Skarga do KRiBSI od 28.10.2026 - jak przygotować urząd i firmę

Czy potrafisz wykazać, że Twoi pracownicy korzystają z AI świadomie? Sprawdź, jakie dokumenty przygotować. Szkolenia AI dla urzędów

W skrócie

Od 28 października 2026 działają przepisy ustawy o systemach sztucznej inteligencji o skargach, kontrolach, postępowaniach i karach.
Skargę może złożyć każdy: mieszkaniec, pracownik, kandydat do pracy, klient, firma czy organizacja społeczna. Musi dotyczyć możliwego naruszenia AI Act lub polskiej ustawy.
Skarga nie oznacza automatycznie kary, ale może uruchomić postępowanie, w którym Komisja wyda ostrzeżenie, nakaz albo karę. Decyzje są publikowane w BIP.
Prawdopodobne powody pierwszych skarg to chatbot bez informacji, że jest AI, nieoznaczone realistyczne treści z AI i rozpoznawanie emocji pracowników, które jest zakazane od lutego 2025. Statystyk skarg jeszcze nie ma.
Warto mieć teczkę AI: spis narzędzi, zarządzenie lub politykę, oznaczenia i udokumentowane działania wspierające kompetencje pracowników. Pomaga wykazać staranność, choć nie gwarantuje wyniku postępowania.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) działa od 11 sierpnia 2026 r., a we wrześniu Sejm za zgodą Senatu wybrał jej przewodniczącą, Pamelę Krzypkowską. Do tej pory Komisja się organizowała. Od 28 października dostaje narzędzia: przyjmuje skargi, kontroluje, prowadzi postępowania i nakłada kary.

Dla wielu organizacji to zmiana bardziej realna, niż się wydaje. Sieć Obywatelska Watchdog Polska zapytała 5480 instytucji publicznych o korzystanie z AI. Spośród ponad 2000 gmin, które odpowiedziały, tylko 20 miało wewnętrzne zasady korzystania z AI. Jednocześnie według NASK w drugiej połowie 2025 r. z generatywnej AI w pracy korzystało 46% urzędników. Watchdog opisał też dwie gminy, które zaprzeczyły używaniu AI, choć wydały decyzje ze śladami generatywnej AI, w tym z wymyślonymi przepisami.

Poniżej znajdziesz praktyczne omówienie procedury i konkretne sytuacje. To materiał edukacyjny według stanu na 12 października 2026 r., a nie porada prawna w indywidualnej sprawie.

Terminy, które trzeba znać

Data	Co obowiązuje	Podstawa
2 lutego 2025	Zakazane praktyki AI (m.in. rozpoznawanie emocji w miejscu pracy) i obowiązek dbania o kompetencje AI personelu.	art. 4 i 5 AI Act
2 sierpnia 2026	Przejrzystość: chatbot informuje, że jest AI; oznaczanie deepfake'ów i tekstów o sprawach publicznych; informowanie o rozpoznawaniu emocji.	art. 50 AI Act
11 sierpnia 2026	Wchodzi w życie ustawa o systemach sztucznej inteligencji; powstaje KRiBSI.	Dz.U. 2026 poz. 1003
28 października 2026	Skargi, kontrole, postępowania, kary, opinie indywidualne.	art. 127 ustawy
do 11 listopada 2026	Pierwsze posiedzenie Komisji (w ciągu 3 miesięcy od wejścia ustawy w życie).	ustawa
2 grudnia 2026	Koniec okresu przejściowego na maszynowe oznaczanie treści dla generatorów wprowadzonych przed 2.08.2026; nowe zakazy (m.in. aplikacje „rozbierające”).	art. 5, art. 50 ust. 2
2 grudnia 2027	Systemy wysokiego ryzyka z załącznika III: rekrutacja i ocena pracowników, dostęp do świadczeń publicznych, edukacja.	rozp. (UE) 2026/1744

Kto i na co może złożyć skargę

Skargę może złożyć osoba fizyczna, osoba prawna lub jednostka organizacyjna bez osobowości prawnej (art. 59 ustawy w związku z art. 85 AI Act). W praktyce: mieszkaniec gminy, petent, pracownik, kandydat do pracy, klient sklepu, ale też firma konkurencyjna, stowarzyszenie czy fundacja zajmująca się prawami obywatelskimi.

Skarga musi dotyczyć możliwego naruszenia AI Act lub ustawy o systemach sztucznej inteligencji. To ważne zawężenie. KRiBSI nie jest organem odwoławczym od wszystkiego, co ma związek z komputerem w urzędzie:

Problem	Właściwa droga
Chatbot podaje się za człowieka, deepfake bez oznaczenia, zakazane rozpoznawanie emocji	Skarga do KRiBSI
Decyzja administracyjna jest błędna, np. powołuje się na nieistniejący przepis	Odwołanie od decyzji (Kodeks postępowania administracyjnego); KRiBSI nie uchyli decyzji
Dane osobowe trafiły do narzędzia AI bez podstawy prawnej	Skarga do Prezesa UODO
Dyskryminacja w rekrutacji lub w pracy z użyciem AI	PIP, sąd pracy, a przy systemach wysokiego ryzyka także KRiBSI

Jedna sytuacja może dotykać kilku dróg naraz. Mieszkaniec, który dostał decyzję z wymyślonym przepisem, złoży odwołanie, a może też zapytać KRiBSI, czy urząd w ogóle zadbał o kompetencje pracowników korzystających z AI.

Jak wygląda skarga

Forma: elektroniczna. Papierowa jest dopuszczalna, gdy złożenie elektroniczne nie jest możliwe. Formularz ma działać na stronie Komisji (gov.pl/web/kribsi). Na 12 października był jeszcze oznaczony jako „w trakcie opracowania”.
Treść: nazwa lub opis systemu AI, w miarę możliwości podmiot, którego dotyczy, opis faktów oraz uzasadnienie, dlaczego skarżący uważa, że doszło do naruszenia.
Pozycja skarżącego: skarżący nie staje się automatycznie stroną postępowania. Stroną jest dostawca lub podmiot stosujący system, czyli np. urząd albo firma.
Adres Komisji: ul. Królewska 27, 00-060 Warszawa.

Przykład rzeczowo opisanej skargi: „Na stronie www.gmina-przyklad.pl działa czat »Pani Ania«. 14 listopada 2026 r. rozmawiałam z nim przez około 15 minut o terminie wymiany dowodu. Czat ani razu nie poinformował, że jest systemem AI, a na pytanie, czy jestem obsługiwana przez człowieka, odpowiedział wymijająco. W załączeniu zrzuty ekranu z datą i godziną. Uważam, że naruszono art. 50 ust. 1 AI Act.” Taka skarga wskazuje system, podmiot, fakty, dowody i przepis.

Skarga a kontrola to dwie różne rzeczy. Skarga to sygnał od obywatela. Nie uruchamia automatycznie kontroli ani postępowania. Komisja ocenia, czy sprawa dotyczy przepisów o AI i czy jest podstawa do dalszych działań. Kontrola i postępowanie to już czynności organu, w których urząd lub firma mają konkretne obowiązki i terminy.

Dostawca czy podmiot stosujący. Urząd lub firma, która kupiła gotowy system (np. chatbota od zewnętrznej firmy), jest zwykle podmiotem stosującym. Ma inne obowiązki niż dostawca, który system stworzył i wprowadził na rynek. Przy chatbocie obowiązek informowania o AI ciąży przede wszystkim na dostawcy, ale to podmiot stosujący odpowiada za to, jak system skonfigurował i do czego go używa. Dlatego warto sprawdzić umowę z dostawcą.

Komisja startuje skromnie

Według Ministerstwa Cyfryzacji zespół Komisji liczy na start 6 osób, a ustawa przewiduje kilkadziesiąt etatów. Pierwsze miesiące to raczej skargi, wyjaśnienia i ostrzeżenia niż masowe kontrole. Nie warto jednak na tym budować strategii: skarga zostaje w aktach, a sprawa może wrócić, gdy zespół się rozrośnie.

Co dzieje się po złożeniu skargi

Analiza skargi. Skarga nie prowadzi automatycznie do sankcji, ale może być podstawą wszczęcia postępowania z urzędu (art. 58 ustawy). Komisja może też najpierw przeprowadzić kontrolę.
Postępowanie. Trwa nie dłużej niż 6 miesięcy od doręczenia postanowienia o wszczęciu (art. 60 ust. 3). Stroną jest urząd lub firma, która stosuje albo dostarcza system.
Ostrzeżenie. Komisja może zacząć od ostrzeżenia. Strona ma wtedy 21 dni (art. 61 ust. 3) na poinformowanie, co zrobiła, żeby usunąć problem.
Decyzja. W zwykłym trybie nakazuje usunięcie skutków naruszenia, w terminie 14 dni od doręczenia decyzji (art. 62), i może nałożyć karę.
Tryb pilny. Gdy system stwarza nagłe ryzyko, odrębne postępowanie trwa najwyżej 7 dni. Komisja może nakazać zaprzestanie stosowania lub wycofanie systemu, z natychmiastową wykonalnością.
Publikacja. Decyzje trafiają do Biuletynu Informacji Publicznej (po usunięciu tajemnic), a systemy, za które nałożono kary, do publicznego wykazu (art. 66). Dla urzędu czy marki to często dotkliwsze niż sama kara.
Odwołanie. Do Sądu Okręgowego w Warszawie (opłata 1000 zł). Odwołanie wstrzymuje wykonanie decyzji w części dotyczącej kary pieniężnej (art. 67).

Kontrola KRiBSI krok po kroku

Kontrola może wynikać ze skargi, z sygnałów od innych organów albo z planu Komisji. Najważniejsze zasady (art. 48 i nast. ustawy):

Zawiadomienie i termin: kontrola nie wcześniej niż 7 dni od doręczenia zawiadomienia (art. 49 ust. 2). Przy uzasadnionym podejrzeniu zagrożenia dla życia, zdrowia, bezpieczeństwa lub praw podstawowych kontrolujący mogą przyjść do siedziby bez zachowania tego terminu.
Uprawnienia: żądanie dokumentów i korespondencji elektronicznej, dostęp do nośników i systemów informatycznych (także w chmurze, w zakresie dostępu, jaki ma kontrolowany), kopie, zabezpieczanie danych, wyjaśnienia ustne i pisemne, analizy i zestawienia. Przebieg można nagrywać po uprzednim poinformowaniu.
Ochrona: tajemnica przedsiębiorstwa oraz poufność komunikacji z pełnomocnikiem. Spory o to, co jest objęte tajemnicą, rozstrzyga sąd.
Protokół: 14 dni na podpisanie albo zgłoszenie zastrzeżeń (art. 56 ust. 6).
Zalecenia pokontrolne: termin na wykonanie nie krótszy niż 30 dni (art. 57 ust. 3), krótszy tylko za zgodą kontrolowanego albo przy powtarzających się naruszeniach.
Utrudnianie kontroli jest wykroczeniem zagrożonym grzywną albo karą ograniczenia wolności.

Kontrola nie ogranicza się do tego, co widać na stronie. Przy oznaczaniu treści AI kontrolujący mogą sprawdzić wewnętrzne regulaminy, umowy z agencjami i dostawcami, historię wersji plików i metadane.

Kary, układ i opinia za 150 zł

Naruszenie	Maksymalna kara
Zakazane praktyki (art. 5 AI Act), np. rozpoznawanie emocji pracowników	35 mln euro lub 7% całkowitego rocznego światowego obrotu
Większość pozostałych obowiązków, w tym przejrzystość (art. 50)	15 mln euro lub 3% obrotu
Nieprawdziwe lub niepełne informacje dla organów	7,5 mln euro lub 1% obrotu

U dużych firm liczy się kwota wyższa, u małych i średnich przedsiębiorstw niższa (art. 99 ust. 6 AI Act).
Euro przelicza się po średnim kursie NBP z 28 stycznia danego roku. Karę płaci się w 30 dni od uprawomocnienia decyzji.
Układ: kara może zostać obniżona o 20-70%, a gdy postępowanie wszczęto na podstawie informacji przekazanych dobrowolnie i naruszenie zostało wcześniej usunięte, o 30-90%. Uwaga: zawarcie układu oznacza zrzeczenie się prawa do odwołania od decyzji wydanej na jego podstawie. To decyzja, którą warto skonsultować z prawnikiem.
Wykonanie ostrzeżenia: kara może zostać zmniejszona o 10-50%, jeśli ukarany w ciągu 3 miesięcy wykona działania wskazane w ostrzeżeniu, a naruszenie nie spowodowało śmierci ani poważnego uszczerbku na zdrowiu. Opłaca się więc szybko naprawić problem.
Urzędy: AI Act zostawia państwom decyzję, czy i w jakim zakresie karać organy publiczne (art. 99 ust. 8). Niezależnie od kar urząd musi się liczyć z nakazem wyłączenia systemu, publikacją decyzji w BIP i pytaniami radnych czy mediów.
Opinia indywidualna: firma objęta AI Act lub planująca wdrożenie może zapytać Komisję o ocenę swojego rozwiązania. Opłata wynosi 150 zł, odpowiedź przychodzi w 30 dni (w sprawach złożonych w 60). Brak odpowiedzi w terminie oznacza przyjęcie stanowiska wnioskodawcy, a zastosowanie się do opinii nie może firmie zaszkodzić.

8 sytuacji z życia urzędu i firmy

Poniższe przykłady pokazują typowe scenariusze, które mogą stać się podstawą skargi. Ocena jest uproszczona i zależy zawsze od szczegółów konkretnego przypadku.

1. Mieszkanka przez kwadrans rozmawia z „Panią Anią” na stronie gminy

Sytuacja: Gmina uruchomiła asystenta, który przedstawia się imieniem i nie informuje, że jest programem. Mieszkanka dowiaduje się o tym, gdy dzwoni do urzędu dopytać o odpowiedź.
Ocena: Przejrzystośćart. 50 ust. 1 Skarga prawdopodobnie zasadna. Obowiązek informowania o rozmowie z AI obowiązuje od 2 sierpnia 2026. Formalnie ciąży na dostawcy systemu, ale skarga i pytania Komisji trafią też do gminy, która bota skonfigurowała i udostępnia mieszkańcom.
Jak się przygotować: Komunikat przy pierwszej wiadomości („Rozmawiasz z asystentem AI urzędu”), widoczny kontakt do człowieka, odpowiedzi oparte na treściach urzędu. Zrzut ekranu komunikatu do teczki AI.

2. Na profilu gminy pojawia się „zdjęcie” wójta na placu budowy nowego przedszkola

Sytuacja: Wydział promocji wygenerował fotorealistyczną grafikę zamiast zdjęcia z budowy. Radny opozycji zauważa, że to obraz z AI, i pisze skargę.
Ocena: Deepfakeart. 50 ust. 4 Realistyczny obraz istniejącej osoby lub miejsca, który można wziąć za prawdziwy, wymaga oznaczenia.
Jak się przygotować: Obowiązek z przepisów: ujawnić, że treść jest deepfakiem, czyli realistycznym obrazem, dźwiękiem lub wideo przedstawiającym istniejące osoby, miejsca lub zdarzenia, który można wziąć za prawdziwy (art. 3 pkt 60 i art. 50 ust. 4). Dla treści artystycznych, satyrycznych czy fikcyjnych obowiązek jest łagodniejszy. Dobra praktyka urzędu, szersza niż obowiązek: w zarządzeniu przyjąć, że każda realistyczna grafika, wideo lub nagranie z AI ma podpis „Obraz wygenerowany przez AI”. To prostsze niż każdorazowe ustalanie, czy dana grafika jest już deepfakiem.

3. Decyzja administracyjna powołuje się na przepis, który nie istnieje

Sytuacja: Referent przygotował uzasadnienie w darmowym czacie AI i nie sprawdził podstawy prawnej. Strona odkrywa „wymyślony” artykuł ustawy.
Ocena: KPAart. 4 AI ActRODO Decyzję trzeba zaskarżyć w zwykłym trybie odwoławczym. Skarga do KRiBSI nie uchyli decyzji, ale może skłonić Komisję do pytań o kompetencje AI pracowników i zasady korzystania z narzędzi. Jeśli do czatu trafiły dane strony, sprawą może zająć się też UODO.
Jak się przygotować: Zarządzenie: AI tylko jako wsparcie, każdy przepis weryfikowany w ISAP lub systemie informacji prawnej, zakaz wklejania danych osobowych do niezatwierdzonych narzędzi. Szkolenie z listą obecności.

4. Kandydat odrzucony w naborze przez system oceniający CV

Sytuacja: Firma (albo urząd) używa narzędzia, które samo odrzuca kandydatów poniżej progu punktowego. Kandydat dostaje automatyczną odmowę po 3 minutach od wysłania zgłoszenia.
Ocena: Wysokie ryzykozał. III pkt 4art. 22 RODO Pełne wymogi dla systemów wysokiego ryzyka w rekrutacji obowiązują od 2 grudnia 2027. Już dziś kandydat może jednak pójść do UODO albo do PIP (dyskryminacja). Uwaga na dwa niuanse: nie każda automatyczna selekcja CV jest decyzją opartą wyłącznie na automatycznym przetwarzaniu w rozumieniu art. 22 RODO (znaczenie mają skutki decyzji, wyjątki i realny udział człowieka). Z kolei system wspierający rekrutację może być systemem wysokiego ryzyka, nawet jeśli ostateczną decyzję podejmuje człowiek.
Jak się przygotować: Ostateczną decyzję podejmuje człowiek, który realnie analizuje zgłoszenia, kandydaci wiedzą o użyciu AI, wyniki są okresowo sprawdzane pod kątem dyskryminacji. Przy przetwarzaniu danych kandydatów przez AI IOD powinien ocenić, czy potrzebna jest ocena skutków dla ochrony danych (DPIA, art. 35 RODO). Wiele z tych elementów i tak będzie obowiązkowych od grudnia 2027.

5. Call center ocenia emocje konsultantów na podstawie nagrań

Sytuacja: Firma kupiła moduł analityczny, który na podstawie głosu ocenia zaangażowanie i „poziom frustracji” pracowników, a wyniki trafiają do oceny okresowej. Jeden z pracowników składa skargę.
Ocena: Zakazaneart. 5 ust. 1 lit. f Rozpoznawanie emocji w miejscu pracy jest zakazane od 2 lutego 2025 (wyjątek: względy medyczne lub bezpieczeństwa). To najwyższy pułap kar. To jeden z przykładów skarg wymienianych przy okazji startu Komisji.
Jak się przygotować: Natychmiast wyłączyć funkcję wobec pracowników. Rozpoznawanie emocji klientów nie jest objęte tym samym zakazem, ale nie jest automatycznie dozwolone. Wymaga osobnej oceny na gruncie AI Act (m.in. obowiązek informowania z art. 50 ust. 3) i RODO (podstawa prawna, charakter danych, cel analizy).

6. „Jestem Kasia z obsługi klienta” w sklepie internetowym

Sytuacja: Sklep ma czat z avatarem i imieniem konsultantki. Klient pyta wprost „czy jesteś człowiekiem?”, a bot odpowiada wymijająco.
Ocena: Przejrzystośćart. 50 ust. 1 Udawanie człowieka to klasyczne naruszenie. Imię i avatar są dozwolone, ale informacja o AI musi pojawić się najpóźniej przy pierwszym kontakcie.
Jak się przygotować: Dopisek „asystent AI” przy imieniu i w pierwszej wiadomości, przycisk „połącz z konsultantem”. Warto też sprawdzić umowę z dostawcą czatu: kto odpowiada za konfigurację.

7. Konkurent zgłasza generator grafik bez znaków wodnych

Sytuacja: Polska firma sprzedaje własną aplikację do generowania zdjęć produktowych. Konkurent zauważa, że wygenerowane pliki nie mają żadnego oznaczenia w metadanych.
Ocena: Dostawcaart. 50 ust. 2 Dostawca generatora musi zapewnić oznaczenie treści czytelne maszynowo. Dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 okres przejściowy kończy się 2 grudnia 2026, nowe muszą spełniać wymóg od razu.
Jak się przygotować: Sprawdzić datę wprowadzenia produktu na rynek, wdrożyć znak wodny lub metadane (np. standard C2PA) i opisać to w dokumentacji. Rozważyć opinię indywidualną KRiBSI.

8. Skarga na to, że urzędnicy „piszą pisma przez Copilota”

Sytuacja: Mieszkaniec dowiaduje się, że w urzędzie korzysta się z Microsoft 365 Copilot, i składa ogólną skargę, że „AI pisze decyzje”.
Ocena: art. 4 AI ActNiskie ryzyko Samo korzystanie z asystenta biurowego nie narusza AI Act. Komisja może jednak zapytać, jakie środki podjęto, żeby pracownicy używali go świadomie: szkolenie, instrukcja, zasady weryfikacji.
Jak się przygotować: Teczka AI: zarządzenie, program szkolenia, lista obecności, zasada „AI przygotowuje szkic, decyzję podpisuje człowiek”. Taka dokumentacja pomaga wykazać, że urząd podjął działania wspierające kompetencje pracowników. Nie gwarantuje jednak zakończenia sprawy bez dalszych czynności. Warto pamiętać o rozróżnieniu: poprawianie stylistyki pisma przez Copilota samo w sobie nie narusza prawa, ale wklejanie poufnych danych do niezatwierdzonego narzędzia albo bezrefleksyjne przepisywanie odpowiedzi AI do decyzji to już realny problem.

Kto jeszcze może zapukać do drzwi

KRiBSI opublikowała wykaz organów ochrony praw podstawowych w rozumieniu art. 77 AI Act. Przy systemach wysokiego ryzyka mogą one żądać dokumentacji i sprawdzać, czy AI nie narusza np. zakazu dyskryminacji:

Państwowa Inspekcja Pracy: AI w rekrutacji, ocenie pracowników i organizacji pracy.
Prezes UODO: przetwarzanie danych osobowych, zautomatyzowane decyzje.
Rzecznik Praw Dziecka: systemy używane wobec dzieci, np. w szkołach i placówkach.
Rzecznik Praw Pacjenta: ochrona zdrowia.

Dla urzędu gminy oznacza to, że AI w kadrach albo w szkołach prowadzonych przez gminę może zainteresować nie tylko KRiBSI.

Czy każdy pracownik musi ukończyć szkolenie z AI?

Nie w sensie konkretnego kursu czy certyfikatu. Od 27 lipca 2026 r., po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744, art. 4 AI Act zobowiązuje dostawców i podmioty stosujące AI do podejmowania środków wspierających rozwój kompetencji AI pracowników i osób działających w ich imieniu. Przepis wprost zaznacza, że nie wymaga zagwarantowania określonego poziomu kompetencji u każdej osoby.

Przepisy nie przewidują jednego obowiązkowego szkolenia, minimalnej liczby godzin ani certyfikatu. Nie ma urzędowego „certyfikatu AI Act” dla pracowników.
Organizacja dobiera działania do rzeczywistych zastosowań AI i wiedzy pracowników: inaczej dla referenta piszącego pisma z Copilotem, inaczej dla kadr korzystających z narzędzia do selekcji CV.
W praktyce sprawdzają się szkolenia, instrukcje wewnętrzne, warsztaty i procedury bezpiecznego korzystania z narzędzi.
Dokumentacja tych działań (program, lista obecności, materiały) ułatwia wykazanie, że organizacja podjęła środki z art. 4. Samo zaświadczenie o ukończeniu szkolenia nie przesądza jednak o zgodności z przepisami.
Kary: art. 4 nie jest wymieniony w katalogu obowiązków objętych karami z art. 99 ust. 4 AI Act, a w omówieniach polskiej ustawy nie znalazłem osobnej kary za brak szkoleń. Brak jakichkolwiek działań może jednak mieć znaczenie, gdy Komisja oceni inne naruszenie, np. nieoznaczony chatbot czy błąd w decyzji.

Lista kontrolna na ostatnie dni przed 28 października

Do każdego punktu dopisałem dokument, który warto mieć w „teczce AI”. Te dokumenty są pierwszą odpowiedzią na skargę albo zawiadomienie o kontroli.

Spis narzędzi AI. Krótka ankieta wśród pracowników: z czego korzystają, do czego, na jakich danych. Nie zapomnij o Copilocie, tłumaczach, transkrypcji spotkań i funkcjach AI w systemach dziedzinowych. Dokument: rejestr narzędzi AI.
Zarządzenie lub polityka AI. Dozwolone narzędzia, zakazane dane, weryfikacja przez człowieka, oznaczanie treści. Możesz zacząć od wzoru polityki korzystania z AI w urzędzie. Dokument: podpisane zarządzenie.
Oznaczenie chatbota. Komunikat przy pierwszej wiadomości i kontakt do człowieka. Dokument: zrzut ekranu z datą.
Zasady oznaczania treści. Kto i jak podpisuje realistyczne grafiki, wideo i teksty o sprawach publicznych tworzone z AI. Dokument: procedura, wzory podpisów.
Działania wspierające kompetencje AI. Szkolenie, instrukcja, warsztat dopasowane do tego, jak pracownicy faktycznie używają AI. Dokument: program, lista obecności, materiały, instrukcje.
Przegląd zakazanych praktyk. Upewnij się, że żaden system nie ocenia emocji pracowników ani nie tworzy „scoringu” mieszkańców. Dokument: notatka z przeglądu.
Osoba do kontaktu. Kto odbiera pismo z KRiBSI i w jakim terminie reaguje (sekretarz, IOD, kierownik IT). Dokument: wskazanie w zarządzeniu.

Co zrobić, gdy przyjdzie pismo z KRiBSI

Nie odkładaj. Sprawdź termin w piśmie: 7 dni do kontroli zdalnej, 21 dni na odpowiedź po ostrzeżeniu, 14 dni na zastrzeżenia do protokołu.
Wyznacz jedną osobę do kontaktu i zbierz teczkę AI.
Ustal fakty: który system, kto go kupił i skonfigurował, od kiedy działa, kto ma do niego dostęp. Sprawdź umowę z dostawcą.
Usuń problem, jeśli jest oczywisty (np. dodaj komunikat w chatbocie) i udokumentuj datę zmiany. Dobrowolne usunięcie naruszenia może obniżyć ewentualną karę.
W sprawach poważnych skorzystaj z pomocy prawnika, zwłaszcza przy zakazanych praktykach albo gdy w grę wchodzi tajemnica przedsiębiorstwa.

Najczęstszy błąd: „u nas nie ma AI”

Odpowiedź „nie korzystamy z AI” bez sprawdzenia to ryzyko. Watchdog Polska opisał gminy, które zaprzeczyły użyciu AI, choć ich decyzje nosiły ślady generatywnej AI. Zanim cokolwiek zadeklarujesz, zrób spis narzędzi.

Podsumowanie

Od 28 października 2026 r. przepisy o AI dostają w Polsce realne narzędzia egzekwowania. Wiele wskazuje na to, że pierwsze skargi będą dotyczyć rzeczy prostych: chatbotów, które nie mówią, że są AI, nieoznaczonych realistycznych treści i zakazanej oceny emocji pracowników. Organizacja, która ma spis narzędzi, zarządzenie, oznaczenia i udokumentowane działania szkoleniowe, odpowie na skargę szybko i rzeczowo. Organizacja bez tych dokumentów będzie je tworzyć pod presją terminu.

Najczęściej zadawane pytania

Od kiedy można złożyć skargę do KRiBSI?

Od 28 października 2026 r. Tego dnia wchodzą w życie przepisy ustawy o systemach sztucznej inteligencji o skargach, kontrolach, postępowaniach i karach. Skargę składa się elektronicznie, a gdy nie jest to możliwe, w formie papierowej.

Kto może złożyć skargę do KRiBSI?

Osoba fizyczna, osoba prawna lub jednostka organizacyjna bez osobowości prawnej, czyli mieszkaniec, pracownik, kandydat do pracy, klient, a także firma lub organizacja społeczna. Skarga musi dotyczyć możliwego naruszenia AI Act lub polskiej ustawy o systemach sztucznej inteligencji.

Czy skarga do KRiBSI oznacza karę?

Nie automatycznie. Skarga może być podstawą wszczęcia postępowania z urzędu. Komisja może wydać ostrzeżenie, nakazać usunięcie naruszenia albo nałożyć karę. Osoba składająca skargę nie staje się stroną postępowania.

Czy skarga do KRiBSI może uchylić decyzję urzędu?

Nie. KRiBSI ocenia zgodność systemu AI z przepisami, a nie zasadność decyzji administracyjnej. Od decyzji urzędu przysługuje odwołanie w trybie przewidzianym w Kodeksie postępowania administracyjnego. Sprawy danych osobowych rozpatruje Prezes UODO.

Jak wygląda kontrola KRiBSI?

Kontrola zdalna może zacząć się nie wcześniej niż 7 dni po doręczeniu zawiadomienia. Kontrolujący mogą żądać dokumentów, wyjaśnień i dostępu do systemów informatycznych. Kontrolowany ma 14 dni na podpisanie protokołu lub zgłoszenie zastrzeżeń, a na wykonanie zaleceń pokontrolnych co najmniej 30 dni.

Czy za brak szkolenia AI grozi kara?

Nie ma osobnej, wprost określonej kary za brak szkolenia. Art. 4 AI Act wymaga podejmowania środków wspierających kompetencje AI pracowników, ale nie narzuca konkretnego kursu ani certyfikatu i nie jest wymieniony w katalogu obowiązków objętych karami z art. 99 ust. 4. Brak jakichkolwiek działań może jednak mieć znaczenie przy ocenie innych naruszeń, np. nieoznaczonego chatbota.

Co urząd lub firma powinny przygotować przed 28 października 2026?

Spis używanych narzędzi AI, zarządzenie lub politykę korzystania z AI, oznaczenia chatbotów i treści generowanych przez AI, udokumentowane działania wspierające kompetencje AI pracowników (art. 4 AI Act) oraz wskazaną osobę odpowiedzialną za kontakt z KRiBSI.

Źródła

Stan prawny na 12 października 2026 r. Artykuł ma charakter edukacyjny i nie stanowi porady prawnej.

Skarga do KRiBSI od 28 października 2026 r. - kontrole AI, kary i obowiązki urzędów oraz firm