BILANS PRAWDY: Czy od 28 października każda firma korzystająca z AI musi ujawniać kod źródłowy i liczyć się z karami do 35 mln euro?

Z dniem 28 października 2026 roku weszła w życie ostatnia część przepisów ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz. U. poz. 1003), która stanowi krajowe ramy stosowania unijnego rozporządzenia AI Act (2024/1689). Wraz z tą datą pełne uprawnienia nadzorcze, kontrolne oraz możliwość nakładania administracyjnych kar pieniężnych zyskał krajowy organ nadzoru – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). W przestrzeni medialnej wywołało to falę alarmistycznych publikacji sugerujących, że każda polska firma korzystająca z narzędzi AI staje się celem natychmiastowych audytów i musi ujawniać wewnętrzny kod źródłowy swoich systemów. Taka interpretacja ignoruje fundamentalne zasady konstrukcji przepisów o sztucznej inteligencji.

Przede wszystkim zarówno unijny Akt o AI, jak i polska ustawa opierają się na ścisłej gradacji ryzyka:

• Ryzyko minimalne lub brak ryzyka: Obejmuje przytłaczającą większość narzędzi używanych przez MŚP (edytory tekstu, filtry poczty, systemy rekomendacji, wsparcie graficzne) – systemy te nie wymagają żadnej rejestracji, certyfikacji ani zgód regulacyjnych.
• Ograniczone ryzyko: Wymaga jedynie spełnienia obowiązków przejrzystości (np. poinformowania użytkownika o kontakcie z botem lub oznaczenia treści syntetycznych i formatu deepfake).
• Wysokie ryzyko: Dotyczy wąskiej grupy zastosowań krytycznych (np. selekcja pracowników w HR, scoring kredytowy, biometria, krytyczna infrastruktura przemysłowa) – obowiązki ciążą tu przede wszystkim na dostawcach (twórcach technologii), a nie na zwykłych podmiotach wdrażających standardowe oprogramowanie.
• Praktyki bezwzględnie zakazane: Należą do nich m.in. scoring społeczny oraz rozpoznawanie emocji pracowników w miejscu pracy lub placówkach edukacyjnych (obowiązujące bezwzględnie od 2 lutego 2025 r.).

Twierdzenie o masowych kontrolach kodu źródłowego stanowi rażące wyolbrzymienie procedur kontrolnych. Zgodnie z art. 74 i 78 rozporządzenia 2024/1689 oraz procedurami KRiBSI, żądanie udostępnienia kodu źródłowego traktowane jest jako środek ostateczny (ultima ratio). Może zostać zastosowane wyłącznie w toku sformalizowanego postępowania wobec podmiotu dostarczającego system wysokiego ryzyka, gdy wszelka inna dokumentacja techniczna, testy i logi systemowe okażą się niewystarczające do zweryfikowania zgodności z wymogami bezpieczeństwa. Przepisy jednocześnie nakładają na regulatora rygorystyczny obowiązek ochrony tajemnicy przedsiębiorstwa i praw własności intelektualnej.

Manipulacją jest również straszenie każdego przedsiębiorcy maksymalnymi karami na poziomie 35 mln euro lub 7% całkowitego rocznego obrotu. Taki pułap sankcji unijnych dotyczy wyłącznie najcięższego kalibru naruszeń, jakim jest stosowanie systemów bezwzględnie zakazanych. W przypadku innych uchybień pułapy są o połowę niższe, a unijne i krajowe przepisy nakazują organom uwzględnianie wielkości podmiotu, pozycji rynkowej oraz wprowadzają preferencyjne, obniżone limity grzywien dla sektora mikro-, małych i średnich przedsiębiorstw oraz startupów.