Ustawa o systemach sztucznej inteligencji przyjęta. Jakie zadania czekają teraz gminy?
CYFRYZACJA I AI W SAMORZĄDACH - SAS 4 / 2026
24 lipca 2026 r. Prezydent RP podpisał ustawę o systemach sztucznej inteligencji, wdrażającą do polskiego porządku prawnego unijne rozporządzenie AI Act. Ustawa nakłada na jednostki samorządu terytorialnego, jako podmioty stosujące systemy AI (tzw. deployerów), konkretne obowiązki organizacyjne i dokumentacyjne. Poniżej wyjaśniam, co zmienia się dla urzędów gmin, miast i powiatów oraz od kiedy trzeba się do tego przygotować.
Co się wydarzyło
Ustawa nie wchodzi w życie w całości jednocześnie (art. 127). Co do zasady obowiązuje po 14 dniach od ogłoszenia, jednak art. 8–18 (opinie indywidualne) oraz rozdziały 3–5, 8 i 9 (kontrole, postępowania, sankcje) wejdą w życie po 3 miesiącach od ogłoszenia. Powołana zostaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – organ nadzoru rynku AI (art. 5–6 ustawy), która ma rozpocząć działalność szacunkowo w listopadzie 2026 r. Niezależnie od terminów ustawy krajowej obowiązki z rozporządzenia 2024/1689 (AI Act) wchodzą w życie według harmonogramu zmienionego przez pakiet Digital Omnibus:
• 2 lutego 2025 r. – obowiązek wspierania kompetencji AI wśród personelu (art. 4); po zmianach jest to obowiązek starannego działania, nie rezultatu.
• 2 sierpnia 2026 r. – obowiązki przejrzystości: informowanie o kontakcie z AI, o algorytmicznej ocenie wniosku, ujawnianie treści deepfake (art. 50).
• 2 grudnia 2026 r. – dokończenie watermarkingu treści obecnych na rynku przed sierpniem 2026 r. (art. 50 ust. 2 w zw. z art. 111 ust. 4) oraz wejście w życie nowego zakazu z art. 5 – tworzenia lub manipulowania intymnymi materiałami bez zgody osoby przedstawionej („nudifiery”) i materiałami CSAM. Ma to znaczenie dla urzędów publikujących lub moderujących treści.
• 2 grudnia 2027 r. – pełne obowiązki dla systemów wysokiego ryzyka z Załącznika III (rekrutacja, ocena wniosków o świadczenia) – termin przesunięty z pierwotnego 2 sierpnia 2026 r.
• 2 sierpnia 2028 r. – pełne obowiązki dla systemów AI wbudowanych w produkty z Załącznika I.
Dlaczego to dotyczy również urzędów
Administracja publiczna, w tym JST, jest co do zasady podmiotem stosującym (deployerem) – choć zgodnie z art. 25 gmina może zostać uznana za dostawcę, jeśli istotnie modyfikuje system lub umieszcza na nim własne oznaczenie. Dotyczy to obsługi wniosków mieszkańców, projektów decyzji administracyjnych, pracy radców prawnych JST, rekrutacji czy monitoringu miejskiego. Część tych zastosowań to systemy wysokiego ryzyka, objęte podwyższonymi wymaganiami z terminami jak wyżej.
Podstawowe zadania gmin
1. Human in the loop (art. 26). Art. 14 nakłada na dostawcę wymóg zaprojektowania systemu pod kątem możliwości nadzoru, a art. 26 adresuje operatora (JST): gmina musi imiennie wyznaczyć osoby nadzorujące każdy system wysokiego ryzyka, z realnymi uprawnieniami do weryfikacji lub wstrzymania rekomendacji AI. Mechaniczne zatwierdzanie wyników nie spełnia tego wymogu.
1a. Ocena FRIA (art. 27). Przed wdrożeniem systemu wysokiego ryzyka z Załącznika III JST musi ocenić ryzyko dyskryminacji i naruszenia praw podstawowych oraz zgłosić wynik do KRiBSI. Operator zapewnia też logi zdarzeń przechowywane min. 6 miesięcy (art. 26 ust. 1, 5 i 6).
2. Obowiązki informacyjne (art. 50). Od 2 sierpnia 2026 r. urząd musi informować mieszkańca o kontakcie z AI, o algorytmicznej ocenie jego wniosku oraz oznaczać treści typu deepfake. Watermarking to obowiązek dostawcy – JST odpowiada za dobór właściwych dostawców.
3. Ścieżka skargowa (art. 59 ustawy w zw. z art. 85). Każdy, kto uzna, że system AI narusza przepisy, może złożyć skargę do KRiBSI, która może wszcząć postępowanie z urzędu.
4. Dokumentacja i ocena zgodności. Pełną ocenę zgodności (art. 43) przeprowadza dostawca. JST weryfikuje deklarację zgodności UE (art. 47) i oznakowanie CE (art. 48) oraz wypełnia własne obowiązki z pkt 1a.
5. Opinie indywidualne i piaskownica regulacyjna. Art. 8–18 pozwalają wystąpić do KRiBSI o wiążącą opinię (termin 30–60 dni; brak odpowiedzi = uwzględnienie wniosku). Piaskownice regulacyjne (art. 91–101) czasowo zwalniają m.in. z systemu zarządzania jakością, dokumentacji zgodności i logów. Udział jest bezpłatny dla mikro, małych i średnich przedsiębiorców (art. 93 ust. 1). Jednostki samorządu terytorialnego, w tym gminy, płacą opłatę nie wyższą niż dwukrotność minimalnego wynagrodzenia za pracę (9612 zł w 2026 r., art. 93 ust. 2), a podmioty inne niż MŚP i JST – opłatę nie wyższą niż czterokrotność minimalnego wynagrodzenia (19 224 zł w 2026 r., art. 93 ust. 3). Unijny termin uruchomienia piaskownicy przesunięto z 2 sierpnia 2026 r. na 2 sierpnia 2027 r.
Co zrobić już teraz
Warto:
- zapewnić pracownikom kompetencje w zakresie AI (obowiązek aktywny od lutego 2025 r.);
- zinwentaryzować używane narzędzia AI, także „nieformalne” czatboty;
- imiennie wyznaczyć osoby nadzorujące systemy wysokiego ryzyka;
- wprowadzić procedury weryfikacji wyników pracy AI;
- zaktualizować regulaminy publikacji treści pod kątem zakazu z art. 5 (grudzień 2026 r.);
- przeszkolić pracowników;
- rozpocząć przygotowania do FRIA mimo odległego terminu (grudzień 2027 r.).
Narzędzia budowane pod te wymagania
Znaczenia nabierają systemy AI projektowane od początku z myślą o sektorze publicznym, a nie adaptowane z rozwiązań konsumenckich. Przykładem jest polska platforma LOGiT FLOW, którą spółka LOGiT stworzyła we współpracy z kancelariami prawnymi, samorządami i instytucjami publicznymi. Narzędzie wspiera przygotowywanie pism, projektów decyzji i umów, wyszukiwanie i cytowanie orzecznictwa, anonimizację treści oraz łączenie informacji z plików i akt spraw w jednym miejscu pracy zespołu. Producent adresuje wymogi AI Act już na etapie projektowania: każdy wynik wymaga weryfikacji przez upoważnionego pracownika zgodnie z zasadą Human in the Loop (art. 14), co odpowiada obowiązkom operatora systemu wysokiego ryzyka. Platforma działa na serwerach NASK S.A. w Warszawie, posiada certyfikaty ISO 27001 i ISO 27701, a wobec administratora danych pełni rolę podmiotu przetwarzającego (art. 28 RODO), z umową powierzenia danych i gwarancją braku trenowania modeli na danych klienta. Dla JSTu znaczenie ma rozróżnienie między autoryzowanym narzędziem objętym umową powierzenia a niekontrolowanym korzystaniem z ogólnodostępnych chatbotów przez pracowników.
Podsumowanie
Terminy są zróżnicowane: obowiązki przejrzystości – od 2 sierpnia 2026 r., zakaz deepfake’ów intymnych i CSAM – od 2 grudnia 2026 r., KRiBSI ma ruszyć szacunkowo w listopadzie 2026 r., a pełne wymogi dla systemów wysokiego ryzyka – dzięki Digital Omnibus – dopiero 2 grudnia 2027 r. i 2 sierpnia 2028 r. Gminy, które już teraz uporządkują korzystanie z narzędzi AI, unikną pośpiechu, gdy nadzór regulatora zacznie faktycznie działać.
dr n. pr. Karolina Grenda
dyrektor ds. zgodności LOGiT sp. z o.o.,
wykładowca Akademii Marynarki Wojennej,
Akademii Leona Koźmińskiego
i Szkoły Głównej Handlowej w obszarach
nowych technologii i bezpieczeństwa narodowego.
Źródła: Prezydent.pl; prawo.pl; Sejm RP, druk nr 2443; Rozporządzenie (UE) 2024/1689; Digital Omnibus on AI– komunikaty Rady UE, maj-czerwiec 2026 r.; kirp.pl.
