Trzy progi kar w AI Act
| Za co | Maksymalna kara | Kogo realnie dotyczy |
|---|---|---|
| Praktyki zakazane (Art. 5) — m.in. manipulacja podprogowa, social scoring, scraping wizerunków | 35 mln EUR lub 7% światowego obrotu — wyższa z kwot | Wąska grupa. Jeśli nie budujesz systemów z listy zakazów, ten próg jest nagłówkiem, nie ryzykiem. |
| Naruszenie pozostałych obowiązków — m.in. transparentność (Art. 50), obowiązki providera i deployera, systemy wysokiego ryzyka | 15 mln EUR lub 3% obrotu | To jest Twój próg. Nieoznaczony chatbot, brak ujawnień, zaniedbane obowiązki deployera — wszystko ląduje tutaj. |
| Nieprawdziwe lub niepełne informacje dla organów | 7,5 mln EUR lub 1% obrotu | Każdy, kto w odpowiedzi na wezwanie „podkoloryzuje" stan zgodności. Nie rób tego. |
Dwie klauzule łagodzące, o których clickbaity milczą: dla MŚP i startupów stosuje się niższą z dwóch wartości (kwota vs procent) do weryfikacji, a organ wymierza karę proporcjonalnie — uwzględniając wagę naruszenia, współpracę i to, czy naruszenie było umyślne. Kara maksymalna to sufit sali, nie cennik.
Kto płaci: provider, deployer — i moment, w którym zamieniasz się rolami
AI Act rozdziela obowiązki wzdłuż łańcucha. Provider (twórca systemu) odpowiada m.in. za projekt, dokumentację techniczną i znakowanie. Deployer (firma, która system stosuje) — za sposób użycia, nadzór ludzki i ujawnienia wobec swoich odbiorców. „Kupiliśmy to od dostawcy" nie przenosi więc odpowiedzialności: za nieoznaczony chatbot na Twojej stronie odpowiadasz Ty, nie vendor.
Jest też pułapka, w którą wpada zaskakująco wiele firm: deployer staje się providerem — z pełnym pakietem obowiązków — gdy istotnie modyfikuje system, zmienia jego przeznaczenie albo firmuje go własną marką. Jeśli sprzedajesz klientom „własnego" asystenta AI zbudowanego na cudzym modelu, przeczytaj to zdanie jeszcze raz.
Firma, 120 osób, chatbot i AI w rekrutacji — realny przebieg
- Sierpień 2026. Chatbot obsługi klienta działa bez ujawnienia, że jest AI. Formalnie: naruszenie Art. 50 → próg do 15 mln EUR / 3%. Realnie: organy zaczynają od wezwań i terminów naprawczych, nie od kar maksymalnych. Brzmi niegroźnie — czytaj dalej.
- Wrzesień 2026. Największy klient korporacyjny wysyła zaktualizowany kwestionariusz dostawcy: „Czy stosują Państwo systemy AI? Prosimy o dowód zgodności z Art. 4 i Art. 50." Firma nie ma ani rejestru szkoleń, ani notatki z wdrożenia oznaczeń. Kontrakt wart 40× więcej niż koszt zgodności zawisa na mailu, na który nie ma odpowiedzi.
- Grudzień 2026. Wchodzi PLD: software — w tym system AI — to „produkt" w reżimie odpowiedzialności cywilnej. Odrzucony kandydat podnosi zarzut dyskryminacji przez narzędzie AI używane w rekrutacji. W sporze cywilnym brak dokumentacji działa jak domniemanie na korzyść poszkodowanego — a brak szkoleń z Art. 4 staje się najprostszym dowodem zaniedbania.
- Bilans. Kara administracyjna: być może zero. Koszty realne: zamrożony kontrakt, spór cywilny, audyt na żądanie klienta robiony w trybie awaryjnym — czyli najdrożej, jak się da.
Dlaczego kara administracyjna nie jest Twoim największym problemem
1. PLD: od grudnia 2026 błąd AI to wada produktu
Nowa dyrektywa o odpowiedzialności za produkt obejmuje oprogramowanie i systemy AI (stosowanie od 09.12.2026 do weryfikacji). Kluczowy mechanizm to nie wysokość odszkodowań, tylko ciężar dowodu: braki w dokumentacji mogą uruchamiać domniemanie wadliwości. Kara od organu wymaga kontroli; roszczenie cywilne wymaga tylko niezadowolonego klienta i prawnika.
2. Kontrakty B2B: kwestionariusz przychodzi szybciej niż kontrola
Korporacje przenoszą swoje obowiązki w dół łańcucha dostaw — dokładnie tak, jak zrobiły z RODO i jak robią z NIS2/KSC. Dla dostawcy MŚP oznacza to, że pierwszym „organem nadzoru" będzie dział zakupów klienta — bez trybu odwoławczego i z prostą sankcją: brak zgodności, brak umowy.
3. Przetargi i dotacje: zgodność jako warunek wejścia
Zamówienia publiczne i programy dotacyjne coraz częściej wpisują wymogi zgodności AI do warunków. Niezgodność nie kosztuje wtedy kary — kosztuje przychód, którego nie zobaczysz.
Koszt zgodności vs koszt zaniechania
Minimum obronne — polityka AI, udokumentowane szkolenia Art. 4, oznaczenia Art. 50, inwentaryzacja i notatka dowodowa — to dla firmy 50–500 osób zwykle kilkanaście do kilkudziesięciu tysięcy złotych, w większości jednorazowo. Po drugiej stronie: progi kar liczone w milionach euro, zamrożone kontrakty i spory cywilne z odwróconym ciężarem dowodu. Nie potrzebujesz precyzyjnego modelu ROI, żeby zobaczyć asymetrię — pełne wyliczenie publikujemy wkrótce w artykule o koszcie zaniechania.
Najczęstsze pytania
Czy MŚP płacą niższe kary?
Przy wymiarze kary organ uwzględnia wielkość i sytuację podmiotu, a dla MŚP stosuje się niższą z wartości (kwota vs procent obrotu). Proporcjonalność łagodzi wymiar — nie znosi obowiązków.
Od kiedy kary są egzekwowalne w Polsce?
Ramy kar stosuje się od 2 sierpnia 2026, wraz z uruchomieniem nadzoru krajowego. Dla dostawców modeli GPAI Komisja może działać już od sierpnia 2025. Szczegóły polskiej ustawy wdrażającej — w tym organ — do weryfikacji.
Kto nakłada kary?
Krajowe organy nadzoru rynku (w Polsce wskazane ustawą wdrażającą); dla modeli GPAI — Komisja Europejska.
Czy ubezpieczenie OC pokryje karę?
Kary administracyjne są standardowo wyłączone z polis, a odpowiedzialność z PLD bywa objęta tylko częściowo. Zgodność i dokumentacja to jedyna pełna ochrona — polisą jej nie zastąpisz.
Przejdźmy przez Twoją ekspozycję punkt po punkcie
Pół godziny rozmowy: co macie, co Was dotyczy, gdzie są luki i które z nich domknąć przed 2 sierpnia, a które mogą poczekać. Wychodzisz z listą priorytetów — niezależnie od tego, czy zrobisz to z nami, czy samodzielnie.
Umów rozmowęArtykuł ma charakter informacyjny i nie stanowi porady prawnej. Progi kar pochodzą z rozporządzenia 2024/1689; opis mechanizmów PLD — z dyrektywy 2024/2853. Wymiar kar w konkretnej sprawie zawsze zależy od okoliczności.