Prezydent podpisał ustawę o systemach sztucznej inteligencji

Prezydent RP w dniu 24 lipca 2026 r. podpisał ustawę o systemach sztucznej inteligencji. Ustawa stanowi krajowe uzupełnienie rozporządzenia Parlamentu Europejskiego i Rady UE 2024/1689 z dnia 13 czerwca 2024 r. ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act). Nie implementuje ona przepisów unijnych, które obowiązują bezpośrednio we wszystkich państwach członkowskich, lecz ustanawia rozwiązania instytucjonalne i proceduralne niezbędne do ich skutecznego wykonywania w Polsce.

Krajowa ustawa ma na celu zapewnienie stosowania AI Act w Polsce. Tworzy przede wszystkim krajowe ramy organizacyjne i proceduralne – wskazuje właściwy organ nadzoru, określa jego kompetencje, reguluje zasady prowadzenia kontroli i postępowań administracyjnych, nakładania administracyjnych kar pieniężnych oraz wprowadza instrumenty wspierające przedsiębiorców i administrację publiczną. 
Oznacza to, że podstawowe obowiązki dotyczące projektowania, wprowadzania do obrotu, oddawania do użytku oraz stosowania systemów sztucznej inteligencji nadal wynikają bezpośrednio z AI Act. 
AI Act ustanawia jednolite ramy prawne dla rozwoju, wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów AI w całej Unii Europejskiej. Celem rozporządzenia jest zapewnienie wysokiego poziomu ochrony zdrowia, bezpieczeństwa, praw podstawowych, demokracji, praworządności i środowiska, przy jednoczesnym wspieraniu innowacyjności i rozwoju rynku sztucznej inteligencji. Regulacja opiera się na podejściu opartym na ryzyku, inne obowiązki przewidziano dla systemów zakazanych, inne dla systemów wysokiego ryzyka, a jeszcze inne dla systemów objętych obowiązkami przejrzystości. 
Rozporządzenie UE 2024/1689 obowiązuje bezpośrednio we wszystkich państwach członkowskich i nie wymaga implementacji do prawa krajowego. Państwa członkowskie zobowiązane są jednak do ustanowienia krajowych mechanizmów umożliwiających jego skuteczne stosowanie, w szczególności poprzez wyznaczenie właściwych organów nadzoru, określenie procedur kontrolnych oraz zasad prowadzenia postępowań i nakładania sankcji. Temu właśnie służy polska ustawa o systemach sztucznej inteligencji. 
 
Podpisana ustawa tworzy zatem krajowy system wykonywania i egzekwowania przepisów AI Act. 

Kluczowe rozwiązania krajowej ustawy 
1. Powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) 
Najważniejszym rozwiązaniem ustawy jest ustanowienie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji tzw. KRiBSI, która będzie krajowym organem właściwym do wykonywania zadań wynikających z AI Act. Do jej kompetencji należeć będzie m.in. prowadzenie postępowań administracyjnych, wykonywanie czynności kontrolnych, nakładanie administracyjnych kar pieniężnych oraz prowadzenie działań związanych z funkcjonowaniem piaskownic regulacyjnych. 
KRiBSI będzie funkcjonowała przy ministrze właściwym do spraw informatyzacji, z zachowaniem ustawowych gwarancji niezależności przy wykonywaniu zadań nadzorczych. 
Z punktu widzenia sektora finansowego istotne znaczenie ma również przewidziana w ustawie współpraca KRiBSI z organami właściwymi w poszczególnych sektorach, w tym z Komisją Nadzoru Finansowego, Prezesem Urzędu Ochrony Danych Osobowych oraz Prezesem Urzędu Ochrony Konkurencji i Konsumentów. Zakres kompetencji tych organów nadal wynika z właściwych przepisów sektorowych. 
Dla banków oznacza to możliwość prowadzenia równoległych działań nadzorczych dotyczących zgodności z AI Act, przepisami o ochronie danych osobowych, ochronie konsumentów, cyberbezpieczeństwie oraz regulacjami sektora finansowego. 
2. Kontrole, postępowania i administracyjne kary pieniężne 
Ustawa określa krajowe procedury prowadzenia kontroli, postępowań administracyjnych, wydawania decyzji oraz nakładania administracyjnych kar pieniężnych, uzupełniając rozwiązania przewidziane w AI Act. 
Część przepisów dotyczących kontroli, postępowań administracyjnych, kar oraz opinii indywidualnych wejdzie w życie po upływie trzech miesięcy od dnia ogłoszenia ustawy, natomiast pozostała część po upływie 14 dni od dnia ogłoszenia. 
Dla podmiotów wykorzystujących systemy AI, w tym banków, oznacza to konieczność przygotowania się nie tylko do wymogów wynikających bezpośrednio z AI Act, ale również do krajowych procedur nadzorczych. Szczególnego znaczenia nabiorą identyfikacja wykorzystywanych systemów AI, prowadzenie odpowiedniej dokumentacji, zarządzanie ryzykiem, zapewnienie nadzoru człowieka nad funkcjonowaniem systemów, przejrzystość wobec klientów oraz współpraca z właściwymi organami nadzoru. 
3. Opinie indywidualne 
Jednym z najbardziej praktycznych rozwiązań przewidzianych w ustawie jest możliwość uzyskania opinii indywidualnej dotyczącej stosowania AI Act lub przepisów krajowych. Opłata za złożenie wniosku wynosi 150 zł, natomiast opinia powinna zostać wydana w terminie 30 dni, a w sprawach szczególnie skomplikowanych – do 60 dni. 
Rozwiązanie to może mieć duże znaczenie praktyczne dla sektora bankowego. Wątpliwości mogą dotyczyć m.in. tego, czy konkretne narzędzie wspierające ocenę zdolności kredytowej, segmentację klientów, monitorowanie transakcji, obsługę reklamacji lub automatyzację procesów wewnętrznych stanowi „system AI” w rozumieniu AI Act, czy należy je zakwalifikować jako system wysokiego ryzyka oraz jakie obowiązki ciążą na banku jako podmiocie stosującym system AI. Możliwość uzyskania opinii indywidualnej może istotnie ograniczyć niepewność regulacyjną oraz ułatwić bezpieczne wdrażanie nowych technologii. 
4. Piaskownice regulacyjne i wsparcie innowacji 
Ustawa przewiduje również utworzenie piaskownic regulacyjnych umożliwiających testowanie innowacyjnych rozwiązań AI w kontrolowanych warunkach, przy współpracy z organem nadzoru. 
Mechanizm ten może mieć szczególne znaczenie dla mniejszych przedsiębiorców oraz instytucji finansowych, które chcą rozwijać rozwiązania oparte na sztucznej inteligencji, lecz nie dysponują zasobami porównywalnymi z największymi uczestnikami rynku. 
 
Omnibus AI – dalsze uproszczenie stosowania AI Act. 
Warto również zwrócić uwagę, że krajowa ustawa będzie stosowana z uwzględnieniem zmian wprowadzonych do AI Act przez rozporządzenie Parlamentu Europejskiego i Rady UE 2026/1744, tzw. Omnibus AI. 
Celem tego rozporządzenia jest uproszczenie stosowania AI Act poprzez ograniczenie zbędnych obciążeń administracyjnych, zwiększenie proporcjonalności wymagań wobec mniejszych podmiotów oraz doprecyzowanie części obowiązków wynikających z AI Act, bez obniżania poziomu ochrony zdrowia, bezpieczeństwa oraz praw podstawowych. 
W praktyce oznacza to m.in. ograniczenie dublowania obowiązków regulacyjnych, większą proporcjonalność wymagań wobec mniejszych przedsiębiorców, doprecyzowanie zasad kwalifikowania systemów wysokiego ryzyka oraz większy nacisk na rozwój kompetencji w zakresie AI, dobre praktyki i ograniczanie kosztów administracyjnych. 
W konsekwencji KRiBSI będzie wykonywała swoje zadania z uwzględnieniem AI Act w brzmieniu nadanym rozporządzeniem UE 2026/1744. 
 
Dla banków nowe przepisy mają przede wszystkim znaczenie organizacyjne, technologiczne oraz związane z zapewnieniem zgodności z regulacjami. 
Sektor bankowy już obecnie wykorzystuje rozwiązania oparte na sztucznej inteligencji m.in. w analizie danych, przeciwdziałaniu nadużyciom, ocenie ryzyka, cyberbezpieczeństwie, obsłudze klienta, marketingu, monitorowaniu transakcji czy automatyzacji procesów operacyjnych. 
Nie każde wykorzystywane rozwiązanie będzie jednak stanowiło system AI w rozumieniu AI Act i nie każdy system AI zostanie zakwalifikowany jako system wysokiego ryzyka. Każdy bank powinien natomiast być w stanie wykazać, że dokonał prawidłowej identyfikacji stosowanych rozwiązań oraz oceny wynikających z nich obowiązków regulacyjnych. 
Szczególne znaczenie będą miały systemy AI wykorzystywane w procesach mogących wywoływać istotny wpływ na sytuację klientów, w szczególności przy ocenie zdolności kredytowej, scoringu, analizie ryzyka, wykrywaniu nadużyć, profilowaniu klientów czy automatycznym podejmowaniu decyzji. 
AI Act wymaga bowiem zapewnienia odpowiedniej jakości danych, zarządzania ryzykiem, prowadzenia dokumentacji technicznej, przejrzystości działania systemów, skutecznego nadzoru człowieka oraz monitorowania funkcjonowania systemów AI przez cały okres ich wykorzystywania. 
Istotne znaczenie będzie miało również prawidłowe określenie roli banku w świetle AI Act. W zależności od okoliczności bank może występować jako podmiot stosujący system AI, a w określonych przypadkach również jako dostawca systemu AI, jeżeli samodzielnie opracowuje lub dokonuje istotnych modyfikacji danego rozwiązania. Od właściwego określenia tej roli zależy zakres obowiązków wynikających z AI Act. 
 
Podpisanie ustawy oznacza rozpoczęcie nowego etapu budowy krajowego systemu nadzoru nad sztuczną inteligencją. Chociaż zasadnicze obowiązki przedsiębiorców wynikają bezpośrednio z AI Act, wejście w życie krajowej ustawy wymaga od banków odpowiedniego przygotowania organizacyjnego, w tym wdrożenia rozwiązań z zakresu governance, compliance i zarządzania ryzykiem związanym z wykorzystywaniem systemów sztucznej inteligencji. 

Link do ustawy: http://orka.sejm.gov.pl/opinie10.nsf/dok?OpenAgent&2443_u