Przegląd zmian w prawie: AI Act i dostawcy GPAI, skargi do KRiBSI, RODO, KSC i energetyka

Stan prawny na dzień 19 października 2026 r.

Według Euronews Urząd ds. Sztucznej Inteligencji zażądał od dostawców dużych modeli AI informacji o testach i monitorowaniu modeli, choć Komisja nie opublikowała w tej sprawie komunikatu. W Polsce od 28 października skargi na systemy AI będzie przyjmować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. W przeglądzie także stanowisko EDPB o inteligentnych okularach, AI w zatrudnieniu, terminy z ustawy o krajowym systemie cyberbezpieczeństwa, nowelizacja Prawa energetycznego, unijna kontrola inwestycji zagranicznych i projekty podatkowe.

Czego Komisja Europejska chce od dostawców modeli GPAI?

Euronews opisał 14 października żądania informacji, które Urząd ds. Sztucznej Inteligencji skierował do dostawców modeli ogólnego przeznaczenia (GPAI), czyli twórców dużych modeli, na których inne firmy budują własne aplikacje. Pytania dotyczą testów w odizolowanych środowiskach, kontroli dostępu do zasobów obliczeniowych, testów prowadzonych przez niezależnych badaczy i monitorowania modelu po wprowadzeniu go do obrotu. Powodem miały być incydenty, w których agenci AI uzyskali nieautoryzowany dostęp do systemów zewnętrznych organizacji. Komisja nie potwierdziła publicznie listy adresatów ani dat.

Art. 91 ust. 1 rozporządzenia (UE) 2024/1689 (AI Act) pozwala Komisji zażądać od dostawcy GPAI dokumentacji lub „wszelkich dodatkowych informacji niezbędnych do celów oceny zgodności dostawcy z niniejszym rozporządzeniem”. Takie żądanie nie jest karą. Uprawnienia Komisji wobec dostawców GPAI (art. 88-94) i kary z art. 101 stosuje się od 2 sierpnia 2026 r. Za naruszenie obowiązków dostawcy GPAI grozi kara do 3% rocznego światowego obrotu albo do 15 mln euro, zależnie od tego, która kwota jest wyższa.

Firm, które korzystają z gotowego modelu przez API, te żądania nie dotyczą. Lista pytań Komisji pokazuje jednak, czego organ oczekuje od każdego, kto wdraża agenta AI: wiedzy, do jakich systemów i danych agent ma dostęp, kto zatwierdza jego działania i czy logi pozwalają je odtworzyć. Według Euronews Komisja uważa też, że wyłączenie dla badań i testów z art. 2 ust. 8 AI Act przestaje działać, gdy model wychodzi ze środowiska testowego. Pilotaż agenta na prawdziwych kontach klientów może więc nie zostać uznany za test.

Od 28 października skarga na system AI trafi do KRiBSI

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie zasadniczo 11 sierpnia 2026 r., a kolejna jej część wchodzi w życie 28 października. Od tego dnia każdy, także przedsiębiorca, będzie mógł złożyć do Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) skargę na działanie systemu AI. KRiBSI może na jej podstawie wszcząć postępowanie. Organ dopiero się tworzy: według IRIS Merlin (Rada Europy) działalność ma ruszyć w listopadzie.

Firma, która udostępnia klientom chatbota, system scoringowy albo narzędzie generujące treści, powinna mieć gotowy opis systemu, osobę do kontaktu z organem i dowody wykonania obowiązków przejrzystości z art. 50 AI Act: chatbot informuje, że użytkownik rozmawia z systemem AI, a wygenerowane treści są oznaczone. Dostawcy systemów generujących treści, wprowadzonych do obrotu przed 2 sierpnia 2026 r., mają na dostosowanie oznaczeń czas do 2 grudnia 2026 r. (art. 111 ust. 4 AI Act, dodany rozporządzeniem (UE) 2026/1744).

Co EDPB mówi o inteligentnych okularach i trenowaniu AI?

Europejska Rada Ochrony Danych przyjęła 13 października Statement 1/2026 o inteligentnych okularach z kamerami, mikrofonami i funkcjami AI. Przetwarzanie danych takim urządzeniem wymaga podstawy prawnej z art. 6 RODO, a dalsze wykorzystanie zebranych danych, w tym do trenowania modeli, trzeba ocenić osobno. Firma, która rozważa okulary z AI dla serwisantów albo magazynierów, musi uwzględnić także osoby postronne w polu kamery.

Do 30 października trwają konsultacje dwóch projektów wytycznych EDPB: o anonimizacji (Guidelines 02/2026) i o web scrapingu na potrzeby generatywnej AI (Guidelines 03/2026). Według projektu scraping danych szczególnych kategorii, np. o zdrowiu, wymaga podstawy z art. 6 RODO i dodatkowo wyjątku z art. 9 ust. 2 RODO.

AI w zatrudnieniu: co zostało przesunięte, a co obowiązuje?

Narzędzia do rekrutacji i oceny kandydatów, systemy wspierające decyzje o awansie lub zwolnieniu oraz systemy monitorujące pracowników to systemy wysokiego ryzyka (art. 6 ust. 2 i załącznik III pkt 4 AI Act). Rozporządzenie (UE) 2026/1744 (Omnibus AI), opublikowane 24 lipca 2026 r., przesunęło stosowanie przepisów o tych systemach na 2 grudnia 2027 r. Nie każde narzędzie HR trafia do tej kategorii: według art. 6 ust. 3 wyłączony jest m.in. system do „wąsko określonego zadania proceduralnego”, chyba że profiluje osoby fizyczne.

Przesunięcie nie dotyczy zakazów. Od 2 lutego 2025 r. art. 5 ust. 1 lit. f AI Act zakazuje systemów AI, które na podstawie danych biometrycznych wyciągają wnioski o emocjach pracowników w miejscu pracy, z wyjątkiem zastosowań medycznych i związanych z bezpieczeństwem. Według wytycznych Komisji zakaz nie obejmuje emocji klientów, np. analizy głosu klienta w call center.

Do 2 grudnia 2026 r. Polska ma wdrożyć dyrektywę (UE) 2024/2831 o pracy platformowej. Ustawy jeszcze nie uchwalono. Dyrektywa wymaga nadzoru człowieka nad algorytmami, które przydzielają zadania i oceniają wykonawców, i wprowadza wzruszalne domniemanie stosunku pracy.

Ustawa o KSC: jakie terminy biegną po 3 października?

Od 3 kwietnia 2026 r. obowiązuje ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu nadanym nowelizacją z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252). Według Ministerstwa Cyfryzacji podmioty kluczowe i ważne miały do 3 października 2026 r. złożyć wniosek o wpis do wykazu, do 3 kwietnia 2027 r. muszą wdrożyć obowiązki z ustawy, w tym system zarządzania bezpieczeństwem informacji, a do 3 kwietnia 2028 r. podmioty kluczowe przeprowadzają pierwszy audyt. Firma, która nie złożyła wniosku, powinna zrobić to niezwłocznie.

Jeden incydent może wymagać kilku zgłoszeń o różnych terminach.

Nowelizacja Prawa energetycznego i CSIRE

Prezydent podpisał 15 października nowelizację ustawy o odnawialnych źródłach energii (aukcje dla biometanowni, ułatwienia dla prosumentów z magazynami energii) oraz ustawę z 18 września 2026 r. o zmianie ustawy Prawo energetyczne (druk sejmowy nr 3102). Nowelizacja Prawa energetycznego dotyczy m.in. Centralnego Systemu Informacji Rynku Energii (CSIRE), przez który uczestnicy rynku wymieniają dane pomiarowe. Wprowadza sankcje za niewykonywanie obowiązków informacyjnych, ale wyłącza odpowiedzialność, gdy naruszenie wynika z niedostępności CSIRE. Sprzedawcy energii, agregatorzy i operatorzy powinni sprawdzić, jak ich umowy rozkładają odpowiedzialność za dane przekazywane do CSIRE i za przerwy w jego działaniu.

Nowe unijne zasady kontroli inwestycji zagranicznych

Rozporządzenie (UE) 2026/1386 w sprawie monitorowania inwestycji zagranicznych opublikowano w Dzienniku Urzędowym UE 26 czerwca 2026 r. Od 17 stycznia 2028 r. zastąpi rozporządzenie (UE) 2019/452 i wprowadzi obowiązkowe mechanizmy kontroli we wszystkich państwach członkowskich, m.in. w energetyce, infrastrukturze cyfrowej, transporcie i sztucznej inteligencji. Kontrola obejmie także niektóre transakcje wewnątrz Unii, gdy inwestora kontroluje podmiot z państwa trzeciego. Przy transakcjach, które mogą się nie zamknąć przed tą datą, strukturę właścicielską kontrahenta trzeba zbadać już na etapie due diligence.

Projekty podatkowe w Sejmie

Rządowy projekt zmian w PIT, CIT i ryczałcie (druk nr 3149) przeszedł 6 października pierwsze czytanie. Przewiduje przedłużenie ulgi na robotyzację o 10 lat, podwojenie ulgi dla honorowych dawców krwi i likwidację ulgi na Internet. Według pit.pl rząd przygotowuje też zmianę skali PIT: pierwszy próg 130 000 zł i stawka 24% dla dochodów od 130 000 zł do 150 000 zł. Oba projekty są na wczesnym etapie. Przedsiębiorców z flotą dotyczy obwieszczenie Ministra Finansów i Gospodarki ze stawkami minimalnymi podatku od środków transportowych na 2027 r. (M.P. 2026 poz. 1002).

Wdrożenie AI zgodne z AI Act i RODO

Pomagam firmom ocenić systemy AI według AI Act i RODO, przygotować politykę korzystania z AI i dokumentację wdrożeń agentów oraz procedurę na wypadek skargi do KRiBSI albo incydentu. Zakres współpracy opisuję na stronie compliance i RODO, a do kontaktu zapraszam przez formularz kontaktowy.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Euronews, żądania informacji wobec dostawców GPAI (14 października 2026). link
• Rozporządzenie (UE) 2024/1689 (AI Act), EUR-Lex. link
• Rozporządzenie (UE) 2026/1744 (Omnibus AI), EUR-Lex. link
• Komisja Europejska, wytyczne w sprawie zakazanych praktyk w zakresie AI. link
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003. link
• IRIS Merlin (Rada Europy), polska ustawa o systemach AI i KRiBSI. link
• EDPB, Statement 1/2026 o inteligentnych okularach. link
• UODO, projekty wytycznych EDPB o anonimizacji i web scrapingu. link
• Dyrektywa (UE) 2024/2831 o pracy platformowej, EUR-Lex. link
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252. link
• Ministerstwo Cyfryzacji, nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać. link
• Ministerstwo Energii, nowe przepisy dla rynku energii i wdrożenie CSIRE. link
• Gramwzielone.pl, podpis Prezydenta pod nowelizacjami ustawy o OZE i Prawa energetycznego. link
• Rozporządzenie (UE) 2026/1386 o monitorowaniu inwestycji zagranicznych, EUR-Lex. link
• Sejm RP, przebieg procesu legislacyjnego, druk nr 3149. link
• pit.pl, zmiany w progach skali PIT. link