Algorytm pod nadzorem. Polska szykuje urząd, który ma zajrzeć AI pod maskę

Polska ustawa o systemach sztucznej inteligencji nie będzie polskim odpowiednikiem science fiction. To raczej próba stworzenia instytucji, do której obywatel pójdzie ze skargą na algorytm, a firma - po wskazówki, jak testować ryzykowny system. Najważniejsze pytanie brzmi: czy państwo zdąży zbudować nadzór, zanim AI stanie się niewidzialną infrastrukturą codziennych decyzji?

31 marca 2026 r. Rada Ministrów przyjęła projekt ustawy o systemach sztucznej inteligencji. Kilka dni później projekt został skierowany do Sejmu; w sejmowym wykazie figuruje jako rządowy projekt ustawy, druk nr 2443. To nie jest polski „AI Act” w sensie zastąpienia prawa unijnego. Unijne rozporządzenie o sztucznej inteligencji obowiązuje bezpośrednio. Polska ustawa ma zbudować krajowy system nadzoru: wskazać instytucje, procedury, tryb kontroli i sankcje.

Najważniejszą nową instytucją ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI. Według komunikatu Kancelarii Prezesa Rady Ministrów komisja ma być niezależną jednostką obsługiwaną organizacyjnie przez Ministerstwo Cyfryzacji. Jej przewodniczący ma być powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję. W składzie znajdą się też przedstawiciele wskazani przez UOKiK, UKE, KNF i KRRiT.

Brzmi technicznie, ale sens tej ustawy jest bardzo praktyczny. Algorytmy już podejmują albo wspierają decyzje w bankach, rekrutacji, administracji, medycynie, edukacji i cyberbezpieczeństwie. Największe ryzyko polega na tym, że dla użytkownika system staje się czarną skrzynką: wiadomo, że zapadła decyzja, ale nie wiadomo, według jakich kryteriów i kto faktycznie za nią odpowiada.

Projekt ustawy próbuje przeciąć tę niewidzialność. KRiBSI ma prowadzić postępowania administracyjne, wydawać decyzje, nakładać sankcje administracyjne i koordynować nadzór nad systemami sztucznej inteligencji w Polsce. Ma też tworzyć piaskownice regulacyjne, czyli kontrolowane środowiska, w których firmy mogą testować rozwiązania AI pod okiem ekspertów, zanim trafią one szerzej na rynek.

Najbardziej namacalna zmiana dla obywatela to możliwość złożenia skargi. Ministerstwo Cyfryzacji podaje przykład osoby, której bankowy system AI odrzucił wniosek. Jeżeli klient uzna decyzję za niesprawiedliwą albo dyskryminującą, będzie mógł zgłosić sprawę do komisji. Państwo ma wtedy dostać narzędzia, by sprawdzić system „pod maską”, zamiast pozostawiać obywatela z odpowiedzią: tak zdecydował algorytm.

Drugi wymiar to bezpieczeństwo rynku. Jeżeli aplikacja medyczna, system biometryczny albo narzędzie stosowane w infrastrukturze krytycznej okaże się ryzykowne, organ nadzoru ma móc ograniczyć jego używanie albo wycofać go z rynku. To kluczowa różnica między miękką etyką AI a regulacją. Etyka mówi, co byłoby dobrze zrobić. Regulacja mówi, kto odpowiada, kiedy system zawodzi.

Polskie przepisy pojawiają się jednak w momencie, gdy sam europejski kalendarz AI Act jest przedmiotem politycznej gry. Rada UE i Parlament Europejski w marcu 2026 r. poparły przesunięcie części obowiązków dla systemów wysokiego ryzyka: do 2 grudnia 2027 r. dla systemów wskazanych bezpośrednio w AI Act oraz do 2 sierpnia 2028 r. dla systemów osadzonych w produktach objętych sektorowymi przepisami bezpieczeństwa. Parlament poparł też termin 2 listopada 2026 r. dla wymogów znakowania treści generowanych przez AI oraz zakaz systemów typu „nudifier”, służących do tworzenia niekonsensualnych intymnych obrazów. Negocjacje instytucji UE w tej sprawie nadal trwają.

Dla firm to oznacza jedno: nie wystarczy poczekać na ostatni dzień. Przedsiębiorstwa będą musiały wiedzieć, czy ich systemy podpadają pod kategorie wysokiego ryzyka, kto jest dostawcą, kto wdrażającym, jakie dane trafiają do modelu, jakie testy wykonano i jak dokumentowane są decyzje. W praktyce zgodność z AI Act będzie przypominała połączenie cyberbezpieczeństwa, ochrony danych, audytu produktu i zarządzania ryzykiem.

Największe wyzwanie nie leży jednak w samych przepisach. Leży w kompetencjach. Państwo może powołać komisję, ale komisja musi mieć ludzi, którzy rozumieją modele, dane, ryzyka, dokumentację techniczną i realia biznesu. Bez tego nadzór stanie się formalnością: firmy będą produkować dokumenty, urzędy będą je odhaczać, a obywatele nadal nie będą wiedzieli, dlaczego system potraktował ich w określony sposób.

Jest też ryzyko odwrotne: nadzór może zostać odebrany jako hamulec innowacji. Dlatego piaskownice regulacyjne są w projekcie równie ważne jak sankcje. Dla młodych firm jasne reguły mogą być przewagą, nie przeszkodą. Startup, który wie, jak bezpiecznie testować produkt, ma większą szansę wejść na rynek finansowy, medyczny czy publiczny niż firma działająca w prawnej szarej strefie.

Polska ustawa nie sprawi, że AI stanie się uczciwa, bezbłędna i zrozumiała z dnia na dzień. Może jednak zmienić domyślną logikę odpowiedzialności. Algorytm przestanie być wygodnym wyjaśnieniem decyzji. Stanie się systemem, który ma właściciela, dokumentację, ryzyka i organ nadzoru.

A to pierwszy krok do świata, w którym „bo tak powiedziała sztuczna inteligencja” nie wystarcza jako odpowiedź.

// czytaj dalejJak działa AI w TikToku? Algorytm, który zna Cię lepiej niż Ty sam 🤯📱ArtykułyArmia USA szykuje się na cyberataki z prędkością maszyn. Do stołu zaproszono Big TechPremium200 tysięcy złotych za 26 stron. Rozebrałem rządowy raport o marce Polska na czynniki pierwsze i policzyłem wszystkie bzduryAI