Kontrole, postępowania i kary za naruszenie AI Act

Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji uzyska pełne uprawnienia nadzorcze: będzie mogła kontrolować przedsiębiorców, prowadzić postępowania w sprawie naruszeń przepisów dotyczących sztucznej inteligencji oraz nakładać kary, które mogą sięgać 35 mln EUR lub 7% rocznego światowego obrotu. Poniżej wyjaśniam, jak przebiega kontrola, jak wygląda postępowanie naruszeniowe, jakie są możliwości złagodzenia sankcji oraz od czego Komisja zamierza zacząć.

Przepisy dotyczące wydawania przez Komisję wyjaśnień i opinii indywidualnych zostały omówione w odrębnym artykule.

Przeprowadzenie kontroli – co warto wiedzieć?

Komisja prowadzi kontrole zgodnie z zatwierdzonym planem kontroli, na podstawie uzyskanych informacji lub w ramach monitorowania przestrzegania AI Act.

Wszczęcie kontroli

Kontrolę Komisja wszczyna z urzędu lub na wniosek Przewodniczącego Komisji, jego zastępcy, członka Komisji albo krajowego organu lub podmiotu publicznego, który nadzoruje lub egzekwuje obowiązki wynikające z prawa Unii w zakresie ochrony praw podstawowych.

Kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia kontrolowanemu zawiadomienia o jej wszczęciu. Co do zasady odbywa się ona zdalnie. W wyjątkowych okolicznościach, gdy występuje szkoda dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, kontrola może rozpocząć się bez zachowania tego terminu i może odbyć się w siedzibie kontrolowanego.

Przebieg kontroli

Kontrolujący przekazuje kontrolowanemu imienne upoważnienie, które wskazuje m.in. podstawę prawną kontroli, jej zakres oraz daty rozpoczęcia i przewidywanego zakończenia. Może on m.in. żądać udostępnienia materiałów, dokumentów, korespondencji, urządzeń zawierających dane informatyczne lub systemów informatycznych, sporządzać notatki i kopie, zabezpieczać materiały oraz przyjmować wyjaśnienia.

Jeżeli wśród kontrolowanych materiałów znajdzie się komunikacja z adwokatem lub radcą prawnym albo dokumenty przez nich sporządzone, kontrolujący nie powinien ich analizować. Kontrolowany powinien wówczas złożyć oświadczenie, że materiały mają taki charakter.

Z kontroli sporządza się protokół, który powinien zawierać informacje o przebiegu kontroli, stan faktyczny i ustalenia. Kontrolowany powinien go podpisać. Ustawa przewiduje procedurę na wypadek odmowy podpisania.

Wynik kontroli

Jeżeli kontrola wykaże nieprawidłowości w wykonywaniu obowiązków wynikających z AI Act, ustawy lub decyzji Komisji, Komisja wydaje zalecenia pokontrolne. Wskazuje w nich wezwanie do usunięcia nieprawidłowości, termin ich usunięcia (co do zasady co najmniej 30 dni), sposób poinformowania Komisji o wykonaniu zaleceń oraz skutki ich niewykonania w terminie. Jeśli kontrolowany nie zastosuje się do zaleceń, Komisja może z urzędu wszcząć postępowanie w sprawie naruszenia AI Act lub ustawy.

Postępowanie w sprawie naruszenia przepisów

Wszczęcie postępowania

Poza przypadkiem niewykonania zaleceń pokontrolnych Komisja wszczyna postępowanie z urzędu, gdy w trakcie kontroli stwierdzi możliwość naruszenia przepisów albo w toku rozpatrywania skargi, a także na wniosek podmiotów wskazanych w art. 58 ustawy.

Skargę może złożyć każda osoba fizyczna lub prawna, która ma podstawy, by uznać, że naruszono przepisy AI Act.

Przebieg postępowania

Postępowanie powinno trwać maksymalnie 6 miesięcy. Już w jego trakcie Komisja może wydać ostrzeżenie (w drodze postanowienia), jeżeli ma uzasadnione podejrzenie, że działalność podmiotu narusza przepisy. W ostrzeżeniu wskazuje działania, które doprowadzą do zgodności z przepisami, a podmiot powinien poinformować Komisję o ich wykonaniu.

Jeśli zalecone działania nie zostaną wykonane, Komisja może:

• nakazać stronie (w drodze postanowienia) spełnienie obowiązku informacyjnego wobec m.in. użytkowników końcowych systemu,
• poinformować wskazane podmioty publiczne, w tym instytucje unijne,
• zamieścić w BIP na stronie Komisji informację o niezastosowaniu się strony do ostrzeżenia.

Na te postanowienia stronie przysługuje zażalenie do Sądu Okręgowego w Warszawie (sądu ochrony konkurencji i konsumentów).

Decyzja

Gdy Komisja stwierdzi naruszenie obowiązków wynikających z AI Act lub ustawy, wydaje decyzję wskazującą środki nakazujące usunięcie skutków naruszenia w terminie 14 dni od jej doręczenia. Jeśli system AI stwarza bezpośrednie ryzyko dla życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, Komisja może nakazać jego operatorowi zaprzestanie stosowania systemu albo wycofanie go z rynku lub z użytkowania.

Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie (sądu ochrony konkurencji i konsumentów), składane za pośrednictwem Komisji.

Komisja publikuje w BIP zanonimizowane decyzje oraz wykaz systemów AI, w odniesieniu do których wydano decyzję nakładającą karę.

Układ w sprawie nadzwyczajnego złagodzenia sankcji

Ustawa przewiduje mechanizm, który pozwala złagodzić karę nałożoną przez Komisję. Można z niego skorzystać, jeśli Komisja uzna, że przyczyni się to do pełniejszej realizacji celów AI Act i ustawy, a strona nie doprowadziła do poważnych incydentów, takich jak śmierć lub poważny uszczerbek na zdrowiu, poważne i nieodwracalne zakłócenie funkcjonowania infrastruktury krytycznej albo poważne szkody na mieniu lub w środowisku. Układ ma także motywować strony do stosowania się do poleceń Komisji i współpracy w toku postępowania.

W ramach układu Komisja może obniżyć administracyjną karę pieniężną o co najmniej 20% i co najwyżej 70%. Jeśli postępowanie wszczęto na podstawie informacji przekazanych przez samą stronę z jej inicjatywy albo strona zaprzestała naruszenia przed ich przekazaniem, Komisja może obniżyć karę o co najmniej 30%, a maksymalnie do 90%.

Kary pieniężne

Od 28 października obowiązują także przepisy o karach pieniężnych. Wysokość kar wynika z rozporządzenia AI Act. Komisja może nałożyć kary w poniższych wartościach na podmioty, które nie przestrzegają AI Act:

• za naruszenie przepisów o praktykach zakazanych (art. 5 AI Act) – do 35 mln EUR lub do 7% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego,
• za nieprzestrzeganie innych obowiązków – do 15 mln EUR lub do 3% obrotu,
• za dostarczanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym na ich wniosek – do 7,5 mln EUR lub do 1% obrotu.

W każdym przypadku stosuje się wyższą z dwóch kwot.

W wyjątkowych sytuacjach karę można zmniejszyć o co najmniej 10% i co najwyżej 50%, jeżeli ukarany w ciągu 3 miesięcy od doręczenia decyzji wykona działania wskazane w ostrzeżeniu, a naruszenie nie doprowadziło do śmierci ani poważnego uszczerbku na zdrowiu. Komisja może też odroczyć termin zapłaty lub rozłożyć karę na raty ze względu na ważny interes wnioskodawcy.

Komisja może nadać decyzji rygor natychmiastowej wykonalności. Odwołanie od decyzji o nałożeniu kary składa się do Sądu Okręgowego w Warszawie (sądu ochrony konkurencji i konsumentów) za pośrednictwem Komisji w terminie miesiąca od doręczenia decyzji.

Podsumowanie

Od 28 października 2026 r. nadzór nad zgodnością z AI Act przestaje być teoretyczny: Komisja może kontrolować firmy, prowadzić postępowania i nakładać kary sięgające 35 mln EUR lub 7% rocznego obrotu. Ustawa premiuje współpracę. Zalecenia pokontrolne i ostrzeżenia dają szansę na naprawę uchybień, a układ może obniżyć karę nawet o 90%. Warto więc już teraz zrobić w firmie przegląd używanych systemów AI, sprawdzić, czy któryś z nich nie podlega pod praktyki zakazane oraz inne przepisy AI Act i przygotować dokumentację na wypadek kontroli.

Pierwsze działania Komisji są już zapowiedziane. Przewodnicząca Komisji - Pamela Krzypkowska poinformowała, że w pierwszym planie kontroli chciałaby objąć praktyki zakazane związane z oceną emocji w miejscu pracy oraz systemy wykorzystywane w aplikacjach generujących np. obrazy przedstawiające intymne części ciała lub czynności seksualne.