KRiBSI ma przewodniczącą, a od 28 października może kontrolować i karać za AI. Skargę na sklep złoży każdy, więc spisz, gdzie AI u Ciebie pracuje

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, to nowy polski organ nadzoru rynku, który ma egzekwować unijny AI Act. Dla sklepu internetowego jest to urząd, który od 28 października 2026 może wszcząć kontrolę, wydać ostrzeżenie i nałożyć karę za brak informacji, że klient rozmawia z botem, albo za nieoznaczone syntetyczne zdjęcie w karcie produktu. W ostatnich dwóch tygodniach Komisja dostała przewodniczącą, więc termin przestał być odległy i warto sprawdzić, co w sklepie powinno być spisane, zanim ktoś złoży skargę. Jedno zastrzeżenie na początek: to opis stanu prawnego na 29 września 2026, nie porada prawna.

Co się wydarzyło w ostatnich dwóch tygodniach

Według PAP i rp.pl Sejm powołał 18 września Pamelę Krzypkowską na przewodniczącą Komisji: 271 głosów za, 24 przeciw, 140 wstrzymujących się. Ustawa wymaga zgody Senatu i ta zgoda zapadła 24 września, jak podaje prawo.pl: 56 senatorów za, 2 przeciw, 28 wstrzymało się. Krzypkowska kierowała wcześniej Departamentem Badań i Innowacji w Ministerstwie Cyfryzacji i odpowiadała między innymi za polski model językowy PLLuM.

Podstawa prawna to ustawa z 3 lipca 2026 o systemach sztucznej inteligencji, ogłoszona 27 lipca w Dzienniku Ustaw pod pozycją 1003. Weszła w życie 11 sierpnia, ale art. 127 odsuwa część przepisów o trzy miesiące od ogłoszenia: art. 8–18 oraz rozdziały 3–5, 8 i 9 zaczynają obowiązywać 28 października. Rozdział 3 to kontrola, rozdział 4 postępowanie, rozdział 5 układ w sprawie złagodzenia kary, rozdział 8 kary. Do 28 października Komisja jest więc organem bez narzędzi. Po tej dacie ma ich komplet.

Skład Komisji określa art. 19: przewodnicząca, dwoje zastępców i czworo członków wskazanych przez Prezesa UOKiK, Komisję Nadzoru Finansowego, KRRiT i Prezesa UKE. Dla sklepu istotny jest pierwszy z tej listy. UOKiK zna praktyki e-commerce od strony konsumenta i będzie miał głos w organie, który ocenia, czy Twój chatbot informuje klienta uczciwie. Art. 125 daje przewodniczącej trzy miesiące od wejścia w życie ustawy na pierwsze posiedzenie, czyli do 11 listopada.

Skargę może złożyć każdy

To najważniejsza zmiana z perspektywy sklepu. Art. 59 ustawy mówi, że skargę do Komisji może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej. Skarga zawiera nazwę lub opis systemu, nazwę i adres do doręczeń elektronicznych podmiotu, jeśli da się je ustalić, opis faktów i powody, dla których skarżący widzi naruszenie, oraz informacje zebrane z własnej inicjatywy. Składa się ją elektronicznie. Prawo do skargi wynika wprost z art. 85 AI Act, który obowiązuje od 2 sierpnia 2026.

Art. 58 dodaje, że Komisja wszczyna postępowanie z urzędu, także wtedy, gdy w toku rozpatrywania skargi uzna, że mogło dojść do naruszenia, oraz na wniosek innego organu krajowego. Art. 49 opisuje trzy drogi do kontroli: z urzędu, na wniosek członka Komisji i na wniosek organu publicznego. W praktyce do sklepu prowadzą trzy ścieżki: klient, który poczuł się oszukany przez „konsultantkę” okazującą się botem, konkurent, który wie, że Twoje zdjęcia modelek są syntetyczne i nieoznaczone, oraz inny urząd, który w swojej sprawie natknął się na Twój system.

Jak wygląda kontrola

Kontrola nie zaczyna się od pukania do drzwi magazynu. Art. 49 ust. 2 wymaga zawiadomienia co najmniej siedem dni przed jej rozpoczęciem, a ust. 3 mówi, że kontrola albo jej czynności odbywają się zdalnie, bez fizycznej obecności stron. Wyjątek dla kontroli w siedzibie i bez uprzedzenia dotyczy zagrożenia życia, zdrowia lub praw podstawowych, co w typowym sklepie jest mało prawdopodobne.

Art. 52 wylicza, czego kontrolujący może żądać: materiałów, dokumentów, korespondencji przesyłanej drogą elektroniczną, nośników danych, dostępu do systemów informatycznych, a także do systemów i chmury innego podmiotu, jeśli zawierają dane sklepu związane z kontrolą i sklep ma do nich dostęp. Może żądać ustnych i pisemnych wyjaśnień oraz nagrywać czynności po uprzedzeniu. Przełóż to na Twoje narzędzia: konto w generatorze opisów z historią zapytań, konto w narzędziu do zdjęć, panel chatbota z ustawieniami komunikatów, rewizje treści w CMS, wymiana e-maili z agencją o tym, co i jak generować. Kancelaria Traple w omówieniu z 28 września zwraca uwagę, że kontrola nie musi kończyć się na opublikowanej treści, bo organ może sięgnąć do dokumentacji i sposobu jej wygenerowania.

Są też zabezpieczenia. Art. 54 chroni komunikację z adwokatem lub radcą prawnym: kontrolujący zostawia ją w miejscu kontroli, a spór o to, co jest objęte ochroną, rozstrzyga Sąd Okręgowy w Warszawie. Art. 56 przewiduje protokół w postaci elektronicznej, a kontrolowany ma 14 dni na podpis albo zastrzeżenia. Jeśli kontrola wykaże nieprawidłowości, Komisja wydaje zalecenia pokontrolne z terminem nie krótszym niż 30 dni (art. 57). Dopiero brak ich wykonania otwiera postępowanie z urzędu.

Postępowanie, ostrzeżenie, kara i publiczny wykaz

Postępowanie trwa nie dłużej niż sześć miesięcy od doręczenia postanowienia o wszczęciu (art. 60). W jego toku Komisja może wydać ostrzeżenie (art. 61), w którym wskazuje, co zrobić: zablokować dostęp do systemu, naprawić jego działanie albo spełnić obowiązek informacyjny wobec użytkowników końcowych. Ten trzeci punkt to dokładnie komunikat chatbota i oznaczenie treści. Strona ma 21 dni na poinformowanie o wykonaniu. Jeśli tego nie zrobi, Komisja może nakazać spełnienie obowiązku, poinformować Komisję Europejską i wpisać do Biuletynu Informacji Publicznej informację o niezastosowaniu się do ostrzeżenia.

Decyzja w sprawie naruszenia daje 14 dni na usunięcie skutków, a wykonanie jej w terminie Komisja uwzględnia przy karze (art. 62). Kary Komisja nakłada w wysokości z rozdziału XII AI Act (art. 104), czyli według art. 99: za naruszenie obowiązków przejrzystości do 15 mln euro albo 3% obrotu, przy czym dla małych i średnich firm stosuje się niższą z tych kwot. Kwotę przelicza się po kursie NBP z 28 stycznia, a płaci w 30 dni od uprawomocnienia. Jeśli sklep nie dostarczy w 14 dni danych do wymiaru kary, Komisja oszacuje je sama (art. 105).

Dwie rzeczy warto zapamiętać. Pierwsza: układ z rozdziału 5 pozwala obniżyć karę o 20–70%, jeśli firma zaprzestała naruszenia i ujawniła okoliczności, ale przyjęcie układu oznacza zrzeczenie się odwołania (art. 70 i 74). Druga: odwołanie do Sądu Okręgowego w Warszawie wstrzymuje wykonanie kary (art. 67). Jest jeszcze koszt, którego nie widać w kwocie. Art. 66 nakazuje publikować w BIP treść decyzji z informacją o prawomocności i prowadzić publiczny wykaz systemów, wobec których nałożono karę, z nazwą systemu i operatora oraz opisem działania. Nazwa Twojego sklepu obok nazwy narzędzia w publicznym rejestrze to strata, której żadna kampania nie odrobi.

Czego to dotyczy w sklepie

Same obowiązki nie zmieniły się od 2 sierpnia. Art. 50 AI Act wymaga, żeby osoba wiedziała, że rozmawia z systemem AI, żeby obrazy, wideo i dźwięk wygenerowane lub istotnie zmienione przez AI były oznaczone, a zwykłe opisy produktów oznaczenia nie wymagają. Szczegółowy podział na „oznaczać” i „nie oznaczać” rozpisaliśmy w tekście o art. 50 z września. Zmienia się to, kto i jak może sprawdzić, czy sklep te obowiązki spełnia. Do 28 października egzekucja była teorią. Od 28 października jest procedurą z terminami.

Co zrobić w najbliższym tygodniu

1. Spisz na jednej stronie rejestr systemów AI w sklepie: narzędzie, zastosowanie, dostawca, osoba odpowiedzialna, kto weryfikuje wyniki, od kiedy działa. Skarżący ma podać nazwę lub opis systemu (art. 59); Ty powinnaś albo powinieneś znać tę listę lepiej niż on.
2. Otwórz chatbota jako klient. Jeśli w pierwszej wiadomości nie ma informacji, że to system AI, dopisz ją dziś i dodaj przycisk kontaktu z człowiekiem. Zrzut ekranu z datą wpisz do rejestru.
3. Przejrzyj banery i zdjęcia z ostatniego kwartału pod kątem syntetycznych osób i dorysowanych elementów. Oznacz je i zapisz, w jakim narzędziu powstały. Zapytaj dostawcę, czy pliki mają znacznik maszynowy; dla systemów sprzed 2 sierpnia dostawcy mają na to czas do 2 grudnia 2026.
4. Ustal, kto zatwierdza teksty generowane przez AI, i włącz w CMS historię rewizji. To jest dowód z art. 52, którego nie da się dopisać po zawiadomieniu.
5. Zbierz umowy i dokumentację zgodności od dostawców chatbota i generatorów. Jeśli dostawca nie ma nic o art. 50, to sygnał do zmiany narzędzia.
6. Wskaż osobę, która odbiera zawiadomienia, i sprawdź adres do doręczeń elektronicznych firmy. Od doręczenia masz co najmniej siedem dni na przygotowanie materiałów; spisz, kto dzwoni do prawnika, kto zbiera dokumenty, kto rozmawia z kontrolującym.
7. Powiedz agencji, że korespondencja o generowaniu treści może być przedmiotem kontroli, i ustalcie, gdzie przechowujecie zapytania do modeli i wersje tekstów.

Nie chodzi o strach przed urzędem, który dopiero zwołuje pierwsze posiedzenie. Chodzi o to, że rejestr systemów, komunikat chatbota i zapisany proces zatwierdzania treści to fundament, który buduje się w jeden wieczór, a odtwarza pod presją siedmiu dni bardzo drogo. Jeśli chcesz, żebyśmy przeszli przez tę listę razem na przykładzie Twojego sklepu, umów rozmowę.