Jakie obowiązki prawne ma firma w 2026 roku?
W 2026 r. firma w Polsce ma jednocześnie pięć grup obowiązków: KSeF (odbiór faktur od 1 lutego, wystawianie od 1 kwietnia), AI Act z obowiązkami przejrzystości od 2 sierpnia, nowelizację ustawy o KSC wdrażającą NIS2 od 3 kwietnia, stałe obowiązki z RODO i ustawy o sygnalistach oraz zasady dochodzenia zapłaty. Stan prawny: 10 października 2026 r.
Jakie terminy prawne czekają firmę w latach 2026-2028?
Najbliższe terminy to 2 grudnia 2026 r. (nowe zakazy z AI Act i koniec okresu przejściowego dla oznaczania treści generowanych) oraz 1 stycznia 2027 r. (KSeF dla najmniejszych firm, kary i numer KSeF w płatnościach). Termin wniosku o wpis do wykazu podmiotów kluczowych i ważnych minął 3 października 2026 r.
| Data | Obszar | Co się dzieje |
|---|---|---|
| 25.09.2024 | Sygnaliści | Ustawa o ochronie sygnalistów wchodzi w życie: procedura zgłoszeń wewnętrznych od 50 osób |
| 25.12.2024 | Sygnaliści | Zgłoszenia zewnętrzne do Rzecznika Praw Obywatelskich i organów publicznych |
| 2.02.2025 | AI Act | Kompetencje w zakresie AI (art. 4) i zakazane praktyki (art. 5) |
| 2.08.2025 | AI Act | Modele AI ogólnego przeznaczenia, organy nadzoru, przepisy o karach |
| 1.02.2026 | KSeF | Odbieranie faktur przez KSeF dla wszystkich, wystawianie przy sprzedaży powyżej 200 mln zł w 2024 r., start KSeF 2.0 |
| 1.04.2026 | KSeF | Wystawianie faktur w KSeF dla pozostałych podatników |
| 3.04.2026 | NIS2 | Wejście w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC) |
| 27.07.2026 | AI Act | Wejście w życie rozporządzenia 2026/1744, w tym nowego brzmienia art. 4 |
| 2.08.2026 | AI Act | Stosowanie pozostałych przepisów, w tym przejrzystości z art. 50 |
| 3.10.2026 | NIS2 | Według gov.pl ostatni dzień na wniosek o wpis do wykazu w systemie S46 dla firm spełniających kryteria 3 kwietnia 2026 r. |
| 28.10.2026 | AI Act | Polska ustawa o systemach sztucznej inteligencji: przepisy o kontroli, postępowaniu i karach |
| 2.12.2026 | AI Act | Nowe zakazy z art. 5 ust. 1 lit. ba i bb oraz termin na art. 50 ust. 2 dla systemów generatywnych sprzed 2 sierpnia 2026 r. |
| 1.01.2027 | KSeF | KSeF dla sprzedaży do 10 000 zł miesięcznie, kary z art. 106ni ustawy o VAT, numer KSeF w płatnościach |
| 3.04.2027 | NIS2 | Wdrożenie obowiązków z rozdziału 3 ustawy o KSC, w tym systemu zarządzania bezpieczeństwem informacji |
| 2.12.2027 | AI Act | Systemy wysokiego ryzyka z załącznika III, na przykład rekrutacja i ocena pracowników |
| 3.04.2028 | NIS2 | Pierwszy audyt podmiotu kluczowego; po tym dniu możliwe pierwsze kary pieniężne |
| 2.08.2028 | AI Act | Systemy wysokiego ryzyka z art. 6 ust. 1 i załącznika I |
Które obowiązki dotyczą każdej firmy, a które zależą od wielkości i branży?
KSeF i RODO dotyczą praktycznie każdej firmy. AI Act dotyczy każdej, która używa AI w pracy. Procedura dla sygnalistów zależy od liczby osób, a ustawa o KSC od sektora i wielkości.
| Obszar | Kogo dotyczy | Podstawa |
|---|---|---|
| KSeF | Podatnicy wystawiający faktury; odbiór faktur dotyczy wszystkich nabywców będących podatnikami | Ustawa o VAT po zmianach z 16.06.2023 i 5.08.2025 |
| RODO | Każdy, kto przetwarza dane osobowe w działalności | Rozporządzenie (UE) 2016/679 |
| AI Act | Dostawcy i podmioty stosujące systemy AI | Rozporządzenie (UE) 2024/1689 zmienione rozporządzeniem 2026/1744 |
| Sygnaliści | Od 50 osób wykonujących pracę zarobkową, w części sektorów bez progu | Ustawa z 14.06.2024, art. 23 |
| NIS2 | Co do zasady średnie i duże firmy z sektorów z załączników nr 1 i 2 | Ustawa o KSC po nowelizacji z 23.01.2026, art. 5 |
| Terminy zapłaty i rekompensata | Transakcje handlowe między przedsiębiorcami | Ustawa z 8.03.2013 |
| Sankcje | Każdy, kto handluje z zagranicą albo ma kontrahenta z zagranicznym właścicielem | Rozporządzenia 269/2014, 833/2014, 765/2006 i ustawa z 13.04.2022 |
Co grozi firmie za niedopełnienie tych obowiązków?
Każdy akt ma własne sankcje, od grzywny po kary liczone od obrotu. Tabela podaje górne granice z przepisów, a nie kwoty, które organy faktycznie nakładają.
| Obszar | Górna granica | Przepis |
|---|---|---|
| KSeF | Do 100% podatku z faktury wystawionej poza KSeF, a bez podatku do 18,7% należności; od 1 stycznia 2027 r. | art. 106ni ustawy o VAT |
| AI Act | 35 mln euro lub 7% obrotu za zakazane praktyki; 15 mln euro lub 3% za inne naruszenia, w tym art. 50 | art. 99 ust. 3 i 4 |
| Ustawa o KSC | 10 mln euro lub 2% przychodów (podmiot kluczowy), 7 mln euro lub 1,4% (ważny), kierownik do 300% wynagrodzenia | art. 73 i 73a |
| RODO | 10 mln euro lub 2% obrotu albo 20 mln euro lub 4% obrotu | art. 83 ust. 4 i 5 |
| Sygnaliści | Grzywna za brak procedury albo procedurę z istotnym naruszeniem wymogów | art. 58 |
| Sankcje | Kara pieniężna do 20 mln zł; za naruszenie zakazów handlowych kara pozbawienia wolności od 3 lat | art. 6 i 15 ustawy z 13.04.2022 |
Ministerstwo Finansów zapowiedziało 16 września 2026 r. projekt ustawy przesuwający kary za błędy w KSeF do 31 grudnia 2027 r. Do dnia aktualizacji tej strony taka ustawa nie została ogłoszona, więc tabela podaje stan z obowiązujących przepisów.
Od czego zacząć porządkowanie obowiązków w firmie?
Od ustalenia, które akty w ogóle dotyczą firmy, i przypisania każdemu jednej odpowiedzialnej osoby. Dopiero potem warto pisać procedury.
- 1
Policz ludzi
Stan na 1 stycznia i 1 lipca decyduje o procedurze dla sygnalistów. Zatrudnienie, obrót i suma bilansowa decydują o statusie w ustawie o KSC.
- 2
Sprawdź sektor
Porównaj działalność z załącznikami nr 1 i 2 do ustawy o KSC oraz z sektorami bez progu w ustawie o sygnalistach.
- 3
Spisz systemy i narzędzia AI
Jedna lista służy RODO, AI Act i cyberbezpieczeństwu: co to za narzędzie, kto go używa, jakie dane do niego trafiają.
- 4
Ustal obieg faktur
Kto wystawia w KSeF, kto pobiera faktury kosztowe, kto pilnuje trybów offline i terminów płatności.
- 5
Wyznacz właścicieli i terminy
Każdy obszar ma osobę odpowiedzialną i datę przeglądu. Terminy z tabeli wyżej trafiają do kalendarza firmy.
Jak EXCORE pomaga pilnować obowiązków prawnych?
W obszarze PRAWO są Sprawy prawne z terminami i przypomnieniami, Wezwania do zapłaty z naliczaniem odsetek, Rekompensaty liczone według art. 10 ustawy o opóźnieniach, moduł Sygnaliści z rejestrem terminów ustawowych oraz dodatek Sankcje (beta) do sprawdzania kodów CN. Moduł KSeF pobiera faktury z KSeF i przygotowuje plik dla księgowości.
Rejestry Ryzyka, Audyty i kontrole, Systemy i narzędzia oraz Polityki firmowe z potwierdzeniem zapoznania pomagają przy RODO, AI Act i ustawie o KSC. Osobnych modułów AI Act i NIS2 dziś nie ma, a moduł KSeF tylko czyta faktury: niczego nie wystawia i nie wysyła do KSeF. EXCORE nie zastępuje prawnika. Strony tego działu mają charakter informacyjny, a w konkretnej sprawie warto skonsultować się z prawnikiem albo doradcą podatkowym.
Prawo w firmie: wszystkie strony
- Rekompensata 40 euro od każdej faktury: kiedy się należy i jak ją policzyć?Rekompensata za koszty odzyskiwania należności to stała kwota 40, 70 albo 100 euro, której przedsiębiorca może żądać od kontrahenta za fakturę zapłaconą po terminie.
- Wezwanie do zapłaty: wzór i jak je skutecznie wysłaćWezwanie do zapłaty to pismo, w którym wierzyciel żąda od dłużnika zapłaty konkretnej kwoty w wyznaczonym terminie i uprzedza o dalszych krokach.
- Jak przygotować firmę do KSeF?KSeF, czyli Krajowy System e-Faktur, to system Ministerstwa Finansów, w którym firmy wystawiają i odbierają faktury ustrukturyzowane.
- Procedura KSeF w firmie: wzór i obieg fakturProcedura KSeF to wewnętrzny dokument, który mówi, kto w firmie wystawia i odbiera faktury w KSeF, kto nadaje uprawnienia, jak faktura kosztowa przechodzi od pobrania do księgowości i co robić, gdy system nie działa.
- AI Act: kogo dotyczy i co firma musi zrobić od 2 sierpnia 2026?AI Act to unijne rozporządzenie 2024/1689, które reguluje systemy sztucznej inteligencji.
- Czy art. 4 AI Act nakazuje szkolić pracowników z AI?Art.
- NIS2 i nowa ustawa o KSC: czy dotyczy Twojej firmy?NIS2 to unijna dyrektywa 2022/2555 o cyberbezpieczeństwie, którą Polska wdrożyła nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r.
- Jakie wymagania stawia firmie NIS2 i ustawa o KSC?Wymagania NIS2 to obowiązki podmiotów kluczowych i ważnych: wdrożenie systemu zarządzania bezpieczeństwem informacji z szacowaniem ryzyka i konkretnymi środkami, zgłaszanie incydentów poważnych w 24 i 72 godziny oraz odpowiedzialność i coroczne szkolenie kierownika.
- Procedura zgłoszeń wewnętrznych (sygnaliści): kto musi ją mieć i wzórProcedurę zgłoszeń wewnętrznych musi mieć podmiot prawny, na rzecz którego na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób, a w części sektorów, na przykład finansowym, bezpieczeństwa transportu i ochrony środowiska, bez względu na liczbę osób.
- Jakie obowiązki z RODO ma mała firma?RODO dotyczy każdej firmy, która przetwarza dane osobowe klientów, pracowników lub kontrahentów, bez względu na wielkość.
- Rejestr czynności przetwarzania: wzór i co musi zawieraćRejestr czynności przetwarzania to dokument z art.
- Jak sprawdzić, czy kontrahent lub towar jest objęty sankcjami?Kontrahenta sprawdza się na unijnej liście skonsolidowanej osób i podmiotów objętych sankcjami finansowymi oraz na polskiej liście prowadzonej przez ministra spraw wewnętrznych, razem z właścicielami, bo według wytycznych Rady UE podmiot w ponad 50% należący do osoby z listy uznaje się za jej własność.
Pytania
Jaki jest najbliższy termin prawny dla firm?
Na 10 października 2026 r. najbliższe daty to 28 października 2026 r. (kolejne przepisy polskiej ustawy o systemach sztucznej inteligencji), 2 grudnia 2026 r. (nowe zakazy z AI Act) i 1 stycznia 2027 r. (KSeF dla najmniejszych firm).
Czy AI Act został odroczony?
Częściowo. Rozporządzenie (UE) 2026/1744 przesunęło obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I). Ogólna data 2 sierpnia 2026 r. została.
Od kiedy grożą kary za KSeF?
Według obowiązujących przepisów od 1 stycznia 2027 r. Ministerstwo Finansów zapowiedziało 16 września 2026 r. projekt ustawy przesuwający je do 31 grudnia 2027 r., ale odroczenie kar nie znosi obowiązku stosowania KSeF.
Czy mała firma musi zajmować się NIS2?
Co do zasady nie, bo ustawa o KSC obejmuje głównie średnie i duże podmioty z wymienionych sektorów. Mała firma może jednak dostać wymagania bezpieczeństwa w umowie od klienta, który jest podmiotem kluczowym lub ważnym.
Źródła
- KSeF: zakres obowiązkowego KSeF (ksef.podatki.gov.pl)
- KSeF: podstawy prawne oraz kluczowe terminy
- Ustawa z 16.06.2023 o zmianie ustawy o VAT (art. 106ni), Dz.U. 2023 poz. 1598 (ISAP)
- Ministerstwo Finansów: przedłużenie odroczenia kar KSeF do końca 2027 r. (16.09.2026)
- Rozporządzenie (UE) 2024/1689 (AI Act), art. 99 i 113 (EUR-Lex)
- Rozporządzenie (UE) 2026/1744 zmieniające AI Act (EUR-Lex)
- Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003 (ISAP)
- Ustawa z 23 stycznia 2026 r. o zmianie ustawy o KSC, Dz.U. 2026 poz. 252 (ISAP)
- gov.pl: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa
- Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów, Dz.U. 2024 poz. 928 (ISAP)
- RODO, rozporządzenie (UE) 2016/679 (EUR-Lex)
- Ustawa o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych, t.j. Dz.U. 2023 poz. 1790 (ISAP)
- Ustawa z 13 kwietnia 2022 r. o przeciwdziałaniu wspieraniu agresji na Ukrainę, t.j. Dz.U. 2025 poz. 514 (ISAP)
- Komisja Europejska: AI Omnibus enters into force (27.07.2026)
- biznes.gov.pl: NIS2 w Polsce
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację