AI Act w jednostce sektora finansów publicznych – od czego zacząć wdrożenie?

Plan wdrożenia AI Act w jednostce sektora finansów publicznych

Sztuczna inteligencja jest już wykorzystywana w administracji, uczelniach publicznych, podmiotach leczniczych i innych jednostkach sektora finansów publicznych. Czasami jako wyraźnie oznaczone narzędzie AI – chatbot, asystent generatywny czy system analityczny. Czasami jako funkcja większego systemu kadrowego, obiegu dokumentów, monitoringu, pakietu biurowego albo usługi chmurowej.

Dlatego wdrożenia AI Act nie należy zaczynać od napisania „Polityki AI”.

Najpierw jednostka powinna ustalić:

gdzie wykorzystuje systemy AI, w jakim celu, jaką rolę prawną wobec nich pełni, jakie przepisy mają zastosowanie, jakie ryzyko wiąże się z ich używaniem i kto za nie odpowiada.

Dopiero na tej podstawie można określić potrzebne procedury, dokumentację, działania szkoleniowe i środki kontrolne.

Praktyczną mapę wdrożenia można sprowadzić do siedmiu etapów:

inwentaryzacja → kwalifikacja → ocena ryzyka i dopuszczalności prawnej → odpowiedzialność → dokumentacja → działania naprawcze → monitoring.

Stan prawny: 21 sierpnia 2026 r.

AI Act wszedł w życie, ale jego przepisy stosuje się etapami

Podstawowym aktem prawnym jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji, czyli AI Act.

Rozporządzenie zostało w 2026 r. istotnie zmienione rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r., określanym jako Digital Omnibus on AI. Nowelizacja zmieniła między innymi harmonogram stosowania wymagań dotyczących systemów wysokiego ryzyka, przepisy przejściowe, art. 4 dotyczący kompetencji w zakresie AI oraz niektóre obowiązki związane z ocenami wpływu.

W Polsce obowiązuje ponadto ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 2026 r. poz. 1003. Określa ona przede wszystkim krajowy system nadzoru, postępowania w sprawach naruszeń, zasady akredytacji i notyfikacji, instrumenty wspierania rozwoju AI oraz zasady nakładania administracyjnych kar pieniężnych. Ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

Zgodnie z art. 127 ustawa zasadniczo wchodzi w życie po upływie 14 dni od dnia ogłoszenia. Art. 125 ust. 4 wszedł w życie następnego dnia po ogłoszeniu, natomiast art. 8–18 oraz rozdziały 3–5, 8 i 9 wchodzą w życie po upływie trzech miesięcy od dnia ogłoszenia.

Co istotne dla JSFP, polska ustawa przewiduje publikowanie przez Komisję corocznych informacji zawierających przykłady dobrych praktyk w zakresie wdrażania i stosowania systemów AI między innymi w jednostkach sektora finansów publicznych, o których mowa w art. 9 ustawy o finansach publicznych.

Najważniejsze terminy

Tak wynika z art. 113 AI Act po zmianach wprowadzonych rozporządzeniem 2026/1744.

Nie można więc przyjmować jednej daty rozpoczęcia wszystkich obowiązków dotyczących AI. W odniesieniu do konkretnego systemu trzeba ustalić zarówno jego kwalifikację, jak i właściwe przepisy przejściowe.

Szczególna sytuacja systemów już używanych

Przy inwentaryzacji warto osobno oznaczyć systemy, które jednostka już wykorzystuje. Art. 111 ustanawia dla istniejących systemów szczególne reguły przejściowe.

Odrębna zasada dotyczy systemów AI będących komponentami wielkoskalowych systemów informatycznych ustanowionych aktami wskazanymi w załączniku X AI Act. Jeżeli zostały wprowadzone do obrotu lub oddane do użytku przed 2 sierpnia 2027 r., powinny zostać doprowadzone do zgodności z AI Act do 31 grudnia 2030 r. Wymagania AI Act powinny być również uwzględniane przy ocenach tych systemów przeprowadzanych na podstawie ustanawiających je aktów prawnych.

W przypadku pozostałych systemów wysokiego ryzyka art. 111 ust. 2 został zmieniony przez Digital Omnibus. W odniesieniu do systemów wprowadzonych do obrotu lub oddanych do użytku przed właściwą datą rozpoczęcia stosowania rozdziału III wskazaną w art. 113, rozporządzenie stosuje się co do zasady, jeżeli od tej daty system zostanie poddany istotnym zmianom konstrukcyjnym.

Jednocześnie przepis ustanawia szczególną regułę dotyczącą systemów wysokiego ryzyka przeznaczonych do używania przez organy publiczne, istotną dla wielu JSFP. Ich dostawcy i podmioty stosujące mają podjąć niezbędne działania w celu zapewnienia zgodności z wymaganiami i obowiązkami AI Act najpóźniej do 2 sierpnia 2030 r.

Nie należy jednak automatycznie utożsamiać każdej jednostki sektora finansów publicznych z kategorią „organu publicznego” używaną przez AI Act bez analizy konkretnego przypadku.

Przepisy przejściowe nie oznaczają również, że do wskazanych dat można używać istniejących systemów bez jakiejkolwiek analizy. Nie wyłączają wcześniej stosowanych zakazów ani innych przepisów prawa mających zastosowanie do konkretnego sposobu wykorzystania AI.

Art. 111 ust. 4 przewiduje ponadto szczególną regulację dla dostawców systemów AI, w tym systemów AI ogólnego przeznaczenia, generujących syntetyczne treści audio, obraz, wideo lub tekst, które zostały wprowadzone do obrotu przed 2 sierpnia 2026 r. Dostawcy ci mają czas do 2 grudnia 2026 r. na podjęcie działań niezbędnych do zapewnienia zgodności z art. 50 ust. 2. Nie jest to jednak ogólne odroczenie wszystkich obowiązków transparentności wynikających z art. 50.

Etap 1. Inwentaryzacja – gdzie rzeczywiście używamy AI?

AI Act nie ustanawia ogólnego obowiązku prowadzenia przez każdą JSFP dokumentu o nazwie „Rejestr AI”.

Nie należy więc przedstawiać takiego rejestru jako ustawowo określonej ewidencji analogicznej do rejestru czynności przetwarzania z RODO.

Wewnętrzny rejestr zastosowań AI jest natomiast bardzo użytecznym narzędziem zarządczym. Bez wiedzy o wykorzystywanych systemach jednostka nie jest w stanie prawidłowo ustalić swoich obowiązków.

Inwentaryzacja nie powinna ograniczać się do aplikacji utrzymywanych przez dział IT. Trzeba uwzględnić również funkcje AI znajdujące się w innych systemach, usługi chmurowe, narzędzia dostarczane razem z pakietami biurowymi oraz rozwiązania generatywne używane bezpośrednio przez pracowników.

W praktyce karta systemu może zawierać:

Jest to propozycja organizacyjna, a nie katalog danych wymagany wprost przez AI Act.

Etap 2. Kwalifikacja – najpierw ustalmy, z czym mamy do czynienia

Czy rozwiązanie jest systemem AI?

Definicję systemu AI zawiera art. 3 pkt 1 AI Act. Nie każdy system automatyzujący proces ani każdy algorytm będzie systemem AI w rozumieniu rozporządzenia.

Komisja Europejska opublikowała niewiążące wytyczne dotyczące praktycznego stosowania definicji systemu AI. Mają one pomagać dostawcom i innym podmiotom ustalić, czy konkretne rozwiązanie mieści się w zakresie rozporządzenia.

Dlatego nie wystarczy ani marketingowe określenie produktu przez producenta jako „AI”, ani stwierdzenie, że dana funkcja jest tylko częścią większego systemu informatycznego.

Jaką rolę pełni jednostka?

W wielu typowych przypadkach JSFP kupująca gotowy system i wykorzystująca go pod swoją kontrolą będzie podmiotem stosującym.

Nie jest to jednak reguła absolutna.

Jednostka może być dostawcą już wtedy, gdy sama opracuje system AI albo zleci jego opracowanie i następnie wprowadzi go do obrotu lub odda do użytku pod własną nazwą lub znakiem towarowym. Wynika to z ogólnej definicji dostawcy z art. 3 pkt 3 AI Act.

Art. 25 przewiduje dodatkowe przypadki przejęcia obowiązków dostawcy dotyczące systemów wysokiego ryzyka, między innymi w związku z istotną modyfikacją albo określoną zmianą przeznaczenia systemu.

Dlatego analiza roli jednostki powinna być elementem kwalifikacji zarówno przy uruchomieniu systemu, jak i przy istotniejszych zmianach jego konstrukcji lub sposobu wykorzystania.

Jaka kategoria regulacyjna ma zastosowanie?

W pierwszej kolejności trzeba sprawdzić, czy sposób wykorzystania systemu nie jest objęty zakazami z art. 5. Komisja opublikowała w tym zakresie niewiążące wytyczne zawierające interpretacje i przykłady praktyczne.

Następnie należy sprawdzić, czy zastosowanie wiąże się z obowiązkami transparentności z art. 50. Od 2 sierpnia 2026 r. obowiązki te dotyczą określonych przypadków, w tym interakcji człowieka z systemem AI, rozpoznawania emocji i kategoryzacji biometrycznej oraz określonych treści generowanych lub manipulowanych przez AI. Komisja przyjęła w lipcu 2026 r. szczegółowe wytyczne dotyczące art. 50.

Kolejnym krokiem jest ustalenie, czy system spełnia warunki systemu wysokiego ryzyka z art. 6 oraz załącznika I albo III.

Dla sektora publicznego szczególnie istotne mogą być zastosowania z załącznika III dotyczące m.in. biometrii, edukacji, zatrudnienia czy dostępu do określonych podstawowych usług i świadczeń publicznych.

Nie oznacza to jednak, że każdy system stosowany w takim obszarze automatycznie jest systemem wysokiego ryzyka. Decydują warunki wynikające z AI Act oraz konkretne przeznaczenie systemu.

Etap 3. Oceńmy ryzyko i legalność zastosowania

Wewnętrzna ocena ryzyka AI jest racjonalnym elementem zarządzania systemami AI, ale nie należy przedstawiać jej jako jednego uniwersalnego obowiązku ustawowego dotyczącego każdego systemu.

Jednostka powinna jednak rozumieć możliwe skutki błędnego wyniku, ryzyko nierównego traktowania, znaczenie wykorzystywanych danych, poziom wpływu systemu na decyzje człowieka, możliwość zweryfikowania wyniku oraz skuteczność nadzoru.

Taką organizacyjną ocenę trzeba odróżnić od systemu zarządzania ryzykiem z art. 9 AI Act, będącego wymaganiem dotyczącym systemów wysokiego ryzyka i przede wszystkim obowiązkiem dostawcy.

AI Act nie legalizuje zastosowania systemu

To jeden z najważniejszych elementów wdrożenia w sektorze publicznym.

Zgodność z AI Act nie oznacza jeszcze, że dane wykorzystanie AI jest prawnie dopuszczalne.

AI Act nie tworzy jednostce kompetencji do działania, nie ustanawia podstawy przetwarzania danych osobowych i nie zastępuje przepisów regulujących konkretny proces.

Dlatego, zależnie od zastosowania, jednostka powinna odrębnie przeanalizować m.in. ochronę danych osobowych, przepisy regulujące podejmowanie i uzasadnianie rozstrzygnięć, prawo pracy, równe traktowanie, dostępność, archiwizację, cyberbezpieczeństwo oraz regulacje sektorowe.

Ma to szczególne znaczenie w sytuacji, gdy AI wspiera działania wobec obywateli, pacjentów, studentów, pracowników lub osób ubiegających się o świadczenia.

FRIA – szczególna ocena wpływu na prawa podstawowe

Art. 27 AI Act ustanawia obowiązek przeprowadzenia oceny wpływu na prawa podstawowe – FRIA przed rozpoczęciem stosowania określonych systemów wysokiego ryzyka.

Zakres tego obowiązku trzeba przedstawiać precyzyjnie.

Obowiązek FRIA obejmuje:

1. podmioty stosujące będące podmiotami prawa publicznego lub prywatnymi podmiotami świadczącymi usługi publiczne – w odniesieniu do systemów wysokiego ryzyka z art. 6 ust. 2, z wyjątkiem systemów przeznaczonych do stosowania w obszarze wskazanym w pkt 2 załącznika III;
2. niezależnie od powyższego statusu – podmioty stosujące systemy wysokiego ryzyka wskazane w pkt 5 lit. b i c załącznika III.

Sam fakt przynależności do katalogu jednostek sektora finansów publicznych z art. 9 polskiej ustawy o finansach publicznych nie powinien automatycznie zastępować analizy, czy jednostka należy do kategorii użytej w art. 27 prawa Unii.

FRIA obejmuje między innymi opis procesów, w których system będzie używany, okres i częstotliwość jego stosowania, kategorie osób i grup mogących podlegać oddziaływaniu, konkretne ryzyka szkody, sposób realizacji nadzoru człowieka oraz środki stosowane w razie materializacji ryzyka.

Art. 27 pozwala również wykorzystać odpowiednie elementy oceny skutków dla ochrony danych sporządzonej na podstawie art. 35 RODO. FRIA i DPIA nie są jednak tym samym obowiązkiem.

W odniesieniu do systemów klasyfikowanych na podstawie art. 6 ust. 2 i załącznika III sekcje 1–3 rozdziału III – obejmujące art. 27 – mają być stosowane od 2 grudnia 2027 r.

Etap 4. Przypiszmy odpowiedzialność i zadbajmy o kompetencje

AI Act nie nakazuje każdej JSFP ustanowienia stanowiska „AI Officer”.

Nie oznacza to jednak, że odpowiedzialność za systemy AI może pozostać nieokreślona.

Praktyczny model zarządzania może opierać się na istniejących rolach:

Jest to propozycja organizacyjna, a nie katalog funkcji narzucony przez AI Act.

W przypadku systemów wysokiego ryzyka art. 26 przewiduje wymagania dotyczące osób, którym powierzono nadzór człowieka. Nadzór nie powinien więc sprowadzać się do formalnego stwierdzenia, że „pracownik zatwierdza wynik AI”. Osoba sprawująca nadzór musi mieć realną możliwość właściwej oceny działania systemu i reakcji na jego wynik.

Kompetencje w zakresie AI

Art. 4 AI Act, w brzmieniu zmienionym w 2026 r., wymaga podejmowania przez dostawców i podmioty stosujące środków wspierających rozwój kompetencji w zakresie AI osób zajmujących się działaniem i wykorzystywaniem systemów AI w ich imieniu.

Zakres takich działań powinien być dostosowany do wiedzy, doświadczenia, wykształcenia, kontekstu wykorzystania systemu oraz osób lub grup, wobec których AI jest stosowana.

Nie wynika z tego obowiązek przeprowadzenia jednego identycznego szkolenia dla wszystkich pracowników. Racjonalniejsze jest różnicowanie zakresu kompetencji odpowiednio do wykonywanej roli.

Etap 5. Dokumentujmy decyzje dotyczące konkretnych systemów

Jednym z błędów wdrożeniowych może być potraktowanie „Polityki AI” jako głównego dowodu zgodności.

Sama procedura nie odpowiada na pytanie, czy jednostka prawidłowo zakwalifikowała konkretny system i jego sposób wykorzystania.

Dokumentacja powinna pozwalać odtworzyć proces decyzyjny: jaki system analizowano, jakie jest jego przeznaczenie, dlaczego uznano go za system AI lub wyłączono z tej kategorii, jaką rolę pełni jednostka, czy zweryfikowano art. 5, art. 50 i art. 6, jakie inne przepisy mają zastosowanie oraz jakie zabezpieczenia przyjęto.

W zależności od systemu ślad audytowy może obejmować kartę systemu, wynik kwalifikacji, dokumentację dostawcy, ocenę ryzyka, DPIA, FRIA, dokumentację nadzoru człowieka, informacje przekazywane osobom, logi oraz dokumentację zamówienia i umowy.

Nie wszystkie te elementy będą wymagane w każdym przypadku.

To kwalifikacja konkretnego systemu powinna określać zakres wymaganej dokumentacji.

Etap 6. Przygotujmy plan działań naprawczych

Rezultatem przeglądu systemów AI nie powinien być raport kończący się ogólnym zaleceniem „dostosowania jednostki do AI Act”.

Każda luka powinna prowadzić do konkretnego działania.

Jako dobrą praktykę można przyjąć przypisanie działaniom właściciela, terminu, priorytetu i dowodu wykonania.

Etap 7. Monitoring – kwalifikacja nie jest wykonywana raz na zawsze

System może zmienić się technicznie, ale równie istotna może być zmiana sposobu jego wykorzystania.

Nowa wersja modelu, dodatkowa funkcja, integracja z inną bazą danych, rozszerzenie zakresu automatyzacji albo użycie dotychczasowego narzędzia w nowym procesie może wpływać na wcześniejszą kwalifikację.

Monitoring powinien więc obejmować zmiany przeznaczenia, konfiguracji i funkcji systemu, informacje przekazywane przez dostawcę, incydenty, skargi oraz nowe grupy osób, na które system oddziałuje.

AI Act nie ustanawia jednego uniwersalnego terminu okresowego przeglądu każdego systemu używanego przez JSFP. Częstotliwość wewnętrznej weryfikacji powinna być dostosowana do charakteru i ryzyka danego zastosowania.

Co jednostka powinna zrobić teraz?

Praktyczny plan rozpoczęcia wdrożenia może wyglądać następująco:

1. zidentyfikować wykorzystywane i planowane przypadki użycia AI;
2. ustalić, które rozwiązania są systemami AI w rozumieniu rozporządzenia;
3. określić rolę jednostki wobec każdego systemu;
4. sprawdzić zakazane praktyki oraz aktualnie obowiązujące wymagania transparentności;
5. ocenić legalność zastosowania również na podstawie innych właściwych przepisów;
6. zidentyfikować potencjalne systemy wysokiego ryzyka oraz właściwe dla nich terminy;
7. osobno przeanalizować istniejące systemy zgodnie z art. 111, w tym przypadki z załącznika X i systemy przeznaczone do używania przez organy publiczne;
8. ustalić odpowiedzialność biznesową, prawną, techniczną i organizacyjną;
9. wdrożyć adekwatne działania wspierające kompetencje AI;
10. przygotować proces FRIA, jeżeli jednostka może znaleźć się w zakresie art. 27;
11. usunąć zidentyfikowane luki i udokumentować działania;
12. ustanowić monitoring zmian systemów i sposobów ich wykorzystania.

Najważniejsza zasada: najpierw przypadek użycia, potem dokumentacja

Ten sam model AI może zostać wykorzystany do przygotowania projektu komunikatu prasowego, wstępnej analizy kandydatów do pracy albo wspierania procesu przyznawania świadczeń.

Z punktu widzenia AI Act są to potencjalnie bardzo różne sytuacje.

Dlatego wdrożenie należy prowadzić od konkretnego przypadku użycia:

co system robi → w jakim procesie → jaką rolę pełni jednostka → jaka jest kwalifikacja prawna → czy zastosowanie jest dopuszczalne → jakie obowiązki i zabezpieczenia mają zastosowanie.

Dopiero odpowiedź na te pytania pozwala określić potrzebne procedury i dokumentację.

Właściwe wdrożenie AI Act oznacza więc przejście od zarządzania dokumentami do zarządzania konkretnymi przypadkami użycia AI i ich cyklem życia.

Podstawy prawne i materiały interpretacyjne

• AI Act – rozporządzenie (UE) 2024/1689, aktualny tekst skonsolidowany: EUR-Lex – AI Act
• Rozporządzenie (UE) 2026/1744 – Digital Omnibus on AI: EUR-Lex – rozporządzenie 2026/1744
• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003: Dziennik Ustaw – ustawa o systemach sztucznej inteligencji
• Harmonogram stosowania AI Act: AI Act Service Desk – harmonogram
• Wytyczne Komisji Europejskiej dotyczące definicji systemu AI: Komisja Europejska – definicja systemu AI
• Wytyczne Komisji Europejskiej dotyczące zakazanych praktyk: Komisja Europejska – zakazane praktyki AI
• Wytyczne Komisji Europejskiej dotyczące obowiązków transparentności z art. 50: Komisja Europejska – obowiązki transparentności