AI Act i ustawa o systemach AI w administracji: co przygotować do grudnia 2027 r.

01Stan na jesień 2026 r.

Akt w sprawie sztucznej inteligencji (otwiera stronę zewnętrzną) (AI Act), rozporządzenie (UE) 2024/1689, wszedł w życie 1 sierpnia 2024 r. i jest stosowany etapami. W lipcu 2026 r. UE przyjęła akt zbiorczy prawa cyfrowego dotyczący AI (Digital Omnibus), rozporządzenie (UE) 2026/1744 (otwiera stronę zewnętrzną), które odroczyło przepisy o systemach wysokiego ryzyka i zmieniło szereg innych przepisów. Weszło ono w życie 27 lipca 2026 r., kilka dni przed pierwotną datą dla systemów wysokiego ryzyka.

W efekcie część obowiązków już obowiązuje, część zacznie obowiązywać pod koniec tego roku, a najcięższe dla instytucji publicznych jako podmiotów stosujących przyjdą w grudniu 2027 r.

Omnibus zmienił też art. 4 o kompetencjach w zakresie AI. Dostawcy i podmioty stosujące mają teraz podejmować działania wspierające kompetencje swoich pracowników, zamiast zapewniać ich wystarczający poziom. Obowiązek pozostaje; zmieniło się to, co trzeba wykazać. Szkolenia dopasowane do ról i ich ewidencja nadal są rozsądną odpowiedzią.

02Ustawa o systemach sztucznej inteligencji i KRiBSI

W Polsce AI Act uzupełnia ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (otwiera stronę zewnętrzną) (Dz.U. 2026 poz. 1003), opublikowana 27 lipca 2026 r. i obowiązująca od 11 sierpnia 2026 r. Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Przepisy ustawy o kontroli, postępowaniach i karach stosuje się od 28 października 2026 r. Dla instytucji publicznej to dobry moment, aby sprawdzić, jak spełnia obowiązki, które już obowiązują: zakazy praktyk, kompetencje w zakresie AI i przejrzystość.

03Dostawca czy podmiot stosujący?

Większość instytucji publicznych to podmioty stosujące: korzystają z systemu AI, nad którym sprawują kontrolę. Instytucja jest dostawcą, gdy rozwija system AI lub zleca jego rozwój i oddaje go do użytku pod własną nazwą. Dotyczy to także systemów budowanych samodzielnie lub przez wykonawcę według specyfikacji zamawiającego.

Role mogą się też zmieniać. Zgodnie z art. 25 podmiot stosujący, który istotnie zmienia system wysokiego ryzyka albo zmienia jego przeznaczenie tak, że staje się on systemem wysokiego ryzyka, przejmuje obowiązki dostawcy. Zamierzone role warto zapisać w specyfikacji warunków zamówienia (SWZ) i w umowie, aby nikt nie odkrył ich dopiero podczas audytu.

04Które zastosowania są systemami wysokiego ryzyka?

Załącznik III wymienia obszary, w których systemy AI uznaje się za systemy wysokiego ryzyka. Dla instytucji publicznych najważniejsze są:

• Dostęp do podstawowych usług i świadczeń publicznych: ocena uprawnień oraz przyznawanie, ograniczanie, cofanie lub zwrot świadczeń i usług.
• Migracja, azyl i kontrola granic, ściganie przestępstw oraz sprawowanie wymiaru sprawiedliwości.
• Kształcenie i szkolenie zawodowe: przyjęcia, ocena efektów uczenia się, monitorowanie w trakcie egzaminów.
• Zatrudnienie: rekrutacja, awanse, przydział zadań i monitorowanie pracowników. Instytucje publiczne też są pracodawcami.
• Infrastruktura krytyczna: związane z bezpieczeństwem elementy zarządzania krytyczną infrastrukturą cyfrową, ruchem drogowym oraz zaopatrzeniem w wodę, gaz, ciepło lub energię elektryczną.

Przynależność do obszaru z załącznika III nie kończy analizy. Zgodnie z art. 6 ust. 3 system z takiego obszaru nie jest systemem wysokiego ryzyka, jeśli nie stwarza znaczącego ryzyka szkody, na przykład dlatego, że wykonuje wąskie zadanie proceduralne, poprawia wynik pracy już wykonanej przez człowieka, wykrywa wzorce bez zastępowania oceny człowieka albo wykonuje zadanie przygotowawcze. System, który profiluje osoby fizyczne, zawsze jest systemem wysokiego ryzyka. Powołanie się na ten wyjątek wymaga udokumentowanego uzasadnienia.

Wiele przydatnych narzędzi w ogóle nie jest systemami wysokiego ryzyka: wsparcie w redagowaniu pism, wyszukiwanie w wewnętrznej wiedzy, tłumaczenie, streszczanie. Nadal obowiązują je wymogi przejrzystości i RODO, ale nie reżim wysokiego ryzyka.

05Obowiązki podmiotów stosujących systemy wysokiego ryzyka

Od 2 grudnia 2027 r. instytucja publiczna, która stosuje system wysokiego ryzyka z załącznika III, ma obowiązki wynikające z art. 26 (otwiera stronę zewnętrzną). Najważniejsze z nich:

• Używać systemu zgodnie z instrukcją obsługi dostawcy, z odpowiednimi środkami technicznymi i organizacyjnymi.
• Powierzyć nadzór ze strony człowieka osobom, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, oraz zapewnić im wsparcie.
• Zadbać, aby dane wejściowe, nad którymi instytucja ma kontrolę, były adekwatne i wystarczająco reprezentatywne dla przeznaczenia systemu.
• Monitorować działanie systemu i bez zbędnej zwłoki informować dostawcę i organy o ryzykach i poważnych incydentach.
• Przechowywać automatycznie generowane rejestry zdarzeń przez co najmniej sześć miesięcy, chyba że inne przepisy unijne lub krajowe stanowią inaczej.
• Przed użyciem systemu wysokiego ryzyka w miejscu pracy poinformować przedstawicieli pracowników i pracowników, których to dotyczy.
• Jako organ publiczny zarejestrować wykorzystanie systemu w unijnej bazie danych przed oddaniem go do użytku (art. 26 ust. 8 i art. 49). Niezarejestrowanego systemu nie wolno używać.
• Informować osoby, wobec których system wysokiego ryzyka służy do podejmowania decyzji lub pomaga je podejmować (art. 26 ust. 11). Osoby te mają też prawo do wyjaśnienia indywidualnych decyzji (art. 86).

Ocena skutków dla praw podstawowych

Zgodnie z art. 27 (otwiera stronę zewnętrzną) podmioty prawa publicznego oraz podmioty prywatne świadczące usługi publiczne przeprowadzają ocenę skutków dla praw podstawowych przed pierwszym użyciem większości systemów z załącznika III. Wyłączone są systemy dla infrastruktury krytycznej. Ocena opisuje:

1. 01procesy, w których system będzie używany zgodnie z jego przeznaczeniem;
2. 02okres i częstotliwość użycia;
3. 03kategorie osób i grup, na które system może wpływać;
4. 04szczególne ryzyka szkody dla tych osób;
5. 05sposób realizacji nadzoru ze strony człowieka;
6. 06działania na wypadek urzeczywistnienia się ryzyk, w tym wewnętrzny nadzór i mechanizmy skargowe.

Wyniki zgłasza się organowi nadzoru rynku; w Polsce jest nim KRiBSI. Ocena uzupełnia ocenę skutków dla ochrony danych z art. 35 RODO i może na niej bazować, dlatego warto prowadzić obie razem. Art. 27 ust. 5 zobowiązuje Urząd ds. AI do opracowania wzoru kwestionariusza; przed zaprojektowaniem własnego warto sprawdzić jego status. Niektóre państwa mają już własne metody, na przykład holenderska administracja stosuje Impact Assessment Mensenrechten en Algoritmes (IAMA).

06Obowiązki przejrzystości, które już obowiązują

Od 2 sierpnia 2026 r. stosuje się art. 50. Dostawcy muszą projektować systemy, które wchodzą w interakcję z ludźmi, tak aby ci wiedzieli, że mają do czynienia z systemem AI, chyba że jest to oczywiste, i muszą oznaczać treści syntetyczne w formacie nadającym się do odczytu maszynowego. Podmioty stosujące muszą ujawniać treści typu deepfake oraz tekst wygenerowany lub zmanipulowany przez AI, publikowany w celu informowania opinii publicznej o sprawach leżących w interesie publicznym, chyba że tekst przejrzał człowiek, a ktoś ponosi odpowiedzialność redakcyjną.

W instytucji publicznej najczęstszym przypadkiem jest asystent czatu na stronie internetowej lub w kanale obsługi. Trzeba jasno powiedzieć, że to system AI, wyjaśnić, w czym może pomóc, a w czym nie, i zapewnić drogę do kontaktu z pracownikiem.

07Plan przygotowań na lata 2026 i 2027

1. 01Inwentaryzacja, teraz. Spis każdego systemu AI w użyciu lub w trakcie zamówienia, łącznie z funkcjami AI w platformach, na które urząd ma już licencję. Dla każdego: właściciel, cel, dostawca, wykorzystywane dane i osoby, których dotyczy.
2. 02Klasyfikacja, do początku 2027 r. Zakazany, wysokiego ryzyka (z udokumentowanym uzasadnieniem z art. 6 ust. 3), tylko obowiązki przejrzystości albo minimalne ryzyko. Dla każdego systemu zapisana rola: dostawca czy podmiot stosujący.
3. 03Umowy, w ciągu 2027 r. Instrukcje obsługi, dokumentacja zgodności i dostęp do rejestrów zdarzeń od dostawców. Wsparcie przy ocenie skutków i zgłaszaniu incydentów jako postanowienie umowy, a w nowych postępowaniach wymaganie SWZ.
4. 04Projekt nadzoru. Nazwane role, szkolenia, uprawnienie do zmiany decyzji systemu i ścieżka eskalacji. Projekt, który przeciwdziała nadmiernemu zaufaniu do automatyzacji; artykuł o tym, gdzie agenci AI potrzebują zatwierdzenia przez człowieka, pokazuje, jak to zrobić.
5. 05Rejestrowanie zdarzeń i monitorowanie. Rejestry przechowywane przez co najmniej sześć miesięcy, definicja poważnego incydentu i osoba, która go zgłasza.
6. 06Przed pierwszym użyciem. Ocena skutków dla praw podstawowych razem z oceną skutków dla ochrony danych, rejestracja w unijnej bazie danych i informacja dla pracowników oraz osób, których to dotyczy.
7. 07Kompetencje na bieżąco. Szkolenia według ról dla użytkowników, osób weryfikujących i decydentów, odświeżane przy zmianie systemów, z ewidencją przeszkolonych osób.

08Kary i egzekwowanie

Zasady nakładania kar określają państwa członkowskie. Art. 99 ust. 8 pozwala każdemu państwu zdecydować, czy i w jakim zakresie administracyjne kary pieniężne można nakładać na organy i podmioty publiczne mające w nim siedzibę. W Polsce przepisy ustawy o systemach sztucznej inteligencji o kontroli, postępowaniach i karach stosuje się od 28 października 2026 r.; to, jak traktują one instytucje publiczne, warto sprawdzić w tekście ustawy. Nie jest to powód do czekania. Organy nadzoru rynku mogą żądać działań naprawczych, a legitymacja decyzji publicznej zależy od tego, czy da się ją wyjaśnić i zaskarżyć.

09Na co zwracać uwagę w najbliższych miesiącach

• Wytyczne Komisji dotyczące klasyfikacji systemów wysokiego ryzyka (art. 6 ust. 5) oraz jej istniejące wytyczne w sprawie zakazanych praktyk (otwiera stronę zewnętrzną).
• Normy zharmonizowane dla wymogów wysokiego ryzyka, którymi dostawcy będą wykazywać zgodność.
• Pierwsze komunikaty, wytyczne i kontrole KRiBSI skierowane do instytucji publicznych jako podmiotów stosujących.
• Wzór Urzędu ds. AI dla oceny skutków dla praw podstawowych.

AI Act Service Desk (otwiera stronę zewnętrzną) Komisji Europejskiej na bieżąco prowadzi oficjalny harmonogram i objaśnienia do poszczególnych artykułów. Warto dodać go do zakładek i datować każdą wewnętrzną notatkę o AI Act: ten tekst wciąż się zmienia.