Projektowane z myślą o rozliczalności publicznej.

Oparte na ryzyku przepisy dla systemów AI. AI wykorzystywana do decyzji o dostępie do podstawowych usług publicznych i świadczeń, w sprawach migracji, azylu i kontroli granicznej, w wymiarze sprawiedliwości i ściganiu przestępstw należy do systemów wysokiego ryzyka.

Instytucje publiczne stosujące systemy wysokiego ryzyka muszą przeprowadzić ocenę skutków dla praw podstawowych (art. 27), zapewnić nadzór ze strony człowieka i prowadzić rejestry zdarzeń. Po zmianach z 2026 r. obowiązki te mają zastosowanie od 2 grudnia 2027 r. W Polsce ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji obowiązuje od 11 sierpnia 2026 r., a jej przepisy o kontroli, postępowaniu i karach od 28 października 2026 r.; organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).

Dyrektywa obejmuje administrację rządową, a państwa członkowskie mogą objąć nią także administrację regionalną i lokalną. Obowiązki obejmują zarządzanie ryzykiem, bezpieczeństwo łańcucha dostaw i etapowe zgłaszanie incydentów, które zaczyna się od wczesnego ostrzeżenia w ciągu 24 godzin. W Polsce NIS2 wdraża ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. Wykaz podmiotów kluczowych i ważnych działa od 13 kwietnia 2026 r., samorejestracja trwała od 7 maja do 3 października 2026 r., a część podmiotów wpisał z urzędu Minister Cyfryzacji.

Każde państwo członkowskie musi do 24 grudnia 2026 r. udostępnić co najmniej jeden europejski portfel tożsamości cyfrowej. Usługi publiczne wymagające identyfikacji elektronicznej muszą go akceptować obok krajowych systemów eID. W Polsce Krajowy Węzeł Identyfikacji Elektronicznej (login.gov.pl) pozwala zalogować się do usług publicznych aplikacją mObywatel, przez bankowość elektroniczną, e-dowodem lub profilem zaufanym.

Stosuje się od 12 lipca 2024 r. Od 12 stycznia 2025 r. instytucje publiczne muszą przeprowadzić ocenę interoperacyjności przed decyzją o nowych lub istotnie zmienionych transeuropejskich cyfrowych usługach publicznych. Akt zachęca też do udostępniania i ponownego wykorzystywania rozwiązań, w tym open source.

Od 12 grudnia 2023 r. użytkownicy kluczowych procedur transgranicznych mogą poprosić o bezpośrednią wymianę dokumentów między urzędami przez system techniczny oparty na zasadzie jednorazowości (OOTS), zamiast przesyłać je samodzielnie.

Strony internetowe i aplikacje mobilne sektora publicznego muszą spełniać zharmonizowaną normę EN 301 549, opartą na WCAG, i publikować deklarację dostępności z mechanizmem zgłaszania uwag. W Polsce dyrektywę wdraża ustawa z dnia 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych; nadzór nad jej stosowaniem i coroczny monitoring prowadzi minister właściwy do spraw informatyzacji. Podmioty publiczne publikują deklarację dostępności i aktualizują ją do 31 marca każdego roku.

Od 28 czerwca 2025 r. obejmuje kluczowe produkty i usługi, takie jak bankowość, handel elektroniczny, e-booki i usługi transportowe. Dotyczy podmiotów gospodarczych, a nie bezpośrednio instytucji publicznych, ale zamówienia publiczne korzystają z jego wymagań dostępności, a usługi realizowane z partnerami prywatnymi mogą być nim objęte. W Polsce wdraża go Polski Akt o Dostępności (Dz.U. 2024 poz. 731), z Prezesem Zarządu PFRON jako głównym organem nadzoru rynku.

Stosuje się od 12 września 2025 r. Instytucje publiczne mogą żądać danych od przedsiębiorstw w sytuacjach wyjątkowej potrzeby, a usługi przetwarzania danych muszą umożliwiać zmianę dostawcy, przy stopniowym znoszeniu opłat za zmianę do stycznia 2027 r.