W skrócie
- Art. 69 ustawy z Dz.U. 2026 poz. 1003: akta postępowania, a więc także przekazana dokumentacja, zostają u Komisji 10 lat od dnia doręczenia decyzji, chyba że przepisy odrębne przewidują inny okres.
- Art. 41 ust. 1 ustawy z Dz.U. 2026 poz. 1003: Komisja usuwa dane osobowe po upływie 10 lat od dnia zakończenia postępowania, które art. 57 ust. 5 definiuje jako postępowanie w sprawie naruszenia, o ile odrębne przepisy nie stanowią inaczej.
- Art. 41 ust. 2: niezależnie od tego terminu Komisja weryfikuje niezbędność przetwarzania co najmniej raz na 5 lat od dnia zgromadzenia danych i niezwłocznie usuwa dane zbędne.
- Art. 39: zakres obejmuje także dane z art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, czyli dane szczególnych kategorii oraz dane o wyrokach.
- Art. 40 wylicza 5 źródeł danych, w tym dane gromadzone przez podmioty kluczowe i ważne z ustawy o krajowym systemie cyberbezpieczeństwa, z wyłączeniem tajemnicy komunikacji elektronicznej.
Dokumentacja oddana Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji nie znika po zakończeniu sprawy. Jeśli kontrola przejdzie w postępowanie, dokumenty zostają w aktach na dekadę, a dane osobowe mają w ustawie osobny zegar.
Ustawa z Dz.U. 2026 poz. 1003 wyznacza dwa dziesięcioletnie terminy: art. 69 dla akt postępowania i art. 41 ust. 1 dla danych osobowych. Każdy biegnie od innego zdarzenia, a zwykła kontrola nie uruchamia żadnego z nich.
01Jak długo dokumenty i dane zostają u Komisji?
Dziesięć lat, ale liczone od dwóch różnych dat, zgodnie z art. 69 i art. 41 ustawy z Dz.U. 2026 poz. 1003.
| Co | Termin | Od czego liczony | Podstawa |
|---|---|---|---|
| Akta postępowania, w tym przekazana dokumentacja | 10 lat | doręczenie decyzji | art. 69 |
| Usunięcie danych osobowych | 10 lat | zakończenie postępowania z art. 57 ust. 5 | art. 41 ust. 1 |
| Weryfikacja niezbędności danych osobowych | co najmniej raz na 5 lat | zgromadzenie danych | art. 41 ust. 2 |
| Usunięcie danych osobowych zbędnych | niezwłocznie | dokonanie weryfikacji | art. 41 ust. 2 |
Art. 41 ust. 1 odsyła do “postępowania, o którym mowa w rozdziale 3”. Rozdział 3 ustawy dotyczy kontroli, ale to w nim, w art. 57 ust. 5, pojawia się definicja: postępowanie w sprawie naruszenia rozporządzenia 2024/1689 lub ustawy, “zwane dalej postępowaniem”. Tego samego pojęcia używa art. 58, który pozwala wszcząć postępowanie także po skardze albo na wniosek, na przykład Rady. Termin z art. 41 ust. 1 jest więc zakotwiczony w zakończeniu postępowania w sprawie naruszenia, a nie w zakończeniu samej kontroli.
Z tego wynika granica, którą łatwo przeoczyć. Dane osobowe zebrane w kontroli, po której nie wszczęto postępowania, albo pozyskane w inny sposób, nie mają zakotwiczenia dla terminu dziesięcioletniego z art. 41 ust. 1. Obejmuje je wyłącznie weryfikacja niezbędności co najmniej raz na 5 lat z art. 41 ust. 2.
Art. 69 dotyczy akt postępowania jako całości, a więc także dokumentacji technicznej, która do nich trafiła. Dziesięć lat biegnie tu od doręczenia decyzji. Oba przepisy zawierają zastrzeżenie o przepisach odrębnych: art. 41 ust. 1 “o ile odrębne przepisy nie stanowią inaczej”, art. 69 “chyba że przepisy odrębne przewidują inny okres przechowywania określonych informacji”.
Praktyczny wniosek dla dostawcy jest prosty. Dokumentacja przekazana w kontroli prowadzonej przez Komisję, która przejdzie w postępowanie, może pozostać w aktach organu dłużej niż cykl życia systemu, którego dotyczy, i dłużej niż typowa umowa z podwykonawcą przetwarzającym te same dane.
02Jakie dane osobowe Komisja może przetwarzać w nadzorze nad AI?
Szeroki zakres z art. 39 ustawy z Dz.U. 2026 poz. 1003, obejmujący także dane szczególnych kategorii.
Art. 39 upoważnia Przewodniczącego Komisji, Zastępców, członków Komisji oraz pracowników właściwej komórki organizacyjnej urzędu obsługującego ministra właściwego do spraw informatyzacji i osoby pracujące w niej na umowach cywilnoprawnych do przetwarzania danych osobowych. Robi to z wyraźnym wskazaniem: w tym danych określonych w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679.
Odesłanie ma znaczenie, bo obejmuje kategorie objęte w RODO zakazem przetwarzania jako regułą. Art. 9 ust. 1 rozporządzenia 2016/679 dotyczy danych ujawniających między innymi pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne, stan zdrowia i orientację seksualną. Art. 10 dotyczy danych o wyrokach skazujących i czynach zabronionych.
Granicą jest cel. Art. 39 ogranicza przetwarzanie do zakresu i celu niezbędnych do realizacji zadań z art. 6 i art. 25 ustawy, czyli do zadań Komisji i zadań jej Przewodniczącego. Art. 37 ust. 1 powtarza ten test niezbędności, wiążąc go z prawidłową realizacją zadań organu nadzoru rynku w rozumieniu rozporządzenia 2024/1689.
03Z jakich źródeł te dane pochodzą?
Z pięciu kategorii wyliczonych w art. 40 ustawy z Dz.U. 2026 poz. 1003, w większości od podmiotów trzecich.
| Źródło | Wyłączenie | Podstawa |
|---|---|---|
| Użytkownicy systemów informacyjnych i urządzeń końcowych | brak | art. 40 pkt 1 |
| Telekomunikacyjne urządzenia końcowe w rozumieniu art. 2 pkt 71 Prawa komunikacji elektronicznej | brak | art. 40 pkt 2 |
| Operatorzy usług kluczowych i dostawcy usług cyfrowych | tajemnica komunikacji elektronicznej z art. 386 ust. 1 | art. 40 pkt 3 |
| Podmioty kluczowe i ważne z ustawy o krajowym systemie cyberbezpieczeństwa | tajemnica komunikacji elektronicznej | art. 40 pkt 4 |
| Podmioty publiczne w związku z realizacją ich zadań | brak | art. 40 pkt 5 |
Wiersze trzeci i czwarty zawierają jedyne wyłączenie przedmiotowe w tym przepisie. Dane objęte tajemnicą komunikacji elektronicznej w rozumieniu art. 386 ust. 1 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej pozostają poza zakresem, co odcina Komisję od treści komunikatów.
Wiersz piąty wart jest uwagi dla jednostek sektora publicznego. Dane gromadzone przez podmioty publiczne w związku z realizacją ich zadań wchodzą do zakresu bez zastrzeżeń, więc podmiot publiczny wdrażający system AI powinien liczyć się z tym, że jego własne zbiory mogą stać się materiałem nadzoru.
04Kto jest zobowiązany do tajemnicy i na jak długo?
Szeroki krąg osób z art. 38 ustawy z Dz.U. 2026 poz. 1003, a obowiązek trwa po ustaniu funkcji.
Art. 38 ust. 1 zobowiązuje Przewodniczącego Komisji, Zastępców, członków Komisji, pracowników właściwej komórki organizacyjnej i osoby na umowach cywilnoprawnych do nieujawniania osobom nieupoważnionym informacji stanowiących tajemnice prawnie chronione. Obejmuje też informacje, których udzielenie mogłoby naruszyć chroniony prawem interes osób lub podmiotów albo utrudnić sprawowanie nadzoru.
Art. 38 ust. 2 rozciąga ten obowiązek na osoby biorące udział w posiedzeniu Komisji z art. 19 ust. 2 i 3 oraz na osoby upoważnione do udziału w czynnościach kontrolnych z art. 50 ust. 2. Art. 38 ust. 3 przesądza trwałość: obowiązek istnieje również po ustaniu pełnienia funkcji oraz po rozwiązaniu albo wygaśnięciu stosunku prawnego.
Art. 38 ust. 4 zawiera jedyny wyraźny wyjątek. Nie narusza obowiązku ten, kto składa zawiadomienie o podejrzeniu popełnienia przestępstwa i przekazuje dalsze informacje w celu uzupełnienia tego zawiadomienia.
Art. 42 ust. 4 daje przy tym podmiotowi kontrolowanemu narzędzie, o którym warto pamiętać. W razie wątpliwości co do zakresu informacji stanowiących tajemnice prawnie chronione Komisja może zwrócić się do podmiotu, który je przekazał, o zajęcie stanowiska w zakresie niezbędnym do zapewnienia ochrony tych informacji.
05Co z tego wynika dla dostawcy przed pierwszą kontrolą?
Trzy rzeczy, wszystkie mierzalne w przepisach, a nie w praktyce, której jeszcze nie ma.
Pierwsza dotyczy dalszego obiegu. Art. 42 ust. 3 ustawy z Dz.U. 2026 poz. 1003 nie daje Komisji swobody, tylko nakłada obowiązek: Komisja przekazuje informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa, podmiotom uprawnionym z art. 1 ust. 2 ustawy z dnia 16 września 2011 r. o wymianie informacji z organami ścigania państw członkowskich Unii Europejskiej, państw trzecich, agencjami Unii Europejskiej oraz organizacjami międzynarodowymi, w zakresie niezbędnym do realizacji ich ustawowych zadań. Materiał nie kończy drogi u organu, który go zebrał.
Druga dotyczy oznaczania. Art. 42 ust. 4 ustawy działa tylko wtedy, gdy Komisja wie, że ma wątpliwość, a to zależy od tego, czy przekazane dokumenty były oznaczone jako tajemnica przedsiębiorstwa w momencie przekazania. Oznaczenie po fakcie jest trudniejsze niż przed.
Trzecia dotyczy horyzontu. Dziesięcioletnie terminy z art. 41 ust. 1 i art. 69 są dłuższe niż większość umów o przetwarzanie danych i dłuższe niż okresy retencji przyjmowane w politykach wewnętrznych. Dostawca, który dziś ustala, jakie dane w ogóle wchodzą do dokumentacji technicznej, projektuje zawartość akt organu na dekadę, co warto zestawić z tym, co Komisja publikuje o ukaranych systemach.
Rozdział 2 ustawy, w którym leżą art. 37 do art. 42, nie występuje w wyliczeniu z art. 127 pkt 2, więc obowiązuje od 11 sierpnia 2026 r. Terminy z art. 41 ust. 1 i art. 69 biegną jednak od zakończenia postępowania albo od doręczenia decyzji, a rozdziały 3 i 4 wchodzą w życie 28 października 2026 r., więc pierwsze akta i dane objęte tymi terminami mogą pojawić się najwcześniej po tej dacie.
06Najczęstsze pytania
Jak długo KRiBSI przechowuje dokumenty przekazane w postępowaniu?
Dziesięć lat od doręczenia decyzji. Art. 69 ustawy o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, nakazuje Komisji przechowywać akta postępowania przez 10 lat od dnia doręczenia decyzji, chyba że przepisy odrębne przewidują inny okres przechowywania określonych informacji. Dane osobowe w tych aktach podlegają dodatkowo art. 41.
Jak długo KRiBSI przechowuje dane osobowe z postępowania?
Dziesięć lat od zakończenia postępowania. Art. 41 ust. 1 ustawy o systemach sztucznej inteligencji nakazuje Komisji usunąć dane osobowe po upływie 10 lat od dnia zakończenia postępowania, o którym mowa w rozdziale 3, z zastrzeżeniem odrębnych przepisów. Chodzi o postępowanie w sprawie naruszenia zdefiniowane w art. 57 ust. 5, a termin liczy się od jego zakończenia, nie od zebrania danych.
Czy Komisja weryfikuje dane przed upływem dziesięciu lat?
Tak, co najmniej raz na pięć lat. Art. 41 ust. 2 nakłada obowiązek weryfikacji niezbędności przetwarzania danych osobowych co najmniej raz na 5 lat od dnia ich zgromadzenia, a dane, których przetwarzanie nie jest niezbędne, Komisja usuwa niezwłocznie po weryfikacji.
Czy KRiBSI może przetwarzać dane szczególnych kategorii?
Tak, na podstawie art. 39. Przepis wprost obejmuje dane określone w art. 9 ust. 1 i art. 10 rozporządzenia 2016/679, czyli dane szczególnych kategorii oraz dane dotyczące wyroków skazujących i czynów zabronionych, w zakresie i celu niezbędnych do realizacji zadań z art. 6 i art. 25 ustawy.
Skąd Komisja pozyskuje dane osobowe w ramach nadzoru?
Z pięciu źródeł z art. 40. Są to dane użytkowników systemów informacyjnych i telekomunikacyjnych urządzeń końcowych, dane samych urządzeń końcowych, dane gromadzone przez operatorów usług kluczowych i dostawców usług cyfrowych, dane podmiotów kluczowych i ważnych oraz dane gromadzone przez podmioty publiczne w związku z realizacją ich zadań.
Czy tajemnica komunikacji elektronicznej też trafia do Komisji?
Nie. Art. 40 pkt 3 i pkt 4 wyłączają z zakresu dane objęte tajemnicą komunikacji elektronicznej: pkt 3 w rozumieniu art. 386 ust. 1 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, pkt 4 w rozumieniu tej ustawy bez wskazania przepisu. Wyłączenie dotyczy danych od operatorów usług kluczowych, dostawców usług cyfrowych oraz podmiotów kluczowych i ważnych.
07Źródła i metoda
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, art. 6, art. 25, art. 37, art. 38, art. 39, art. 40, art. 41, art. 42, art. 57 ust. 5, art. 69 oraz art. 127.
- Rozporządzenie (UE) 2016/679, art. 9 ust. 1 dla danych szczególnych kategorii oraz art. 10 dla danych o wyrokach skazujących i czynach zabronionych.
- Rozporządzenie (UE) 2024/1689, art. 3 pkt 26 z definicją organu nadzoru rynku, do której odsyła art. 37 ust. 1 ustawy.
- Ustawa z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, art. 2 pkt 71 dla definicji telekomunikacyjnego urządzenia końcowego i art. 386 ust. 1 dla tajemnicy komunikacji elektronicznej.
- Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, Dz.U. 2018 poz. 1560, dla pojęć operatora usługi kluczowej, dostawcy usługi cyfrowej oraz podmiotu kluczowego i ważnego.
- Ocena skutków praktycznych terminów z art. 41 i art. 69 dla dokumentacji dostawcy jest oceną redakcji na podstawie treści art. 41 ustawy. Nie jest to porada prawna.