Czy AI Act dotyczy naszego urzędu i co musimy teraz zrobić?

AI Act, czyli Rozporządzenie UE 2024/1689, dotyczy każdego urzędu, który korzysta z jakiegokolwiek systemu AI. Od 2 sierpnia 2026 roku w życie weszły główne przepisy dotyczące systemów AI wysokiego ryzyka, więc jeśli dotychczas traktowałeś AI Act jako "coś, co jeszcze przed nami", to ten moment już minął. Dla urzędów używających AI przede wszystkim do pisania pism i wyszukiwania informacji zakres wymagań jest umiarkowany. Jeśli jednak macie system, który automatycznie wpływa na decyzje dotyczące konkretnych mieszkańców, wymagania są dużo poważniejsze.

Przepisy wchodziły etapami. Oto gdzie jesteśmy teraz.

AI Act wszedł w życie 1 sierpnia 2024 roku, ale poszczególne obowiązki obowiązywały od różnych dat. Stan aktualny wygląda tak:

• Od 2 lutego 2025: zakaz stosowania praktyk AI uznanych za niedopuszczalne oraz obowiązek zapewnienia "umiejętności AI" pracownikom (art. 4). To są przepisy, które działają od ponad roku.
• Od 2 sierpnia 2025: przepisy dotyczące modeli AI ogólnego przeznaczenia (GPAI, takich jak GPT czy Gemini) oraz przepisy o zarządzaniu i nadzorze na poziomie UE.
• Od 2 sierpnia 2026: pełne obowiązki dla podmiotów wdrażających systemy AI wysokiego ryzyka. To jest główna fala przepisów.
• Od 2 sierpnia 2027: wymagania dla systemów AI wysokiego ryzyka z Załącznika I, które były już na rynku przed wejściem rozporządzenia w życie. To jedyna data, która jeszcze nie minęła.

Wiele urzędów skupiało się na dacie sierpniowej 2026 jako "tej kluczowej". Ona właśnie minęła. Inwentaryzacja narzędzi AI i ocena ryzyka to nie plan na przyszłość, to zaległość.

Które praktyki AI są wprost zakazane i od kiedy?

Zakaz obowiązuje od lutego 2025 roku. Dla typowego urzędu istotne są dwa obszary:

• Social scoring. Systemy oceniające lub klasyfikujące osoby fizyczne na podstawie ich zachowań lub cech w różnych kontekstach życia społecznego. Jeśli ktokolwiek rozważał scoring petentów albo ocenę wiarygodności na podstawie danych z różnych rejestrów, to wprost narusza ten przepis.
• Identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej, z bardzo wąskimi wyjątkami dla organów ścigania. Gminy zarządzające kamerami miejskimi z oprogramowaniem analitycznym powinny sprawdzić, czy dostawca nie obsługuje takiej funkcji w tle.
• Systemy manipulujące podprogowo, zmieniające zachowanie osoby bez jej wiedzy i wbrew jej interesom.

Naruszenie zakazu to najpoważniejsza kategoria w AI Act, z najsurowszymi możliwymi konsekwencjami.

Czy ChatGPT i Copilot w urzędzie podlegają AI Act?

Tak, ale nie w sposób, który powinien budzić panikę. ChatGPT, Microsoft Copilot czy Gemini to modele AI ogólnego przeznaczenia (GPAI). Ich dostawcy mają własne obowiązki wynikające z rozporządzenia. Urząd jako "deployer", czyli podmiot, który te narzędzia stosuje, ma obowiązki skromniejsze, ale realne.

Nie wolno używać tych narzędzi w sposób sprzeczny z przeznaczeniem wskazanym przez dostawcę. Jeśli urząd wystawia chatbota AI dla mieszkańców, musi informować ich, że rozmawiają z systemem AI (art. 50). Personel używający AI musi rozumieć, jak działają te narzędzia i jakie ryzyka ze sobą niosą (art. 4).

Pisanie pism, streszczanie protokołów, wyszukiwanie informacji w dokumentach to zastosowania niskiego ryzyka. Tutaj AI Act nie nakłada szczególnych ciężarów. Typowo wygląda to tak, że urząd kupuje pakiet Microsoft 365 z Copilotem i nikt nie myśli, że to "używanie AI" w rozumieniu przepisów. Ale formalnie jest. Nawet jeśli ryzyko jest niskie, obowiązek z art. 4 dotyczy każdego, kto tych narzędzi używa.

Kiedy AI w urzędzie staje się systemem "wysokiego ryzyka"?

To pytanie warto zadawać przed każdym zakupem nowego systemu. AI wysokiego ryzyka w kontekście urzędów to m.in. systemy:

• oceniające wnioski o świadczenia społeczne i kwalifikujące do nich,
• używane w rekrutacji i selekcji pracowników,
• zarządzające infrastrukturą krytyczną: wodociągi, energia, transport miejski,
• oceniające uczniów lub decydujące o dostępie do kształcenia.

Żaden system do generowania projektów odpowiedzi, gdzie urzędnik zawsze zatwierdza ostateczną treść, nie jest systemem wysokiego ryzyka. Granica jest wtedy, kiedy AI ma realny wpływ na to, czy ktoś dostanie decyzję pozytywną, i nie ma człowieka, który weryfikuje każdy przypadek z osobna.

U jednego z urzędów, z którym rozmawialiśmy, moduł w systemie pomocy społecznej "sugerował" kwalifikowalność wnioskodawców. W praktyce pracownicy przyjmowali sugestie bez dodatkowej weryfikacji. Formalnie system był kupiony jako "wsparcie decyzji", ale faktyczne działanie mogło go kwalifikować jako AI wysokiego ryzyka. Taka sytuacja wymaga przeglądu.

Jakie konkretne obowiązki ma urząd wdrażający AI wysokiego ryzyka?

Od 2 sierpnia 2026 wymagania z art. 26 obowiązują w całości. Dla urzędu oznacza to:

• Weryfikacja przed zakupem. Pytaj dostawcę o ocenę zgodności i dokumentację techniczną. Jeśli nie może ich dostarczyć, nie kupuj systemu, który wpływa na decyzje administracyjne.
• Wyznaczenie osoby odpowiedzialnej za nadzór nad systemem AI. Nie musi to być specjalista od technologii. Chodzi o kogoś, kto rozumie, co system robi i może zgłosić nieprawidłowości.
• Prowadzenie logów z działania systemu przez wymagany okres. Konkretne terminy przechowywania zależą od kategorii systemu.
• Realny nadzór człowieka nad decyzjami wspomaganymi przez AI. Każda decyzja administracyjna powinna mieć rzeczywistego decydenta, nie tylko formalny podpis pod sugestią algorytmu.
• Informowanie osób, których dotyczy decyzja podjęta z udziałem systemu AI wysokiego ryzyka, że taki system był używany.
• Rejestracja w unijnej bazie danych systemów AI wysokiego ryzyka prowadzonej przez Komisję Europejską. Procedury rejestracyjne są doprecyzowywane, warto śledzić wytyczne krajowego organu nadzorczego.

Od czego zacząć, jeśli do tej pory nic nie zrobiono?

Pierwszym krokiem jest zinwentaryzowanie narzędzi AI używanych w urzędzie. Każdy wydział, każdy pracownik z dostępem do Microsoft 365, każdy zewnętrzny system zakupiony od dostawcy. Bez tej listy nie możesz nic sensownie ocenić.

Przy każdym narzędziu jedno pytanie: czy ten system automatycznie wpływa na decyzje dotyczące konkretnych osób, czy tylko pomaga pracownikowi pracować szybciej? Pierwsze to potencjalnie AI wysokiego ryzyka. Drugie najczęściej nie.

Dalej:

• Sprawdź, czy żadne narzędzie nie wchodzi w zakres praktyk zakazanych z rozdziału II AI Act.
• Przygotuj lub zaktualizuj regulamin korzystania z AI w urzędzie. Masz tu gotowe wskazówki w naszym artykule o regulaminach.
• Przeprowadź krótkie szkolenie lub briefing dla pracowników używających AI. To wymóg art. 4, który obowiązuje od 2025 roku.
• Wyznacz osobę odpowiedzialną za AI w urzędzie i zapisz to w dokumentacji wewnętrznej.

To nie musi być projekt na pół roku. Wiele urzędów robi to w kilka tygodni, bo faktycznie używanych systemów AI są dwa lub trzy i żaden nie jest wysokiego ryzyka. Ważne, żeby wiedzieć to na pewno, a nie domyślać się.

Krajowy organ nadzorczy nad AI w Polsce jest w trakcie wyznaczania. Przepisy krajowe implementujące AI Act doprecyzują szczegółowe obowiązki podmiotów publicznych. Śledzenie komunikatów Ministerstwa Cyfryzacji to dobry nawyk na najbliższe miesiące.

Jeśli nie wiesz, jak sklasyfikować narzędzia AI w swoim urzędzie ani od czego zacząć dokumentację, zapraszamy na bezpłatny audyt. Sprawdzamy, co faktycznie funkcjonuje w urzędzie, pomagamy ocenić ryzyko i przygotować to, czego wymagają przepisy. Jak wyglądają takie działania w praktyce, zobaczysz w realnych wdrożeniach.