AI Act grozi karą do 35 milionów euro. Polski urząd, który miałby ją nałożyć, na dziś istnieje głównie w formie ustawy podpisanej przez prezydenta i pustego gabinetu, na który jeszcze nikt nie zdążył powiesić tabliczki z nazwą.

AI Act grozi karą do 35 milionów euro albo 7% globalnego obrotu. Polski urząd, który miałby ją faktycznie nałożyć, na dziś istnieje głównie w formie ustawy podpisanej przez prezydenta i pustego gabinetu, na który jeszcze nikt nie zdążył powiesić tabliczki z nazwą.

Kary z AI Act to temat, który uwielbiają artykuły straszące liczbą z trzema zerami. Rzadziej ktoś sprawdza, czy w danym momencie w ogóle istnieje ktoś z prawem wystawienia mandatu. Sprawdziłem.

Odpowiedź jest bardziej niuansowa niż "tak" albo "nie", i dokładnie dlatego warto ją poznać, zanim zapłacisz konsultantowi za strach, którego jeszcze nie ma powodu odczuwać.

Ile kar AI Act faktycznie wystawiono do dziś

Artykuł 5 AI Act, czyli lista praktyk całkowicie zakazanych, jest egzekwowalny od 2 lutego 2025 roku. To już ponad półtora roku, w którym teoretycznie każda firma stosująca zakazany scoring społeczny czy manipulację podprogową mogła dostać karę do 35 milionów euro. Nie znalazłem ani jednego potwierdzonego, nazwanego przypadku takiej kary, mimo że szukałem dokładnie tego.

W sieci krąży historia o rzekomych pierwszych karach na 47 milionów euro, wystawionych zaraz po 2 sierpnia 2026 roku. Powtarza ją kilka anglojęzycznych blogów, żaden nie podaje nazwy ukaranej firmy, żaden nie linkuje do decyzji regulatora. To dokładnie ten wzorzec, po którym rozpoznaje się historię, której nikt nie zweryfikował, tylko skopiował.

Sam pełny reżim kar dla systemów wysokiego ryzyka i modeli ogólnego przeznaczenia wszedł w życie dopiero 2 sierpnia 2026 roku, czyli w chwili pisania tego tekstu ma za sobą niecały miesiąc istnienia. Trudno oczekiwać dorobku orzeczniczego od przepisu, który nie skończył jeszcze pierwszego miesiąca życia.

Warto to odróżnić od odpowiedzialności cywilnej za błąd popełniony przez AI, której można dochodzić w sądzie już dziś, niezależnie od tego, czy administracyjny organ AI Act w ogóle istnieje.

Dlaczego w Polsce nie ma dziś kto miałby Cię ukarać

Markus Winkler / Pexels

24 lipca 2026 roku prezydent podpisał ustawę powołującą Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Nazwa brzmi poważnie. Rzeczywistość jest taka, że zasadnicza część ustawy weszła w życie 11 sierpnia 2026 roku, a realne uprawnienia do kontroli i nakładania kar zaczną obowiązywać dopiero 28 października 2026 roku, zgodnie z harmonogramem opisanym przez iMagazine.

Pełny skład komisji ma być znany dopiero w listopadzie, czyli po dacie, w której komisja formalnie zyskuje prawo karania. Firma mogłaby więc teoretycznie dostać karę od instytucji, która w chwili domniemanego naruszenia nie miała jeszcze ani przewodniczącego, ani kompletu członków. To trochę jak mandat od policjanta, który akurat zdaje egzamin na patent.

Prawnicy są podzieleni, czy KRiBSI będzie mogła karać za naruszenia sprzed swojego formalnego powstania. Jedno jest pewne: UODO, polski organ ochrony danych osobowych, może działać już dziś, na podstawie RODO, jeśli AI w Twojej firmie przetwarza dane osobowe niezgodnie z prawem. Brak działającego KRiBSI nie oznacza braku jakiegokolwiek ryzyka prawnego, tylko brak akurat tego jednego konkretnego ryzyka.

Czego uczy nas RODO: brak kar na starcie nie znaczy brak kar na zawsze

KATRIN BOLOVTSOVA / Pexels

RODO weszło w życie 25 maja 2018 roku. Przez pierwsze miesiące internet pełen był tych samych żartów, że to przepis bez zębów, bo nikogo nie ukarano. W ciągu pierwszych 9 miesięcy francuski regulator CNIL nałożył na Google karę 50 milionów euro. Żarty się skończyły.

Wzorzec z RODO to najlepsza dostępna wskazówka, jak potoczy się AI Act: cisza przez pierwszy rok, potem jeden głośny, pokazowy przypadek, który zmienia sposób, w jaki cała branża czyta ten przepis. Różnica jest taka, że AI Act ma wyższe górne progi kar niż RODO, więc kiedy ten pierwszy przypadek się pojawi, nagłówek będzie odpowiednio większy.

Moim zdaniem to właśnie ta cisza jest najgorszym momentem na odłożenie zgodności na później, nie najlepszym. Firmy, które przygotowują dokumentację zgodności teraz, kiedy nikt na nie nie patrzy, robią to bez presji czasu i bez kary w tle. Firmy, które czekają na pierwszy pokazowy przypadek, robią to samo w panice, zwykle drożej, i zwykle dokładnie w tygodniu, w którym prawnik firmy jest akurat na urlopie.

Co więc realnie grozi Twojej firmie już dziś

Jeśli prowadzisz małą albo średnią firmę i nie budujesz systemu do scoringu społecznego ani rozpoznawania emocji pracowników, ryzyko bezpośredniej kary z AI Act jest dziś bliskie zeru, głównie dlatego, że w Polsce nie ma jeszcze kto miałby ją nałożyć. To nie znaczy, że temat można zamknąć w szufladzie do października.

Realne ryzyko leży gdzie indziej: w obowiązku informowania klienta, że rozmawia z botem, który już obowiązuje od 2 sierpnia 2026 roku, o czym pisałem przy okazji tego, czy trzeba mówić klientom, że rozmawiają z AI.

Drugie realne ryzyko to oznaczanie treści marketingowych generowanych przez AI, egzekwowane już dziś przez UOKiK na podstawie zwykłego prawa konsumenckiego, nie samego AI Act, co opisywałem w tekście o tym, jak sprawdzać treści marketingowe pod kątem RODO i prawa reklamy. Ten organ, w przeciwieństwie do KRiBSI, ma i przewodniczącego, i budżet, i już wystawione kary.

Jeśli szukasz jednego zdania na podsumowanie: AI Act to na razie przepis z zębami, które jeszcze nie wyrosły, ale szczęka już rośnie. Kary za obowiązki, które faktycznie mają dziś egzekutora, mogą przyjść w każdej chwili. Kary za wszystko inne poczekają do 28 października, przynajmniej na papierze.