Przegląd AI 8.11: niższy limit ryczałtu i rotacja kluczy API po incydencie Railway

Najważniejsze dla właściciela małej firmy są w tym przeglądzie podatki. Senat przyjął bez poprawek zmiany w PIT, CIT i ryczałcie, w tym dużo niższy limit przychodów dla ryczałtu.

Poniżej 6 tematów z 5-7 listopada z oceną, co z nimi zrobić. Trzy dotyczą bezpieczeństwa: kluczy API, haseł i phishingu pisanego przez AI.

Ryczałt tylko do 250 tys. euro przychodu: Senat przyjął zmiany bez poprawek

Sejm uchwalił 5.11 zmiany w PIT, CIT i ryczałcie (236 głosów za, 207 przeciw, druki 3293 i 3323), a Senat przyjął je 6.11 bez poprawek (Prawo.pl, 6.11). Ustawa trafia do prezydenta, który ma 21 dni na podpis albo weto. Według Prawo.pl limit przychodów uprawniający do ryczałtu spada z 2 mln euro do 250 tys. euro, a o prawie do ryczałtu na 2027 rok zdecydują przychody z 2026 roku. Po kursie z 1.10.2026 to 1 094 250 zł. Według tego samego źródła w PIT na skali mają być trzy progi zamiast obecnych dwóch: 12% do 130 tys. zł, 24% od 130 do 150 tys. zł i 32% powyżej 150 tys. zł. Artykuł nie podaje daty, od której zaczną działać nowe progi. Danina solidarnościowa rośnie z 4% do 5%, pierwszy raz przy daninie płaconej do 2.05.2028.

SPRAWDŹ

Co to znaczy dla małej firmy: jeśli jesteś na ryczałcie i Twój przychód w 2026 roku może przekroczyć ok. 1,09 mln zł, umów się z księgową jeszcze w listopadzie i policz, ile zapłacisz w 2027 roku na innej formie opodatkowania. Ustawa nie jest jeszcze podpisana, więc obserwuj decyzję prezydenta, ale liczyć możesz już teraz.

Skarbówka z mniejszym dostępem do rachunków bankowych

Ustawa o ograniczeniu dostępu skarbówki do rachunków bankowych wraca do Sejmu z poprawkami Senatu (Prawo.pl, 6.11). Przywraca zasady sprzed 1.07.2022: banki mają przekazywać KAS dane o rachunkach tylko osób podejrzanych o przestępstwa lub wykroczenia, także skarbowe, a nie każdej osoby fizycznej. W postępowaniu przygotowawczym dostęp do tajemnicy bankowej będzie wymagał postanowienia sądu okręgowego. Zmiany mają wejść w życie 14 dni po publikacji.

OBSERWUJ

Co to znaczy dla małej firmy: na razie nic nie musisz robić. To zmiana na plus dla przedsiębiorców prowadzących jednoosobową działalność, ale proces legislacyjny jeszcze się nie skończył.

mObywatel: aktualizacja aplikacji do 16 listopada

Ministerstwo Cyfryzacji wyznaczyło termin obowiązkowej aktualizacji mObywatela: do 16.11.2026 trzeba mieć wersję 4.93.1 albo nowszą, na Androidzie, iOS i w mObywatelu Junior (Spider's Web, 6.11). Powodem jest odnowienie certyfikatu bezpieczeństwa. Starsza wersja po tym terminie pokaże komunikat o konieczności aktualizacji. Według Spider's Web firmy z integracjami na subdomenach mobywatel.gov.pl (np. api.mobywatel.gov.pl) powinny sprawdzić, czy nie zależą od wygasającego certyfikatu SSL.

ZRÓB TERAZ

Co to znaczy dla małej firmy: dwie minuty w sklepie z aplikacjami. Jeśli w firmie sprawdzasz tożsamość klientów albo wiek przy sprzedaży przez mObywatel, upewnij się, że zaktualizowane są też telefony pracowników.

Railway: szczegóły incydentu i rotacja kluczy API

Platforma hostingowa Railway podała szczegóły incydentu z 20-22.10 (Sekurak, 6.11). Zagrożonych mogło być do 100 tys. przestrzeni roboczych, czyli 1,85% wszystkich. Atakujący mógł odczytać zaszyfrowane zmienne środowiskowe, a w części przypadków także ich odszyfrowaną treść. Według Railway głównym celem były klucze API do usług AI. Firma razem z dostawcami (m.in. Anthropic, OpenAI, GitHub, Stripe) unieważnia klucze przechowywane na platformie, także poza potwierdzonym zakresem, i zaleca rotację wszystkich zmiennych środowiskowych.

SPRAWDŹ

Co to znaczy dla małej firmy: dotyczy Cię, jeśli Ty albo Twój wykonawca postawił na Railway automatyzację lub aplikację z kluczem do OpenAI, Anthropic czy innej usługi. Zapytaj wykonawcę wprost, gdzie stoją Twoje automatyzacje. Klucze wymień i ustaw w panelu dostawcy AI limit wydatków.

Ponad 800 publicznie dostępnych instancji hakerskiego narzędzia AI

Firma Censys znalazła ponad 800 wdrożeń Artex, narzędzia AI do automatycznych testów włamaniowych, dostępnych z internetu bez hasła (TechCrunch, 6.11). Artex jest łączony z wcześniejszymi atakami, m.in. na ConnectWise w październiku. Według TechCrunch wiele z tych ataków wykorzystywało proste słabości: odgadywanie słabych lub znanych haseł i brak uwierzytelniania wieloskładnikowego.

SPRAWDŹ

Co to znaczy dla małej firmy: AI sprawia, że próby logowania na wyciekłe hasła są tańsze i szybsze. Najprostsza obrona się nie zmienia: włącz logowanie dwuskładnikowe na poczcie, w banku, w panelu sklepu i na koncie Microsoft albo Google.

Phishing bez błędów językowych: raport z Australii

Australijska agencja ASD odnotowała w ciągu roku ponad 82 tys. zgłoszeń cyberprzestępstw, czyli jedno co ok. 6 minut, oraz 1524 incydenty, o 20% więcej niż rok wcześniej (Spider's Web, 7.11). Średni koszt cyberprzestępstwa deklarowany w zgłoszeniach firm wyniósł 93,5 tys. dolarów australijskich. Raport opisuje phishing pisany przez AI bez błędów językowych i deepfake'i. To dane z Australii, nie z Polski, ale mechanizm jest ten sam.

OBSERWUJ

Co to znaczy dla małej firmy: stara rada „poznasz oszusta po błędach” przestaje działać. Ustal w zespole jedną zasadę: zmiana numeru konta albo pilny przelew zawsze potwierdzany telefonem na znany numer, nie odpowiedzią na maila.

Co z tego zrobić dziś

1. Policz ryczałt. Sprawdź przychód od stycznia do października 2026 i oszacuj cały rok. Jeśli zbliżasz się do ok. 1,09 mln zł, umów się z księgową w listopadzie.
2. Zaktualizuj mObywatela na swoim telefonie i na telefonach firmowych.
3. Sprawdź logowanie dwuskładnikowe na trzech kontach: poczta firmowa, bank, panel sklepu albo strony. Jeśli masz automatyzacje u wykonawcy, zapytaj, gdzie są i kto ma klucze API.

Dla porządku: ustawa odraczająca kary w KSeF do końca 2027 roku (druk 3245), przyjęta przez Sejm 6.11, czeka na Senat. Najbliższe posiedzenie Senatu jest zaplanowane na 25-26.11. Co zrobić z KSeF przed styczniem, opisuję we wpisie KSeF od 2027 w małej firmie, a o bezpiecznym korzystaniu z AI w zespole we wpisie Czy ChatGPT jest bezpieczny dla firmy.

Czytaj też

• Przegląd AI 5.11: ataki na chłodnie w polskich sklepach i luki w dyskach Synology
• Przegląd AI 6.11: Gemini analizuje ankiety w Formularzach i Claude blokuje prywatne konta
• Tydzień w AI #6: Sejm odracza kary KSeF, UOKiK karze za fałszywe opinie, a ataki idą w sprzęt i wtyczki

Najczęstsze pytania

Od kiedy obowiązuje niższy limit ryczałtu 250 tys. euro?

Według Prawo.pl o prawie do ryczałtu na 2027 rok mają decydować przychody z 2026 roku, a limit po kursie z 1.10.2026 to 1 094 250 zł. Ustawę przyjął Senat 6.11.2026, teraz czeka na podpis albo weto prezydenta (21 dni). Jeśli Twój przychód może przekroczyć tę kwotę, policz z księgową inną formę opodatkowania jeszcze przed końcem roku.

Do kiedy trzeba zaktualizować mObywatela?

Do 16 listopada 2026 roku trzeba mieć wersję 4.93.1 albo nowszą, na Androidzie, iOS i w mObywatelu Junior. Powodem jest odnowienie certyfikatu. Starsza wersja po tym terminie pokaże komunikat o konieczności aktualizacji.

Co zrobić, jeśli moja automatyzacja działa na Railway?

Railway zaleca sprawdzenie zmiennych środowiskowych i wymianę przechowywanych w nich kluczy API i innych poświadczeń. Wygeneruj nowe klucze u dostawcy AI, usuń stare i ustaw limit wydatków. Jeśli automatyzację robił wykonawca, poproś go o potwierdzenie, że to zrobił.