Przegląd zmian w prawie: norma zharmonizowana dla AI Act, zarzuty dla Legimi i zmiany w RODO

Stan prawny na dzień 26 października 2026.

Komisja Europejska poinformowała o publikacji odniesienia do pierwszej normy zharmonizowanej dla AI Act, EN 18286:2026, która dotyczy zarządzania jakością systemów AI wysokiego ryzyka. W tym samym tygodniu Prezes UOKiK postawił zarzuty Legimi, ukarał osoby promujące iGenius i przyjął zobowiązania Apple, a Komisja wszczęła wobec Booking.com postępowanie na podstawie aktu o usługach cyfrowych. Rada UE uzgodniła stanowisko w sprawie zmian RODO i zasad dotyczących cookies, a UODO skierował do egzekucji karę za ignorowanie wezwań. Incydenty w platformie Zeabur i u dostawcy PwC, opisane przez BleepingComputer i Reutersa, pokazują, ile zależy od umowy z podwykonawcą.

Co daje pierwsza norma zharmonizowana dla AI Act?

Komisja Europejska poinformowała 19 października, że w Dzienniku Urzędowym UE ukazało się odniesienie do normy EN 18286:2026 o zarządzaniu jakością systemów AI wysokiego ryzyka. To pierwsza norma zharmonizowana wspierająca rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act). Publikacja odniesienia uruchamia mechanizm z art. 40 ust. 1 AI Act: o systemach zgodnych z taką normą „domniemuje się, że spełniają one wymogi” rozporządzenia, ale tylko „w zakresie, w jakim normy te obejmują te wymogi lub obowiązki”.

Z normy skorzystają przede wszystkim dostawcy systemów wysokiego ryzyka, ponieważ art. 17 ust. 1 AI Act zobowiązuje ich do wprowadzenia systemu zarządzania jakością, udokumentowanego „w formie pisemnych polityk, procedur i instrukcji”. System ten obejmuje między innymi strategię zgodności regulacyjnej, procedury testowania i walidacji, zarządzanie danymi, system zarządzania ryzykiem, monitorowanie po wprowadzeniu do obrotu oraz zgłaszanie poważnych incydentów. Norma opisuje, jak te elementy zbudować i udokumentować. Domniemanie zgodności nie dotyczy jednak całego rozporządzenia, dlatego wymogi, których norma nie obejmuje, dostawca musi spełnić innymi środkami i opisać to w dokumentacji.

Zmiana dotyczy także podmiotów, które kupują systemy wysokiego ryzyka, na przykład placówek medycznych wdrażających narzędzia diagnostyczne. Moim zdaniem zamawiający powinien od teraz pytać wykonawcę wprost, czy jego system zarządzania jakością odpowiada EN 18286:2026, i zapisać w umowie prawo wglądu do tej dokumentacji.

Jakie zarzuty UOKiK postawił Legimi?

Prezes UOKiK przedstawił 26 października zarzuty spółce Legimi w związku z przeniesieniem części książek z opłaconego abonamentu do katalogu, za który trzeba dopłacić. Urząd zakwestionował też przycisk „Zamawiam” w ofercie darmowego okresu próbnego, ponieważ nie informował on, że po teście usługa stanie się płatna. Zarzuty otwierają postępowanie i niczego jeszcze nie przesądzają. Jeżeli Prezes UOKiK uzna, że spółka naruszyła zakaz praktyk naruszających zbiorowe interesy konsumentów z art. 24 ust. 1 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (u.o.k.k.), może nałożyć karę do 10% obrotu z poprzedniego roku (art. 106 ust. 1 pkt 4 u.o.k.k.).

Sprawa dotyczy każdego, kto sprzedaje subskrypcje z okresem próbnym, ponieważ ustawa z dnia 30 maja 2014 r. o prawach konsumenta (u.p.k.) wymaga oznaczenia przycisku składania zamówienia słowami „zamówienie z obowiązkiem zapłaty” albo użycia „innego równoważnego jednoznacznego sformułowania” (art. 17 ust. 3 u.p.k.). Sprzedawca, który przy przejściu z testu na płatną umowę używa przycisku bez informacji o obowiązku zapłaty, powinien go zmienić. Powinien też sprawdzić, czy regulamin pozwala mu zawęzić zakres opłaconej usługi w trakcie jej trwania.

Za co UOKiK ukarał osoby promujące iGenius?

Prezes UOKiK nałożył łącznie 413 tys. zł kar na sześć osób promujących program iGenius, który urząd uznał za system promocyjny typu piramida. Ustawa z dnia 23 sierpnia 2007 r. o przeciwdziałaniu nieuczciwym praktykom rynkowym w art. 7 pkt 14 uznaje za nieuczciwe nie tylko „zakładanie, prowadzenie”, ale także „propagowanie” systemów, w których korzyści zależą „przede wszystkim od wprowadzenia innych konsumentów do systemu, a nie od sprzedaży lub konsumpcji produktów”.

Odpowiedzialność obejmuje więc również przedsiębiorców, którzy pozyskują uczestników przez media społecznościowe i linki polecające. Twórca internetowy przed podpisaniem umowy afiliacyjnej powinien ustalić, czy jego wynagrodzenie zależy od sprzedaży produktu, czy od liczby zwerbowanych osób.

Co zmieni się w komunikatach Apple o śledzeniu w aplikacjach?

Prezes UOKiK wydał wobec Apple decyzję zobowiązującą w sprawie polityki App Tracking Transparency (ATT), kwestionując odmienne traktowanie reklam Apple i reklam konkurencji. Apple zmieni komunikaty, w których prosi użytkowników o zgodę na śledzenie, i wprowadzi mechanizm rozpatrywania skarg wydawców aplikacji. Decyzja zobowiązująca nie nakłada kary, ale nakłada na Apple obowiązek wykonania przyjętych zobowiązań.

Polscy twórcy aplikacji mogą dzięki temu zyskać przychody reklamowe i lepszy dostęp do użytkowników. Wydawca, który uważa, że zasady platformy go dyskryminują, może teraz złożyć skargę w ramach mechanizmu przewidzianego w decyzji.

Dlaczego Komisja Europejska bada Booking.com?

Komisja Europejska wszczęła 21 października postępowanie wobec Booking.com na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych (DSA). Komisja sprawdza, jak platforma chroni użytkowników przed fałszywymi ofertami noclegów i przed phishingiem, w którym oszuści wykorzystują dane prawdziwych rezerwacji. Bada też, jak Booking.com oznacza płatne pozycjonowanie ofert. Komisja nie stwierdziła dotąd naruszeń.

Sprawa łączy odpowiedzialność platformy z bezpieczeństwem danych gości i ich roszczeniami, więc właściciel apartamentu na wynajem krótkoterminowy, także na trójmiejskim rynku, powinien prowadzić korespondencję i płatności wyłącznie przez platformę, a gości wyraźnie informować, że nie prosi o przelewy poza nią.

Co Rada UE chce zmienić w RODO i zasadach dotyczących cookies?

Rada UE przyjęła 21 października stanowisko negocjacyjne w sprawie uproszczenia przepisów o ochronie danych, prywatności i zgłaszaniu incydentów. Stanowisko obejmuje prostsze zasady dotyczące cookies, dłuższy termin na zgłoszenie naruszenia ochrony danych i krajowe punkty, w których firmy będą zgłaszać incydenty. Rada zachowuje obecną definicję danych osobowych i proponuje zabezpieczenia przetwarzania danych przy rozwijaniu systemów AI.

Stanowisko Rady nie zmienia obowiązującego prawa, a kolejnym etapem są uzgodnienia z Parlamentem Europejskim. Do czasu wejścia w życie zmian obowiązuje art. 33 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), zgodnie z którym administrator zgłasza naruszenie organowi nadzorczemu „nie później niż w terminie 72 godzin po stwierdzeniu naruszenia”, więc procedury reagowania na incydenty nie wymagają zmian.

UODO: egzekucja kary za ignorowanie wezwań i kodeks dla fotografów

UODO poinformował 26 października, że skierował do egzekucji prawomocną karę 10 082 zł nałożoną na Stowarzyszenie RKW, które nie odpowiadało na wezwania organu w sprawie aplikacji internetowej. Kara dotyczy braku współpracy z organem i nie rozstrzyga, czy stowarzyszenie przetwarzało dane zgodnie z prawem. Nieodebrana korespondencja nie zatrzymuje postępowania, dlatego firma powinna wyznaczyć osobę, która odbiera pisma z UODO i pilnuje terminów odpowiedzi.

UODO ogłosił także 23 października konsultacje projektu kodeksu postępowania, który przygotował Krajowy Cech Fotografów. Kodeksy postępowania przewiduje art. 40 RODO, a postępowanie w sprawie zatwierdzenia tego kodeksu nadal trwa. Kodeks ma uporządkować przetwarzanie danych klientów przez fotografów. Zgoda na rozpowszechnianie wizerunku pozostaje osobną kwestią, którą reguluje art. 81 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.

Czego uczą incydenty u dostawców Zeabur i PwC?

Według BleepingComputer platforma wdrożeniowa Zeabur ujawniła drugi w ciągu dwóch miesięcy atak, który objął ponad 3,2 mln rekordów zmiennych środowiskowych i dane 321 810 kont. Części poświadczeń nie zmieniono po poprzednim incydencie, a firma zapowiedziała zamknięcie usług w grudniu. Reuters podał z kolei, że PwC potwierdziło incydent u zewnętrznego dostawcy platformy, na której przechowywano dane o szkoleniach pracowników. Grupa przestępcza twierdzi, że ukradła 590 GB danych, ale PwC tej liczby nie potwierdziło i zapewnia, że serwis nie zawierał danych klientów ani wrażliwych danych osobowych.

Obie sprawy dotyczą tego samego ryzyka: firma odpowiada za dane, które powierzyła dostawcy. Umowa powierzenia przetwarzania (art. 28 RODO) i umowa z dostawcą chmury powinny regulować obowiązki po incydencie, wymianę poświadczeń i migrację danych na wypadek zamknięcia usługi. Oceniając, czy trzeba zgłosić naruszenie, administrator powinien oddzielić to, co ustalił sam, od twierdzeń sprawców ataku.

Wdrożenia AI i umowy z dostawcami IT

Pomagam firmom przygotować wdrożenie systemu AI zgodnie z AI Act, ocenić ryzyko i zapisać wymagania wobec wykonawcy w umowie, a także uporządkować procedury RODO i umowy z dostawcami chmury. Zobacz ofertę dla przedsiębiorców albo napisz do mnie przez stronę kontaktową.

Tekst ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej.

Źródła

• Komisja Europejska, komunikat o publikacji odniesienia do normy EN 18286:2026 w Dzienniku Urzędowym UE (19.10.2026). link
• Rozporządzenie (UE) 2024/1689 (AI Act), art. 40 ust. 1 o domniemaniu zgodności. link
• Rozporządzenie (UE) 2024/1689 (AI Act), art. 17 ust. 1 o systemie zarządzania jakością. link
• UOKiK, komunikat o zarzutach dla Legimi (26.10.2026). link
• Ustawa o ochronie konkurencji i konsumentów, art. 24 ust. 1 o zakazie praktyk naruszających zbiorowe interesy konsumentów. link
• Ustawa o ochronie konkurencji i konsumentów, art. 106 ust. 1 o karach pieniężnych. link
• Ustawa o prawach konsumenta, art. 17 ust. 3 o oznaczeniu przycisku zamówienia. link
• UOKiK, komunikat o karach dla osób promujących iGenius (21.10.2026). link
• Ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym, art. 7 pkt 14 o systemach promocyjnych typu piramida. link
• UOKiK, komunikat o zobowiązaniach Apple w sprawie polityki ATT (20.10.2026). link
• Komisja Europejska, komunikat o wszczęciu postępowania wobec Booking.com na podstawie DSA (21.10.2026). link
• Rada Unii Europejskiej, komunikat o stanowisku w sprawie uproszczenia przepisów o ochronie danych, prywatności i zgłaszaniu incydentów (21.10.2026). link
• RODO, art. 33 ust. 1 o terminie zgłoszenia naruszenia ochrony danych. link
• UODO, komunikat o egzekucji kary nałożonej na Stowarzyszenie RKW (26.10.2026) oraz komunikat o konsultacjach kodeksu postępowania Krajowego Cechu Fotografów (23.10.2026). link, link
• BleepingComputer i Reuters (StreetInsider), doniesienia o incydentach Zeabur i PwC (20.10.2026 i 23.10.2026). link, link