Sztuczna inteligencja w samorządzie – obowiązki,
ryzyka i możliwości wynikające z AI Act
CYFRYZACJA I AI W SAMORZĄDACH - SAS 3 / 2026
Jednostki samorządu terytorialnego stoją przed nowym
wyzwaniem prawnym i organizacyjnym. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act), opublikowane w Dzienniku Urzędowym UE dnia 12 lipca 2024 r.¹, ustanawia pierwsze kompleksowe ramy prawne dla systemów sztucznej inteligencji, obejmując całą administrację publiczną – każdą JST, niezależnie od skali jej działania.
Szczególną uwagę zwraca mechanizm automatycznego powstawania obowiązków regulacyjnych. Status „podmiotu stosującego” AI nie wymaga żadnej formalnej decyzji – powstaje z chwilą faktycznego sięgnięcia przez pracowników urzędu po narzędzia AI w ramach obowiązków służbowych, nierzadko bez wiedzy przełożonych. Skala tego zjawiska jest znacząca. Z raportu NASK „AI w e-administracji”, przygotowanego na zlecenie Ministerstwa Cyfryzacji, wynika, że aż 46% polskich urzędników korzysta już z narzędzi AI w pracy zawodowej. Jednocześnie tylko 8% miast posiada strategię AI – co oznacza, że zdecydowana większość samorządów nie dysponuje żadnymi ramami organizacyjnymi ani prawnymi regulującymi korzystanie z tych narzędzi przez pracowników.² Brak polityki AI w urzędzie nie zwalnia z odpowiedzialności – może być traktowany jako zaniedbanie obowiązków nadzorczych kierownika jednostki.
HARMONOGRAM AI ACT – CO JUŻ OBOWIĄZUJE
- 2 lutego 2025 r. – weszły w życie zakazy praktyk niedopuszczalnych (art. 5) oraz obowiązek AI literacy, czyli zapewnienia odpowiedniego poziomu kompetencji pracowników w zakresie AI (art. 4);
- 2 sierpnia 2025 r. – weszły w życie przepisy dotyczące modeli GPAI, obejmujące JST obowiązkiem weryfikacji zgodności stosowanych narzędzi;
- 2 sierpnia 2026 r. – wejdą w życie pełne wymogi dla systemów wysokiego ryzyka – data graniczna dla każdej JST.
Zakazy z art. 5 AI Act² mają dla JST charakter bezwzględny i obowiązują już dziś. Urzędom zabrania się stosowania systemów AI prowadzących scoring społeczny obywateli, zdalnej identyfikacji biometrycznej w czasie rzeczywistym, technik oddziaływania na zachowanie poniżej progu świadomości oraz systemów rozpoznawania emocji w miejscu pracy i instytucjach edukacyjnych. Katalog ten dotyczy potencjalnie narzędzi stosowanych przez samorządowe służby porządkowe, działy kadr czy systemy monitoringu miejskiego.
Obowiązek AI literacy (art. 4)² oznacza konieczność wdrożenia trwałego procesu budowania świadomości – nie jednorazowego szkolenia. Obejmuje zróżnicowane programy dla poszczególnych grup pracowników, w tym kierownictwa, urzędników merytorycznych, personelu IT oraz inspektora ochrony danych, a także dokumentację potwierdzającą realizację szkoleń i cykliczną weryfikację kompetencji.
WIELOWARSTWOWA ODPOWIEDZIALNOŚĆ FINANSOWA
AI Act nie funkcjonuje w próżni. Równolegle obowiązuje ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o Krajowym Systemie Cyberbezpieczeństwa (Dz.U. 2026, poz. 252), obowiązująca od 3 kwietnia 2026 r.³ Sankcje są dotkliwe i niezależne od siebie:
- naruszenie zakazów z art. 5 AI Act – kara do
- 35 mln euro;
- podmiot kluczowy na gruncie KSC – do 10 mln euro lub 2% rocznych przychodów (art. 73
- ust. 4 ustawy o KSC);
- podmiot ważny – do 7 mln euro lub 1,4% przychodów;
- kierownik podmiotu publicznego – odpowiedzialność osobista do 100% rocznego wynagrodzenia obliczanego jak ekwiwalent za urlop (art. 73a ust. 5 ustawy o KSC).
Kary z art. 73 i art. 73a ustawy o KSC mogą być nałożone po raz pierwszy od 3 kwietnia 2028 r. Nie zwalnia to jednak z obowiązku podjęcia działań przygotowawczych już dziś.
CZTERY MODELE KORZYSTANIA Z AI – RÓŻNY POZIOM BEZPIECZEŃSTWA
Model pierwszy – bezpłatne, ogólnodostępne narzędzia AI. Najwyższy, niedopuszczalny w administracji poziom ryzyka: brak umowy DPA, możliwy transfer danych poza EOG, brak logów audytowych, wysoka podatność na halucynacje prawne. Dla spraw zawierających dane osobowe rekomendowany całkowity zakaz.
Model drugi – rozwiązania klasy Enterprise (np. Microsoft 365 Copilot, Google Workspace). Wysoki poziom bezpieczeństwa, lecz znaczące koszty licencji i wdrożenia. Projektowane z myślą o rynku komercyjnym, nie o specyfice polskiego prawa administracyjnego – wymagają samodzielnego opracowania przez JST procedur zarządzania ryzykiem halucynacji.
Model trzeci – infrastruktura on-premise. Maksymalna kontrola nad danymi, jednak wysokie koszty wdrożenia i utrzymania oraz wymóg dysponowania wykwalifikowaną kadrą IT. Większość JST nie dysponuje zasobami niezbędnymi do bezpiecznego utrzymania tego modelu w dłuższej perspektywie.
Model czwarty – dedykowane rozwiązania SaaS projektowane z myślą o administracji publicznej. Rekomendowane podejście dla JST poszukujących pełnej zgodności prawnej. Za w pełni bezpieczne można uznać wyłącznie rozwiązania łączące: automatyczne zawarcie umowy DPA na etapie rejestracji, infrastrukturę serwerową w Polsce opartą o podmioty zaufanej infrastruktury krajowej, certyfikaty ISO 27001 i ISO 27701 lub równoważne oraz pełną ścieżkę audytu z wbudowaną metodyką weryfikacji wyników. Przykładem takiego rozwiązania, zaprojektowanego z myślą o wymogach polskiej administracji publicznej, jest np. platforma LOGiT FLOW.
ZASADA 3XS I NIEZMIENIONA STRUKTURA ODPOWIEDZIALNOŚCI
Niezależnie od wybranego modelu każdy dokument wygenerowany przy pomocy AI wymaga trzystopniowej weryfikacji: sprawdzenia poprawności merytorycznej i prawnej treści, jej skorygowania do indywidualnego kontekstu sprawy oraz sfinalizowania przez osobę posiadającą stosowne upoważnienie. Odpowiedzialność za treść pisma spoczywa zawsze na urzędniku, który je podpisał – żaden dostawca technologii tej odpowiedzialności nie przejmuje i przejąć nie może.
CO ZROBIĆ NIEZWŁOCZNIE
- Opracować politykę korzystania z AI – zarządzenie organu wykonawczego.
- Stworzyć rejestr zastosowań AI z klasyfikacją ryzyka, w tym inwentaryzację Shadow AI.
- Zawrzeć umowy DPA z każdym dostawcą narzędzi AI.
- Przeprowadzić ocenę skutków dla ochrony danych (DPIA) dla systemów wysokiego ryzyka.
- Wdrożyć procedurę weryfikacji dokumentów AI – zasada 3xS.
- Opracować plan szkoleń z AI literacy wraz z dokumentacją potwierdzającą ich realizację.
KORZYŚCI PRAKTYCZNE
Prawidłowe wdrożenie AI umożliwia automatyzację projektów decyzji administracyjnych, obsługi wniosków o informację publiczną, sporządzania protokołów i analizy umów. Szacunkowa oszczędność to 40–60% czasu pracy nad dokumentacją.
Termin przygotowania do pełnego zakresu obowiązków AI Act upływa 2 sierpnia 2026 r. JST, które zignorują nadchodzące terminy, narażają się na dotkliwe sankcje finansowe oraz – co równie istotne – na realne naruszenie praw podstawowych mieszkańców.
dr n. pr. Karolina Grenda
wykładowca Akademii Marynarki Wojennej,
Akademii Leona Koźmińskiego i Szkoły Głównej Handlowej
w obszarach nowych technologii i bezpieczeństwa narodowego
¹ Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689
z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych
przepisów dotyczących sztucznej inteligencji, Dz.Urz. UE L, 12.07.2024.
² Art. 4 i art. 5 Rozporządzenia (UE) 2024/1689 (AI Act),
obowiązuje od 2 lutego 2025 r.
³ Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o Krajowym Systemie Cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, obowiązuje od 3 kwietnia 2026 r.
⁴ NASK Państwowy Instytut Badawczy, raport „AI w e-administracji publicznej — perspektywa urzędników i instytucji”, przygotowany na zlecenie Ministerstwa Cyfryzacji, badanie zrealizowane w październiku–listopadzie 2025 r. na próbie ponad 6 000 pracowników urzędów centralnych i samorządowych.
⁵ Związek Miast Polskich, Fundacja Miasto, „Sztuczna inteligencja w polskich miastach” — pierwsze ogólnopolskie badanie sondażowe, wyniki opublikowane 19 września 2025 r., próba 79 miast członkowskich ZMP.
