Każdy tekst o AI Act zaczyna się od tej samej liczby: 35 milionów euro. Jest prawdziwa i jest kompletnie nieinformacyjna dla firmy, która zatrudnia osiem osób i używa ChatGPT do pisania ofert. Ten tekst rozkłada tę liczbę na części i pokazuje, ile realnie może wynieść kara dla małego polskiego przedsiębiorcy — oraz co się dzieje, zanim w ogóle do niej dojdzie.
Podstawy prawne są dwie: kwoty ustala art. 99 rozporządzenia (UE) 2024/1689, a tryb ich nakładania w Polsce — ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003, PDF). Jeśli szukasz szerszego obrazu tego, co w ogóle Cię obowiązuje, zacznij od tekstu o tym, co z AI Act dotyczy małej firmy.
/ Progi
Skąd się biorą te 35 milionów
Rozporządzenie ma trzy progi kar i przypisuje je do trzech różnych rodzajów naruszeń. Media cytują zwykle najwyższy, bez informacji, czego dotyczy.
| Za co | Kwota stała | Albo procent obrotu |
|---|---|---|
| Stosowanie praktyk zakazanych | 35 mln euro | 7% światowego rocznego obrotu |
| Naruszenie pozostałych obowiązków | 15 mln euro | 3% światowego rocznego obrotu |
| Podanie organowi nieprawdziwych informacji | 7,5 mln euro | 1% światowego rocznego obrotu |
W wersji podstawowej stosuje się kwotę wyższą z dwóch — i to jest reguła, która robi z tych progów straszak. Dla korporacji z obrotem liczonym w miliardach procent jest wyższy niż kwota stała, więc kara rośnie razem z firmą. Taka jest intencja przepisu.
Górny próg dotyczy przy tym praktyk zakazanych: oceniania ludzi na podstawie zachowania społecznego, rozpoznawania emocji w miejscu pracy i w placówkach edukacyjnych, nieukierunkowanego zbierania wizerunków twarzy. Zwykła firma używająca narzędzi AI do pisania i obsługi klienta nie znajduje się nawet w pobliżu tej kategorii.
/ MŚP
Reguła, która odwraca cały rachunek
Tu jest zdanie, którego brakuje w większości polskich omówień, a które zmienia obraz o kilka rzędów wielkości.
Dla małych i średnich przedsiębiorstw oraz startupów kara stanowi kwotę niższą z dwóch — kwoty stałej albo procentu obrotu — a nie wyższą.
Reguła jest odwrócona dokładnie po to, żeby przepis nie likwidował małych firm. Dla przedsiębiorstwa, którego roczny obrót nie zbliża się do progów milionowych, wiążący staje się procent, a kwota stała z nagłówków przestaje mieć jakiekolwiek znaczenie.
Rozporządzenie nakazuje też organowi brać pod uwagę wielkość podmiotu i jego zdolność do dalszego funkcjonowania. Kara nie ma prowadzić do niewypłacalności.
/ Rachunek
Ile to jest w złotych
Polska ustawa rozstrzyga rzecz, o której łatwo zapomnieć: po jakim kursie przelicza się euro. Kwoty z art. 99 rozporządzenia przelicza się na złote według średniego kursu euro ogłaszanego przez Narodowy Bank Polski na dzień 28 stycznia danego roku — a jeśli tego dnia tabela nie jest ogłaszana, według najbliższej kolejnej.
Dla 2026 roku kurs z tabeli nr 018/A/NBP/2026 wynosi 4,2009 zł. Progi w złotych wyglądają więc tak:
| Próg | W euro | W złotych (kurs 4,2009) |
|---|---|---|
| Praktyki zakazane | 35 000 000 | 147 031 500 zł |
| Pozostałe obowiązki | 15 000 000 | 63 013 500 zł |
| Nieprawdziwe informacje | 7 500 000 | 31 506 750 zł |
A teraz to samo dla realnej małej firmy. Weźmy przedsiębiorstwo z rocznym obrotem 1 200 000 zł, które naruszyło obowiązek z drugiego progu:
| Sposób liczenia | Wynik |
|---|---|
| Kwota stała | 63 013 500 zł |
| 3% obrotu | 36 000 zł |
| Kara dla MŚP — kwota niższa | 36 000 zł |
Trzydzieści sześć tysięcy złotych to nadal poważna kwota i nie jest to zachęta do lekceważenia przepisów. Jest natomiast czymś zupełnie innym niż sześćdziesiąt trzy miliony — a to ta druga liczba trafia do nagłówków i do ofert sprzedających audyty zgodności.
Czego ten rachunek nie obejmuje
Powyższe kwoty to górne progi, a nie stawki. Organ ustala wysokość kary indywidualnie — bierze pod uwagę wagę naruszenia, czas trwania, to, czy firma współpracowała, i czy naruszenie było umyślne. Podana liczba jest sufitem, nie ceną cennikową.
/ Procedura
Co się dzieje, zanim dojdzie do kary
To jest część, która w praktyce znaczy więcej niż wysokość progów, bo opisuje realny przebieg sprawy.
Karę nakłada Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w drodze decyzji. Zanim to nastąpi, w toku postępowania Komisja może wydać ostrzeżenie. W ostrzeżeniu wskazuje konkretne działania przywracające stan zgodny z prawem — na przykład zablokowanie dostępu do systemu, działania naprawcze albo poinformowanie użytkowników bądź pracowników, których system dotyczy.
Na przedstawienie Komisji informacji o wykonaniu tych działań firma ma 21 dni od otrzymania ostrzeżenia. Jeśli działań nie wykona, Komisja może między innymi nakazać spełnienie obowiązku informacyjnego wobec klientów i pracowników oraz powiadomić inne organy krajowe i instytucje unijne.
Osobno warto wiedzieć o dwóch terminach proceduralnych. Firma ma 14 dni na dostarczenie Komisji danych potrzebnych do ustalenia podstawy wymiaru kary. Jeśli ich nie dostarczy — albo dostarczy takie, z których nie da się tej podstawy ustalić — Komisja ustali ją szacunkowo, biorąc pod uwagę wielkość podmiotu, specyfikę działalności i ogólnie dostępne dane finansowe. Ignorowanie pisma działa więc na niekorzyść firmy, a nie na jej korzyść.
Od decyzji Komisji przysługuje odwołanie do Sądu Okręgowego w Warszawie — sądu ochrony konkurencji i konsumentów. Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie kary pieniężnej.
/ Złagodzenie
Obniżka o 10 do 50 procent
Ustawa przewiduje mechanizm, którego nie ma sensu przegapiać. Komisja może zmniejszyć wysokość kary — nie mniej niż o 10% i nie więcej niż o 50% — jeżeli ukarany podmiot w terminie trzech miesięcy od doręczenia decyzji wykona działania wskazane wcześniej w ostrzeżeniu.
Innymi słowy: naprawienie problemu opłaca się nawet po nałożeniu kary. Środki z kar stanowią dochód budżetu państwa, więc nie ma tu drugiej strony, z którą dałoby się negocjować — jedyną dostępną dźwignią jest wykonanie tego, co Komisja wskazała.
/ Realia
Kto realnie jest na celowniku
Warto zestawić dwie rzeczy. Po pierwsze, najcięższe obowiązki — te dotyczące systemów wysokiego ryzyka — zostały latem 2026 odroczone do 2 grudnia 2027 i 2 sierpnia 2028. Po drugie, polski organ nadzoru zaczyna stosować przepisy o postępowaniu i karach dopiero od 28 października 2026.
Z połączenia tych dwóch faktów wynika obraz inny niż ten z nagłówków: w najbliższych miesiącach uwaga organu z natury rzeczy skupi się na dostawcach systemów i na praktykach zakazanych, a nie na małych firmach używających gotowych narzędzi zgodnie z ich przeznaczeniem.
Nie znaczy to, że firma w roli podmiotu stosującego jest poza zakresem. Znaczy tyle, że jej ekspozycja jest ograniczona do kilku konkretnych rzeczy — ujawnienia, że chatbot jest maszyną, nieużywania narzędzi oceniających emocje pracowników i zadbania o kompetencje osób obsługujących narzędzia.
/ Wnioski
Co z tego wynika w praktyce
Trzy rzeczy warte zapamiętania, gdy następnym razem ktoś zadzwoni z ofertą pilnego audytu.
Kwota z nagłówka nie jest Twoją kwotą. Jeśli firma mieści się w definicji małego lub średniego przedsiębiorcy, wiążący jest procent obrotu, a nie kwota stała. Zapytaj każdego, kto straszy milionami, którą regułę liczenia ma na myśli.
Ostrzeżenie jest realnym etapem, a nie formalnością. Ma własny termin — 21 dni — i własną konsekwencję finansową w postaci możliwej obniżki kary o 10 do 50%. To znaczy, że firma, która odpisze i naprawi, jest w zupełnie innej sytuacji niż firma, która schowa pismo do szuflady.
Milczenie kosztuje. Brak danych o obrocie nie blokuje postępowania — pozwala Komisji ustalić podstawę wymiaru kary szacunkowo. To jedyny mechanizm w całej tej procedurze, który działa przeciwko firmie automatycznie.
Jeżeli po tej lekturze zostaje pytanie nie „ile kary”, tylko „czy my w ogóle czegoś takiego używamy” — to jest właściwe pytanie i zaczyna się od spisania narzędzi, a nie od kupowania usługi. Krok po kroku przechodzę przez to w tekście o tym, co z AI Act dotyczy małej firmy. A jeśli okaże się, że narzędzia AI są w firmie wpięte głębiej — przetwarzają zgłoszenia, dane zamówień albo korespondencję — odezwij się: wtedy pytanie o zgodność jest wtórne wobec pytania, dokąd te dane właściwie płyną.
