AI Act dla samorządów: co muszą wiedzieć urzędy o sztucznej inteligencji

Unijny AI Act wprowadza nowe obowiązki dla polskich samorządów, gmin, urzędów powiatowych, ośrodków pomocy społecznej i szkół. Przepisy rozróżniają między dostawcą systemu sztucznej inteligencji a podmiotem, który go wdrażają — i to rozróżnienie ma kluczowe znaczenie dla zrozumienia, jakie odpowiedzialności spadają na polskie instytucje publiczne.

Które systemy AI są uznawane za wysokiego ryzyka?

Nie każde narzędzie sztucznej inteligencji wymaga takiego samego poziomu kontroli. Przepisy AI Act skupiają się przede wszystkim na systemach, które mogą bezpośrednio wpłynąć na prawa i dobro mieszkańców. W praktyce samorządów oznacza to przede wszystkim aplikacje wspierające procesy decyzyjne w kilku kluczowych obszarach.

Systemy wykorzystywane w pomocy społecznej — na przykład do oceny uprawnień do świadczeń lub przyznawania zasiłków — mogą być zaliczane do kategorii wysokiego ryzyka. Podobnie rzecz się ma z narzędziami wspierającymi decyzje kadrowe w urzędach, czy systemami monitoringu w przestrzeni publicznej. W edukacji algorytmy wspomagające ocenę uczniów lub alokację miejsc w szkołach również mogą podlegać tym wymogom.

Istnieje jednak wyjątek dla systemów realizujących wyłącznie wąskie zadania proceduralne — na przykład automatyczne sortowanie przychodzących pism czy dokumentów. Wyjątek ten nie obowiązuje jednak w sytuacji, gdy system profiluje osobę fizyczną, nawet jeśli wykonuje zadanie proceduralne.

Co dokładnie muszą zrobić urzędy?

Przepisy AI Act nakładają na samorządy konkretne obowiązki. Przede wszystkim każda instytucja publiczna musi przeprowadzić inwentaryzację narzędzi sztucznej inteligencji, które już wykorzystuje lub planuje wdrożyć. Następnie niezbędna jest ocena ryzyka — czyli analiza, jak dany system może wpłynąć na prawa i wolności mieszkańców.

Urząd musi wykazać, że rozumie, jak działa wdrażany system, i że posiada realny nadzór człowieka nad jego decyzjami. To oznacza, że pracownicy urzędu muszą być w stanie wyjaśnić, dlaczego system podjął konkretną decyzję, i mieć możliwość jej przeanalizowania oraz zmiany.

Kolejnym wymogiem są nowe procedury zarządcze — czyli wewnętrzne regulacje, które określą, jak instytucja będzie korzystać z systemów AI, kto za nich odpowiada i jak będą monitorowane.

Kiedy wchodzą w życie przepisy?

Przepisy dotyczące systemów wysokiego ryzyka obowiązują od 2 sierpnia 2026 roku. To data, do której samorządy muszą być w pełni przygotowane. Jednak zakaz praktyk niedopuszczalnych — czyli takich, które są całkowicie zakazane niezależnie od obszaru zastosowania — wchodzi w życie wcześniej.

Rozróżnienie między dostawcą a użytkownikiem

Kluczowe dla zrozumienia odpowiedzialności jest rozróżnienie między dostawcą systemu (podmiotem, który go tworzy i sprzedaje) a deployerem — czyli podmiotem, który system wdrażają i wykorzystuje.

Polska gmina, która kupuje gotowy system do oceny wniosków o pomoc społeczną, jest deployerem. Jednak ta sama gmina nie może przenieść wszystkich obowiązków na dostawcę poprzez zapisy umowne. Samorząd pozostaje odpowiedzialny za nadzór nad systemem, ocenę jego wpływu na prawa mieszkańców i zapewnienie przejrzystości.

Sytuacja komplikuje się, gdy samorząd modyfikuje zakupiony system. W takim przypadku może zmienić swój status z użytkownika na dostawcę, co wiąże się z dodatkowymi wymogami i odpowiedzialnością.

Co grozi za brak przygotowania?

Brak działań przygotowawczych może mieć poważne konsekwencje. Przede wszystkim istnieje ryzyko naruszenia praw podstawowych mieszkańców — na przykład gdy algorytm dyskryminuje osoby ze względu na wiek, płeć lub pochodzenie. Dyskryminacja algorytmiczna, nawet jeśli jest niezamierzona, stanowi naruszenie przepisów.

Dodatkowo samorządy mogą spotkać się z sankcjami administracyjnymi, jeśli nie będą zgodne z wymogami AI Act. Przepisy przewidują kary finansowe za naruszenia, ale równie ważne jest ryzyko utraty zaufania mieszkańców do instytucji publicznych.

Co to oznacza dla polskich samorządów?

Dla polskich gmin, urzędów powiatowych i instytucji publicznych oznacza to konkretne zadania do wykonania w ciągu najbliższych miesięcy. Przede wszystkim każda instytucja powinna przeanalizować, jakie narzędzia AI już wykorzystuje — często bez świadomości, że są to systemy sztucznej inteligencji.

Następnie konieczne jest przeprowadzenie oceny ryzyka dla każdego zidentyfikowanego systemu. Wymaga to współpracy między działami IT, kadrowymi, socjalnymi i edukacyjnymi, aby zrozumieć, jak algorytmy wpływają na decyzje podejmowane wobec mieszkańców.

Instytucje powinny również przygotować się do wprowadzenia nowych procedur zarządczych i przeszkolenia pracowników, którzy będą odpowiadać za nadzór nad systemami AI. To nie jest zadanie jednorazowe — wymaga ciągłego monitorowania i aktualizacji w miarę ewolucji technologii i przepisów.