Ustawa o systemach sztucznej inteligencji: kto jest dostawcą

Ustawa uruchamia się etapami, a role, które przypisuje, pochodzą w całości z prawa unijnego. Trzeba więc ustalić trzy rzeczy przed każdą inną decyzją: kiedy, kto i wobec czego.

Trzy daty, nie jedna

Artykuł 127 rozkłada wejście w życie na trzy momenty. Ustawa została ogłoszona 27 lipca 2026 r. Przepis organizacyjny, pozwalający ministrowi właściwemu do spraw informatyzacji rozpocząć budowę zaplecza organu, obowiązuje od 28 lipca 2026 r. Zasadnicza część — przepisy ustrojowe, przepisy o jednostkach notyfikowanych, ramy piaskownic regulacyjnych i środki wspierające innowacyjność — weszła w życie 11 sierpnia 2026 r. Artykuły 8–18 oraz rozdziały 3–5, 8 i 9, czyli opinie indywidualne, kontrole, postępowania, układ w sprawie złagodzenia sankcji i kary pieniężne, zaczną obowiązywać 28 października 2026 r.

Do tego dochodzi kalendarz rozruchu samego organu. Zgodnie z art. 125 ust. 2 i 3 Przewodniczący Komisji ma zostać powołany w terminie dwóch miesięcy od wejścia ustawy w życie, a pierwsze posiedzenie Komisji zwołane w terminie trzech miesięcy. Przepisy o karach zaczną więc obowiązywać, zanim upłynie ustawowy termin na zwołanie pierwszego posiedzenia organu, który ma je stosować. Organizacja uzależniająca własną gotowość od tego, kiedy regulator faktycznie ruszy, przyjmuje ryzyko, którego nie kontroluje.

Ustawa nie definiuje ról — odsyła

Zakres podmiotowy określa art. 3 ust. 1: ustawę stosuje się do podmiotów wskazanych w art. 2 ust. 1 rozporządzenia 2024/1689. Wyłączenie dla osób fizycznych jest wąskie. Obejmuje wyłącznie stosowanie systemu AI do celów osobistych, niepozostających w związku z działalnością gospodarczą, zawodową, nieewidencjonowaną ani rolniczą. Pracownik korzystający z narzędzia AI w zadaniach służbowych w tym wyłączeniu się nie mieści, a jego pracodawca występuje w jednej z ról przewidzianych rozporządzeniem.

Artykuł 3 ust. 2 rozciąga ponadto przepisy dotyczące systemów AI również na modele ogólnego przeznaczenia. Z kolei art. 2 ust. 1 pkt 4 wyłącza badania naukowe i prace rozwojowe, ale tylko w zakresie nieobejmującym testów w warunkach rzeczywistych w rozumieniu art. 3 pkt 57 rozporządzenia. Granica jest wyznaczona precyzyjnie: laboratorium tak, pilotaż na realnych użytkownikach nie.

Ta sama organizacja w dwóch rolach jednocześnie

Najczęstszy błąd kwalifikacyjny nie polega na przeoczeniu obowiązków. Polega na przyjęciu, że organizacja ma jedną rolę.

W praktyce ten sam podmiot bywa jednocześnie podmiotem stosującym i dostawcą — gdy istotnie modyfikuje nabyte rozwiązanie, gdy zmienia jego przeznaczenie albo gdy udostępnia je klientom pod własną marką. Zespół, który dostroił model do własnych danych i wdrożył go w procesie rekrutacyjnym, może wykonać obie te czynności, nie zauważając zmiany statusu prawnego.

Znaczenie tego rozróżnienia rośnie po nowelizacji harmonogramu. Rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 r., przesunęło stosowanie przepisów o systemach wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., a dla systemów z załącznika I — na 2 sierpnia 2028 r. Obowiązki przejrzystości z art. 50 stosuje się natomiast od 2 sierpnia 2026 r. Jedna data dla całej organizacji nie istnieje: termin przypisuje się do konkretnego obowiązku, systemu i roli.

Kto pyta: Komisja jako organ nadzoru i punkt kontaktowy

Nadzór sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Zgodnie z art. 5 pełni ona dwie funkcje wynikające z art. 70 rozporządzenia: jest organem nadzoru rynku i jednocześnie pojedynczym punktem kontaktowym. To organ kolegialny — Przewodniczący, dwóch zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa Urzędu Komunikacji Elektronicznej (art. 19 ust. 1).

Katalog zadań z art. 6 jest celowo dwoisty. Obok kontroli, decyzji i rejestru skarg mieszczą się w nim piaskownice regulacyjne, opinie indywidualne oraz coroczna, publikowana do 31 marca informacja o dobrych praktykach. Ten sam organ ma karać i doradzać. Kontakt z regulatorem nie musi więc zaczynać się od postępowania — ale każdy kontakt trafia do instytucji dysponującej uprawnieniami kontrolnymi.