymi usługami, wyszukiwanie w zasobach organizacji, - logowanie SSO, centralne rozliczenia i administracja, - kontrola administratora nad konektorami.

Ile kosztują konta zespołowe i od ilu stanowisk można zacząć?

Ceny obu planów są dziś identyczne (stan na 5.10.2026):

• Stanowisko standardowe: 20 USD za osobę miesięcznie przy płatności rocznej albo 25 USD przy płatności miesięcznej.
• Stanowisko premium (około 5 razy większy limit użycia): 100 USD przy płatności rocznej albo 125 USD przy miesięcznej.
• Minimum: w obu planach 2 stanowiska. ChatGPT Business obsługuje zespoły do 200 osób, Claude Team do 150.

W obu planach można mieszać stanowiska standardowe i premium. Dwuosobowa firma zacznie więc od 40-50 USD miesięcznie. Ceny zmieniają się częściej niż raz w roku, dlatego przed zakupem sprawdźcie aktualne warunki na stronach dostawców.

Które narzędzie wybrać do konkretnych zadań w małej firmie?

Wybór zależy od tego, czym zespół zajmuje się najczęściej:

• Jeśli pracujecie głównie na tekstach i dokumentach (oferty, umowy, przetargi, treści marketingowe), dajcie obu narzędziom te same 3 dokumenty i porównajcie wyniki. Modele zmieniają się co kilka miesięcy, więc test na własnym materiale mówi więcej niż ranking.
• Jeśli kluczowe są integracje, sprawdźcie, z którymi systemami w firmie łączy się każdy plan. ChatGPT Business wymienia Google Workspace, Slacka, GitHuba i Microsoft 365, Claude Team między innymi Microsoft 365.
• Wariant mieszany: można też dać jednemu działowi jedno narzędzie, a drugiemu drugie. Każdy plan to wtedy osobna przestrzeń i osobna faktura.

Przed zakupem licencji warto przeczytać, od czego zacząć wdrożenie AI w małej firmie i jak sprawdzić, czy AI nie zmyśla faktów.

Jak wdrożyć konto zespołowe w 3 krokach?

Konto firmowe nie wymaga działu IT ani wielotygodniowych szkoleń:

1. Załóżcie konto na firmowy adres e-mail. Administrator konfiguruje organizację w domenie firmy i podaje dane do faktury.
2. Ustalcie proste zasady. Zespół musi wiedzieć, co wolno, a czego nie wolno wklejać do czatu. Wzór znajdziecie w artykule o zasadach korzystania z AI w firmie. Wystarczy jedna strona. Takie zasady to także ślad działań w zakresie kompetencji AI, których wymaga art. 4 AI Act.
3. Przygotujcie wspólną przestrzeń. Wgrajcie do niej opis oferty, profil klienta i zasady stylu firmy, żeby każdy pracownik od pierwszego dnia dostawał odpowiedzi osadzone w realiach Waszej firmy.

Jeśli chcecie sprawdzić, jak przepisy regulują korzystanie z narzędzi AI w Waszej firmie, zobaczcie nasz przegląd zarządczy ładu AI.

Na rozmowach o AI Act to pytanie pada prawie zawsze, tylko w innej formie: „to które przepisy w końcu nas dotyczą?". Odpowiedź prawie nigdy nie zaczyna się od listy obowiązków. Zaczyna się od ustalenia roli, bo od niej zależy, która lista jest w ogóle Wasza.

Rozróżnienie brzmi technicznie, ale w praktyce sprowadza się do jednego pytania, które można zadać przy stole.

Kto jest dostawcą, a kto podmiotem stosującym?

Dostawca to podmiot, który rozwija system AI i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym. Podmiot stosujący to osoba lub organizacja korzystająca z systemu AI pod własną kontrolą w ramach działalności zawodowej.

Uwaga na najczęstsze nieporozumienie: rola nie zależy od tego, kto napisał kod. Firma, która zleciła zbudowanie systemu podwykonawcy, a potem sprzedaje go pod swoim logo, jest dostawcą. Firma, która ma trzech programistów i używa cudzego narzędzia w codziennej pracy, jest podmiotem stosującym. Rozstrzyga marka i kontrola nad systemem, nie umiejętności zespołu.

Ta sama zasada jest w rozporządzeniu (UE) 2024/1689, znanym jako AI Act, i to od niej zaczyna się każdy dalszy przepis.

Czy używanie ChatGPT robi z nas dostawcę?

Nie. To jest podręcznikowy przykład roli podmiotu stosującego: bierzecie narzędzie, które ktoś wprowadził na rynek pod swoją marką, i używacie go u siebie.

Zestaw obowiązków jest wtedy węższy niż u dostawcy, ale nie jest pusty. Dotyczy Was przejrzystość, kompetencje personelu i dokumentacja użycia. Wersja krótsza: nie musicie budować dokumentacji technicznej systemu, musicie umieć powiedzieć, czego używacie, do czego i kto o tym wie.

Kiedy podmiot stosujący staje się dostawcą?

To jest miejsce, w którym firmy najczęściej wpadają w rolę, której się nie spodziewały.

Rozporządzenie opisuje ten mechanizm w artykule 25, w odniesieniu do systemów wysokiego ryzyka. Podmiot stosujący przejmuje obowiązki dostawcy między innymi wtedy, gdy opatrzy taki system własną nazwą lub znakiem towarowym, gdy wprowadzi w nim istotną zmianę albo gdy zmieni jego przeznaczenie na takie, które czyni z niego system wysokiego ryzyka.

Praktycznie oznacza to trzy sytuacje, o które warto zapytać u siebie:

1. Białe etykiety. Kupujecie gotowe narzędzie, zdejmujecie cudze logo, dokładacie swoje i sprzedajecie dalej jako własny produkt.
2. Istotna przeróbka. Nie zmiana ustawień, tylko zmiana sposobu działania systemu.
3. Nowe przeznaczenie. Narzędzie kupione do jednego zadania trafia do procesu, który ocenia albo selekcjonuje ludzi.

Ta ostatnia sytuacja jest najbardziej niedoceniana, bo dzieje się bez żadnej decyzji zakupowej. Nikt nic nie kupił, a rola się zmieniła. Warto wiedzieć, że nowelizacja z 2026 roku, czyli rozporządzenie (UE) 2026/1744, podniosła górną granicę kar za naruszenie artykułu 25 do 15 mln euro lub 3 procent światowego obrotu.

Jakie obowiązki ma podmiot stosujący już dziś?

Nie w 2027, tylko teraz.

• Przejrzystość (art. 50), od 2 sierpnia 2026. Jeśli klient rozmawia z Waszym chatbotem albo dostaje treść wygenerowaną przez model, ma o tym wiedzieć.
• Kompetencje w zakresie AI (art. 4). Po nowelizacji jest to obowiązek starannego działania, a nie gwarantowania konkretnego poziomu. Sprawdzalny jest ślad: zakres szkolenia, data, lista obecności, wewnętrzna polityka korzystania z AI. Zespół przeszkolony bez śladu po szkoleniu jest z punktu widzenia nadzoru zespołem nieprzeszkolonym.
• Zakazane praktyki (art. 5), od 2 lutego 2025. To nie jest przyszłość, to półtora roku wstecz.

Terminy dla systemów wysokiego ryzyka są dalej, bo Załącznik III przesunięto na 2 grudnia 2027, a Załącznik I na 2 sierpnia 2028. Cały kalendarz po nowelizacji rozpisaliśmy we wpisie Terminy AI Act po Digital Omnibus.

W Polsce dochodzi do tego organ i tryb. Kontrole, postępowania i kary KRiBSI zaczynają obowiązywać 28 października 2026 (art. 127 ustawy, Dz.U. 2026 poz. 1003). Jak wygląda sama kontrola i jakie są terminy reakcji, opisaliśmy we wpisie Polska ustawa o AI: KRiBSI, zdalne kontrole i terminy dla MŚP.

Co zrobić, żeby rozstrzygnąć to u siebie?

Cztery kroki, w tej kolejności.

1. Wypiszcie systemy AI, które faktycznie działają. Nie tylko kupione oficjalnie. Narzędzia dokładane przez zespoły na własną rękę są najczęstszym źródłem zaskoczenia przy pierwszym przeglądzie.
2. Przy każdym systemie zapiszcie, czyja nazwa jest na zewnątrz. To jedno pole rozstrzyga rolę w większości przypadków.
3. Zaznaczcie te, które oceniają albo selekcjonują ludzi. Rekrutacja, ocena pracownicza, zdolność kredytowa. Tu granica ryzyka biegnie inaczej niż przy narzędziach biurowych.
4. Rozdzielcie role na papierze, jeśli macie obie. Dwa zestawy obowiązków w jednym dokumencie zawsze kończą się tym, że stosuje się łagodniejszy.

Jeśli chcecie mieć wstępną odpowiedź od razu, narzędzie AI Act składa ją na podstawie 7 pytań, tu na stronie i bez podawania maila. A jeśli wolicie przejść to na własnych systemach i własnych umowach, robimy to w ramach przeglądu zarządczego Ład AI.

Stan prawny na 8 września 2026. Numery artykułów i terminy zweryfikowane w tekstach rozporządzeń (UE) 2024/1689 i (UE) 2026/1744 w Dzienniku Urzędowym Unii Europejskiej oraz w oficjalnym rekordzie Dz.U. 2026 poz. 1003. Wpis zaktualizujemy przy zmianie przepisów lub po pojawieniu się wytycznych krajowych.

Prawie każda rozmowa o AI w małej firmie zaczyna się od tego samego pytania: „którego narzędzia użyć". To pytanie jest złe nie dlatego, że jest głupie, tylko dlatego, że jest ostatnie w kolejności, a nie pierwsze.

Poniżej jest kolejność, która działa, i powód, dla którego każdy krok stoi tam, gdzie stoi.

Dlaczego wybór narzędzia jest złym pierwszym krokiem?

Bo to jedyna decyzja w całym wdrożeniu, którą da się cofnąć w tydzień. Subskrypcję się wyłącza, konto się kasuje, zespół zapomina o narzędziu po miesiącu.

Nie da się natomiast cofnąć źle wybranego procesu. Jeśli zaczniecie od zadania, które zdarza się raz na kwartał, to po kwartale nadal nie będziecie wiedzieli, czy to działa, a zespół w międzyczasie straci zainteresowanie. Jeśli zaczniecie od zadania, którego nikt nie umie opisać, spędzicie trzy tygodnie na opisywaniu i ani jednego dnia na oszczędzaniu czasu.

Kolejność jest więc odwrotna do intuicyjnej: proces, potem pomiar, potem zasady, a narzędzie na końcu.

Który proces wziąć na pierwszy ogień?

Taki, który ma trzy cechy naraz. Brak którejkolwiek z nich to zły kandydat, nawet jeśli proces wygląda kusząco.

1. Powtarza się co tydzień. Nie co kwartał. Częstotliwość jest ważniejsza niż wielkość, bo tylko przy powtarzalności zdążycie zobaczyć różnicę w rozsądnym czasie.
2. Da się go zmierzyć w godzinach. Ktoś musi umieć powiedzieć „to zajmuje mniej więcej 6 godzin tygodniowo". Szacunek wystarczy, dokładność co do minuty nie jest potrzebna.
3. Jest nudny. Przepisywanie, porządkowanie, streszczanie, przygotowywanie tego samego dokumentu w piętnastu wariantach. Zadania, które wymagają osądu i odpowiedzialności, zostawcie na później.

Typowi kandydaci w polskiej firmie usługowej albo produkcyjnej: przygotowanie ofert z powtarzalnych bloków, odpowiedzi na te same pytania klientów, streszczanie długich dokumentów przed decyzją, porządkowanie notatek ze spotkań, przygotowanie raportu, który i tak co miesiąc wygląda tak samo.

Skąd wiedzieć, czy to w ogóle zadziałało?

Z pomiaru zrobionego przed wdrożeniem, nie po. To jest krok, który wypada najczęściej, i bez niego cała reszta jest kwestią opinii.

Wystarczy prosty pomiar przez 2 tygodnie: ile godzin tygodniowo zajmuje wybrany proces i kto go wykonuje. Bez tego po trzech miesiącach będziecie mieli dokładnie taką rozmowę, jaką ma większość firm: jednym się wydaje, że jest szybciej, innym że to samo, i nikt nie ma czym tego rozstrzygnąć.

Drugi pomiar, który warto ustalić od razu, to jakość. Model potrafi uzupełnić lukę w danych treścią, która brzmi rozsądnie i jest nieprawdziwa. Sprawdziliśmy to na własnym narzędziu, opisując wynik we wpisie AI nie zmyśla losowo, zmyśla wtedy, gdy zabraknie mu danych. Wniosek praktyczny na start: przy pierwszym procesie ktoś musi czytać wyniki, zanim wyjdą z firmy.

Co zrobić, zanim ktokolwiek wpisze pierwszy prompt?

Dwie rzeczy, obie zajmują po godzinie.

Spiszcie, czego zespół już używa. Nie chodzi o to, co firma kupiła, ale o to, co ludzie faktycznie mają otwarte na co dzień. To zwykle najbardziej zaskakująca lista w całym procesie i punkt wyjścia do dalszych działań. Jak z tego zrobić zasady, które ktoś faktycznie przeczyta, rozpisaliśmy we wpisie Pracownicy używają AI na prywatnych kontach: jak zrobić z tego porządek w 5 krokach.

Ustalcie, co nie może opuścić firmy. Na początek wystarczy jedno zdanie: dane osobowe klientów i dokumenty objęte umową o poufności nie mogą trafiać do narzędzi zewnętrznych. Resztę można doprecyzować podczas pierwszego przeglądu.

Przy okazji warto wiedzieć, że spis narzędzi to nie tylko dobra praktyka. Artykuł 4 rozporządzenia (UE) 2024/1689 obowiązuje od 2 lutego 2025 i wymaga od firm podejmowania środków wspierających rozwój kompetencji AI u personelu. Polska ustawa o systemach sztucznej inteligencji nie przewiduje progu wielkości firmy, poniżej którego przepisy nie obowiązują, a kontrole ruszają 28 października 2026. Ten sam spis narzędzi obsługuje więc dwie sprawy naraz.

Czego nie robić w pierwszym miesiącu?

• Nie zaczynajcie od integracji z systemem firmowym. To najdroższy możliwy pierwszy krok i najłatwiejszy sposób na to, żeby po dwóch miesiącach nie mieć żadnego wyniku.
• Nie kupujcie licencji dla całego zespołu na start. Dwie albo trzy osoby na jednym procesie dają ten sam wniosek za dziesiątą część kosztu.
• Nie ogłaszajcie wdrożenia na zebraniu. Ogłoszenie przed pierwszym wynikiem zamienia eksperyment w projekt, którego nie wypada zamknąć.
• Nie mierzcie sukcesu liczbą wygenerowanych tekstów. Jedyna liczba, która coś znaczy, to godziny na procesie przed wdrożeniem i po nim.

Jeśli chcecie przejść tę kolejność u siebie zamiast czytać o niej, tak wygląda audyt wykorzystania AI: 2 do 3 tygodni, rozmowy z osobami, które faktycznie używają narzędzi, potem raport z oceną dojrzałości w 5 wymiarach, plan na 90 dni i biblioteka 6-8 promptów pod Wasze procesy. Plan piszemy tak, żeby dało się go wykonać Waszymi siłami.

Ten wpis opisuje metodę pracy, nie przepisy. Odwołania do artykułu 4 rozporządzenia (UE) 2024/1689 oraz do ustawy o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) zweryfikowane w źródłach pierwotnych 3 września 2026.

To jest jedno z najczęstszych pytań, które słyszymy o PPWR, i jedno z niewielu, na które uczciwa odpowiedź brzmi „w rozporządzeniu tego nie ma". Nie dlatego, że przepis jest łagodny. Dlatego, że stawki ustala się gdzie indziej.

Poniżej rozkładamy to na części: co mówi sam tekst, skąd wzięła się liczba, która krąży po polskim internecie, i co grozi Waszej firmie wcześniej niż jakakolwiek kara.

Ile wynosi kara za brak zgodności z PPWR?

W rozporządzeniu (UE) 2025/40 nie ma ani jednej kwoty. Artykuł 68 zawiera konstrukcję znaną z wielu aktów unijnych: państwa członkowskie ustalają przepisy o karach za naruszenie rozporządzenia, a kary mają być skuteczne, proporcjonalne i odstraszające. Termin na ustalenie tych przepisów mija 12 lutego 2027.

Skutek praktyczny jest niewygodny, ale prosty. Dopóki polskie stawki nie zostaną ogłoszone, każda konkretna kwota podana jako „kara za PPWR w Polsce” jest cudzą prognozą albo stawką z innego kraju. Budżet oparty na takiej liczbie jest budżetem opartym na zgadywaniu.

Jedna rzecz jest w rozporządzeniu przesądzona. Za naruszenia artykułów 24-29, czyli między innymi celów ponownego użycia, kary muszą obejmować administracyjne kary pieniężne (art. 68 ust. 2). Tu ustawodawca krajowy nie ma swobody co do rodzaju sankcji, tylko co do jej wysokości.

Skąd się wzięła liczba 4 procent obrotu?

Z RODO. Rozporządzenie 2016/679 zna górny pułap kary liczony jako procent światowego obrotu i ta konstrukcja tak mocno weszła do języka, że bywa doklejana do każdego nowego rozporządzenia unijnego.

W PPWR nie ma progu procentowego. Nie ma też pułapu kwotowego. Jeśli widzicie artykuł, który podaje takie liczby jako „kary z PPWR”, to jest sygnał, że autor nie sprawdził tekstu, a nie że znalazł przepis, którego Wy nie znacie.

Za co konkretnie można dostać karę?

Nie za „brak zgodności” w ogóle, tylko za konkretne, nazwane obowiązki. Cztery, które w małej i średniej firmie pojawiają się najczęściej:

1. Brak deklaracji zgodności. Dla każdego typu opakowania wprowadzanego na rynek potrzebna jest pisemna deklaracja (art. 39 i załącznik VIII). Ocena zgodności idzie w module A, czyli w wewnętrznej kontroli produkcji (art. 38 i załącznik VII).
2. Brak wpisu do rejestru producentów. Rejestry są krajowe (art. 44), a rejestracja obowiązuje w każdym kraju, w którym wprowadzacie opakowania na rynek (art. 45). Nie ma jednego numeru na całą Unię.
3. Brak albo błędne oznakowanie. Zharmonizowana etykieta konsumencka to art. 12.
4. Niedotrzymanie terminu okazania dokumentacji. Na uzasadnione żądanie organu macie 10 dni i wymagany język (art. 15 ust. 10).

Zwróćcie uwagę na proporcje. Trzy z tych czterech pozycji to dokumenty, nie zmiana produktu. Ich brak jest tani do naprawienia z wyprzedzeniem i drogi do naprawienia pod terminem.

Co grozi Wam wcześniej niż kara?

Utrata kontraktu, i to jest bardziej prawdopodobny scenariusz na najbliższe miesiące niż wizyta organu.

Dystrybutor, zanim udostępni opakowanie, ma obowiązek zweryfikować, że producent jest wpisany do rejestru producentów (art. 44) i że opakowanie jest oznakowane zgodnie z art. 12. To znaczy, że pytanie o Waszą zgodność przyjdzie od kontrahenta, nie od urzędu, i przyjdzie w momencie składania zamówienia. Firma, która nie ma czego pokazać, wypada z rozmowy bez żadnego postępowania i bez żadnej kary.

Ten mechanizm już działa, bo PPWR jest stosowane od 12 sierpnia 2026. Kalendarz pozostałych progów rozpisaliśmy we wpisie Od kiedy obowiązuje PPWR w Polsce: kalendarz obowiązków.

Co zrobić, zanim poznamy polskie stawki?

Kolejność jest odwrotna do intuicyjnej. Nie zaczyna się od kar, tylko od ustalenia, kim jesteście wobec rozporządzenia.

1. Nazwijcie swoje role. PPWR nie przypisuje firmie jednej etykiety. Ta sama firma bywa jednocześnie wytwórcą opakowań własnej marki i dystrybutorem cudzych. Od roli zależy zakres obowiązków, więc to jest pierwsze rozstrzygnięcie, nie ostatnie.
2. Zbierzcie deklaracje od dostawców opakowań. Nawet jeśli ciężar dokumentacji leży po ich stronie, to Wy odpowiadacie klientowi, który zapyta.
3. Sprawdźcie swoją rejestrację. W Polsce punktem wyjścia jest BDO, bo krajowy rejestr producentów w wersji PPWR w większości państw jeszcze nie powstał: każde ma na to 18 miesięcy od pierwszego aktu wykonawczego wydanego na podstawie art. 44 ust. 14.
4. Wyznaczcie właściciela procesu. Sporządzając deklarację, wytwórca bierze na siebie odpowiedzialność za zgodność opakowania (art. 39 ust. 4). Dokument bez nazwiska pod spodem to dokument, którego nikt nie odświeży.

Jeśli chcecie sprawdzić, które z tych obowiązków dotyczą akurat Was, raport gotowości PPWR przygotuje taką listę na podstawie 6 pytań, tu na stronie, bez podawania maila. A jeśli wolicie przejść to na własnych opakowaniach i własnych umowach, robimy to w ramach przeglądu gotowości PPWR.

Stan prawny na 31 sierpnia 2026. Numery artykułów i terminy zweryfikowane w tekście rozporządzenia (UE) 2025/40 w Dzienniku Urzędowym Unii Europejskiej oraz w wytycznych Ministerstwa Klimatu i Środowiska. Wpis zaktualizujemy, gdy zostaną ogłoszone polskie przepisy o karach.

„Czy to nie zmyśla” jest najczęstszym pytaniem, jakie słyszymy od właścicieli firm. Zwykle pada w formie zarzutu, a jest dobrym pytaniem technicznym.

Odpowiedź brzmi: zmyśla, ale nie losowo i nie zawsze tak samo. Zmyślenie pojawia się w konkretnym miejscu i da się przewidzieć, gdzie.

Co pokazał test na 2 modelach?

Budujemy narzędzie, które na podstawie ankiety o firmie pisze raport o tym, gdzie zastosować AI. 29 lipca 2026 sprawdziliśmy, jak ten sam materiał zniosą 2 modele o różnej cenie.

Warunki były identyczne: te same odpowiedzi z ankiety, ten sam skopiowany materiał wejściowy, ta sama firma testowa. Firma testowa była zmyślona celowo: hurtownia elektryczna spod Radomia, 4–9 osób, bez własnej strony. Nie ma jej w internecie, więc materiał wejściowy nie zawierał o niej żadnych znalezisk.

I tu zaczyna się różnica.

Tańszy model napisał, że firma ma działającą bazę stałych klientów i dobrą reputację w sieci instalatorów, oraz że jest praktycznie niewidoczna w wyszukiwaniach. Dopisał też kanał kontaktu z klientami, którego w ankiecie nie było. Nic z tego nie pochodziło z materiału.

Droższy model napisał wprost, że nie miał dostępu do polskich wyników wyszukiwania i opiera się wyłącznie na tym, co firma podała w ankiecie.

Struktura obu raportów była podobna. Liczby i szacunki były spójne. Różnica dotyczyła jednej rzeczy: co model robi, gdy nie ma danych.

Dlaczego AI zmyśla akurat w tym miejscu?

Model językowy nie sprawdza faktu. Dobiera treść najbardziej prawdopodobną w danym miejscu tekstu.

Kiedy pytacie o coś, co zostało opisane tysiące razy, „najbardziej prawdopodobne” i „prawdziwe” to zwykle to samo zdanie. Kiedy pytacie o firmę, o której nie ma nic, te dwie rzeczy się rozjeżdżają. Model dalej ma napisać akapit o reputacji tej firmy, więc pisze akapit, który brzmi jak akapit o reputacji.

Dlatego zmyślenie jest przewidywalne. Siada tam, gdzie polecenie wymaga konkretu, a materiału nie ma. Nazwy, liczby, daty, cytaty, referencje.

I dlatego jest groźne. Nie brzmi jak błąd. Brzmi jak zdanie, które pasuje do reszty tekstu.

Jak sprawdzić, czy AI zmyśliło?

1. Poproście o źródło i sprawdźcie, czy istnieje. Nie „podaj źródła" na końcu, tylko przy konkretnym zdaniu: skąd to wiesz. Jeżeli odpowiedzią jest ogólnik w rodzaju „z powszechnie dostępnych informacji", traktujcie to zdanie jak niepotwierdzone. Jeżeli pada adres strony, otwórzcie go. To zajmuje kilkanaście sekund i rozstrzyga sprawę.

2. Zadajcie to samo pytanie jeszcze raz, w nowej rozmowie. Nie w tej samej, bo tam model widzi swoją poprzednią odpowiedź i będzie jej bronił. W nowej rozmowie fakt prawdziwy zwykle wraca taki sam, a zmyślony potrafi wrócić inny. Rozbieżność między dwiema odpowiedziami to nie dowód, ale bardzo dobry sygnał, gdzie patrzeć.

3. Zapytajcie wprost, czego nie wie. „Czego w tym materiale brakuje, żeby odpowiedzieć pewnie" i „które zdania w Twojej odpowiedzi są niepewne". Model, który potrafi wskazać własne luki, jest wart więcej niż ten, który zawsze brzmi pewnie. W naszym teście to była cała różnica między dwoma raportami.

Gdzie zmyślenie kosztuje najwięcej?

Nie tam, gdzie się tego spodziewacie. Nie w wielkich tematach, tylko w drobiazgach, które idą do klienta bez czytania.

Oferta z parametrem produktu, którego ten produkt nie ma. Mail z terminem, którego nikt nie potwierdzał. Opis usługi z referencją, która brzmi wiarygodnie i nie istnieje. Podsumowanie spotkania z ustaleniem, którego na spotkaniu nie było.

Każda z tych rzeczy jest drobna. Każda kosztuje wiarygodność u konkretnej osoby, a nie „ryzyko reputacyjne" w ogóle.

Czy przepisy każą sprawdzać, co napisało AI?

Żaden przepis nie mówi wprost „sprawdzaj odpowiedzi modelu". Dwa schodzą się jednak w tym samym miejscu.

Artykuł 4 rozporządzenia (UE) 2024/1689 mówi o kompetencjach w zakresie AI i obowiązuje od 2 lutego 2025. Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744, które obowiązuje od 27 lipca 2026, jest to obowiązek starannego działania: dostawca i podmiot stosujący mają podejmować środki wspierające rozwój kompetencji personelu, bez gwarantowania konkretnego poziomu. Wiedza, że model uzupełnia luki, oraz nawyk sprawdzania konkretów są dokładnie tą kompetencją.

Artykuł 50 rozporządzenia 2024/1689 obowiązuje od 2 sierpnia 2026 i dotyczy przejrzystości: chatbot ma się przedstawiać, a treść wygenerowana przez AI ma być oznaczona. Wytyczne Komisji Europejskiej do tego artykułu są z 20 lipca 2026. Cały kalendarz rozpisaliśmy we wpisie Terminy AI Act po Digital Omnibus.

Krajowo pilnuje tego KRiBSI, na podstawie ustawy z 3 lipca 2026 o systemach sztucznej inteligencji. Przepisy o kontrolach i karach zaczynają obowiązywać 28 października 2026.

Ani artykuł 4, ani artykuł 50 nie każą Wam czytać każdej odpowiedzi modelu. Oba zakładają, że ktoś w firmie wie, co to narzędzie potrafi zmyślić.

Kto odpowiada za tekst, który napisało AI?

Nie oddawajcie oceny.

Wszystko, co wychodzi z firmy na zewnątrz, czyta człowiek i to on odpowiada za każdą liczbę w środku. AI skraca drogę do wersji roboczej i na tym polega jej wartość. Ostatni krok zostaje po Waszej stronie.

Druga rzecz, prostsza i niedoceniana: dajcie materiał zamiast liczyć na wiedzę ogólną. Model, który dostał Wasz cennik, Waszą ofertę i Waszego maila od klienta, ma z czego pisać. Model, który ma zgadywać z pamięci, będzie zgadywał, bo o to go poprosiliście.

To ta sama zasada, którą opisaliśmy w zasadach korzystania z AI w firmie: narzędzie działa dobrze wtedy, gdy dostaje kontekst i ma jasne granice.

Jeśli chcecie sprawdzić przy okazji, które terminy z ustawy o AI dotyczą Waszej firmy, mamy na to bezpłatną wstępną orientację: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Test opisany wyżej wykonaliśmy na własnym narzędziu, na fikcyjnej firmie przygotowanej specjalnie do tego porównania. Żadne dane rzeczywistej firmy nie były w nim użyte.

Tydzień temu pisaliśmy, że pierwszym krokiem po wejściu ustawy o AI jest spis, gdzie w firmie AI już jest. Powiedzmy, że spis leży wypełniony. W kolumnie „konto firmowe czy prywatne” większość wierszy mówi „prywatne”.

Co teraz.

Czy zakazać AI na prywatnych kontach?

Pierwsza reakcja właściciela na taki spis brzmi: zakazujemy do czasu wyjaśnienia.

To zrozumiałe i nie działa. Praca zostaje do zrobienia, termin się nie przesuwa, a narzędzie jest dostępne za darmo z telefonu. Zakaz nie kończy więc używania AI. Kończy Wasz wgląd w to, jak jest używane.

Po zakazie ta sama osoba robi to samo, tylko nie pyta i nie mówi. Wcześniej mieliście szansę o tym usłyszeć. Po zakazie nie macie już nawet tego.

Alternatywa jest prosta w opisie i wymaga jednej decyzji: dajcie zespołowi narzędzie, na którym wolno pracować, i powiedzcie, jak z niego korzystać. Poniżej 5 kroków w kolejności, która ma znaczenie.

Krok 1. Od czego zacząć: od konta firmowego czy od zasad?

Kolejność jest tu ważniejsza niż treść.

Jeżeli zaczniecie od zasad, powstanie dokument mówiący ludziom, czego im nie wolno, w sytuacji gdy nie dostali nic w zamian. Taki dokument jest odbierany dokładnie tak, jak wygląda: jako kontrola. Jeżeli zaczniecie od narzędzia, zasady są instrukcją do rzeczy, którą ktoś właśnie dostał.

Praktycznie: wybierzcie jednego dostawcę i wykupcie plan firmowy dla osób, które i tak używają AI codziennie. Zwykle są to 2–3 osoby, a nie cały zespół. Reszta dołącza, gdy zgłosi, że ma do czego.

Jedno pytanie zadajcie przed zakupem, a nie po: jak dostawca traktuje dane wprowadzane na koncie firmowym i czym to się różni od konta darmowego. Odpowiedź jest w regulaminie usługi. Plany firmowe mają inne zasady przetwarzania niż konta osobiste, ale szczegóły różnią się między dostawcami i zmieniają w czasie, więc sprawdzenie należy do Was i zajmuje kwadrans.

Przy okazji rozwiązuje się rzecz, o której mało kto myśli na starcie: konto firmowe zostaje w firmie, gdy pracownik odchodzi. Konto prywatne odchodzi razem z nim, wraz z całą historią tego, co tam wklejał.

Krok 2. Co ma się znaleźć w zasadach korzystania z AI?

Zasada, której nikt nie przeczyta, nie chroni niczego.

Mieści się na jednej stronie i odpowiada na 4 pytania:

1. Czego nie wolno wklejać. Dane osobowe klientów, treści umów z nazwami stron i kwotami, życiorysy kandydatów, dane finansowe, hasła i dostępy.
2. Co robić, gdy trzeba pracować na czymś z tej listy. Zanonimizować przed wklejeniem. Zamiast nazwy klienta „Firma A", zamiast dokładnej kwoty rząd wielkości. Odpowiedź będzie równie dobra.
3. Na czym wolno pracować. Szkice tekstów bez danych, pytania ogólne, informacje i tak publiczne, własne notatki po zamianie nazw.
4. Do kogo iść z wątpliwością. Imię i nazwisko, nie „do przełożonego".

Tyle. Jeżeli dokument rośnie do 12 stron, to znaczy, że przestaliście pisać zasadę, a zaczęliście zabezpieczać się na wypadek sporu. To jest inne zadanie i inny moment.

Napiszcie ją dopiero teraz, po kroku 1, a nie przed. Zanim wiecie, z czego zespół korzysta i na czym ma pracować, każda zasada jest zgadywanką.

Krok 3. Jak przekazać zasady zespołowi?

Mail z załącznikiem załatwia obowiązek poinformowania i nie zmienia niczego w zachowaniu.

Godzina przy jednym ekranie zmienia, bo pytania padają dopiero, gdy ludzie widzą narzędzie w działaniu. Prawie zawsze te same: czy to zapamiętuje, co ja tu piszę? Czy szef widzi moje rozmowy? Czy to się myli? Czy mogę tu wkleić maila od klienta?

Pokażcie 3 rzeczy, które ktoś w firmie robi codziennie, i zróbcie je razem na tym narzędziu. Nie prezentację o możliwościach AI, tylko konkretne zadanie z zeszłego tygodnia.

Ta godzina ma jeszcze jeden efekt uboczny, cenniejszy niż samo szkolenie. Dowiecie się, do czego zespół już używa AI, dokładniej niż z jakiegokolwiek spisu. Ludzie mówią o tym swobodnie, gdy jest jasne, że wolno.

Krok 4. Kto odpowiada na pytanie „czy mogę to wkleić"?

Wątpliwość rozstrzygnięta w 2 minuty przez kogoś z firmy prawie zawsze wygrywa z zasadą ustaloną miesiąc temu.

Ta osoba nie musi być informatykiem ani znać przepisów. Musi wiedzieć, gdzie leży spis, jak brzmi zasada z kroku 2 i kiedy pytanie jest na tyle poważne, że idzie do Was.

Jeżeli spisaliście już osobę do kontaktu na potrzeby ustawy, to zwykle ta sama osoba. Nie mnóżcie ról tam, gdzie firma ma 10 osób.

Krok 5. Kiedy wrócić do spisu?

Sprawdzianem nie jest podpisane oświadczenie ani przeczytany regulamin. Sprawdzianem jest kolumna „konto firmowe czy prywatne" w spisie z kroku pierwszego.

Po miesiącu otwórzcie ten sam arkusz i przejdźcie wiersz po wierszu. Wiersze, które przewróciły się na „firmowe”, to jest cały efekt. Wiersze, które zostały na „prywatne”, mówią jedną z dwóch rzeczy: albo ktoś nie dostał dostępu, albo narzędzie firmowe nie umie tego, czego ta osoba potrzebuje.

Oba przypadki są informacją, nie wykroczeniem. Pierwszy załatwia się dostępem, drugi rozmową o tym, jakiego narzędzia brakuje.

Co wygląda na porządek, a nim nie jest?

Licencje dla wszystkich naraz. Wygląda na decyzję, jest wydatkiem. Większość kont pozostanie nieużywana, a Wy stracicie argument przy kolejnym zakupie. Zacznijcie od tych, którzy już używają.

Jedna osoba „od AI", która ma ogarnąć temat. Zwykle najmłodsza w zespole i zwykle bez mandatu do podejmowania decyzji. Efekt jest taki, że przez pół roku nic się nie dzieje, a potem okazuje się, że i tak każdy robi po swojemu.

Wpisanie AI do umowy o pracę i uznanie tematu za zamknięty. Zapis w umowie jest po Waszej stronie stołu. Zachowanie zmienia narzędzie plus zasada plus rozmowa, w tej kolejności.

Co to ma wspólnego z ustawą o AI?

Więcej, niż wygląda, ale nie dlatego, że przepis nakazuje akurat te kroki.

Ustawa o AI obowiązuje od 11 sierpnia 2026, a przepisy o kontrolach, postępowaniach i karach zaczynają działać 28 października 2026. Pierwszy dokument, o który poprosi kontrola, to spis systemów AI używanych w firmie. Kroki opisane wyżej robią z tego spisu dokument, który opisuje stan faktyczny, a nie stan sprzed zakazu, którego nikt nie przestrzega.

Ustawa nie zna progów zatrudnienia ani obrotu, więc firma 5- czy 250-osobowa ma tu tę samą pracę do wykonania (art. 3).

Drugi przepis dotyczy Was jeszcze bardziej bezpośrednio. Artykuł 4 rozporządzenia (UE) 2024/1689 obowiązuje od 2 lutego 2025 i mówi o kompetencjach personelu w zakresie AI. Po nowelizacji z 27 lipca 2026 jest to obowiązek starannego działania: macie podejmować środki wspierające rozwój tych kompetencji, bez gwarancji osiągnięcia konkretnego poziomu. Godzina szkolenia z kroku 3, data i lista obecności to dokładnie ten ślad, o który chodzi.

Jeżeli chcecie sprawdzić, które terminy dotyczą akurat Waszej firmy, przygotowaliśmy bezpłatną wstępną orientację po ustawie: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Stan prawny na 17 sierpnia 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003).

Przez półtora roku PPWR funkcjonowało w polskich firmach jako data na slajdzie. 12 sierpnia 2026 ta data mija. Rozporządzenie (UE) 2025/40 zaczyna być stosowane i robi to bez polskiej ustawy wdrażającej, bo rozporządzenie unijne obowiązuje wprost.

Poniżej kalendarz: co obowiązuje od 12 sierpnia 2026, co przychodzi później i czego w PPWR nie ma.

Od kiedy PPWR obowiązuje w polskiej firmie?

Trzy daty, regularnie mylone:

• 22 stycznia 2025: publikacja w Dzienniku Urzędowym UE (CELEX 32025R0040).
• 11 lutego 2025: wejście w życie, 20 dni po publikacji (art. 71).
• 12 sierpnia 2026: początek stosowania (art. 71). To jest data operacyjna.

Wejście w życie i stosowanie to dwie różne rzeczy i tylko druga generuje obowiązki. Od 12 sierpnia 2026 PPWR dotyczy każdej firmy, która wprowadza na rynek UE opakowanie albo zapakowany towar. Definicja producenta z art. 3 pkt 15 obejmuje podmiot, który pierwszy udostępnia opakowanie na rynku danego państwa. Nie trzeba produkować opakowań, żeby podlegać. Wystarczy pakować własny wyrób i go wysyłać.

Co zaczyna obowiązywać 12 sierpnia 2026?

Pięć rzeczy, wszystkie od pierwszego dnia:

1. Deklaracja zgodności dla każdego typu opakowania (art. 39 i Załącznik VIII), po ocenie zgodności modułem A (art. 38 i Załącznik VII). Jedna deklaracja to jeden typ opakowania, nie jedna firma. Liczba typów jest tu mnożnikiem pracy.
2. Metale ciężkie do 100 mg/kg jako suma stężeń ołowiu, kadmu, rtęci i chromu sześciowartościowego (art. 5 ust. 4). Sam limit nie jest nowy, przeszedł z dyrektywy 94/62/WE, ale teraz trzeba go udowodnić dokumentem.
3. Zakaz PFAS w opakowaniach do kontaktu z żywnością (art. 5 ust. 5).
4. Zakaz sztucznego zawyżania objętości: podwójne ścianki, fałszywe dna, zbędne wypełnienie (art. 10 ust. 2).
5. Ogólny wymóg recyklowalności (art. 6 ust. 1).

Do tego termin operacyjny: na uzasadnione żądanie organu deklarację i dokumentację techniczną trzeba okazać w 10 dni, w języku tego organu (art. 15 ust. 10). Dokumentację przechowuje się 5 lat dla opakowań jednorazowych i 10 lat dla wielokrotnego użytku.

Czy opakowania wyprodukowane wcześniej trzeba wycofać?

Tego, co trafiło do obrotu przed 12 sierpnia 2026, nikt nie każe wycofywać. Ale granica nie biegnie tam, gdzie zwykle się ją stawia: rozstrzyga moment wprowadzenia do obrotu, a nie data produkcji. Wprowadzenie do obrotu to pierwsze udostępnienie opakowania na rynku unijnym (art. 3). Opakowanie wyprodukowane w lipcu 2026, a wprowadzone do obrotu we wrześniu, podlega więc pełnym wymogom. Rozporządzenie nie daje żadnego okresu na wyprzedaż zapasów, a przepisy przejściowe z artykułu 70 dotyczą wygaszania dyrektywy 94/62/WE, nie magazynu.

Problemem jest pierwsza dostawa po tej dacie, przy której odbiorca poprosi o deklarację zgodności. To zresztą najszybsza sankcja, wcześniejsza niż jakakolwiek kara: bez deklaracji nie wolno wprowadzić opakowania na rynek, więc odbiorca nie przyjmie towaru. Utrzymująca się niezgodność formalna kończy się nakazem wycofania partii z rynku UE na koszt firmy (art. 62).

Co przychodzi po 2026 roku?

Progi klas są zapisane na twardo w Załączniku II: klasa A od 95%, B od 80%, C od 70%. Poniżej 70% opakowanie od 2030 roku nie wejdzie na rynek. Akty delegowane, z terminem do 1 stycznia 2028, ustalą wyłącznie metodologię liczenia, nie same progi.

W całej tabeli zmiany samego produktu wymagają dwie daty: 2030 i, w dużo dalszej perspektywie, 2040. Reszta to etykiety, raporty i dowody.

Ile wynosi kara za brak zgodności z PPWR?

Rozporządzenie nie określa konkretnej kwoty ani procentu. Artykuł 68 zobowiązuje państwa członkowskie do ustanowienia skutecznych, proporcjonalnych i odstraszających kar w terminie do 12 lutego 2027, a za naruszenia z artykułów 24-29 kary administracyjne są obowiązkowe.

Krążąca po szkoleniach liczba „do 4 procent obrotu" nie pochodzi z PPWR. To analogia do RODO. Budżet ryzyka liczony z tego progu nie ma podstawy.

W Polsce konkretne kwoty poda dopiero ustawa krajowa. Projekt UC100 przewiduje kary do 2 000 000 zł za wprowadzenie opakowań niespełniających wymogów artykułów 5-12. To wciąż projekt, nie obowiązujące prawo.

Co z polską ustawą o ROP?

Projekt ustawy o opakowaniach i odpadach opakowaniowych trafił na RCL 13 sierpnia 2025, wersję zrewidowaną opublikowano 20 marca 2026 i nadal nie został uchwalony. Wersja pierwotna zakładała wejście w życie w 2026 roku i pełny ROP w 2028, wersja marcowa przesuwa to na 1 stycznia 2027 i 2029. Żadnej z tych dat nie warto traktować jako pewnej.

Obowiązki opakowaniowe w Polsce istnieją natomiast już dziś, na podstawie ustawy z 13 czerwca 2013 roku: wpis do rejestru BDO, roczne sprawozdanie do 15 marca za rok poprzedni, poziomy odzysku i recyklingu albo opłata produktowa. Firma, która nie ma domkniętego BDO, nie ma od czego zacząć PPWR.

Od czego zacząć w tym tygodniu?

1. Spiszcie typy opakowań, w których wysyłacie towar. Palety, skrzynie, karton, folia, taśmy. Liczba typów to liczba deklaracji, czyli wycena całego zadania.
2. Ustalcie rolę według art. 3 pkt 15: producent, wytwórca opakowań, importer. Firma pakująca własny wyrób jest producentem, nawet jeśli nigdy nie sprzedała ani jednego opakowania.
3. Wyślijcie do dostawców żądanie oświadczeń o metalach ciężkich i składzie materiałowym. Tego dowodu nie da się wytworzyć u siebie, a bez niego deklaracja z art. 39 nie ma podstawy.
4. Sprawdźcie status BDO i ostatnie sprawozdanie.
5. Wyznaczcie osobę, która podpisze deklarację. Podpis z art. 39 ust. 4 oznacza przyjęcie odpowiedzialności za zgodność, więc to decyzja zarządu, nie zadanie dla działu jakości.

Gdzie stoicie, pokaże kwestionariusz PPWR. Jeżeli wolicie przejść ten kalendarz na własnych opakowaniach, robimy to w ramach przeglądu gotowości.

Ten sam układ dwóch warstw, unijnej i krajowej, opisaliśmy przy AI Act: Terminy AI Act po Digital Omnibus oraz Ustawa o AI weszła w życie.

Stan prawny na 9 września 2026. Korekta z 9 września 2026: wcześniejsza wersja mówiła, że opakowania wyprodukowane przed 12 sierpnia 2026 mogą być w obrocie jeszcze 36 miesięcy. Takiego przepisu w rozporządzeniu nie ma. Sprawdzone w pełnym tekście 2025/40: ani okresu na wyprzedaż zapasów, ani terminu liczonego od daty produkcji, a przepisy przejściowe z artykułu 70 dotyczą wygaszania dyrektywy 94/62/WE. Rozstrzyga moment wprowadzenia do obrotu. Daty i numery artykułów zweryfikowane w tekście rozporządzenia (UE) 2025/40 oraz w wytycznych Komisji Europejskiej C(2026) 3702 final z 5 czerwca 2026. Ten wpis wraca do przeglądu co kwartał i przy każdej zmianie przepisów.

Od dziś w Polsce obowiązuje ustawa o systemach sztucznej inteligencji. Została ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003) i weszła w życie po 14 dniach.

To nie znaczy, że od dziś ktokolwiek może przyjść na kontrolę. Przepisy o kontrolach, postępowaniach i karach mają własny termin: 28 października 2026. Między jednym a drugim jest 11 tygodni.

Ten wpis nie tłumaczy ustawy. Od tego jest osobny tekst o KRiBSI, kontrolach i terminach. Ten wpis mówi, co zrobić w tym tygodniu, jeżeli prowadzicie małą firmę i nie macie działu prawnego.

Czy „my nie używamy AI" jest w ogóle prawdą?

To zdanie pada w rozmowach najczęściej. I prawie zawsze oznacza co innego, niż mówi.

Firma nie kupiła narzędzia AI, nie podpisała umowy i nie ma tego w budżecie. Zgoda. Ale pracownicy używają AI od około 2 lat, na prywatnych kontach, bo nikt im nie dał firmowego. Ktoś wkleja umowę do czatu, żeby ją streścić. Ktoś generuje opisy produktów. Ktoś przepuszcza życiorysy kandydatów przez narzędzie, które podpowiada, kogo zaprosić na rozmowę.

Zjawisko ma nazwę: shadow AI. Nie bierze się ze złej woli. Bierze się stąd, że praca jest do zrobienia, narzędzie jest za darmo, a nikt nie powiedział, że nie wolno.

Różnica między firmami nie polega więc na tym, czy używają AI. Polega na tym, czy właściciel o tym wie i czy ustalił zasady.

Dlatego zacznijcie od spisu narzędzi, nie od paragrafów.

Krok 1. Gdzie w firmie jest dziś AI?

Otwórzcie arkusz. Pięć kolumn:

Potem zadajcie zespołowi jedno pytanie, sformułowane tak, żeby nikt się nie bał odpowiedzieć: „nie szukam winnych, chcę wiedzieć, z czego korzystacie, żeby dać Wam coś lepszego i bezpieczniejszego".

To jest ważniejsze niż brzmi. Jeżeli pytanie zabrzmi jak kontrola, dostaniecie pustą tabelę i fałszywe poczucie porządku.

Najważniejsza jest ostatnia kolumna. Narzędzie na prywatnym koncie oznacza, że dane Waszej firmy i Waszych klientów wyszły poza firmę, a Wy nie macie do nich żadnych praw ani wglądu.

Czas: 1-2 godziny plus tydzień na spływające odpowiedzi.

Krok 2. Jesteście dostawcą czy podmiotem stosującym?

Unijne rozporządzenie (UE) 2024/1689 rozróżnia dwie sytuacje, od których zależy prawie wszystko inne.

Podmiot stosujący to Wy, jeśli używacie gotowego narzędzia stworzonego przez kogoś innego. Kupiliście dostęp, wpisujecie tam swoje dane, korzystacie z wyniku. Tak działa większość małych firm.

Dostawca to Wy, jeśli budujecie własne narzędzie AI lub bierzecie cudze, oznaczacie je swoją marką i udostępniacie klientom. Wtedy obowiązków jest znacznie więcej.

Granica bywa cieńsza, niż się wydaje. Firma, która stworzyła czatbota na stronie i sprzedaje do niego dostęp innym, przestaje być tylko użytkownikiem.

Wpiszcie tę odpowiedź na górze arkusza z kroku 1. To pierwsze pytanie, które padnie w każdej rozmowie o zgodności.

Czas: 15 minut, jeśli nie budujecie własnych narzędzi.

Krok 3. Kto odbierze zawiadomienie o kontroli?

Kontrola zawiadamia z wyprzedzeniem i przeprowadza czynności nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2).

Siedem dni to cały czas na przygotowanie, jaki dostajecie. Mija szybciej, niż się wydaje, gdy zawiadomienie wpada na skrzynkę, której nikt nie sprawdza, albo gdy w firmie nie wiadomo, kto odpowiada za temat.

Ta osoba nie musi znać się na przepisach. Musi wiedzieć, gdzie leży arkusz z kroku 1 i kto w firmie odpowiada za które narzędzie.

Jest jeszcze jeden powód, dla którego warto to zrobić dziś. Kontrola jest domyślnie zdalna (art. 49 ust. 3). Fizyczna wizyta w siedzibie to wyjątek, wymagający osobnego postanowienia. Nikt nie zapuka do drzwi. Przyjdzie pismo z prośbą o dokumentację w formie elektronicznej. Segregator w sekretariacie jest w tym modelu bezużyteczny.

Czas: 10 minut.

Krok 4. Czy któreś narzędzie jest wysokiego ryzyka?

Większość zastosowań w małej firmie to zwykłe użycie AI: pisanie tekstów, streszczanie notatek, podpowiadanie odpowiedzi w skrzynce mailowej czy generowanie opisów produktów.

Ale kilka obszarów unijne przepisy traktują poważniej, bo decyzja dotyczy człowieka. Przejrzyjcie arkusz pod kątem trzech pytań:

1. Czy AI pomaga wybierać kandydatów do pracy albo oceniać pracowników?
2. Czy AI wpływa na to, komu przyznajecie kredyt, odroczoną płatność albo limit kupiecki?
3. Czy AI decyduje o dostępie do usługi, z której ktoś może zostać wykluczony?

Jeżeli na którekolwiek pada „tak”, zaznaczcie to w arkuszu na czerwono i potraktujcie jako temat na osobną rozmowę. Nie musicie dziś rozstrzygać, czy formalnie mieści się to w kategorii wysokiego ryzyka. Musicie wiedzieć, że tam jest.

Rekrutacja jest tu najczęstszym przypadkiem i najczęściej niezauważonym, bo narzędzie do selekcji życiorysów wygląda jak zwykły filtr w arkuszu.

Czas: 30 minut.

Krok 5. Czego jeszcze nie wiecie?

Ostatnia kolumna arkusza, tym razem jedna: pytania bez odpowiedzi.

„Czy nasz czatbot na stronie to jeszcze użycie, czy już dostarczanie?" „Czy narzędzie do sortowania życiorysów podlega pod te przepisy?" „Czy dostawca naszego oprogramowania w ogóle wie o tej ustawie?"

Ta lista ma wartość praktyczną, nie porządkową. Od końca października działa mechanizm, o którym mówi się najmniej, a który jest dla małej firmy najbardziej użyteczny: opinia indywidualna Komisji (art. 8-17). Opłata 150 zł, jedno zagadnienie na wniosek, odpowiedź w 30 dni. Najciekawszy jest art. 12 ust. 3: jeżeli Komisja nie odpowie w terminie, uznaje się, że wydała opinię zgodną z Waszym stanowiskiem.

Milczenie urzędu działa więc na Waszą korzyść. To rzadkie rozwiązanie i wprost zachęca do zadawania pytań.

Za 150 zł kupujecie rozstrzygnięcie wątpliwości, które inaczej wisiałyby latami. Warunek jest jeden: trzeba wiedzieć, o co zapytać. Dlatego lista powstaje dziś, a nie w listopadzie.

Czas: tyle, ile zajmie zapisanie pytań w miarę, jak przychodzą do głowy przez tydzień.

Czego w tym tygodniu nie robić?

Trzy rzeczy, które wyglądają na produktywne, ale nie są.

Nie piszcie polityki korzystania z AI. Zanim zrozumiecie, z jakich narzędzi korzysta zespół, każda polityka będzie tylko zgadywanką i po tygodniu wyląduje w folderze, którego nikt nie otwiera. Polityka to krok szósty, nie pierwszy.

Nie kupujcie certyfikatu. Dla zwykłej firmy używającej AI nie istnieje coś takiego jak certyfikat zgodności z ustawą. Jeśli ktoś Wam taki oferuje, poproście o wskazanie podstawy prawnej, na której go wydaje.

Nie zakazujcie AI bez dania alternatywy. Zakaz bez narzędzia firmowego nie kończy shadow AI. Przenosi je na prywatne telefony, gdzie nie widzicie już nawet tego, co widzieliście wcześniej.

Co jest w kalendarzu dalej?

28 października 2026 zaczynają obowiązywać przepisy o kontrolach, postępowaniach i karach, a także o opiniach indywidualnych i o wykazie systemów, wobec których nałożono karę. Do tego czasu Komisja się organizuje: przewodniczącego powołuje Sejm w ciągu 2 miesięcy od wejścia ustawy w życie, pierwsze posiedzenie ma się odbyć w ciągu 3 miesięcy (art. 125).

Równolegle biegnie kalendarz unijny, rozpisany we wpisie Terminy AI Act po Digital Omnibus. Kar nie opisujemy tu szerzej, bo na tym etapie nie są najważniejsze i nie są dobrym powodem do działania. Ustawa nie ustala własnych kwot, tylko odsyła do widełek unijnych (art. 104 ust. 1).

Ważniejsze jest co innego. Wszystkie pięć kroków powyżej to praca, którą firma i tak powinna wykonać, żeby wiedzieć, co się u niej dzieje z danymi. Termin jest tylko powodem, żeby zabrać się za to teraz.

Jeżeli chcecie zobaczyć, które terminy dotyczą akurat Waszej firmy, przygotowaliśmy bezpłatną wstępną orientację po ustawie: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

Stan prawny na 11 sierpnia 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Daty dzienne pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw.

O AI Act mówiło się w Polsce przez dwa lata jako o czymś, co dopiero nadejdzie. To się właśnie skończyło. 27 lipca 2026 w Dzienniku Ustaw ogłoszono ustawę z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Od tego momentu Polska ma organ z nazwą, procedurą kontrolną i kalendarzem.

Ten tekst nie jest o terminach, którymi można straszyć. Jest o tym, jak wygląda procedura i ile czasu faktycznie dostaje firma, gdy się w niej znajdzie.

Kontekst unijny opisaliśmy osobno we wpisie Terminy AI Act po Digital Omnibus. Krótko: rozporządzenie (UE) 2026/1744 przesunęło obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028. Polska ustawa dotyczy czegoś innego: tego, kto i jak te przepisy egzekwuje.

Kto od teraz pilnuje AI w Polsce?

Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI (art. 5). Obsługę zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43). To nie jest nowy wielki urząd zbudowany od zera, tylko organ osadzony przy resorcie cyfryzacji.

Harmonogram powołania jest zapisany w ustawie. Przewodniczącego powołuje Sejm za zgodą Senatu w ciągu 2 miesięcy od wejścia ustawy w życie (art. 125 ust. 2). Pierwsze posiedzenie Komisji ma się odbyć w ciągu 3 miesięcy (art. 125 ust. 3).

Praktyczny wniosek dla firmy: przez najbliższe miesiące organ się organizuje. To nie jest powód do spokoju, tylko okno czasowe.

Od kiedy działają przepisy o kontroli?

Ustawa wchodzi w życie po upływie 14 dni od ogłoszenia (art. 127). Oficjalny rekord aktu w Dzienniku Ustaw podaje konkretną datę: 11 sierpnia 2026. Ale najbardziej dotkliwa część ma własny termin.

Artykuły 8-18 oraz rozdziały 3, 4, 5, 8 i 9 wchodzą w życie po upływie 3 miesięcy od ogłoszenia. Rekord Dziennika Ustaw wskazuje tu 28 października 2026. To dokładnie ta część, która dotyczy kontroli, postępowań, układów, kar administracyjnych i odwołań do SOKiK. Od sierpnia działają natomiast piaskownice regulacyjne i przepisy o jednostkach notyfikowanych, a od 28 lipca 2026 minister cyfryzacji tworzy komórkę obsługującą Komisję (art. 125 ust. 4).

Innymi słowy: sierpień to organizacja, 28 października to uruchomienie narzędzi nadzorczych. Między jednym a drugim mieści się kwartał, w którym firma może zrobić przegląd we własnym tempie, bez zegara odliczającego 14 dni na odpowiedź.

Jak wygląda kontrola KRiBSI?

Tutaj ustawa zaskakuje najbardziej i warto to wiedzieć, zanim ktoś zacznie opowiadać o inspektorach pukających do drzwi.

Kontrola jest domyślnie zdalna. Artykuł 49 ust. 3 brzmi:

Kontrola lub poszczególne czynności kontrolne są przeprowadzane w sposób zdalny, bez jednoczesnej fizycznej obecności stron, z wykorzystaniem jednego środka lub większej liczby środków porozumiewania się na odległość, w tym środków komunikacji elektronicznej.

Fizyczna obecność w siedzibie firmy wymaga osobnego postanowienia i uzasadnionego podejrzenia szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych osób fizycznych (art. 49 ust. 4).

To zmienia praktyczne znaczenie słowa „gotowość”. Segregator w sekretariacie w modelu zdalnym jest bezużyteczny. Liczy się to, czy dokumentację da się udostępnić elektronicznie, w komplecie i w terminie.

Kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2). Siedem dni to cały czas na przygotowanie, jaki firma dostaje.

Zakres żądań jest szeroki. Kontrolujący może żądać dostępu do systemów teleinformatycznych, korespondencji elektronicznej, a także do danych w chmurze innego podmiotu w takim zakresie, w jakim kontrolowany ma do nich dostęp (art. 52 ust. 1 pkt 1). Do tego dochodzi czynny obowiązek współpracy po stronie kontrolowanego (art. 52 ust. 2).

Tajemnica zawodowa chroni tylko komunikację z adwokatem, radcą prawnym albo prawnikiem z innego państwa Unii (art. 54), a wykazanie, że konkretny dokument jest nią objęty, obciąża kontrolowanego (art. 54 ust. 4). Notatka wewnętrzna działu IT nie jest chroniona.

Utrudnianie kontroli jest zagrożone karą ograniczenia wolności albo grzywną w trybie wykroczeniowym, a odpowiada osoba działająca w imieniu osoby prawnej (art. 112-114). To wykroczenie, nie przestępstwo, ale odpowiada człowiek, nie firma.

Ile czasu firma ma na reakcję?

To jest sedno całego tekstu. Terminy w ustawie są krótkie i liczone od doręczenia, nie od momentu, w którym ktoś w firmie znajdzie na to czas.

Dwa zastrzeżenia. Po pierwsze, minimum 30 dni na zalecenia może zostać skrócone przy powtórnym naruszeniu (art. 57 ust. 4). Po drugie, jeśli firma nie przekaże danych finansowych w terminie, Komisja szacuje podstawę wymiaru kary samodzielnie (art. 105).

Żadnego z tych terminów nie da się dotrzymać, improwizując. Czternaście dni wystarcza na zebranie dokumentacji, która już istnieje. Nie wystarcza na jej wytworzenie: rejestru systemów AI, opisu, kto jest dostawcą, a kto podmiotem stosującym, śladu po szkoleniach, polityki korzystania z AI. To jest cała różnica między kontrolą uciążliwą a kontrolą kosztowną.

Czym firma ryzykuje?

Ustawa nie ustala własnych kwot kar. Artykuł 104 ust. 1 odsyła do rozdziału XII rozporządzenia 2024/1689, czyli do widełek unijnych. Reguluje natomiast tryb: przeliczenie euro na złote następuje według tabeli NBP z 28 stycznia (art. 104 ust. 4), a odwołanie do Sądu Ochrony Konkurencji i Konsumentów wstrzymuje wykonanie kary (art. 67).

Konkretniejsze od abstrakcyjnych milionów jest jednak co innego. Artykuł 66 ust. 2 nakazuje Komisji udostępniać w Biuletynie Informacji Publicznej wykaz systemów sztucznej inteligencji, wobec których wydano decyzję o nałożeniu kary. Zawartość tego wykazu ustawa wylicza wprost. Pierwsza pozycja z art. 66 ust. 3 brzmi:

nazwę systemu oraz operatora, którego dotyczy decyzja

Dalej wykaz zawiera charakterystykę i opis działania systemu wraz ze wskazaniem naruszonych przepisów, informację o decyzjach wobec tego samego operatora lub podmiotu z nim powiązanego wydanych przez organy nadzoru innych państw członkowskich albo Komisję Europejską, a także o decyzjach innych organów nadzoru rynku w Polsce dotyczących tego samego systemu. Osobno publikowana jest informacja o niezastosowaniu się do ostrzeżenia (art. 61 ust. 4 pkt 3).

Dla firmy średniej wielkości publiczna, wyszukiwalna wzmianka obok nazwy własnego systemu bywa dotkliwsza niż sama kara. Zwłaszcza w przetargach i due diligence.

Jest jeszcze narzędzie szybsze niż kara. Przy bezpośrednim ryzyku Komisja może nakazać wyłączenie systemu z rygorem natychmiastowej wykonalności (art. 63), w trybie liczonym w dniach, maksymalnie 7 (art. 63 ust. 4).

Skąd bierze się sprawa?

Nie tylko z inicjatywy urzędu. Skargę może złożyć każdy: osoba fizyczna, osoba prawna i jednostka organizacyjna nieposiadająca osobowości prawnej, elektronicznie (art. 59). Skarga może uruchomić postępowanie z urzędu (art. 58), a Komisja prowadzi rejestr skarg (art. 6 pkt 12). Samo postępowanie ma trwać nie dłużej niż 6 miesięcy (art. 60 ust. 3).

Realny scenariusz to nie nalot kontrolerów, tylko niezadowolony kandydat do pracy, klient albo konkurent, który wypełnia formularz.

Odrębna sprawa to poważne incydenty. Ustawa nie tworzy własnej procedury zgłaszania. Obowiązuje art. 73 rozporządzenia 2024/1689, a adresatem zgłoszenia jest Komisja jako organ nadzoru rynku.

Co ustawa daje, a nie tylko zabiera?

Trzy rzeczy, o których w relacjach medialnych mówi się najmniej, a które są dla MŚP najbardziej użyteczne.

Opinie indywidualne (art. 8-17, dostępne od końca października). Opłata 150 zł, jedno zagadnienie na wniosek, jeden wniosek na 30 dni. Komisja odpowiada w 30 dni, a w sprawach szczególnie skomplikowanych w 60 dni. Najciekawszy jest art. 12 ust. 3:

Niewydanie opinii indywidualnej w terminach, o których mowa w ust. 1, uznaje się za wydanie opinii indywidualnej zgodnej ze stanowiskiem, które podmiot przedstawił we wniosku o wydanie tej opinii.

Milczenie organu działa więc na korzyść pytającego, co jest rozwiązaniem rzadkim i wprost zachęcającym do zadawania pytań. Opinia wiąże Komisję i organy, ale nie wiąże samego wnioskodawcy. Publikowana jest po anonimizacji w BIP. To jest tania ścieżka rozstrzygnięcia wątpliwości bez czekania na spór.

Piaskownica regulacyjna (art. 91-101, od sierpnia). Dla MŚP udział jest bezpłatny, trwa od 6 do 12 miesięcy, wejście odbywa się w drodze konkursu. Po zakończeniu uczestnik dostaje bezpłatną opinię w terminie 14 dni.

Obniżki kar. Układ z Komisją pozwala obniżyć karę o 20 do 70 procent (art. 70 ust. 6). Samodzielne ujawnienie naruszenia z dowodami połączone z wcześniejszym zaprzestaniem naruszenia daje obniżkę od 30 do 90 procent (art. 84 w związku z art. 70 ust. 6). Wykonanie działań wskazanych w ostrzeżeniu w ciągu 3 miesięcy od decyzji daje obniżkę od 10 do 50 procent (art. 107). Wniosek jest prosty: firma, która sama zgłasza problem, płaci ułamek tego, co firma przyłapana.

A małe firmy?

Nie ma dla nich osobnego reżimu. Artykuł 3 nie zna progów zatrudnienia ani obrotu. Ustawa nie zawiera też przepisów przejściowych dla systemów już używanych, więc narzędzie wdrożone w 2024 roku podlega tym samym zasadom co uruchomione jutro.

Jedyne udogodnienie to bezpłatna piaskownica dla MŚP. Reszta obowiązków jest taka sama dla firmy dziesięcioosobowej i dla korporacji.

Co zrobić w czwartym kwartale 2026?

Kalendarz sam podpowiada kolejność. Do 28 października przepisy kontrolne jeszcze nie działają. To jest okno, nie zaproszenie do zwłoki.

1. Ustalcie rolę. Dostawca czy podmiot stosujący. To rozstrzyga o wszystkich pozostałych obowiązkach i jest pierwszym pytaniem, które padnie.
2. Zróbcie rejestr systemów AI. Łącznie z narzędziami dołożonymi przez zespoły bez pytania. Przy zdalnej kontroli to jest pierwszy dokument, o który poproszą.
3. Wyznaczcie osobę do kontaktu. Siedem dni od zawiadomienia (art. 49 ust. 2) mija szybciej, gdy nikt nie wie, kto odpowiada.
4. Uporządkujcie dostępy i korespondencję. Zakres z art. 52 obejmuje systemy IT, pocztę i chmurę. Warto wiedzieć wcześniej, co tam jest.
5. Wątpliwości zamieńcie na wniosek o opinię indywidualną. Od końca października, 150 zł, z ochroną wynikającą z art. 12 ust. 3.

Te pięć punktów rozpisaliśmy krok po kroku, już po wejściu ustawy w życie, we wpisie Ustawa o AI weszła w życie: 5 rzeczy, które mała firma powinna zrobić w tym tygodniu.

Jeżeli nie wiecie, czy Wasze narzędzia w ogóle mieszczą się w zakresie ustawy, to jest właściwa pierwsza rozmowa. Nie wdrażanie procedur, tylko ustalenie, czy i w jakiej roli dotyczą Was obowiązki. Prowadzimy ją w ramach przeglądu zarządczego Ład AI.

Stan prawny na 29 lipca 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Ustawa określa terminy wejścia w życie liczbą dni i miesięcy od ogłoszenia (art. 127), a nie datami kalendarzowymi; daty dzienne podane w tekście pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw, nie z naszego przeliczenia. Ten wpis będzie aktualizowany, gdy pojawią się akty wykonawcze albo pierwsze rozstrzygnięcia Komisji.

Przez ostatnie miesiące większość polskich publikacji o AI Act powtarzała jedną datę: 2 sierpnia 2026. Ta data nadal jest ważna, ale znaczy dziś co innego, niż znaczyła w maju. 24 lipca 2026 w Dzienniku Urzędowym Unii Europejskiej ukazało się rozporządzenie (UE) 2026/1744 z 8 lipca 2026, potocznie zwane Digital Omnibus na AI. Weszło w życie 27 lipca 2026, czyli trzeciego dnia po publikacji.

Ten tekst porządkuje, co dokładnie się przesunęło, a co zostało nietknięte.

Co się właściwie stało 8 lipca 2026?

Digital Omnibus to pierwsza istotna nowelizacja AI Act od jego przyjęcia w 2024 roku. Zmienia trzy rozporządzenia naraz: sam AI Act, czyli rozporządzenie (UE) 2024/1689, a także przepisy o lotnictwie cywilnym i o maszynach.

Droga legislacyjna była nietypowo szybka. Komisja Europejska przedstawiła projekt 19 listopada 2025. Porozumienie trójstronne zapadło 7 maja 2026, Parlament Europejski zatwierdził je 16 czerwca 2026 (423 głosy za, 57 przeciw, 174 wstrzymujące się), a Rada dała ostateczną zgodę 29 czerwca 2026.

Powód pośpiechu jest w samym rozporządzeniu: motyw 46 tłumaczy wejście w życie już trzeciego dnia po publikacji koniecznością zapewnienia pewności prawa przed 2 sierpnia 2026.

Które terminy się przesunęły?

Przesunięcie dotyczy jednej kategorii: systemów wysokiego ryzyka. Osiągnięto je przez przepisanie artykułu 113 AI Act.

Dla Załącznika III to szesnaście miesięcy więcej. Uzasadnieniem były trudności z operacjonalizacją wymogów, które opierają się na normach zharmonizowanych, a te nie są jeszcze gotowe.

Ważny szczegół: odroczenie obejmuje sekcje 1, 2 i 3 rozdziału III, ale nie artykuł 6 ust. 5. Innymi słowy, przesunięto obowiązki, nie samą klasyfikację.

Czego Omnibus NIE przesunął?

To jest część, którą najłatwiej przeoczyć, bo nagłówki mówiły wyłącznie o opóźnieniu.

Obowiązuje od 2 lutego 2025: zakazane praktyki z artykułu 5 oraz kompetencje w zakresie AI z artykułu 4. Półtora roku temu, nie w przyszłości.

Obowiązuje od 2 sierpnia 2025: obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), przepisy o organach i o karach.

Zaczyna obowiązywać 2 sierpnia 2026: ogólne stosowanie AI Act, w tym obowiązki przejrzystości z artykułu 50. Chatbot ma się przedstawiać, treść wygenerowana przez AI ma być oznaczona. Komisja Europejska przyjęła 20 lipca 2026 wytyczne do artykułu 50, stosowane właśnie od 2 sierpnia.

Zaczyna obowiązywać 2 grudnia 2026: nowy zakaz z artykułu 5, dotyczący generowania intymnych materiałów bez zgody osoby oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Tego dnia mija też okres przejściowy na maszynowe oznaczanie treści przez systemy wprowadzone na rynek przed 2 sierpnia 2026. Systemy wprowadzane po tej dacie muszą spełniać wymóg od razu.

Krótko: kalendarz się nie rozluźnił, on się rozwarstwił.

Czy obowiązek szkoleń z AI zniknął?

Nie, ale zmienił charakter i to jest zmiana, o której warto wiedzieć, zanim ktoś sprzeda Wam szkolenie strachem.

Artykuł 4 w pierwotnym brzmieniu wymagał, żeby dostawcy i podmioty stosujące zapewnili wystarczający poziom kompetencji w zakresie AI u swojego personelu. Po nowelizacji mają podejmować środki wspierające rozwój tych kompetencji. Przepis wprost zastrzega, że nie wymaga to gwarantowania żadnego konkretnego poziomu.

Z obowiązku rezultatu zrobił się obowiązek starannego działania, oceniany przez pryzmat wiedzy technicznej personelu, jego doświadczenia, wykształcenia oraz kontekstu, w jakim systemy AI są używane.

Praktyczna konsekwencja dla firmy jest taka, że nikt nie sprawdzi Wam pracowników z testu. Sprawdzi natomiast, czy coś zrobiliście i czy potraficie to pokazać. Lista obecności, zakres programu, data, materiały, wewnętrzna polityka korzystania z AI. To jest dokładnie ten rodzaj dowodu, który albo istnieje, albo go nie ma.

Warto też zauważyć, co Omnibus dodał. Nowy artykuł 4a tworzy podstawę prawną do przetwarzania szczególnych kategorii danych osobowych, gdy jest to ściśle niezbędne do wykrywania i korygowania stronniczości systemu AI, pod sześcioma kumulatywnymi warunkami. Nowelizacja podniosła też górną granicę kar za naruszenie artykułu 25 do 15 mln euro lub 3 procent światowego obrotu, przenosząc obowiązki z artykułu 25 ust. 2 i 4 do katalogu z artykułu 99 ust. 4 AI Act.

Co zmienia polska ustawa i KRiBSI?

Równolegle domknęła się krajowa część układanki. Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 została ogłoszona w Dzienniku Ustaw 27 lipca 2026 (poz. 1003). Wchodzi w życie 11 sierpnia 2026. Przepisy o kontrolach, postępowaniach, karach i opiniach indywidualnych zaczynają obowiązywać 28 października 2026 (art. 127 ustawy, daty za oficjalnym rekordem Dz.U. 2026 poz. 1003). Szczegółowo opisujemy ją we wpisie Polska ustawa o AI: KRiBSI, zdalne kontrole i terminy dla MŚP.

Krajowym organem nadzoru rynku i pojedynczym punktem kontaktowym wobec instytucji unijnych zostaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję. W składzie znajdą się przedstawiciele UOKiK, KNF, KRRiT i UKE.

Dla firmy istotne są trzy rzeczy. Po pierwsze, jest wreszcie adres: konkretny organ, do którego można złożyć wniosek i który wydaje decyzje, także w sprawie poważnych incydentów. Po drugie, KRiBSI będzie wydawać opinie indywidualne w konkretnych sprawach (opłata 150 zł, termin 30 dni), czyli powstaje ścieżka rozstrzygania wątpliwości bez czekania na spór. Po trzecie, ten sam organ prowadzi krajowe piaskownice regulacyjne, dla mikro, małych i średnich firm nieodpłatne.

Co zrobić w firmie w najbliższych tygodniach?

Przesunięcie terminów dla systemów wysokiego ryzyka nie zmienia listy zadań, tylko kolejność.

1. Sprawdźcie, czy w ogóle jesteście dostawcą, czy podmiotem stosującym. To rozstrzyga o niemal wszystkim innym. Firma, która wyłącznie korzysta z gotowych narzędzi, ma zupełnie inny zestaw obowiązków niż firma, która wypuszcza własny system pod swoją marką.
2. Zinwentaryzujcie systemy AI, które już działają. Nie tylko te kupione oficjalnie. Narzędzia dokładane przez zespoły na własną rękę są najczęstszym źródłem zaskoczenia przy pierwszym przeglądzie.
3. Zamknijcie temat artykułu 4 dowodem, nie deklaracją. Przeszkolony zespół bez śladu po szkoleniu jest z punktu widzenia nadzoru zespołem nieprzeszkolonym.
4. Obowiązki przejrzystości działają od 2 sierpnia 2026, czyli już teraz. Jeśli klient rozmawia z Waszym chatbotem albo dostaje treść wygenerowaną przez model, musi to wiedzieć. To już nie jest przygotowanie do terminu, tylko sprawdzenie stanu faktycznego.
5. Systemy z Załącznika III potraktujcie jak projekt na 2027, nie jak temat zamknięty. Szesnaście miesięcy brzmi komfortowo do momentu, w którym trzeba skompletować dokumentację techniczną i ocenę zgodności.

Jeżeli nie wiecie, do której kategorii trafiacie, to jest dokładnie ta rozmowa, od której warto zacząć. Nie od wdrażania procedur, tylko od ustalenia, czy w ogóle Was dotyczą.

Polska ustawa weszła w życie 11 sierpnia 2026. Listę kroków dla małej firmy, rozpisaną już po tej dacie, zebraliśmy we wpisie Ustawa o AI weszła w życie: 5 rzeczy, które mała firma powinna zrobić w tym tygodniu.

Jeżeli chcecie przejść ten kalendarz na własnych systemach, a nie na przykładach, robimy to w ramach przeglądu zarządczego Ład AI.

Stan prawny na 28 lipca 2026. Terminy zweryfikowane w Dzienniku Urzędowym Unii Europejskiej oraz w komunikatach Parlamentu Europejskiego. Ten wpis będzie aktualizowany, gdy zmienią się przepisy lub gdy pojawią się wytyczne krajowe.