NIS2: jak sprawdzić, czy firma podlega ustawie o KSC

Stan prawny na dzień 27 lipca 2026.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża dyrektywę NIS2 i zmienia logikę nadzoru: firma sama musi rozpoznać, że jest podmiotem kluczowym lub ważnym, bo brak kontaktu ze strony organu nie zwalnia jej z samoidentyfikacji, zwłaszcza gdy nie jest wpisywana z urzędu. Status powstaje z mocy prawa, a wpis do wykazu jedynie go ujawnia, więc przekonanie „skoro nikt nas nie wpisał, ustawa nas nie dotyczy” nie zatrzymuje biegu terminów. Równolegle rząd przyjął projekt znoszący podatkową karę za zapłatę na rachunek spoza białej listy, a wcześniejsze orzecznictwo sądów i tegoroczna decyzja UODO wyznaczają granice odpowiedzialności za shadow AI. Zebrałem to, co realnie zmienia obowiązki przedsiębiorców, działów prawnych i pracowników.

Samoidentyfikacja NIS2: kiedy firma podlega ustawie o KSC

Status: obowiązuje. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252) weszła w życie 3 kwietnia 2026 r. Polska implementacja NIS2 porzuciła model, w którym przedsiębiorca czekał na decyzję administracyjną włączającą go do systemu. Teraz obowiązuje samoidentyfikacja: to firma sama ocenia, czy spełnia przesłanki z art. 5 ustawy, i sama składa wniosek o wpis do wykazu podmiotów kluczowych i ważnych.

Najważniejszy jest mechanizm prawny, który wielu przedsiębiorców zaskoczy. Status podmiotu kluczowego albo ważnego powstaje z mocy prawa, gdy firma spełni ustawowe kryteria. Wpis do wykazu ma charakter deklaratoryjny, co ustawodawca przesądził wprost w art. 7d ust. 5 ustawy o KSC, uznając wpis, jego zmianę i wykreślenie za czynności materialno-techniczne. Innymi słowy, spółka nie staje się podmiotem ważnym dlatego, że się zarejestrowała. Rejestruje się dlatego, że wcześniej stała się takim podmiotem.

Kwalifikacja jest obiektywna i opiera się na rzeczywistym rodzaju działalności z załączników nr 1 i 2 do ustawy, wielkości przedsiębiorstwa oraz relacjach z przedsiębiorstwami partnerskimi i powiązanymi. Stanowisko. Ministerstwo Cyfryzacji w komunikacie z 27 kwietnia 2026 r. podkreśliło, że kod PKD ma charakter tylko pomocniczy, a decyduje faktyczny zakres świadczonych usług. Niebezpieczne są więc dwa uproszczenia: „nie mamy właściwego PKD, więc nie podlegamy” oraz „mamy właściwy PKD, więc na pewno podlegamy”. Oba potrafią być błędne.

Osobnym źródłem ryzyka są grupy kapitałowe. Przy ustalaniu wielkości przedsiębiorstwa co do zasady sumuje się dane podmiotów partnerskich i powiązanych, przez co spółka mała samodzielnie potrafi przekroczyć progi na poziomie grupy. Ustawa przewiduje wyjątek, gdy przekroczenie wynika wyłącznie z powiązań, a systemy informacyjne przedsiębiorstw są niezależne lub usługi nie są świadczone wspólnie. Przepis posługuje się alternatywą, więc nie należy z góry zakładać, że oba warunki trzeba spełnić łącznie. Kto powołuje się na ten wyjątek, powinien udokumentować architekturę systemów, przepływy danych i model świadczenia usług.

Terminy: 3 października 2026 nie jest datą dla wszystkich

Data 3 października 2026 r. krąży w mediach jako uniwersalny termin, ale to skrót myślowy. Komunikat Ministra Cyfryzacji z 8 kwietnia 2026 r. (Dz.Urz. Ministra Cyfryzacji z 2026 r. poz. 7) ustalił harmonogram samorejestracji od 7 maja do 3 października 2026 r. Ten termin dotyczy podmiotów, które spełniały kryteria już w dniu wejścia nowelizacji w życie, czyli 3 kwietnia 2026 r. Firma, która zacznie spełniać kryteria później, ma co do zasady sześć miesięcy od dnia ich spełnienia na złożenie wniosku o wpis (art. 7c ust. 1 ustawy o KSC). Ministerstwo wyjaśniło też, że zwlekanie z wpisem do października nie przedłuża terminów na wykonanie pozostałych obowiązków.

Kalendarz samoidentyfikacji i sankcji

Odroczenie kar bywa mylnie odczytywane jako dwuletnie wakacje od obowiązków. Ustawa nowelizująca w art. 35 odracza tylko wskazane kary pieniężne, między innymi z art. 73 ust. 1-4, art. 73a-73c i art. 76b, które mogą być po raz pierwszy nałożone najwcześniej po 3 kwietnia 2028 r., czyli od 4 kwietnia 2028 r. Odroczenie nie obejmuje jednak wszystkich sankcji, w tym nadzwyczajnej kary z art. 73 ust. 5 sięgającej 100 mln zł. Naruszenie może zresztą powstać wcześniej. Organ może wpisać podmiot z urzędu, przeprowadzić czynności nadzorcze i zebrać materiał, a odroczona pozostaje wyłącznie sama możliwość wymierzenia odroczonych kar.

Ile realnie grozi i czy brak świadomości pomaga

Kara za niezłożenie wniosku w terminie jest fakultatywna. Ustawa mówi, że organ „może” ją nałożyć, jeżeli uzasadniają to waga i znaczenie naruszenia. Dla podmiotu kluczowego górna granica sięga 10 mln euro albo 2 proc. rocznego obrotu, dla podmiotu ważnego 7 mln euro albo 1,4 proc. obrotu, przy czym stosuje się kwotę wyższą. Ustawa przewiduje też osobistą karę dla kierownika podmiotu, sięgającą do 300 proc. wynagrodzenia obliczanego według zasad ustalania ekwiwalentu za urlop wypoczynkowy (art. 73a ustawy o KSC), przy czym w jednostkach sektora finansów publicznych ograniczoną do 100 proc. Do tego dochodzi rygor odpowiedzialności karnej za fałszywe oświadczenie składane wraz z wnioskiem, co pokazuje, że wpis nie jest zwykłym formularzem.

Czy nieświadomość ratuje przed karą? Nie zatrzymuje biegu terminu, ale może wpływać na jej wymiar, ponieważ organ uwzględnia między innymi stopień zawinienia, współpracę i działania naprawcze. Może też odstąpić od kary, gdy waga naruszenia jest znikoma, a podmiot dodatkowo zaprzestał naruszenia albo naprawił szkodę (art. 76a ust. 9 ustawy). Analogia, nie precedens. Ostrożnej wskazówki, mimo braku orzecznictwa wprost o NIS2, dostarcza dorobek dotyczący kar za niezgłoszenie koncentracji: Sąd Najwyższy w wyroku z 21 lutego 2018 r. (III SK 1/17) przyjął, że od przedsiębiorcy jako profesjonalisty oczekuje się podwyższonej świadomości prawnej, a sama niewiedza o obowiązku nie usprawiedliwia bierności. Wyrok zapadł na gruncie prawa ochrony konkurencji, więc traktuję go wyłącznie jako pomocniczą analogię, a nie regułę wiążącą organ w sprawach KSC. To ostrzeżenie: liczy się nie subiektywne przeświadczenie, lecz to, czy firma rzetelnie sprawdziła swój status.

Rekomendacja. Praktyczny wniosek jest prosty. Jeżeli prowadzisz działalność w energetyce, transporcie, ochronie zdrowia, infrastrukturze cyfrowej, gospodarce wodnej, wybranych sektorach produkcji wymienionych w załączniku nr 2 czy usługach cyfrowych i zatrudniasz co najmniej kilkadziesiąt osób, potraktuj samoidentyfikację jako projekt z udziałem prawnika, IT i finansów, a nie jako sprawdzenie jednego kodu PKD. Nawet jeśli uznasz, że firma nie podlega ustawie, zapisz i uzasadnij ten wniosek, bo w razie kontroli to Ty będziesz musiał go obronić.

Koniec podatkowej kary za rachunek spoza białej listy (projekt)

Projekt. Rada Ministrów przyjęła 21 lipca 2026 r. deregulacyjny projekt zmian w PIT i CIT (oznaczenie UDER107). Projekt usuwa z podatków dochodowych automatyczną sankcję polegającą na utracie kosztu podatkowego, gdy płatność powyżej 15 tys. zł trafia na rachunek spoza białej listy VAT albo zostaje dokonana z pominięciem obowiązkowego mechanizmu podzielonej płatności. Zmiana ma wejść w życie 1 stycznia 2027 r. Na dzień 27 lipca 2026 r. to wciąż projekt, a nie obowiązujące prawo, i jego treść może się jeszcze zmienić w toku prac legislacyjnych.

Do tej pory ten sam błąd w przelewie uruchamiał kilka konsekwencji naraz. Poza sankcją w podatku dochodowym pozostawała odpowiedzialność solidarna nabywcy za zaległość VAT dostawcy oraz możliwe dodatkowe zobowiązanie w VAT za pominięcie podzielonej płatności. Projekt zdejmuje jedną warstwę, tę najbardziej dotkliwą i najbardziej oderwaną od winy, bo rzeczywisty, gospodarczo uzasadniony wydatek przestaje znikać z kosztów tylko z powodu sposobu zapłaty. Reszta zabezpieczeń zostaje. Sam projekt nie znosi natomiast sankcji za płatność gotówką powyżej 15 tys. zł, która nadal odbiera prawo do kosztu.

Warto widzieć w tym szerszy kierunek, ale bez przesady. Ministerstwo Finansów uzasadniało zmianę tym, że sankcje VAT są wystarczające, a nie tym, że karanie za formalny błąd jest z założenia niedopuszczalne. Analogia. Orzecznictwo unijne dostarcza argumentu aksjologicznego, choć przez analogię, a nie jako bezpośredni precedens: w wyroku w sprawie Grupa Warzywna (C-935/19) Trybunał Sprawiedliwości uznał, że automatyczna sankcja nakładana bez rozróżnienia między zwykłym błędem a oszustwem narusza zasadę proporcjonalności. Dotyczyło to jednak zharmonizowanego VAT, a nie krajowych kosztów w PIT i CIT, więc nie należy z tego wywodzić, że dotychczasowa regulacja była sprzeczna z prawem UE. Pokazuje to również polska praktyka: w nieprawomocnym wyroku WSA w Lublinie (I SA/Lu 125/25) chodziło o 43 przelewy na niewłaściwy rachunek, a nie o jednorazową pomyłkę, a sąd nie dopatrzył się nieproporcjonalności. Dostępne mi omówienie tego wyroku pochodzi z komercyjnego agregatora orzeczeń, więc do czasu potwierdzenia w urzędowej bazie CBOSA traktuję to źródło jako wtórne.

Rekomendacja. Praktyczny wniosek: nie odkładaj weryfikacji kontrahentów w białej liście, bo sankcja obowiązuje nadal, a zgodnie z projektem miałaby zniknąć dopiero od 1 stycznia 2027 r.; odpowiedzialność solidarna w VAT i tak pozostanie. Nadal warto składać zawiadomienie ZAW-NR w ustawowym terminie, gdy przelew trafi na rachunek spoza wykazu.

Shadow AI: kto odpowiada, gdy pracownik wkleja umowę do prywatnego ChatGPT

Shadow AI, czyli korzystanie z narzędzi sztucznej inteligencji poza oficjalnym obiegiem firmy, przestaje być abstrakcją. UODO opublikował 28 stycznia 2026 r. badanie o wykorzystaniu sztucznej inteligencji i ochronie danych. Sam raport nie przesądza skali zjawiska, ale z praktyki wynika, że firmowe deklaracje potrafią ją zaniżać, bo pracownicy sięgają po narzędzia poza oficjalnym obiegiem, często na prywatnych kontach. Pytanie prawne nie brzmi więc, czy zakazać ChatGPT, lecz kto odpowiada, gdy pracownik wkleja do niego służbową umowę.

Na zewnątrz najczęściej odpowiada przede wszystkim pracodawca jako administrator danych osobowych i jako strona umowy z klientem. Do ujawnienia danych dochodzi już w chwili wysłania promptu, niezależnie od tego, czy model cokolwiek „zapamiętał”. Kluczowe jest, że wklejenie umowy zwykle nie jest zgodnym z prawem powierzeniem danych, bo przy narzędziu używanym prywatnie najczęściej brakuje właściwej podstawy, umowy powierzenia z art. 28 RODO lub realnej kontroli administratora, a wiele zależy tu od konkretnego dostawcy, wybranego planu i konfiguracji. Prywatne oświadczenie pracownika wobec dostawcy nie zastępuje przy tym ani zgody klienta, ani decyzji administratora.

W tle działają ogólne obowiązki administratora, których shadow AI nie zawiesza: zasada poufności i integralności danych (art. 5 ust. 1 lit. f RODO), obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 24 RODO) oraz zapewnienia bezpieczeństwa przetwarzania (art. 32 RODO). Jeżeli wyciek danych przez niezatwierdzone narzędzie stanowi naruszenie ochrony danych osobowych, dochodzi obowiązek zgłoszenia go organowi nadzorczemu, a przy wysokim ryzyku także zawiadomienia osób, których dane dotyczą (art. 33-34 RODO).

Nieprawomocna decyzja UODO. Najbliższy polski przypadek nie dotyczy jeszcze ChatGPT, lecz nieautoryzowanego narzędzia do komunikacji. W nieprawomocnej decyzji z 13 kwietnia 2026 r. (DKN.5131.7.2022) Prezes UODO zajął się sprawą, w której pracownicy przez wiele miesięcy przesyłali zdjęcia i skany umów klientów przez prywatną aplikację, określoną w zanonimizowanym tekście jako „aplikacja Y”. Organ uznał, że administrator powinien był przewidzieć, iż ludzie szukają sposobów przyspieszenia pracy, i nie mógł poprzestać na ogólnym oświadczeniu o poufności; zaakcentował brak realnego nadzoru i kontroli stosowania procedur. Rekomendacja autora. Z tego rozstrzygnięcia wyprowadzam praktyczny katalog środków: wyraźny zakaz niezatwierdzonych aplikacji, szkolenia dotyczące realnych ryzyk, kontrolę przestrzegania zakazu oraz zapewnienie wygodnego, zatwierdzonego rozwiązania. To moje rekomendacje, a nie dosłowne brzmienie decyzji, ale ta sama logika przenosi się wprost na shadow AI.

Pracownik nie jest bezkarny, ale i tu nic nie dzieje się automatycznie. Rozwiązanie umowy bez wypowiedzenia w trybie dyscyplinarnym (art. 52 § 1 pkt 1 Kodeksu pracy) wymaga ciężkiego naruszenia podstawowych obowiązków pracowniczych, w tym obowiązku dbałości o dobro zakładu pracy, ochrony jego mienia oraz zachowania tajemnicy (art. 100 § 2 pkt 4 i 5 Kodeksu pracy), a więc umyślności albo rażącego niedbalstwa oraz co najmniej realnego zagrożenia interesów pracodawcy. Analogia. Sąd Najwyższy w sprawach dotyczących wynoszenia danych na prywatną skrzynkę (II PK 49/14 oraz II PK 76/17), które traktuję tu jako analogię, a nie precedens bezpośredni dla shadow AI, potwierdził, że samo wyprowadzenie informacji poza chronione środowisko może tworzyć zagrożenie, ale kazał badać treść dokumentu, skalę działania i to, czy firma w ogóle chroniła poufność. Brak polityki, tolerowanie podobnych praktyk i presja czasu osłabiają zarzut wobec pracownika.

Rekomendacja. Praktyczny wniosek adresuję głównie do pracodawców: za pojedynczy prompt może odpowiadać pracownik, ale za środowisko, w którym prywatny ChatGPT stał się nieformalnym narzędziem pracy, odpowiada organizacja. Dobra polityka nie kończy się na zdaniu „zakazuje się używania AI”. Powinna wskazywać zatwierdzone narzędzia, klasyfikować dane, zakazywać wprowadzania CV, PESEL, dokumentów klientów, haseł i kodu do niezatwierdzonych modeli oraz, co najważniejsze, dawać pracownikom rozwiązanie, które naprawdę ułatwia pracę.

AI w rekrutacji: wysokie ryzyko z przesuniętym terminem

System AI, który filtruje CV, punktuje kandydatów, kieruje ogłoszenia do wybranych grup albo wspiera decyzje o awansie, zwolnieniu czy przydziale zadań, co do zasady należy do systemów wysokiego ryzyka z załącznika III do AI Act. To uruchamia obowiązki znacznie szersze niż informacja „korzystamy z AI”: zarządzanie ryzykiem, jakość danych, dokumentację, rejestrowanie działania, przejrzystość, nadzór człowieka i bezpieczeństwo.

Obowiązuje, ze zmienioną datą. Rozporządzenie (UE) 2026/1744 z 8 lipca 2026 r., tak zwany AI Omnibus, weszło w życie 27 lipca 2026 r. i przesunęło stosowanie zasadniczych obowiązków dla samodzielnych systemów wysokiego ryzyka z załącznika III, w tym systemów zatrudnieniowych, z 2 sierpnia 2026 r. na 2 grudnia 2027 r. Publikacje, które nadal podają sierpień 2026 r. jako start pełnych obowiązków HR, są już nieaktualne. To realna ulga czasowa, ale nie zwolnienie z odpowiedzialności.

RODO obowiązuje bowiem niezależnie od tego harmonogramu i już dziś. Pracodawca musi ustalić podstawę przetwarzania, ograniczyć dane do zakresu dopuszczalnego przez Kodeks pracy i RODO, przeprowadzić ocenę skutków tam, gdzie przetwarzanie może powodować wysokie ryzyko, na przykład przy systematycznej i kompleksowej ocenie kandydatów prowadzącej do skutków prawnych lub podobnie istotnych, oraz pilnować art. 22 RODO, który chroni przed decyzją opartą wyłącznie na automacie. Formalne „kliknięcie zatwierdź” przez rekrutera nie jest rzeczywistym nadzorem, jeśli w praktyce to wynik algorytmu przesądza o odrzuceniu kandydata. Analogia. Wskazał na to Trybunał Sprawiedliwości w sprawie SCHUFA (C-634/21): automatycznie wygenerowany scoring może sam być decyzją z art. 22 RODO, gdy inny podmiot przypisuje mu rolę rozstrzygającą. Już od 2 lutego 2025 r. obowiązuje też zakaz rozpoznawania emocji w miejscu pracy, poza wąskimi wyjątkami dla zastosowań medycznych lub związanych z bezpieczeństwem, więc próby wnioskowania o nastroju kandydata z głosu czy mimiki podczas rozmowy rekrutacyjnej są niedopuszczalne. Stanowisko. Prezes UODO w piśmie z 16 lipca 2026 r. (DPNT.0623.18.2026) zaapelował o dodatkowe krajowe zabezpieczenia antydyskryminacyjne dla AI w zatrudnieniu, ale to apel legislacyjny, a nie nowa podstawa prawna.

Osobno warto ostudzić narrację o „zwolnieniach przez AI”. Komunikat zarządu, że firma „stawia na automatyzację”, nie jest przyczyną wypowiedzenia. Jeżeli automatyzacja realnie likwiduje stanowisko, może to być uzasadniona przyczyna niedotycząca pracownika, ale pracodawca musi wykazać rzeczywistą reorganizację, a nie hasło marketingowe. Analogia. Sąd Najwyższy przypomina, że likwidacja stanowiska musi być prawdziwa, a nie pozorna (I PKN 176/97), a przy wyborze jednego z kilku podobnych stanowisk przyczyna wypowiedzenia powinna obejmować także kryteria doboru konkretnej osoby (I PK 61/13). Rekomendacja. Praktyczny wniosek dla działów HR: przesunięty termin to czas na uporządkowanie umów z dostawcami, testów pod kątem dyskryminacji i realnego nadzoru człowieka, a nie na odłożenie tematu.

UODO kontra Komisja ds. AI: kto będzie pilnował sztucznej inteligencji

Uchwalona, jeszcze nieogłoszona. Sejm uchwalił 3 lipca 2026 r. ustawę o systemach sztucznej inteligencji, a Prezydent podpisał ją 24 lipca 2026 r. Na dzień 27 lipca 2026 r. nie została jeszcze ogłoszona w Dzienniku Ustaw, więc nie podaję numeru pozycji. Ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako główny krajowy organ nadzoru rynku i pojedynczy punkt kontaktowy w sprawach AI Act. Nie oznacza to jednego strażnika. Prezes UODO zachowuje wyłączną właściwość w sprawach zgodności przetwarzania danych z RODO, a w części szczególnie wrażliwych zastosowań, między innymi w organach ścigania i wymiarze sprawiedliwości, dodatkowo pełni rolę przewidzianą w art. 74 ust. 8 AI Act zgodnie z krajowym wyznaczeniem.

Kontrowersje: dwóch nadzorców, brak dyspozytora

Stanowisko. Prezes UODO w opiniach do projektu (DOL.401.354.2024, z 16 stycznia 2025 r. i 23 kwietnia 2026 r.) ostrzegał, że problemem nie jest samo równoległe obowiązywanie RODO i AI Act, lecz brak proceduralnego mostu między organami. Ustawa nie przesądza, który organ prowadzi sprawę jako pierwszy, jak organy wymieniają dowody, ani czy ustalenia jednego wiążą drugi. Ten sam system może więc przejść kontrolę KRiBSI pod kątem zgodności z AI Act, a mimo to zostać zablokowany przez UODO z powodu braku podstawy przetwarzania danych. Do tego decyzje UODO kontrolują sądy administracyjne, a decyzje KRiBSI ma kontrolować Sąd Ochrony Konkurencji i Konsumentów, co grozi rozbieżnymi ocenami tych samych faktów.

Nie każdy zarzut UODO jest jednak w pełni trafny. Analogia. Pomocne są tu dwa wyroki TSUE, które stosuję przez analogię, a nie jako bezpośredni precedens dla relacji KRiBSI-UODO. W sprawie Meta Platforms (C-252/21) Trybunał Sprawiedliwości dopuścił, by organ niebędący organem ochrony danych incydentalnie oceniał zgodność z RODO, jeśli jest to potrzebne do jego własnych kompetencji, pod warunkiem że lojalnie współpracuje z organem ochrony danych i respektuje jego rozstrzygnięcia. KRiBSI może więc oceniać system z perspektywy AI Act, nawet gdy przetwarza on dane osobowe, ale nie powinna wiążąco rozstrzygać o zgodności samego przetwarzania z RODO wbrew stanowisku UODO. Odrębny problem to podwójne kary: z wyroku w sprawie bpost (C-117/20) wynika, że dwa postępowania represyjne wobec tych samych faktów są dopuszczalne tylko przy skoordynowaniu i proporcjonalności łącznej dolegliwości. Rekomendacja. Praktyczny wniosek dla firm wdrażających AI: dopóki nie powstaną szczegółowe zasady współpracy, planujcie zgodność równolegle na dwóch ścieżkach, bo zielone światło jednego organu nie chroni przed drugim.

Oznaczanie treści AI: art. 50 AI Act zaczyna działać 2 sierpnia

Obowiązuje od 2 sierpnia 2026 r. Od tego dnia zaczynają być stosowane obowiązki przejrzystości z art. 50 AI Act, a Komisja Europejska opublikowała 20 lipca 2026 r. finalne wytyczne do tego przepisu. Art. 50 nie ustanawia jednej etykiety „wygenerowano przez AI”, lecz łańcuch ról. Dostawca ma zapewnić maszynowo odczytywalne oznaczenie treści syntetycznych. Podmiot stosujący (deployer) system generujący deepfake ma z kolei ujawnić odbiorcy, że treść została sztucznie wygenerowana lub zmanipulowana, i obowiązek ten nie jest ograniczony do spraw interesu publicznego. Odrębna reguła dotyczy generowanego lub zmienianego przez AI tekstu publikowanego w celu informowania opinii publicznej o sprawach interesu publicznego: tu wyjątek obejmuje treści, które przeszły rzeczywistą kontrolę redakcyjną i za które ktoś ponosi odpowiedzialność. Największym wyzwaniem nie będzie samo oznaczenie, lecz prawidłowe przypisanie roli i zachowanie informacji o pochodzeniu treści przez cały proces publikacji, bo metadane łatwo giną przy eksporcie, kompresji czy publikacji w mediach społecznościowych.

Kilka granic jest spornych. Pojęcie treści dotyczącej „spraw interesu publicznego” jest szerokie i może objąć nie tylko politykę, ale też komunikaty o zdrowiu, bezpieczeństwie produktów czy rynku pracy. Nie wiadomo dokładnie, ile musi znaczyć weryfikacja przez człowieka, choć samo kliknięcie „akceptuj” nie powinno wystarczać. Nie każde użycie AI do korekty, tłumaczenia czy standardowej edycji rodzi obowiązek oznaczenia, a granicą jest istotna zmiana treści lub jej znaczenia. Dla dostawców systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. przewidziano okres przejściowy do 2 grudnia 2026 r. w zakresie obowiązku oznaczania treści syntetycznych z art. 50 ust. 2. Rekomendacja. Praktyczny wniosek: zinwentaryzuj chatboty i generatory tekstu, obrazu, głosu oraz wideo, sprawdź, w jakiej roli występuje Twoja firma, i nie myl technicznego znaku wodnego z widoczną informacją dla odbiorcy.

AliExpress i kara 550 mln euro: odpowiedzialność platformy za cały system zgłoszeń

Decyzja Komisji, obowiązuje. Komisja Europejska nałożyła 20 lipca 2026 r. na AliExpress karę 550 mln euro za naruszenie Aktu o usługach cyfrowych (DSA). Zarzut nie sprowadzał się do pojedynczych ofert, których platforma nie usunęła, lecz do wadliwej oceny i niedostatecznego ograniczania systemowego ryzyka sprzedaży produktów nielegalnych, niebezpiecznych lub podrobionych. Trzeba jednak pamiętać, że obowiązki systemowej oceny i ograniczania ryzyka, których dotyczy decyzja, ciążą przede wszystkim na bardzo dużych platformach i wyszukiwarkach internetowych (VLOP/VLOSE) wyznaczonych przez Komisję, a nie na każdym serwisie handlowym. To wyraźny sygnał przejścia od modelu „zgłoś i usuń” do aktywnego zarządzania ryzykiem całego systemu, choć jego najostrzejsza warstwa dotyczy podmiotów o statusie VLOP.

Kierunek jest taki sam jak w art. 50 AI Act i w NIS2: unijne prawo cyfrowe coraz wyraźniej wymaga kontroli procesu, a nie jednorazowego komunikatu. Rekomendacja. Praktyczny wniosek dla przedsiębiorców prowadzących platformy: najpierw ustalcie swój status w DSA, bo najdalej idące obowiązki oceny ryzyka systemowego obciążają wyznaczonych VLOP/VLOSE. Jeśli Wasz serwis nie ma tego statusu, zakres obowiązków jest węższy, choć podstawowe wymogi DSA co do notyfikacji, moderacji i przejrzystości nadal obowiązują, a organy oceniają skuteczność systemu, a nie obecność procedury na papierze.

Jeśli któryś z tych tematów dotyka Twojej firmy, pomagam przejść przez to od strony praktycznej: przeprowadzam samoidentyfikację NIS2 z memorandum, które obroni się w razie kontroli, przygotowuję politykę korzystania z AI i ocenę ryzyka pod AI Act, porządkuję zgodność z RODO przy narzędziach generatywnych oraz układam obieg dokumentów, podpisy elektroniczne i automatyzacje tak, by nowe obowiązki nie zatrzymały codziennej pracy. Jeżeli chcesz omówić konkretny przypadek, chętnie się nim zajmę.

Nie wiesz, czy Twoja firma podlega KSC?

Samoidentyfikacja jest obowiązkiem firmy, a pomyłka w jedną stronę kosztuje wdrożenie, którego nie trzeba było robić, w drugą - kary. Ustalam status na podstawie realnej działalności i przygotowuję uzasadnienie tej oceny na wypadek kontroli. Zobacz compliance i cyberbezpieczeństwo albo napisz do mnie.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Ustawa o zmianie ustawy o KSC wdrażająca NIS2, Dz.U. z 2026 r. poz. 252 (wejście w życie 3 kwietnia 2026 r.); deklaratoryjność wpisu - art. 7d ust. 5, termin sześciomiesięczny - art. 7c ust. 1, odroczenie kar - art. 35 nowelizacji, kara kierownika - art. 73a. eli.gov.pl

• Dyrektywa (UE) 2022/2555 (NIS2), tekst i zakres obowiązków. eur-lex.europa.eu

• Ministerstwo Cyfryzacji, jak dokonać samoidentyfikacji KSC (stanowisko z 27 kwietnia 2026 r.). gov.pl

• Ministerstwo Cyfryzacji, najważniejsze terminy nowelizacji KSC. gov.pl

• Wyrok SN z 21 lutego 2018 r., III SK 1/17, o obowiązku samodzielnego rozpoznania obowiązku przez profesjonalistę (prawo ochrony konkurencji, powołany jako analogia). sn.pl

• Projekt UDER107 (PIT i CIT), karta rządowa, przyjęty przez RM 21 lipca 2026 r. (status: projekt). gov.pl

• Wyrok TSUE z 15 kwietnia 2021 r., Grupa Warzywna, C-935/19, o proporcjonalności sankcji VAT. eur-lex.europa.eu

• Wyrok WSA w Lublinie z 30 maja 2025 r. (nieprawomocny), I SA/Lu 125/25, o płatnościach spoza białej listy - źródło wtórne (agregator komercyjny), do zastąpienia odnośnikiem urzędowym CBOSA. qmap.pl

• Decyzja Prezesa UODO z 13 kwietnia 2026 r. (nieprawomocna), DKN.5131.7.2022, o nieautoryzowanym narzędziu przetwarzania danych. orzeczenia.uodo.gov.pl

• Raport UODO o wykorzystaniu AI i ochronie danych (28 stycznia 2026 r.). uodo.gov.pl

• Wyrok TSUE z 11 kwietnia 2024 r., C-741/21 (juris), o zakresie odpowiedzialności odszkodowawczej administratora z art. 82 RODO za działania pracownika. eur-lex.europa.eu

• Wyrok SN, II PK 49/14, o wynoszeniu danych poza chronione środowisko. sn.pl

• Wyrok SN, II PK 76/17, o ochronie poufności informacji pracodawcy. sn.pl

• Kodeks pracy: art. 22(1) (zakres danych), art. 52 § 1 pkt 1 (rozwiązanie bez wypowiedzenia), art. 100 (podstawowe obowiązki pracownika). eli.gov.pl

• Rozporządzenie (UE) 2016/679 (RODO): art. 5 ust. 1 lit. f, art. 22, art. 24, art. 28, art. 32, art. 33-34, art. 82. eur-lex.europa.eu

• AI Act, rozporządzenie (UE) 2024/1689, art. 50, art. 74 ust. 8 i załącznik III. eur-lex.europa.eu

• Rozporządzenie (UE) 2026/1744 (AI Omnibus) przesuwające terminy obowiązków wysokiego ryzyka na 2 grudnia 2027 r. eur-lex.europa.eu

• Komisja Europejska, wytyczne do obowiązków przejrzystości z art. 50 (20 lipca 2026 r.). digital-strategy.ec.europa.eu

• Stanowisko Prezesa UODO w sprawie AI w rekrutacji z 16 lipca 2026 r., DPNT.0623.18.2026. uodo.gov.pl

• Wyrok TSUE z 7 grudnia 2023 r., SCHUFA, C-634/21, o zautomatyzowanych decyzjach. eur-lex.europa.eu

• Wyrok SN, I PKN 176/97, o rzeczywistej, a nie pozornej likwidacji stanowiska. sn.pl

• Wyrok SN, I PK 61/13, o kryteriach doboru pracownika do zwolnienia. sn.pl

• Opinie Prezesa UODO do ustawy o systemach AI, DOL.401.354.2024. uodo.gov.pl

• Wyrok TSUE z 4 lipca 2023 r., Meta Platforms, C-252/21, o współpracy organów. eur-lex.europa.eu

• Wyrok TSUE z 22 marca 2022 r., bpost, C-117/20, o zbiegu postępowań represyjnych. eur-lex.europa.eu

• Ustawa o systemach sztucznej inteligencji, tekst uchwalony 3 lipca 2026 r., druk nr 2443. orka.sejm.gov.pl

• Kancelaria Prezydenta RP, wykaz ustaw podpisanych w lipcu 2026 r. prezydent.pl

• Komisja Europejska, kara 550 mln euro dla AliExpress za naruszenie DSA. digital-strategy.ec.europa.eu