W skrócie
- Art. 49 ust. 2: kontrolę przeprowadza się nie wcześniej niż po 7 dniach od doręczenia zawiadomienia. To cały bufor, jaki daje ustawa.
- Art. 49 ust. 4: przy uzasadnionym podejrzeniu szkody dla życia Komisja może wydać postanowienie o kontroli bez zachowania tego terminu. Wtedy bufor wynosi 0 dni.
- Wobec przedsiębiorcy stosuje się rozdział 5 Prawa przedsiębiorców, więc obowiązują znane już ograniczenia czasu trwania kontroli i sprzeciwu.
- Kontrolującym jest pracownik urzędu obsługującego ministra do spraw informatyzacji, upoważniony przez Komisję. Art. 50 ust. 1.
- Rozdział 3 zaczyna obowiązywać 28 października 2026, tego samego dnia co kary. Art. 127 pkt 2.
Co asystenci AI mówią o twojej firmie?
Odpowiedzi modeli stają się kanałem, nad którym dział komunikacji nie ma kontroli. EntityRise sprawdza, jak asystenci opisują twoją firmę i czyją nazwę podają zamiast niej. Od 19 USD.
Siedem dni to wszystko, co ustawa daje między zawiadomieniem a wizytą. W tym czasie trzeba znaleźć dokumenty, ustalić, kto odpowiada, i zdecydować, co pokazać.
Jest też przypadek, w którym tych siedmiu dni nie ma wcale.
01Kiedy Komisja może wszcząć kontrolę?
Na podstawie planu kontroli albo na wniosek osoby z kierownictwa Komisji.
Art. 48 ust. 2 przewiduje, że kontrolę prowadzi się zgodnie z planem zatwierdzonym przez Komisję, opartym na informacjach, które organ uzyskał. Art. 49 ust. 1 dopuszcza wszczęcie także na wniosek Przewodniczącego, Zastępcy albo członka Komisji.
Oznacza to dwie różne ścieżki. Jedna jest przewidywalna i wynika z planu. Druga zaczyna się od pojedynczej informacji, na przykład skargi, i nie wymaga, żeby podmiot znajdował się w planie na dany rok.
02Ile realnie trwa okres między zawiadomieniem a wizytą?
Siedem dni, i to jest minimum ustawowe, nie termin gwarantowany.
| Sytuacja | Termin | Co realnie zdążysz |
|---|---|---|
| Zawiadomienie o zamiarze wszczęcia kontroli | 7 dni | Zebrać dokumenty, wskazać osobę kontaktową |
| Podejrzenie szkody dla życia, art. 49 ust. 4 | 0 dni | Nic, poza tym co jest gotowe |
| Żądanie danych do wymiaru kary, art. 105 ust. 1 | 14 dni | Zestawić dane finansowe |
| Oświadczenie kontrolującego o bezstronności | 3 dni | Nie dotyczy kontrolowanego |
Druga pozycja jest tą, wokół której warto budować przygotowanie. Skoro istnieje tryb bez zapowiedzi, to jedyne dokumenty, które na pewno będą dostępne, to te utrzymywane na bieżąco.
Termin czternastodniowy z art. 105 ust. 1 wygląda na hojny, dopóki nie zauważy się, czego dotyczy: danych niezbędnych do określenia podstawy wymiaru kary. Jeśli podmiot ich nie dostarczy albo dostarczy takie, które nie pozwalają ustalić podstawy, art. 105 ust. 2 pozwala Komisji ustalić ją samodzielnie.
03Jakie przepisy stosuje się do samej kontroli?
Zależnie od tego, kim jest kontrolowany. Ustawa nie tworzy własnej procedury, tylko odsyła.
| Kontrolowany | Stosuje się | Podstawa |
|---|---|---|
| Przedsiębiorca | Rozdział 5 Prawa przedsiębiorców | art. 48 ust. 3 pkt 1 |
| Podmiot niebędący przedsiębiorcą | Ustawa o kontroli w administracji rządowej | art. 48 ust. 3 pkt 2 |
| Osoba fizyczna bez działalności | Odpowiednio art. 59 Prawa przedsiębiorców | art. 48 ust. 4 |
| Zalecenia pokontrolne | Dział I rozdział 8 Kodeksu postępowania administracyjnego | art. 48 ust. 5 |
To odesłanie jest dobrą wiadomością dla firm, które przechodziły już kontrole innych organów. Ograniczenia czasu trwania kontroli, zasady jednej kontroli w tym samym czasie i tryb sprzeciwu z Prawa przedsiębiorców obowiązują tu tak samo.
04Kto przychodzi i czy można go wyłączyć?
Pracownik urzędu obsługującego ministra do spraw informatyzacji, upoważniony przez Komisję.
Art. 50 ust. 1 przesądza, że kontrolującym jest pracownik właściwej komórki organizacyjnej tego urzędu. Ustawa buduje wokół tego zabezpieczenia bezstronności: kontrolujący składa oświadczenie dotyczące osób najbliższych w rozumieniu Kodeksu karnego, w terminie 30 dni od zatrudnienia oraz 3 dni od otrzymania upoważnienia, nie później niż dzień przed rozpoczęciem czynności.
Do osoby wykonującej czynności kontrolne stosuje się art. 24 Kodeksu postępowania administracyjnego, czyli zwykłe przesłanki wyłączenia pracownika. To jest praktyczna informacja: wniosek o wyłączenie składa się na tej podstawie, a nie na podstawie przepisów samej ustawy o AI.
05Co przygotować przed 28 października?
Trzy rzeczy, które mają sens niezależnie od tego, czy kontrola przyjdzie.
Osobę i adres. Zawiadomienie gdzieś trafi, a siedmiodniowy bufor zaczyna biec od doręczenia, nie od momentu, w którym ktoś je przeczyta. Ustawa dopuszcza doręczenie środkami komunikacji elektronicznej.
Rejestr systemów z klasyfikacją i datą. Pierwsze pytanie kontroli dotyczy tego, co w ogóle jest wdrożone i jak zostało zakwalifikowane. Odpowiedź budowana w trakcie kontroli wygląda inaczej niż odpowiedź, która istniała wcześniej. Więcej o tym, co ten organ może zrobić od pierwszego dnia.
Dane finansowe w stanie gotowym do zestawienia. Czternaście dni z art. 105 ust. 1 dotyczy danych do wymiaru kary i biegnie w trakcie już toczącego się postępowania, czyli w najgorszym możliwym momencie na szukanie ich po działach.
Pełne zestawienie terminów krajowych i unijnych stoi w kalendarzu.
06Najczęstsze pytania
Ile czasu jest od zawiadomienia do kontroli KRiBSI?
Co najmniej siedem dni. Art. 49 ust. 2 stanowi, że kontrolę przeprowadza się nie wcześniej niż po siedmiu dniach od dnia doręczenia kontrolowanemu zawiadomienia o zamiarze jej wszczęcia.
Czy Komisja może przyjść bez zapowiedzi?
Tak, w jednym przypadku. Art. 49 ust. 4 pozwala wydać postanowienie o przeprowadzeniu kontroli bez zachowania terminu siedmiodniowego, gdy istnieje uzasadnione podejrzenie lub znaczące prawdopodobieństwo szkody dla życia.
Kto fizycznie prowadzi kontrolę?
Pracownik właściwej komórki urzędu obsługującego ministra do spraw informatyzacji, upoważniony przez Komisję. Podstawa: art. 50 ust. 1 ustawy. W przypadkach z art. 74 ust. 11 rozporządzenia 2024/1689 Komisja może upoważnić do udziału także inne osoby.
Czy stosuje się zwykłe przepisy o kontroli przedsiębiorcy?
Tak, wobec przedsiębiorcy stosuje się rozdział 5 ustawy Prawo przedsiębiorców. Wobec podmiotu niebędącego przedsiębiorcą stosuje się odpowiednio ustawę o kontroli w administracji rządowej, a do zaleceń pokontrolnych przepisy Kodeksu postępowania administracyjnego.
07Źródła i metoda
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, rozdział 3, w szczególności art. 48, 49 i 50, oraz art. 127 pkt 2. Tekst odczytany z wersji ogłoszonej w Dzienniku Ustaw.
- Ustawa z dnia 6 marca 2018 r. Prawo przedsiębiorców, rozdział 5, do którego odsyła art. 48 ust. 3 pkt 1 ustawy o systemach AI.
- Rozporządzenie (UE) 2024/1689, art. 74 ust. 11, dla przypadków, w których Komisja może upoważnić do udziału w kontroli osoby spoza urzędu.
- Opis skutków praktycznych jest oceną redakcji na podstawie treści przepisów. Nie jest to porada prawna i nie zastępuje analizy konkretnego stanu faktycznego.