Nowe zasady nadzoru nad AI w Polsce. Co zmieniają dla podmiotów leczniczych

Polska ustawa o systemach sztucznej inteligencji została ogłoszona 27 lipca 2026 r., a jej zasadnicza część weszła w życie 11 sierpnia. Nie zastępuje ona unijnego AI Act, lecz uzupełnia go na poziomie krajowym. To AI Act określa zasady wprowadzania systemów sztucznej inteligencji do obrotu, oddawania ich do użytku i stosowania. Z niego wynikają m.in. zakazane praktyki, wymagania dotyczące przejrzystości, obowiązek wspierania rozwoju kompetencji w zakresie AI oraz szczególne wymagania dla systemów wysokiego ryzyka.

Polska ustawa odpowiada przede wszystkim na pytania: kto będzie nadzorował przestrzeganie tych przepisów w Polsce, jak będzie wyglądała kontrola i postępowanie oraz jakie możliwości działania otrzyma krajowy organ nadzoru.

Centralnym elementem nowego systemu jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI. Ustawa wskazuje ją jako organ nadzoru rynku AI oraz pojedynczy punkt kontaktowy w Polsce.

Do jej zadań należą m.in.:

• kontrola przestrzegania AI Act i polskiej ustawy,
• prowadzenie postępowań w sprawie naruszeń,
• wydawanie postanowień i decyzji,
• prowadzenie rejestru skarg,
• wydawanie opinii indywidualnych i wyjaśnień,
• nakładanie administracyjnych kar pieniężnych,
• tworzenie piaskownic regulacyjnych i zarządzanie nimi.

Komisja ma również prowadzić działania edukacyjne, publikować dobre praktyki i monitorować rozwój sztucznej inteligencji. Informacje o dobrych praktykach stosowanych przez przedsiębiorców oraz jednostki sektora finansów publicznych mają być publikowane co roku do 31 marca.

Komisja nie jest jedynym organem zajmującym się obszarami, w których może być wykorzystywana sztuczna inteligencja. Polska ustawa przewiduje jej współpracę m.in. z Prezesem Urzędu Ochrony Danych Osobowych, organami odpowiedzialnymi za cyberbezpieczeństwo oraz Prezesem Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych.

Ustawa wymienia również Głównego Inspektora Farmaceutycznego. W tym przypadku współpraca ma jednak wąski zakres. Dotyczy systemów AI wykorzystywanych do wykrywania naruszeń prawa w obrocie produktami leczniczymi oraz monitorowania ich dostępności i ciągłości dostaw. 

Jeden system może podlegać ocenie kilku organów, ale każdy z nich będzie działał w granicach swojej właściwości. Przykładowo Prezes UODO pozostaje właściwy w sprawach dotyczących przetwarzania danych osobowych niezależnie od działalności KRiBSI.

Nie każdy system wykorzystywany w ochronie zdrowia będzie podlegał bezpośredniemu nadzorowi KRiBSI.

W przypadku systemów AI wysokiego ryzyka związanych z produktami objętymi unijnymi przepisami wskazanymi w sekcji A załącznika I do AI Act organem nadzoru rynku pozostaje organ właściwy dla danego produktu. Wyroby medyczne i wyroby medyczne do diagnostyki in vitro znajdują się w tej części załącznika. W Polsce właściwy będzie co do zasady Prezes URPL.

Nie wystarczy jednak stwierdzenie, że dane oprogramowanie jest używane w ochronie zdrowia. Trzeba ustalić jego przeznaczenie, status jako wyrobu medycznego, klasę ryzyka oraz to, czy jego ocena zgodności wymaga udziału jednostki notyfikowanej.

KRiBSI będzie współpracowała z Prezesem URPL, ale nie zastąpi go jako organu właściwego dla systemów objętych sektorowym nadzorem nad wyrobami medycznymi.

Warto przy tym uwzględnić zmianę terminów wynikającą z rozporządzenia (UE) 2026/1744, czyli Digital Omnibus. Szczególne obowiązki AI Act dotyczące systemów wysokiego ryzyka związanych z produktami wskazanymi w sekcji A załącznika I zaczną być stosowane najpóźniej 2 sierpnia 2028 r. Nie wpływa to na obowiązki, które już dziś wynikają z przepisów o wyrobach medycznych.

Przepisy o kontrolach wejdą w życie 28 października 2026 r. Komisja będzie mogła sprawdzać przestrzeganie AI Act i polskiej ustawy.

Kontrola lub poszczególne czynności kontrolne mają być co do zasady prowadzone zdalnie. Komisja będzie korzystać w tym celu z elektronicznych środków komunikacji na odległość. Kontrolę przeprowadza się nie wcześniej niż po siedmiu dniach od doręczenia kontrolowanemu zawiadomienia o jej wszczęciu.

Kontrola w siedzibie placówki lub w innym miejscu prowadzenia działalności nie będzie zwykłą alternatywą dla kontroli zdalnej. Komisja będzie mogła wydać postanowienie o przeprowadzeniu części albo całości czynności na miejscu, jeżeli istnieje uzasadnione podejrzenie lub znaczące prawdopodobieństwo wystąpienia szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych osób fizycznych.

W takiej sytuacji Komisja będzie mogła również postanowić o rozpoczęciu kontroli bez zachowania siedmiodniowego terminu – w zakresie podmiotów wskazanych w art. 48 ust. 3 ustawy.

Kontrolujący będzie mógł m.in.:

• żądać dostępu do dokumentów, danych i materiałów związanych z przedmiotem kontroli,
• sporządzać kopie i wyciągi,
• zabezpieczać dowody,
• żądać ustnych lub pisemnych wyjaśnień,
• uzyskać dostęp do urządzeń i systemów informatycznych,
• utrwalać przebieg kontroli za pomocą urządzeń rejestrujących obraz lub dźwięk po uprzednim poinformowaniu kontrolowanego.

Uprawnienia te mogą objąć także dostęp do korespondencji elektronicznej, jeżeli pozostaje ona w związku z przedmiotem kontroli. Po jej zakończeniu powstanie protokół. Kontrolowany będzie miał 14 dni od jego doręczenia na podpisanie dokumentu albo zgłoszenie pisemnych zastrzeżeń.

Jeżeli kontrola wykaże uchybienia, Komisja wyda zalecenia pokontrolne. Wskaże w nich nieprawidłowości, działania potrzebne do ich usunięcia oraz sposób poinformowania o wykonaniu zaleceń.

Co do zasady termin na usunięcie nieprawidłowości nie będzie mógł być krótszy niż 30 dni. Krótszy termin będzie możliwy za zgodą kontrolowanego albo wtedy, gdy dane naruszenia powtarzały się już wcześniej.

Jeżeli podmiot nie usunie uchybień lub nie przekaże informacji o wykonaniu zaleceń, Komisja będzie mogła wszcząć z urzędu postępowanie w sprawie naruszenia przepisów.

Polska ustawa przewiduje odrębny, szybki tryb postępowania, jeżeli system AI może stwarzać szczególne zagrożenie.

W przypadku stwierdzenia bezpośredniego ryzyka zagrożenia życia, zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych Komisja będzie mogła nakazać operatorowi:

• zaprzestanie stosowania systemu,
• wycofanie systemu z rynku,
• wycofanie systemu z użytkowania.

Postępowanie w tym trybie nie może trwać dłużej niż siedem dni od jego wszczęcia. Wydanej decyzji Komisja będzie mogła nadać rygor natychmiastowej wykonalności.

Mechanizm ten nie oznacza jednak, że każdy niebezpieczny system medyczny będzie wyłączany przez KRiBSI. Tryb dotyczy systemów pozostających w jej właściwości. W przypadku systemów AI objętych sektorowym nadzorem nad wyrobami medycznymi właściwy może być Prezes URPL, działający na podstawie odrębnych procedur.

Przepisy dotyczące postępowania przed KRiBSI zaczną obowiązywać 28 października 2026 r., a ich praktyczne stosowanie będzie możliwe po ukonstytuowaniu się Komisji.

Prawo do złożenia skargi wynika z art. 85 AI Act, stosowanego od 2 sierpnia 2026 r. Polska ustawa określa krajową procedurę składania i rozpatrywania skarg przez KRiBSI. Przepisy te zaczną obowiązywać 28 października 2026 r.

Skargę będzie mogła złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej. Powinna ona zawierać:

• nazwę lub opis systemu,
• dane podmiotu, którego dotyczy, jeżeli można je ustalić,
• opis istotnych okoliczności,
• powody, dla których skarżący uważa, że doszło do naruszenia przepisów.

Co do zasady skargę będzie się składać elektronicznie. Forma papierowa będzie dopuszczalna w przypadku braku możliwości skorzystania z postaci elektronicznej. Samo złożenie skargi nie będzie automatycznie wszczynało postępowania. Jeżeli podczas jej rozpatrywania Komisja stwierdzi, że mogło dojść do naruszenia AI Act lub polskiej ustawy, wszcznie postępowanie z urzędu. Komisja będzie mogła również wszcząć postępowanie na podstawie informacji zgromadzonych podczas kontroli albo na wniosek podmiotów wskazanych w ustawie.

Jeżeli w toku postępowania pojawi się uzasadnione podejrzenie naruszenia prawa, Komisja będzie mogła wydać ostrzeżenie.

Wskaże w nim działania potrzebne do przywrócenia zgodności z przepisami. Może chodzić m.in. o:

• zablokowanie systemu lub jego elementów,
• uniemożliwienie użytkownikom uzyskania do nich dostępu,
• podjęcie działań naprawczych,
• wykonanie obowiązku informacyjnego wobec użytkowników, kontrahentów, pracowników lub innych osób, na które system oddziałuje.

Podmiot będzie miał 21 dni od otrzymania ostrzeżenia na przekazanie Komisji informacji o wykonaniu wskazanych działań.

Jeżeli nie zastosuje się do ostrzeżenia, Komisja będzie mogła m.in. nakazać wykonanie obowiązku informacyjnego, opublikować w Biuletynie Informacji Publicznej informację o braku reakcji oraz powiadomić właściwe organy krajowe i unijne, w tym Komisję Europejską i Europejską Radę ds. Sztucznej Inteligencji.

Od 28 października 2026 r. podmiot objęty przepisami albo dopiero planujący wdrożenie systemu AI będzie mógł wystąpić do Komisji o opinię indywidualną. Wniosek może dotyczyć istniejącej sytuacji lub przyszłego działania. Powinien zawierać dokładny opis jednego zagadnienia oraz własne stanowisko wnioskodawcy dotyczące jego oceny prawnej. Opłata za złożenie wniosku wyniesie 150 zł.

Komisja powinna wydać opinię w ciągu 30 dni, a w szczególnie skomplikowanej sprawie – 60 dni. Jeżeli nie dotrzyma właściwego terminu, uznaje się, że wydała opinię zgodną ze stanowiskiem przedstawionym we wniosku.

Opinia będzie wiążąca dla Komisji oraz organów, których stanowiska zasięgnięto w danej sprawie, w odniesieniu do opisanego stanu faktycznego albo przyszłego zdarzenia. Zastosowanie się do niej przed jej zmianą, uchyleniem lub wygaśnięciem nie może szkodzić wnioskodawcy. Nie jest to jednak ochrona bezwarunkowa. Komisja będzie mogła zmienić albo uchylić opinię, gdy stwierdzi jej nieprawidłowość, a także stwierdzić jej wygaśnięcie, jeżeli będzie niezgodna z wyjaśnieniami wydanymi na podstawie art. 16 w takim samym stanie prawnym.

Opinii nie wydaje się w zakresie sprawy, która jest już przedmiotem postępowania przed Komisją, innym organem lub sądem albo została rozstrzygnięta. Jednocześnie opinii nie można zmienić, jeżeli w wyniku jej wydania wystąpiły lub mogą wystąpić nieodwracalne skutki.

Ten sam podmiot będzie mógł złożyć kolejny wniosek o opinię nie wcześniej niż po upływie 30 dni od złożenia poprzedniego.

Polska ustawa tworzy również podstawy działania piaskownic regulacyjnych. Przepisy w tym zakresie wejdą w życie również 28 października 2026 r.

Piaskownica ma umożliwiać rozwijanie i testowanie systemu AI w kontrolowanym środowisku. Projekt powinien mieć określony harmonogram i cel, zasady przetwarzania danych osobowych, procedury zarządzania ryzykiem oraz warunki testowania w rzeczywistym środowisku.

Czas uczestnictwa ma wynosić od sześciu do 12 miesięcy. Mikro-, mali i średni przedsiębiorcy będą mogli uczestniczyć w piaskownicy bezpłatnie. Opłata dla jednostki samorządu terytorialnego nie będzie mogła przekroczyć dwukrotności minimalnego wynagrodzenia, a dla innych podmiotów – jego czterokrotności. Konkretne stawki określi rozporządzenie.

Dla podmiotu leczniczego rozwijającego własne rozwiązanie lub uczestniczącego w projekcie technologicznym może to być sposób na sprawdzenie systemu przy współpracy z regulatorem. Udział w piaskownicy nie zwalnia jednak z odpowiedzialności za bezpieczeństwo pacjentów ani z przestrzegania przepisów o ochronie danych.

Wysokość oraz podstawowe zasady nakładania kar wynikają z unijnego AI Act. Polska ustawa określa natomiast krajową procedurę ich wymierzania oraz możliwości złagodzenia sankcji i przewiduje kilka odrębnych mechanizmów.

Komisja będzie mogła zmniejszyć nałożoną karę o 10–50%, jeżeli ukarany podmiot w ciągu trzech miesięcy od doręczenia decyzji wykona działania wskazane wcześniej w ostrzeżeniu. Mechanizm ten nie będzie dostępny, jeśli naruszenie doprowadziło do śmierci lub poważnego uszczerbku na zdrowiu.

Odrębnym rozwiązaniem jest układ w sprawie nadzwyczajnego złagodzenia sankcji. Może zostać zawarty, jeżeli podmiot m.in. zaprzestał naruszania prawa lub usunął stan niezgodności oraz ujawnił Komisji istotne okoliczności sprawy i przedstawił dowody.

W ramach układu Komisja będzie mogła obniżyć karę o 20–70%, a w szczególnym przypadku działania z własnej inicjatywy – o 30–90%. Ustawa pozwala także odroczyć termin zapłaty kary lub rozłożyć ją na raty, jeżeli przemawia za tym ważny interes ukaranego podmiotu.

Warto przygotować się na nowy system nadzoru i uporządkować sposób korzystania z narzędzi AI. W pierwszej kolejności warto ustalić:

• Z jakich systemów i narzędzi AI korzystają poszczególne komórki placówki – również nieformalnie.
• Które narzędzia mogą podlegać nadzorowi KRiBSI, a które przepisom dotyczącym wyrobów medycznych.
• Czy placówka posiada dokumenty i dane, których może zażądać organ podczas kontroli.
• Kto odpowiada za kontakt z organem nadzoru i przygotowanie wyjaśnień.
• Jak placówka reaguje na błędy lub incydenty związane z działaniem systemu.
• Kto może podjąć decyzję o ograniczeniu albo wstrzymaniu korzystania z narzędzia.

Podmiot powinien potrafić wskazać, z jakich systemów korzysta, kto odpowiada za ich działanie i w jaki sposób reaguje na ryzyko – zwłaszcza gdy może ono dotyczyć zdrowia lub bezpieczeństwa pacjenta.

Wejście w życie polskiej ustawy nie oznacza, że podmioty lecznicze otrzymały nową listę obowiązków dotyczących każdego zastosowania sztucznej inteligencji. Ustawa tworzy jednak instytucje i procedury, dzięki którym przestrzeganie przepisów o AI będzie mogło być kontrolowane i egzekwowane w Polsce.

Dla placówek medycznych najważniejsze są trzy zmiany: ustanowienie krajowego organu nadzoru, określenie procedury składania skarg oraz możliwość wydania przez KRiBSI decyzji o zaprzestaniu stosowania systemu pozostającego w jej właściwości i stwarzającego bezpośrednie ryzyko dla życia lub zdrowia. Dlatego placówka powinna wiedzieć, gdzie wykorzystuje AI, jakiemu nadzorowi podlega dane narzędzie i kto odpowiada za reakcję na jego nieprawidłowe działanie.