Ustawa o systemach AI już w Dzienniku Ustaw: dlaczego dział prawny powinien zacząć pracę od razu
Autor: AnyLawyer AI
Opieka merytoryczna serwisu: Michał Jackowski (profesor AI i prawa)
Opublikowano: Źródła zweryfikowano:
Publikacja ustawy o systemach sztucznej inteligencji oznacza, że polskie ramy nadzoru nad AI przestają być wyłącznie zapowiedzią. Akt nie zastępuje unijnego AI Act, lecz organizuje krajowe mechanizmy jego stosowania: nadzór, kontrole, postępowania w sprawach naruszeń i kary. Dla firm oraz instytucji używających lub tworzących AI to moment, by ustalić, jakie systemy mają, kto za nie odpowiada i gdzie mogą powstać ryzyka prawne.
Kontekst: polska ustawa wokół unijnego AI Act
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona 28 lipca 2026 r. w Dzienniku Ustaw pod pozycją 1003. Jej punktem odniesienia jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, określane w ustawie jako „rozporządzenie 2024/1689”, czyli unijny akt w sprawie sztucznej inteligencji (AI Act).
To rozróżnienie ma praktyczne znaczenie. Rozporządzenie unijne jest aktem stosowanym bezpośrednio w państwach UE, natomiast krajowa ustawa buduje przede wszystkim polską „infrastrukturę” jego egzekwowania. Innymi słowy: wskazuje, jak ma działać nadzór nad rynkiem AI w Polsce, jak będą prowadzone postępowania dotyczące naruszeń oraz na jakich zasadach mogą zostać nałożone administracyjne kary pieniężne.
Zakres ustawy opisuje jej art. 1. Przepis wyraźnie łączy polskie regulacje z AI Act i obejmuje zarówno systemy AI, jak i modele AI ogólnego przeznaczenia — czyli modele, które mogą służyć do wielu różnych zadań, a nie tylko jednemu, z góry określonemu zastosowaniu.
„Ustawa określa: 1) organizację i sposób sprawowania nadzoru nad rynkiem systemów sztucznej inteligencji oraz modelami sztucznej inteligencji ogólnego przeznaczenia w zakresie objętym rozporządzeniem […]”
W prostych słowach: publikacja ustawy uruchamia krajowy wymiar regulacji AI. Zespoły prawne nie powinny więc pytać już tylko, czy organizacja „kiedyś” będzie objęta regulacjami AI. Powinny sprawdzić, jakie rozwiązania organizacja faktycznie tworzy, kupuje, udostępnia lub wykorzystuje oraz jak wpadają one w zakres unijnych i krajowych reguł.
Co DOKŁADNIE mówią przepisy
Ustawa reguluje nadzór, naruszenia, ocenę zgodności i kary
Art. 1 wymienia pięć obszarów regulacji. Poza organizacją nadzoru są to:
- postępowanie w sprawie naruszenia rozporządzenia 2024/1689 i samej ustawy;
- akredytacja i notyfikacja jednostek oceniających zgodność;
- działania wspierające rozwój systemów AI;
- zasady nakładania administracyjnych kar pieniężnych.
Akredytacja oznacza formalne potwierdzenie kompetencji jednostki do wykonywania określonych zadań. Notyfikacja to zgłoszenie takiej jednostki w przewidzianym prawem trybie. Ocena zgodności polega zaś na sprawdzeniu, czy produkt lub system spełnia wymagania prawne. Choć z przytoczonego fragmentu nie wynika jeszcze, jakie obowiązki dokumentacyjne lub techniczne będą analizowane w konkretnej sprawie, art. 1 przesądza, że ustawa tworzy procedury i instrumenty ich egzekwowania.
„Ustawa określa: 2) postępowanie w sprawie naruszenia rozporządzenia 2024/1689 i ustawy; 3) warunki i tryb akredytacji oraz notyfikacji jednostek oceniających zgodność; […] 5) zasady nakładania administracyjnych kar pieniężnych za naruszenie rozporządzenia 2024/1689 i ustawy.”
Dla compliance (funkcji zapewniającej zgodność działania organizacji z prawem i procedurami) to ważny sygnał: AI nie jest już wyłącznie zagadnieniem technologicznym, zakupowym czy produktowym. Staje się obszarem, dla którego ustawa przewiduje nadzór oraz sankcje administracyjne.
Nie każdy przypadek podlega ustawie
Art. 2 ust. 1 zawiera katalog wyłączeń. Ustawy nie stosuje się m.in. do spraw związanych z obroną narodową, bezpieczeństwem narodowym i zadaniami określonych służb. Wyłączenie obejmuje też badania naukowe i prace rozwojowe, ale tylko w zakresie, który nie obejmuje testów w warunkach rzeczywistych w rozumieniu AI Act.
To ograniczenie jest istotne szczególnie dla uczelni, laboratoriów i działów R&D (badawczo-rozwojowych). Sama etykieta „projekt badawczy” nie daje automatycznie odpowiedzi, czy rozwiązanie pozostaje poza zakresem ustawy. Granicą wskazaną w art. 2 ust. 1 pkt 4 są testy w warunkach rzeczywistych.
„Ustawy nie stosuje się do: […] badań naukowych i prac rozwojowych […] w zakresie, który nie obejmuje testów w warunkach rzeczywistych w rozumieniu art. 3 pkt 57 rozporządzenia 2024/1689;”
— art. 2 ust. 1 pkt 4 ustawy o systemach sztucznej inteligencji
Praktyczny wniosek jest prosty: zespół prawny powinien rozdzielić prace laboratoryjne od faktycznego testowania rozwiązania poza takim środowiskiem. To właśnie sposób użycia systemu, a nie wyłącznie jego nazwa w projekcie, może mieć znaczenie dla oceny.
Kogo ustawa obejmuje
Zgodnie z art. 3 ust. 1 ustawa ma zastosowanie do podmiotów wskazanych w art. 2 ust. 1 rozporządzenia 2024/1689, z wyjątkami określonymi w polskiej ustawie. Nie chodzi więc tylko o twórców własnych modeli AI. Z perspektywy organizacji kluczowe jest ustalenie jej roli opisanej w AI Act — co wymaga zestawienia rzeczywistego modelu działania firmy z tym rozporządzeniem.
Polska ustawa wyłącza m.in. osoby fizyczne stosujące system AI wyłącznie dla celów osobistych, niezwiązanych z działalnością zarobkową, gospodarczą albo rolniczą. Z kolei art. 3 ust. 2 stanowi, że przepisy o systemach AI stosuje się również do modeli AI ogólnego przeznaczenia, chyba że ustawa przewiduje inaczej.
„O ile ustawa nie stanowi inaczej, przepisy w zakresie systemów sztucznej inteligencji mają zastosowanie również do modeli sztucznej inteligencji ogólnego przeznaczenia.”
To powinno zainteresować nie tylko producentów oprogramowania. Znaczenie mogą mieć także wdrożenia zewnętrznych narzędzi, zwłaszcza gdy są używane w procesach biznesowych, a nie prywatnie.
Praktyczne konsekwencje: od listy narzędzi do mapy ryzyka
Pierwszym zadaniem po publikacji aktu nie jest przygotowanie obszernej polityki AI. Jest nim inwentaryzacja: ustalenie, gdzie AI działa w organizacji i do czego jest wykorzystywana. W praktyce warto objąć nią narzędzia tworzone wewnętrznie, kupowane od dostawców, udostępniane klientom oraz wykorzystywane przez pracowników.
Przykład: spółka używa narzędzia do automatycznej oceny klientów albo porządkowania zgłoszeń. Zespół compliance powinien ustalić, czy narzędzie przetwarza dane osobowe, czy tworzy profile użytkowników, kto podejmuje decyzję na podstawie wyniku systemu, kto jest dostawcą oraz jakie warunki umowne regulują odpowiedzialność i dostęp do danych.
Nie jest to wyłącznie ostrożność na potrzeby AI Act. W decyzji DKN.5112.14.2022 Prezes UODO wskazał ryzyka związane z profilowaniem — automatycznym ocenianiem osób na podstawie danych. Decyzja dotyczyła obowiązków wynikających z RODO, ale dobrze pokazuje, dlaczego AI trzeba analizować równolegle przez pryzmat ochrony danych.
„Profilowanie cechuje zatem stosunkowo wysoki stopień redukcji udziału człowieka w tym procesie, co powoduje zwiększone ryzyko utraty nad nim kontroli […]”
W praktyce organizacja nie powinna zakładać, że nowa regulacja AI „zastępuje” RODO. Przeciwnie: wdrożenie systemu AI może jednocześnie wymagać analizy obowiązków dotyczących danych osobowych, bezpieczeństwa informacji, umów z dostawcą i reguł branżowych.
Na co uważać
Największym błędem byłoby ograniczenie analizy do projektów nazwanych w firmie „AI”. Rozwiązania oparte na automatyzacji, profilowaniu lub zewnętrznych modelach mogą być rozproszone między działami: IT, HR, sprzedażą, obsługą klienta, marketingiem i bezpieczeństwem.
Trzeba też ostrożnie traktować wyłączenia dla badań i celów osobistych. Art. 2 i 3 przewidują konkretne granice. Narzędzie używane przez pracownika w działalności firmy nie staje się zastosowaniem osobistym tylko dlatego, że korzysta z niego pojedyncza osoba.
Wreszcie, nie wolno traktować umowy z dostawcą jako pełnego przeniesienia odpowiedzialności. W obszarze danych osobowych UODO przypomniał, że powierzenie przetwarzania innemu podmiotowi nie zwalnia administratora całkowicie z odpowiedzialności za spełnienie wymogów prawnych. Ta zasada jest ważną wskazówką organizacyjną także przy zarządzaniu wdrożeniami AI: relację z dostawcą trzeba opisać i kontrolować, a nie tylko podpisać kontrakt.
Co to oznacza w praktyce
- Zrób rejestr zastosowań AI — obejmij nim systemy własne, narzędzia dostawców i rozwiązania używane przez pracowników w procesach firmowych.
- Przypisz właściciela każdemu systemowi — biznesowego, technicznego i prawnego; bez tego trudno przygotować odpowiedź na kontrolę lub postępowanie dotyczące naruszenia.
- Oznacz projekty badawcze i testy w warunkach rzeczywistych — art. 2 ust. 1 pkt 4 różnicuje te sytuacje, więc nie należy traktować ich jednakowo.
- Połącz analizę AI z RODO i bezpieczeństwem — szczególnie gdy system profiluje osoby lub wykorzystuje dane o sytuacji finansowej, identyfikatorach czy innych danych osobowych.
- Przejrzyj umowy z dostawcami AI — ustal, kto odpowiada za dane, bezpieczeństwo, wsparcie, zmiany systemu i przekazywanie informacji potrzebnych do wykazania zgodności.