Polska ustawa o systemach sztucznej inteligencji – analiza projektu w kontekście AI Act i jego znaczenia dla przedsiębiorców

Dynamiczny rozwój technologii sztucznej inteligencji oraz rosnące znaczenie systemów AI w działalności gospodarczej doprowadziły do intensyfikacji działań legislacyjnych zarówno na poziomie Unii Europejskiej, jak i w państwach członkowskich. Kluczowym aktem prawnym w tym obszarze jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act), które ustanawia jednolite ramy regulacyjne dla systemów sztucznej inteligencji. Na poziomie krajowym brak jest jeszcze regulacji, które weszły w życie jednak z końcem marca 2026 r. Rada Ministrów przyjęła i skierowała do prac w sejmie projekt ustawy o systemach sztucznej inteligencji, który stanowi rozwinięcie i uzupełnienie regulacji unijnych, koncentrując się przede wszystkim na stworzeniu mechanizmów instytucjonalnych oraz proceduralnych niezbędnych do skutecznego stosowania AI Act w Polsce.

Projektowana ustawa określa przede wszystkim organizację i sposób sprawowania nadzoru nad rynkiem systemów sztucznej inteligencji oraz modelami ogólnego przeznaczenia, a także reguluje postępowania w sprawach naruszeń przepisów zarówno samego rozporządzenia, jak i ustawy krajowej. Istotnym elementem regulacji są również zasady akredytacji i notyfikacji jednostek oceniających zgodność, mechanizmy wspierające rozwój technologii AI oraz system administracyjnych kar pieniężnych. Tym samym ustawa ma charakter wykonawczy względem AI Act – nie powiela jego przepisów, lecz zapewnia ich operacyjne stosowanie w polskim porządku prawnym. Zakres podmiotowy ustawy obejmuje co do zasady wszystkie podmioty wskazane w AI Act, w szczególności dostawców i operatorów systemów sztucznej inteligencji, przy czym projekt przewiduje szereg wyłączeń. Nie znajdzie ona zastosowania m.in. do działalności związanej z obronnością i bezpieczeństwem państwa, aktywności służb specjalnych, określonych badań naukowych oraz zastosowań o charakterze czysto prywatnym.

Istotną cechą projektu jest ścisłe powiązanie z AI Act poprzez konsekwentne i szerokie odwołania do definicji, konstrukcji oraz instytucji prawa unijnego. Ustawa krajowa nie tworzy własnego, autonomicznego aparatu pojęciowego w kluczowych obszarach regulacji, takich jak pojęcie systemu sztucznej inteligencji, dostawcy, operatora, oceny zgodności czy ryzyka, lecz wprost odsyła do odpowiednich przepisów rozporządzenia. Takie rozwiązanie ma istotne znaczenie systemowe – eliminuje ryzyko rozbieżności interpretacyjnych między porządkami prawnymi państw członkowskich oraz zapewnia spójność stosowania regulacji w ramach jednolitego rynku cyfrowego. W praktyce oznacza to jednak konieczność równoległej analizy przepisów krajowych i unijnych, które funkcjonują jako wzajemnie uzupełniające się elementy jednego systemu regulacyjnego.

Z perspektywy wykładni prawa prowadzi to do sytuacji, w której interpretacja przepisów ustawy nie może być dokonywana w oderwaniu od kontekstu AI Act, jego motywów, celów regulacyjnych oraz dorobku interpretacyjnego instytucji unijnych. Dla przedsiębiorców oznacza to konieczność śledzenia nie tylko krajowych zmian legislacyjnych, ale również dynamicznego otoczenia regulacyjnego na poziomie UE. Podkreślić należy, że ustawa wprost przewiduje, że w wydawanych przez polskie organy opiniach indywidualnych i wyjaśnieniach uwzględniać się będzie zalecenia i opinie merytoryczne Europejskiej Rady do spraw Sztucznej Inteligencji.

Struktura ustawy ma charakter systemowy W pierwszym rozdziale zawarto przepisy ogólne, obejmujące zakres regulacji, wyłączenia oraz definicje. Kluczowe znaczenie ma jednak rozdział drugi, który szczegółowo reguluje organizację nadzoru nad sztuczną inteligencją. W dalszych częściach – zgodnie z logiką projektu – uregulowane zostały kwestie postępowań w sprawach naruszeń, system sankcji administracyjnych, zasady funkcjonowania jednostek oceniających zgodność oraz instrumenty wspierające innowacje, takie jak piaskownice regulacyjne. Nowatorskim rozwiązaniem jest wprowadzenie procedurę układu w sprawie nadzwyczajnego złagodzenia sankcji, który promuje współpracę podmiotu z organem nadzoru. W uzasadnieniu projektu ustawy wskazano, że „projekt ustawy wprowadza alternatywną metodę rozwiązywania sporów w postępowaniach dotyczących naruszeń przepisów regulujących obszar sztucznej inteligencji. Projektowane przepisy ustanawiają procedurę zawierania układu w sprawie nadzwyczajnego złagodzenia sankcji w postępowaniach prowadzonych przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Wprowadzenie tej instytucji ma na celu zwiększenie efektywności nadzoru nad zgodnością systemów sztucznej inteligencji z rozporządzeniem 2024/1689 oraz ustawą krajową, a także stworzenie mechanizmów zachęcających podmioty do współpracy z organem nadzoru i szybkiego usuwania naruszeń”.

Centralnym elementem projektowanego systemu nadzoru jest powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako wyspecjalizowanego organu nadzoru.mKonstrukcja tego organu wpisuje się w model przyjęty na poziomie unijnym, zakładający koncentrację kompetencji nadzorczych w jednym podmiocie, zdolnym do efektywnej koordynacji działań regulacyjnych, kontrolnych i strategicznych. Komisja odpowiada za egzekwowanie przepisów zarówno rozporządzenia, jak i ustawy krajowej, co oznacza, że stanie się kluczowym adresatem obowiązków regulacyjnych przedsiębiorców wykorzystujących systemy sztucznej inteligencji.

Zakres kompetencji Komisji ma charakter szeroki i wielowymiarowy. Obejmuje on klasyczne funkcje nadzorcze, takie jak prowadzenie kontroli przestrzegania przepisów, wszczynanie i prowadzenie postępowań w sprawach naruszeń oraz wydawanie decyzji administracyjnych, w tym nakładanie sankcji. Jednocześnie projekt wyraźnie rozszerza rolę Komisji poza standardowy model organu kontrolnego, powierzając jej także zadania o charakterze systemowym i rozwojowym. Komisja ma bowiem aktywnie monitorować rynek sztucznej inteligencji, identyfikować kierunki jego rozwoju oraz potencjalne ryzyka, a także podejmować działania na rzecz wspierania innowacyjności i konkurencyjności gospodarki.

Istotnym elementem funkcjonowania Komisji jest jej zaangażowanie w proces legislacyjny i kształtowanie polityk publicznych. Organ ten będzie opiniował projekty aktów prawnych, przedstawiał propozycje zmian legislacyjnych oraz uczestniczył w tworzeniu dokumentów strategicznych dotyczących sztucznej inteligencji. W praktyce oznacza to, że Komisja nie tylko stosuje prawo, ale również współtworzy jego przyszły kształt, co znacząco wzmacnia jej pozycję w systemie instytucjonalnym państwa.

Projekt przewiduje także rozwinięte mechanizmy współpracy Komisji z innymi organami krajowymi oraz instytucjami unijnymi. W szczególności dotyczy to współdziałania z organami nadzoru rynku, organem ochrony danych osobowych, instytucjami odpowiedzialnymi za cyberbezpieczeństwo oraz regulatorami sektorowymi, takimi jak nadzór finansowy czy regulator rynku medialnego. Na poziomie unijnym Komisja będzie współpracować z Komisją Europejską oraz Europejską Radą do spraw Sztucznej Inteligencji, co ma zapewnić spójność stosowania przepisów oraz efektywną wymianę informacji.

Na szczególną uwagę zasługuje również kompetencja Komisji do tworzenia i zarządzania tzw. piaskownicami regulacyjnymi. Instrument ten umożliwia przedsiębiorcom testowanie innowacyjnych rozwiązań opartych na sztucznej inteligencji w kontrolowanym środowisku, przy jednoczesnym ograniczeniu ryzyka regulacyjnego. Piaskownice mają stanowić narzędzie wspierania innowacji, umożliwiające bezpieczne eksperymentowanie z nowymi modelami biznesowymi oraz technologiami, zanim zostaną one wprowadzone na rynek na pełną skalę. Z perspektywy przedsiębiorców jest to jeden z kluczowych elementów równoważących restrykcyjny charakter regulacji AI Act. Z perspektywy przedsiębiorców istotne jest, że Udział w piaskownicach dla mikro, małych i średnich przedsiębiorstw ma być nieodpłatny.

Dodatkowo Komisja została wyposażona w kompetencje o charakterze informacyjnym i edukacyjnym, obejmujące m.in. opracowywanie publikacji, prowadzenie programów edukacyjnych oraz upowszechnianie dobrych praktyk w zakresie stosowania AI. W połączeniu z możliwością wydawania opinii indywidualnych oraz wyjaśnień interpretacyjnych tworzy to kompleksowy system wsparcia dla podmiotów zobowiązanych do stosowania przepisów. W efekcie Komisja jawi się nie tylko jako organ nadzorczy, lecz jako centralny hub kompetencyjny w obszarze sztucznej inteligencji, łączący funkcje regulacyjne, kontrolne i wspierające rozwój rynku.

Na szczególną uwagę zasługuje instytucja tzw. opinii indywidualnych, które mogą być wydawane na wniosek podmiotów stosujących lub planujących stosowanie systemów AI. Mechanizm ten stanowi istotne narzędzie ograniczania ryzyka regulacyjnego, umożliwiając przedsiębiorcom uzyskanie wiążącej interpretacji przepisów w odniesieniu do konkretnego stanu faktycznego lub planowanego przedsięwzięcia. Projekt ustawy precyzyjnie określa zarówno krąg podmiotów uprawnionych do złożenia wniosku, jak i szczegółowe wymogi formalne – z wnioskiem może wystąpić nie tylko podmiot już objęty regulacją, lecz także taki, który dopiero planuje wdrożenie rozwiązania opartego na sztucznej inteligencji i chce z wyprzedzeniem ocenić swoje obowiązki regulacyjne.

Wniosek o wydanie opinii musi zawierać wyczerpujący opis stanu faktycznego lub zdarzenia przyszłego, którego dotyczy, a także własne stanowisko wnioskodawcy co do jego oceny prawnej. Dodatkowo wymagane jest szczegółowe oznaczenie podmiotu, w tym dane identyfikacyjne przedsiębiorcy (np. NIP, KRS, REGON), oraz złożenie oświadczenia, że sprawa objęta wnioskiem nie jest przedmiotem toczącego się postępowania przed innymi organami lub sądami. Procedura ma charakter odpłatny – opłata za złożenie wniosku wynosi 150 zł i jest pobierana od każdego odrębnie przedstawionego stanu faktycznego lub zdarzenia przyszłego. Opinia indywidualna w swojej konstrukcji przypomina znaną polskiemu porządkowi prawnemu interpretację indywidualną.

Ustawodawca przewidział również konkretne terminy rozpatrywania wniosków. Co do zasady opinia powinna zostać wydana bez zbędnej zwłoki, nie później niż w terminie 30 dni od dnia złożenia wniosku, natomiast w sprawach szczególnie skomplikowanych termin ten może zostać wydłużony do 60 dni. Co istotne z punktu widzenia praktyki biznesowej, brak wydania opinii w ustawowym terminie skutkuje tzw. milczącą zgodą – uznaje się wówczas, że stanowisko przedstawione przez wnioskodawcę jest prawidłowe. Rozwiązanie to znacząco wzmacnia pewność prawną i ogranicza ryzyko przewlekłości postępowań.

Opinia indywidualna ma charakter wiążący dla Komisji oraz innych organów państwowych w zakresie sprawy, której dotyczy, co oznacza, że przedsiębiorca działający zgodnie z jej treścią korzysta z istotnej ochrony prawnej. Projekt przewiduje przy tym mechanizmy zapewniające stabilność tej ochrony – zastosowanie się do opinii nie może szkodzić wnioskodawcy, nawet w przypadku jej późniejszej zmiany lub uchylenia. Jednocześnie ustawodawca dopuszcza możliwość zmiany, uchylenia lub stwierdzenia wygaśnięcia opinii, w szczególności w sytuacji zmiany stanu prawnego, rozwoju orzecznictwa lub pojawienia się nowych wytycznych na poziomie unijnym.

Dodatkowym elementem systemu jest obowiązek publikowania opinii – po ich anonimizacji – w Biuletynie Informacji Publicznej, co sprzyja transparentności i budowaniu praktyki interpretacyjnej dostępnej dla całego rynku. W efekcie instytucja opinii indywidualnych pełni nie tylko funkcję ochronną wobec konkretnego przedsiębiorcy, lecz także systemową, przyczyniając się do ujednolicania stosowania przepisów i zwiększania przewidywalności regulacyjnej w obszarze sztucznej inteligencji.

Projekt ustawy przewiduje rozbudowany system administracyjnych kar pieniężnych, które stanowią podstawowy instrument egzekwowania obowiązków wynikających z rozporządzenia 2024/1689 oraz przepisów krajowych. Sankcje mogą być nakładane w szczególności w przypadku naruszenia wymogów dotyczących wprowadzania do obrotu i użytkowania systemów sztucznej inteligencji, niespełnienia obowiązków w zakresie oceny zgodności, naruszenia zasad bezpieczeństwa czy też niewykonania decyzji organu nadzorczego. Co istotne, katalog przesłanek oraz maksymalne wysokości kar nie są określone autonomicznie w ustawie, lecz wynikają bezpośrednio z AI Act, co zapewnia spójność sankcji w skali całej Unii Europejskiej i obejmuje zarówno podmioty sektora prywatnego, jak i publicznego.

Postępowanie w sprawie nałożenia kary prowadzone jest z urzędu przez Komisję i odbywa się na zasadach określonych w Kodeksie postępowania administracyjnego, przy zapewnieniu stronie prawa do obrony oraz możliwości zaskarżenia decyzji do sądu. Wysokość kary jest ustalana indywidualnie, z uwzględnieniem m.in. charakter, waga, czas trwania naruszenia oraz stopień winy. Wysokość kary ustala się z uwzględnieniem skali działalności podmiotu – ten ma obowiązek przedłożyć stosowne dokumenty finansowe, a w przypadku niewypełnienia tego zobowiązania Komisja może określić podstawę jej wymiaru w sposób szacunkowy. Ustawa przewiduje również mechanizmy łagodzenia sankcji – możliwe jest obniżenie kary, w szczególności w przypadku współpracy z organem lub wykonania zaleceń pokontrolnych, a także zawarcie swoistego „układu”, który może skutkować redukcją kary nawet o kilkadziesiąt procent. Dodatkowo przewidziano możliwość odroczenia płatności lub rozłożenia jej na raty ze względu na ważny interes ukaranego podmiotu.

W zakresie wysokości kar ustawa odsyła wprost do rozdziału XII Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, które przewiduje kary w następującej wysokości:

1. Do 35 000 000 EUR lub - jeżeli sprawcą naruszenia jest przedsiębiorstwo - w wysokości do 7 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa za
2. stosowanie praktyk zakazanych w zakresie AI (art. 5 Rozporządzenia 2024/1689), które to praktyki polegają m.in. na wprowadzaniu do obrotu systemów AI, który stosuje podprogowe lub manipulacyjne, które w istotny sposób wpływają na decyzje ludzi i mogą powodować poważną szkodę. Niedopuszczalne jest także wykorzystywanie systemów AI, które wykorzystują słabości osób, takie jak wiek, niepełnosprawność czy sytuacja społeczna, w sposób prowadzący do szkodliwej zmiany ich zachowania. Ponadto zakazuje się tworzenia baz danych rozpoznawania twarzy poprzez masowe, nieukierunkowane pozyskiwanie wizerunków, a także stosowania systemów analizujących emocje w miejscu pracy lub edukacji, z wyjątkiem zastosowań medycznych lub związanych z bezpieczeństwem
3. Do 15 000 000 EUR lub - jeżeli sprawcą naruszenia jest przedsiębiorstwo - w wysokości do 3 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa m.in w sytuacji naruszenia swoich obowiązków przez dostawców, importerów czy dystrybutorów;
4. do 7 500 000 EUR lub - jeżeli sprawcą naruszenia jest przedsiębiorstwo - w wysokości do 1 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa w przypadku dostarczania nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji określonym organom.

Kary oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia – według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego. Zgodnie z rozporządzaniem AI Act mikro, małe i średnie przedsiębiorstwa mogą zostać ukarane karą wyłącznie do niższej z wartości określonych w konkretnym przypadku.

Administracyjne kary pieniężne podlegają egzekucji w drodze przepisów o postępowaniu egzekucyjnym w administracji. Jednocześnie projekt przewiduje środki zwiększające transparentność – informacje o nałożonych karach, w tym o systemach AI i podmiotach, których dotyczą decyzje, mają być publikowane w odpowiednim rejestrze. W efekcie system sankcji ma nie tylko charakter represyjny, lecz również prewencyjny i dyscyplinujący, wzmacniając znaczenie zgodności regulacyjnej (compliance) jako kluczowego elementu działalności przedsiębiorców wykorzystujących sztuczną inteligencję.

Istotną rolę w systemie przewidzianym w projekcie ustawy odgrywa również Sąd Ochrony Konkurencji i Konsumentów (SOKiK), który pełni funkcję sądu właściwego do kontroli decyzji wydawanych przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Decyzje administracyjne Komisji, w szczególności te dotyczące stwierdzenia naruszeń przepisów oraz nałożenia administracyjnych kar pieniężnych, podlegają zaskarżeniu właśnie do SOKiK, co wpisuje się w model znany z innych regulacji rynku – podobny model przewiduje ustawa o ochronie konkurencji i konsumentów, zgodnie z którą do SOKiK służy odwołanie od decyzji Prezesa Urzędu Ochrony Konkurencji i Konsumenta.Postępowanie przed SOKiK ma charakter merytoryczny, co oznacza, że sąd nie ogranicza się wyłącznie do kontroli formalnej, lecz może również dokonać własnej oceny okoliczności sprawy, w tym zasadności i wysokości nałożonej kary. Projekt przewiduje też wymogi formalne, które spełnić musi odwołanie – powinno czynić zadość wymaganiom przepisanym dla pisma procesowego oraz zawierać oznaczenie zaskarżonej decyzji i wartości przedmiotu sporu, przytoczenie zarzutów, zwięzłe ich uzasadnienie, wskazanie dowodów, a także wniosek o uchylenie albo o zmianę decyzji w całości lub w części.

Z perspektywy przedsiębiorców znaczenie SOKiK jest kluczowe jako gwaranta sądowej kontroli działań organu nadzorczego oraz elementu zapewniającego równowagę między interesem publicznym a ochroną praw podmiotów rynku. Możliwość odwołania się do wyspecjalizowanego sądu zwiększa przewidywalność systemu oraz wzmacnia standardy proceduralne, w tym prawo do obrony i rzetelnego procesu. Jednocześnie należy uwzględnić, że postępowania przed SOKiK mogą mieć charakter złożony i wymagający, co w praktyce oznacza konieczność odpowiedniego przygotowania zarówno pod względem prawnym, jak i technologicznym, szczególnie w sprawach dotyczących zaawansowanych systemów sztucznej inteligencji.

Podsumowując, projekt ustawy o systemach sztucznej inteligencji stanowi kluczowy element krajowego systemu regulacyjnego w obszarze AI. Jego znaczenie dla przedsiębiorców jest dwojakie – z jednej strony wprowadza on nowe obowiązki i mechanizmy nadzorcze, z drugiej zaś tworzy ramy sprzyjające bezpiecznemu i przewidywalnemu rozwojowi technologii. W praktyce skuteczność tych regulacji będzie zależała nie tylko od ich ostatecznego kształtu, ale również od sposobu ich stosowania przez organy nadzoru oraz od zdolności przedsiębiorców do wdrożenia kompleksowych strategii zgodności regulacyjnej.