Dwie ważne daty dla firm: 3 i 28 października 2026 roku

• 3 i 28 października 2026 roku - ważne daty dla firm
• Co przedsiębiorca musi wiedzieć o nowelizacji ustawy o KSC?
• Czy wystarczy złożyć wniosek do 3 października?
• Co przedsiębiorca musi wiedzieć o polskiej ustawie o systemach sztucznej inteligencji?
• KSC i regulacje AI w październiku 2026 roku

3 i 28 października 2026 roku - ważne daty dla firm

Warto dodać do kalendarza dwa październikowe przypomnienia. Pierwsze ustaw na 3 października 2026 roku. To ostatni dzień na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych przez firmy, które muszą samodzielnie się zarejestrować w Krajowym Systemie Cyberbezpieczeństwa. Lepiej przygotować i wysłać wniosek wcześniej. Drugie przypomnienie ustaw na 28 października. Od tego dnia zaczną obowiązywać kolejne przepisy polskiej ustawy o systemach sztucznej inteligencji. Dotyczą one między innymi kontroli, postępowań i administracyjnych kar pieniężnych.

Daty dzieli niespełna miesiąc, ale nie wiążą się z podobnymi obowiązkami. Pierwsza wymaga od części przedsiębiorców formalnych działań. Druga nie nakłada powszechnego obowiązku zgłaszania firm ani systemów AI. Wprowadza jednak nowe narzędzia krajowego nadzoru. W obu przypadkach najtrudniejsze może być prawidłowe ustalenie, co podlega przepisom.

Co przedsiębiorca musi wiedzieć o nowelizacji ustawy o KSC?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Rozszerzyła krąg regulowanych przedsiębiorców i wprowadziła podział na podmioty kluczowe oraz ważne. Objęła wiele sektorów, od energii i ochrony zdrowia po usługi cyfrowe oraz wybrane usługi informatyczne. Nie oznacza to jednak, że każda firma, która korzysta z chmury, oprogramowania lub sztucznej inteligencji, musi znaleźć się w wykazie KSC. To, czy firma się do niego kwalifikuje, zależy głównie od rodzaju działalności, sektora, świadczonych usług i wielkości firmy. W niektórych przypadkach ważne są też szczególne kryteria. Mogą one sprawić, że firma zostanie objęta ustawą niezależnie od typowego progu wielkości.

Nie warto ograniczać analizy wyłącznie do kodów PKD lub opisu działalności w rejestrze. Producent oprogramowania może jednocześnie zarządzać środowiskiem klienta, sprawdzać jego infrastrukturę albo zapewniać stałe utrzymanie systemu. Treść umów, zakres odpowiedzialności oraz faktyczny sposób świadczenia usług mogą zadecydować o kwalifikacji.

KSC nie pyta więc tylko o to, jak firma sama siebie nazywa - sprawdza, co naprawdę robi dla klientów. Wynik tej analizy warto zapisać nawet wtedy, gdy nie ma obowiązku wpisu. Wtedy decyzja nie będzie oparta tylko na przeczuciu. Będzie stanowiskiem, które można wyjaśnić.

Czy wystarczy złożyć wniosek do 3 października?

Złożenie wniosku do 3 października może sprawiać wrażenie zakończenia zadania. W rzeczywistości wpis to początek dalszej pracy. Podmioty objęte ustawą muszą wprowadzić odpowiednie środki techniczne, operacyjne i organizacyjne. Muszą zarządzać ryzykiem, zadbać o ciągłość działania i bezpieczeństwo dostawców. Powinny przygotować raportowanie incydentów oraz dokumentować swoje działania. Ustawowych okresów na dostosowanie i audyt nie warto traktować jako zachęty do odkładania prac.

Prawdziwy test nie pojawi się podczas wypełniania formularza. Może zacząć się w piątek wieczorem, gdy monitoring wykryje incydent. Czy osoba dyżurna rozpozna zdarzenie, które trzeba zgłosić wyżej? Czy wie, komu i kiedy je zgłosić? Czy zapewniono zastępstwo i możliwość zebrania potrzebnych informacji do zawiadomień? Opis procedury w pliku to za mało. Potrzebni są ludzie, którzy znają swoje role, wiedzą, gdzie zgłaszać problemy i mają przećwiczony sposób działania. Odpowiedzialność kierownictwa pokazuje też, że KSC to nie tylko projekt zespołu prawnego lub IT.

Co przedsiębiorca musi wiedzieć o polskiej ustawie o systemach sztucznej inteligencji?

Od 28 października 2026 r. zaczną obowiązywać rozdziały polskiej ustawy o systemach sztucznej inteligencji. Przepisy te dotyczą między innymi kontroli, postępowań w sprawie naruszeń oraz administracyjnych kar pieniężnych. Tego dnia nie pojawi się jednak powszechny obowiązek rejestracji przedsiębiorców korzystających z AI. To także nie jest jedna data, od której zaczną obowiązywać wszystkie wymagania wynikające z unijnego AI Actu. Rozporządzenie wchodzi w życie etapami. Harmonogram niektórych obowiązków dotyczących systemów wysokiego ryzyka został zmieniony na poziomie Unii Europejskiej.

Dla przedsiębiorcy właściwe pytanie nie brzmi więc: „czy wdrożymy cały AI Act do 28 października?”. Lepiej zapytać: „jakie systemy AI tworzymy lub wykorzystujemy i jaką rolę pełnimy wobec każdego z nich?”. Firma, która oferuje własną funkcję AI, może mieć inne obowiązki. Inne obowiązki ma organizacja, która używa gotowego asystenta. Ten sam przedsiębiorca może być dostawcą jednego systemu - może też być podmiotem stosującym wobec innego.

Sporządzenie takiej mapy bywa trudne. AI nie zawsze pojawia się jako osobny produkt. Może być funkcją narzędzia rekrutacyjnego, systemu obsługi klienta, aplikacji marketingowej, modułu oceniającego rozmowy lub programu analizującego dokumenty. Część rozwiązań wprowadza się centralnie, inne pojawiają się oddolnie, gdy pracownik sam uruchamia internetowe narzędzie.

Dlatego ani sam rejestr, ani polityka AI nie przesądzają o zgodności. Organizacja powinna wiedzieć, kto zatwierdza nowe zastosowanie. Powinna też wiedzieć, kiedy ocenia się ryzyko. Ważne jest, jakie informacje wolno przekazać do systemu. Trzeba też wiedzieć, kiedy poinformować człowieka o kontakcie z AI i jak zgłosić błędny wynik. Kontrola może obejmować nie tylko dokumenty - dotyczy także działania przyjętych zasad. Wejście przepisów kontrolnych w życie nie oznacza, że Komisja rozpocznie pierwszą kontrolę dokładnie 28 października. Jej organizacja ma własny harmonogram.

KSC i regulacje AI w październiku 2026 roku

KSC i regulacje dotyczące AI mają kilka wspólnych punktów. W obu przypadkach firma musi zarządzać ryzykiem. Musi też sprawdzać dostawców, dokumentować decyzje i wiedzieć, jak zareagować na incydent. To jednak nie znaczy, że jedna analiza zapewni zgodność w obu obszarach.

Na potrzeby KSC firma ocenia głównie świadczone usługi, używane systemy informatyczne oraz procesy i zależności ważne dla ciągłości działania. W przypadku AI analiza zaczyna się od konkretnych systemów. Obejmuje ich przeznaczenie, używane dane, wpływ na ludzi oraz rolę przedsiębiorcy jako dostawcy lub podmiotu stosującego.

Te obszary mogą pojawić się w jednym zdarzeniu. Jeśli ktoś przejmie system AI lub zmanipuluje jego dane, firma może mieć jednocześnie incydent cyberbezpieczeństwa i problem z działaniem AI. Potrzebny jest więc wspólny sposób zgłaszania zdarzeń. Pozwoli to szybko podjąć właściwe działania w obu tych obszarach.

Październikowe alarmy przypominają o ważnych terminach. Same jednak nie zapewniają gotowości. Wpis do wykazu nie zastąpi sprawnego reagowania na incydenty. Rejestr systemów AI nie zapewni rzeczywistego nadzoru nad ich wykorzystaniem. O gotowości firmy decyduje to, czy opisane na papierze zasady zadziałają wtedy, gdy będą naprawdę potrzebne.

Źródło: Symfonia