Ustawa o systemach AI już w Dz.U.: kto musi uporządkować procesy, dostawców i zasady korzystania z algorytmów
Autor: AnyLawyer AI
Opieka merytoryczna serwisu: Michał Jackowski (profesor AI i prawa)
Opublikowano: Źródła zweryfikowano:
Publikacja ustawy o systemach sztucznej inteligencji w Dz.U. 2026 poz. 1003 oznacza, że polskie ramy nadzoru nad AI zostały formalnie zbudowane wokół unijnego AI Actu, czyli rozporządzenia 2024/1689. Dla firm nie jest to sygnał do stworzenia kolejnej ogólnej „polityki AI”, lecz do ustalenia, gdzie i w jakiej roli rzeczywiście używają systemów AI, jakie dane do nich trafiają oraz co wynika z umów z dostawcami.
Kontekst: polska ustawa jako część systemu AI Actu
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 28 lipca 2026 r. jako Dz.U. 2026 poz. 1003, nie zastępuje rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, określanego w ustawie jako „rozporządzenie 2024/1689”. To właśnie do tego unijnego aktu odsyła art. 1.
Najważniejsza zmiana polega więc na tym, że w Polsce ustawa tworzy krajową warstwę instytucjonalną: ma określić organizację nadzoru nad rynkiem systemów AI i modeli AI ogólnego przeznaczenia, zasady postępowań w sprawach naruszeń, akredytację podmiotów oceniających zgodność oraz administracyjne kary pieniężne.
Wprost wskazuje na to art. 1 pkt 1 ustawy:
„organizację i sposób sprawowania nadzoru nad rynkiem systemów sztucznej inteligencji oraz modelami sztucznej inteligencji ogólnego przeznaczenia”
W prostym języku: ustawa nie ogranicza się do deklarowania, że AI ma być bezpieczna. Ma zorganizować publiczny nadzór nad rynkiem, na którym takie systemy i modele są oferowane oraz stosowane w zakresie objętym rozporządzeniem 2024/1689.
Dla przedsiębiorcy istotne jest też pojęcie modelu AI ogólnego przeznaczenia — chodzi o model, który może służyć do wielu różnych zastosowań, a nie wyłącznie do jednego, ściśle określonego zadania. Art. 3 ust. 2 przesądza, że co do zasady przepisy dotyczące systemów AI stosuje się także do takich modeli.
Co dokładnie mówią przepisy
Ustawa wskazuje pięć obszarów działania
Katalog z art. 1 ma charakter konkretny. Poza nadzorem obejmuje postępowania dotyczące naruszeń, warunki akredytacji i notyfikacji jednostek oceniających zgodność, działania wspierające rozwój AI oraz kary administracyjne.
Szczególnie ważny dla zarządów i osób odpowiedzialnych za zgodność jest art. 1 pkt 2:
„postępowanie w sprawie naruszenia rozporządzenia 2024/1689 i ustawy;”
To oznacza, że organizacja powinna zakładać możliwość formalnej weryfikacji jej działania w obszarze AI. Nie wystarczy więc wiedzieć, że w firmie „jest używany chatbot” albo „dział IT testuje narzędzie generatywne”. Potrzebna będzie możliwość wykazania, jaki to system, do czego służy, kto odpowiada za jego użycie i jakie zasady zastosowano.
Art. 1 pkt 5 przewiduje ponadto „zasady nakładania administracyjnych kar pieniężnych za naruszenie rozporządzenia 2024/1689 i ustawy”. Ustawa lokuje więc sankcje w tym samym krajowym systemie, który ma obsługiwać nadzór i postępowania.
Kogo obejmuje ustawa
Zgodnie z art. 3 ust. 1 ustawa ma zastosowanie do podmiotów wymienionych w art. 2 ust. 1 rozporządzenia 2024/1689. Sam przepis krajowy nie powtarza ich pełnej listy, lecz odsyła do AI Actu. W praktyce punkt wyjścia powinien być taki: najpierw ustalić rolę organizacji według rozporządzenia 2024/1689, a następnie sprawdzić, czy nie zachodzi jedno z wyłączeń przewidzianych w polskiej ustawie.
Jedno z nich jest bardzo praktyczne. Ustawa wyłącza osoby fizyczne stosujące system wyłącznie prywatnie, poza działalnością zarobkową, gospodarczą, rolniczą lub inną wskazaną w art. 3 ust. 1 pkt 1. Prywatne użycie narzędzia AI nie jest więc tym samym co użycie go przez przedsiębiorcę, pracownika w firmie albo osobę wykonującą działalność zawodową.
Treść tego wyłączenia oddaje następujący fragment:
„osób fizycznych w zakresie obowiązków podmiotów stosujących rozporządzenie 2024/1689, jeżeli stosują one system sztucznej inteligencji wyłącznie dla celów osobistych i niepozostających w związku z działalnością”
— art. 3 ust. 1 pkt 1 ustawy o systemach sztucznej inteligencji
Granica przebiega zatem nie między „bezpłatnym” a „płatnym” narzędziem ani między użyciem w domu i w biurze, lecz między użyciem czysto osobistym a użyciem związanym z działalnością. Pracownik, który wprowadza do zewnętrznego narzędzia AI opis sprawy klienta, działa w kontekście firmowym, nawet gdy korzysta z narzędzia dostępnego bez opłaty.
Czego ustawa nie obejmuje
Art. 2 ust. 1 wyłącza m.in. sprawy związane z obroną narodową, bezpieczeństwem narodowym i zadaniami służb wskazanych w przepisie. Wyłączone są również określone badania naukowe i prace rozwojowe — ale tylko w zakresie, który nie obejmuje testów w warunkach rzeczywistych w rozumieniu rozporządzenia 2024/1689.
To ważne zastrzeżenie: nazwanie projektu „badawczym” nie rozstrzyga sprawy. Jeżeli działania wychodzą poza sferę badań i obejmują testowanie w realnym środowisku, trzeba osobno ocenić ich status.
Praktyczne konsekwencje: przegląd procesów przed tworzeniem dokumentów
Po publikacji ustawy rozsądnym pierwszym krokiem nie jest kupienie nowego systemu zgodności, ale inwentaryzacja — czyli uporządkowany spis używanych rozwiązań AI i sposobów ich stosowania.
Taki przegląd powinien objąć przede wszystkim:
- narzędzia kupione centralnie przez organizację;
- rozwiązania wdrożone przez poszczególne działy;
- narzędzia wykorzystywane przez pracowników samodzielnie;
- systemy działające w procesach obsługi klientów, rekrutacji, marketingu, analityki lub podejmowania ocen;
- modele AI ogólnego przeznaczenia używane jako element większego systemu.
Dopiero na tej podstawie można ocenić, czy organizacja działa jako podmiot objęty art. 3 ust. 1 ustawy i jak jej aktywność odnosi się do rozporządzenia 2024/1689.
Umowa z dostawcą: pytania, których nie można pomijać
Ustawa w cytowanych przepisach nie ustanawia gotowej listy klauzul kontraktowych. Jej art. 1 pokazuje jednak, że używanie AI funkcjonuje w systemie nadzoru, postępowań i kar. Dlatego umowa z dostawcą powinna być sprawdzona pod kątem tego, czy pozwala klientowi ustalić podstawowe fakty o narzędziu i jego użyciu.
W praktyce warto ustalić w szczególności: jaki system lub model jest dostarczany, jakie funkcje ma wykonywać, jakie dane są do niego wprowadzane, kto administruje dostępami oraz jakie informacje dostawca zapewnia na potrzeby oceny zgodności i obsługi kontroli.
To nie jest tylko problem AI Actu. Jeżeli narzędzie służy do profilowania — zautomatyzowanej oceny osób na podstawie danych — równolegle powstają obowiązki z zakresu ochrony danych osobowych. Decyzja Prezesa UODO DKN.5112.14.2022 pokazuje, że pominięcie profilowania w rejestrze czynności przetwarzania oraz w ocenie skutków dla ochrony danych może zostać potraktowane jako istotne naruszenie.
„Profilowanie cechuje zatem stosunkowo wysoki stopień redukcji udziału człowieka w tym procesie, co powoduje zwiększone ryzyko utraty nad nim kontroli”
Wniosek jest prosty: opis AI w umowie i w wewnętrznym rejestrze nie może kończyć się na haśle „automatyzacja”. Jeżeli system ocenia klientów, pracowników albo kandydatów, trzeba opisać rzeczywisty proces i dane, które go zasilają.
Przykład: asystent do oceny klientów
Firma używa narzędzia AI do uporządkowania zgłoszeń klientów i wskazywania spraw wymagających pilnej obsługi. Przegląd powinien odpowiedzieć co najmniej na cztery pytania: czy narzędzie jedynie pomaga pracownikowi, czy wpływa na ocenę klienta; czy do systemu trafiają dane osobowe; kto zatwierdził użycie narzędzia; oraz czy umowa z dostawcą pozwala uzyskać informacje potrzebne do wykazania zasad działania procesu.
Jeżeli narzędzie tworzy ocenę klienta na podstawie danych, nie można potraktować go wyłącznie jako zwykłego programu biurowego. W świetle stanowiska UODO automatyzacja i profilowanie zwiększają ryzyko utraty kontroli nad przetwarzaniem.
Na co uważać
Po pierwsze, nie należy utożsamiać ustawy wyłącznie z producentami zaawansowanych modeli. Art. 3 ust. 1 odsyła do kręgu podmiotów objętych rozporządzeniem 2024/1689, a art. 3 ust. 2 rozszerza co do zasady zastosowanie przepisów na modele AI ogólnego przeznaczenia.
Po drugie, nie można automatycznie powoływać się na „użytek prywatny”, gdy narzędzia używa się w pracy lub w działalności. Wyłączenie z art. 3 ust. 1 pkt 1 ma charakter wąski: dotyczy celów wyłącznie osobistych i niezwiązanych z działalnością.
Po trzecie, procedury wewnętrzne muszą odpowiadać rzeczywistej praktyce. Regulamin zakazujący wprowadzania danych do zewnętrznej AI nie pomoże, jeżeli zespół faktycznie korzysta z takiego narzędzia, a organizacja nie monitoruje tego ani nie oferuje bezpiecznej alternatywy.
Po czwarte, warto rozdzielić dwa pytania: czy narzędzie jest objęte ramami AI Actu oraz czy przetwarza dane osobowe. Odpowiedź twierdząca na drugie pytanie uruchamia odrębne obowiązki dokumentacyjne i dotyczące oceny ryzyka wynikające z przepisów o ochronie danych.
Co to oznacza w praktyce
- Zrób mapę AI w organizacji: wskaż narzędzia, ich funkcje, działy korzystające z nich oraz rodzaje danych wprowadzanych do systemów.
- Ustal rolę organizacji według rozporządzenia 2024/1689, ponieważ art. 3 ust. 1 ustawy właśnie do tego aktu odsyła przy określaniu kręgu podmiotów objętych regulacją.
- Przejrzyj umowy z dostawcami AI pod kątem dostępu do informacji o systemie, jego funkcjach, danych i zasadach korzystania.
- Wprowadź jasne wewnętrzne reguły używania AI: kto może zatwierdzać narzędzia, jakie dane wolno wprowadzać oraz kiedy potrzebna jest konsultacja prawna, ochrony danych lub bezpieczeństwa.
- Nie pomijaj procesów profilowania w dokumentacji RODO. Decyzja UODO pokazuje, że automatyzacja oceny osób wymaga szczególnej odpowiedzialności, zwłaszcza gdy obejmuje dane finansowe lub identyfikacyjne.