Przegląd AI 28.10: KRiBSI z uprawnieniami do kar, potwierdzone ataki PHP2Shell

Od dziś Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji formalnie może kontrolować firmy i nakładać kary, choć elektronicznego formularza skarg wciąż nie ma. Do tego rząd USA potwierdza aktywne ataki na luki PHP2Shell, a UOKiK stawia zarzuty Legimi za zmianę warunków abonamentu w trakcie umowy.

Poniżej siedem tematów z 26-28 października z oceną, co z nimi zrobić.

KRiBSI od dziś z uprawnieniami, formularz skarg w przygotowaniu

28.10.2026 weszły w życie przepisy ustawy o systemach sztucznej inteligencji o skargach, kontrolach, postępowaniu i karach. Według Rzeczpospolitej skargi składa się elektronicznie, a pisemnie wtedy, gdy elektronicznie się nie da. Na stronie Komisji 28.10 formularz elektroniczny nadal jest „w trakcie opracowania”, a podany jest adres korespondencyjny w Warszawie. Prawo.pl zaznacza, że Komisja nie będzie korzystać z uprawnień od pierwszego dnia, bo jej pierwsze posiedzenie musi zostać zwołane do 11 listopada.

SPRAWDŹ

Co to znaczy dla małej firmy: kontroli nie będzie jutro, ale skargę można wysłać już teraz, choćby listem. Jeśli masz chatbota na stronie, publikujesz treści z AI albo używasz AI przy rekrutacji, spisz, gdzie i jak AI pracuje. Listę obowiązków opisałem we wpisie Ustawa o AI od 28 października. W razie wątpliwości skonsultuj się z prawnikiem.

PHP2Shell: CISA potwierdza ataki

Amerykańska agencja CISA dopisała 26.10 dwie luki PHP2Shell (CVE-2026-109618 i CVE-2026-109619) do katalogu luk wykorzystywanych w atakach, z terminem naprawy dla agencji federalnych do 29.10. Według TechCrunch CISA nie wskazała, kto stoi za atakami. Poprawki PHP wyszły niecały tydzień wcześniej.

ZRÓB TERAZ

Co to znaczy dla małej firmy: jeśli Twoja strona albo sklep działa na PHP (WordPress, WooCommerce, PrestaShop), zapytaj dziś hosting, czy serwer ma poprawioną wersję PHP. Sama aktualizacja WordPressa tej luki nie usuwa.

UOKiK: zarzuty dla Legimi za zmianę zasad abonamentu

Według UOKiK (26.10) Legimi przeniosło w październiku 2024 r. część ebooków i audiobooków do płatnego „Katalogu Klubowego” (14,99 zł za tytuł), także dla osób z abonamentem opłaconym z góry. Urząd kwestionuje też przycisk „Zamawiam” przy 3-dniowym darmowym okresie, który nie informował, że potem dostęp staje się płatny. Grozi kara do 10% rocznego obrotu. To zarzuty, nie decyzja.

SPRAWDŹ

Co to znaczy dla małej firmy: jeśli sprzedajesz abonamenty, kursy albo dostęp z okresem próbnym, sprawdź napis na przycisku zamówienia i zapis o zmianie warunków w regulaminie. To dobre zadanie dla AI: niech porówna regulamin z tym, co klient widzi przy zakupie, a decyzję o zmianach podejmij z prawnikiem.

Bank of America: nie dawaj agentom AI loginu do banku

Bank of America wysłał klientom mail z ostrzeżeniem przed udostępnianiem danych logowania narzędziom AI i agentom, które działają w imieniu klienta. Według TechCrunch (27.10) bank przypomina, że klient odpowiada za operacje wykonane z takim dostępem. To bank z USA, stanowisk polskich banków nie znalazłem.

SPRAWDŹ

Co to znaczy dla małej firmy: agent AI w poczcie czy przeglądarce to jedno, a dostęp do bankowości firmowej to drugie. Przelewy zatwierdza człowiek, a hasła do banku nie trafiają do żadnego asystenta. Więcej o granicach dla agentów we wpisie Bezpieczeństwo agenta AI na plikach firmy.

Google AI Plus i AI Pro w promocjach

Według Spider's Web (26.10) Google pokazuje w Polsce promocje na plany z Gemini, m.in. AI Pro za 0 zł przez 30 dni albo 9,99 zł za pierwszy miesiąc (regularnie 97,99 zł). Oferty są spersonalizowane, więc każdy może zobaczyć inny wariant, a po promocji naliczana jest pełna cena.

SPRAWDŹ

Co to znaczy dla małej firmy: to tani sposób, żeby sprawdzić Gemini na własnych zadaniach. Zapisz w kalendarzu datę rezygnacji i pamiętaj, że to plan dla konta prywatnego Google, nie Workspace, więc danych klientów lepiej tam nie wrzucać.

Cloudflare: fragmenty cudzych promptów w 155 odpowiedziach

Cloudflare opisał 26.10 błąd w usłudze Workers AI z przełomu sierpnia i września: przy modelu GLM-5.3 w 155 odpowiedziach pojawiły się części promptów innych użytkowników. Dotyczyło to tylko bardzo długich promptów (ponad 681 280 tokenów). Błąd jest naprawiony.

OBSERWUJ

Co to znaczy dla małej firmy: bezpośrednio nic, bo mało która firma wysyła tak długie zapytania przez Cloudflare. To jednak przykład, że dane wysłane do dostawcy AI też mogą wyciec, więc do modeli trafia minimum danych klientów.

Komisja Europejska akceptuje plan naprawczy Temu

Komisja Europejska przyjęła 26.10 plan działań Temu po karze z maja 2026 r. za naruszenie obowiązków oceny ryzyka z aktu o usługach cyfrowych w sprawie nielegalnych produktów (KE, Spider's Web). Temu ma m.in. ocenić ryzyko na własnej platformie, ocenić ograniczenia swojej moderacji treści i sprawdzić, czy algorytmy rekomendacji nie podbijają nielegalnych produktów.

OBSERWUJ

Co to znaczy dla małej firmy: dla polskiego sklepu to w dłuższym terminie trochę mniej konkurencji z produktami, które nie spełniają norm. Dziś nic nie trzeba robić.

Co z tego zrobić dziś

1. Zapytaj hosting o PHP. Jedno zdanie w mailu: czy serwer mojej strony ma poprawki na PHP2Shell z 21.10.
2. Spisz, gdzie firma używa AI. Narzędzie, do czego, kto zatwierdza wynik, czy klient rozmawia z AI. Taka lista przyda się przy każdej skardze albo pytaniu klienta.
3. Sprawdź przycisk zamówienia. Jeśli sprzedajesz abonament albo okres próbny, przycisk i regulamin mają jasno mówić, kiedy i ile klient zapłaci.

Czytaj też

• Przegląd AI 26.10: Meta przesuwa warunki z AI na 20.11, a Chrome ostrzega przed oszustwami
• Przegląd AI 27.10: agenci przejmowani plikiem w Pobranych i GPT-6.1 Terra w ChatGPT Work
• Wdrożenie AI w firmie krok po kroku: 6 kroków od wyboru procesu do pomiaru „przed i po”

Najczęstsze pytania

Czy od 28 października KRiBSI może ukarać moją firmę?

Przepisy o kontrolach i karach obowiązują od 28.10.2026, ale według prawo.pl Komisja nie będzie korzystać z uprawnień od pierwszego dnia, bo pierwsze posiedzenie ma być zwołane do 11 listopada. Skargi można składać, a elektroniczny formularz jest w przygotowaniu. W razie wątpliwości co do własnej sytuacji skonsultuj się z prawnikiem.

Czy luka PHP2Shell dotyczy mojej strony na WordPressie?

Dotyczy serwerów z PHP obsługującym ruch www, a WordPress działa na PHP. Poprawki wydano 21.10, więc zapytaj firmę hostingową, czy serwer ma już zaktualizowaną wersję PHP. Sama aktualizacja WordPressa tej luki nie usuwa.

Czy mogę dać asystentowi AI dostęp do bankowości firmowej?

Lepiej nie. Bank of America przypomina klientom, że odpowiadają za operacje wykonane przy użyciu udostępnionych danych logowania. Przelewy powinien zatwierdzać człowiek, a hasła do banku nie powinny trafiać do żadnego narzędzia AI.