Spis treści:
- AI Act a administracja samorządowa
- Ochrona danych osobowych a wykorzystanie AI w jst
- Halucynacje AI a odpowiedzialność urzędnika
- Shadow AI
- Polityka wewnętrzna jako fundament wdrożenia AI
- Doświadczenia z rekomendacji samorządowych
Pracownicy polskich urzędów korzystają ze sztucznej inteligencji. Robią to codziennie, często na prywatnych kontach i bez wiedzy przełożonych. Wejście w życie AI Act zmusza jednostki samorządu terytorialnego do uregulowania tego stanu rzeczy. Pytanie nie brzmi już, czy urzędnicy będą używać AI, lecz czy będą to robić w sposób zgodny z prawem.
Raport strategiczny UODO ze stycznia 2026 r., przeprowadzony na próbie 492 organizacji (w tym 439 z sektora publicznego), pokazuje, że 17% podmiotów korzysta z AI w codziennej działalności, a kolejne 40% jest w fazie testów lub planuje wdrożenie. Wśród zastosowań dominuje automatyzacja procesów administracyjnych (41% wskazań), analityka danych (31%) i obsługa interesantów przez chatboty (28%) [1].
AI Act a administracja samorządowa
Rozporządzenie w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (dalej: AI Act) wprowadza system regulacji oparty na podejściu proporcjonalnym do ryzyka. Dla jst istotne są cztery grupy przepisów, wchodzące w życie etapami w latach 2025–2027.
- Grupa przepisów dotycząca obowiązku zapewnienia kompetencji w zakresie AI (art. 4 AI Act), który obowiązuje od 2 lutego 2025 r. – przepis nakłada na wszystkie podmioty wdrażające lub wykorzystujące systemy AI obowiązek zapewnienia, by personel posiadał wiedzę i umiejętności niezbędne do świadomego korzystania z tych narzędzi. W praktyce urzędu oznacza to konieczność przeprowadzenia i udokumentowania szkoleń.
- Praktyki bezwzględnie zakazane, wymienione w art. 5 AI Act (zakazy obowiązują od 2 lutego 2025 r.) – z perspektywy jst szczególne znaczenie ma zakaz stosowania systemów scoringu społecznego, czyli systemów oceniających osoby fizyczne na podstawie ich zachowań społecznych, jeżeli taka ocena prowadzi do niekorzystnego traktowania w kontekście niezwiązanym z kontekstem, w którym dane zostały wygenerowane. Zakaz ten nabiera praktycznego znaczenia, gdy jst rozważa wdrożenie systemów priorytetyzujących wnioski mieszkańców lub automatycznie oceniających ich wiarygodność.
- Systemy wysokiego ryzyka – administracja publiczna jest sektorem, w którym systemy AI często spełniają kryteria tej klasyfikacji. Zgodnie z Załącznikiem III AI Act do kategorii wysokiego ryzyka należą systemy wykorzystywane do podejmowania decyzji o przyznaniu świadczeń publicznych, oceny kwalifikowalności do usług publicznych, a także systemy wspierające działalność organów ścigania [2]. Podmioty wdrażające takie systemy będą musiały spełnić wymagania w zakresie zarządzania ryzykiem, jakości danych, dokumentacji technicznej i nadzoru ludzkiego. Wszystkie obowiązki zaczną obowiązywać od 2 sierpnia 2026 r. Większość jst nie wdraża obecnie własnych systemów wysokiego ryzyka, ale może korzystać z takich systemów dostarczanych przez podmioty trzecie. W takim przypadku na jst spoczywa rola podmiotu wdrażającego (deployer), co również wiąże się z określonymi obowiązkami, w tym obowiązkiem przeprowadzenia oceny wpływu na prawa podstawowe.
- Obowiązki przejrzystości z art. 50 AI Act – jeżeli urząd wdraża chatbota na stronie internetowej, musi poinformować użytkowników, że wchodzą w interakcję z systemem AI, a nie z człowiekiem. Treści generowane przez AI (np. automatyczne odpowiedzi na zapytania) powinny być odpowiednio oznaczane.
Ochrona danych osobowych a wykorzystanie AI w jst
Każda informacja wprowadzona do narzędzia AI stanowi dane przekazywane dostawcy usługi. W przypadku bezpłatnych wersji narzędzi (ChatGPT Free, Claude Free) dane te mogą być wykorzystywane do dalszego trenowania modeli. Tymczasem raport UODO wskazuje, że 58,5% badanych organizacji nie dostrzega związku między wykorzystaniem AI a przetwarzaniem danych osobowych [3]. Luka w świadomości jest równie poważna jak luka w regulacjach.
Europejska Rada Ochrony Danych w opinii 28/2024 potwierdziła, że przetwarzanie danych osobowych w kontekście modeli AI podlega pełnemu reżimowi rodo [4]. Dla jst jako administratora danych wynikają z tego konkretne obowiązki.
Zasada privacy by design wymaga, by przed wdrożeniem narzędzia AI dokonano analizy jego wpływu na przetwarzanie danych osobowych [5]. Często konieczne będzie przeprowadzenie DPIA [6], zwłaszcza gdy narzędzie ma służyć do przetwarzania danych mieszkańców. Korzystanie z narzędzi AI w modelu chmurowym wymaga zawarcia umowy powierzenia przetwarzania z dostawcą (art. 28 rodo), a analiza warunków świadczenia usług powinna obejmować lokalizację serwerów, warunki retencji danych i klauzule dotyczące trenowania modeli na danych użytkowników.
Bezpłatne wersje ChatGPT i Claude wykorzystują dane użytkowników do dalszego trenowania [7], co oznacza utratę kontroli nad przekazanymi informacjami. W przypadku chińskich narzędzi AI (DeepSeek, Kimi) ryzyko jest jeszcze większe, ponieważ dane przetwarzane są w jurysdykcji, która nie zapewnia ochrony porównywalnej z rodo [8]. Wprowadzanie danych służbowych do tych narzędzi jest niedopuszczalne.
W praktyce weryfikacja dostawcy AI pod kątem rodo powinna obejmować co najmniej pięć elementów:
- lokalizację serwerów i istnienie decyzji o adekwatności lub standardowych klauzul umownych;
- warunki retencji danych wejściowych i wygenerowanych odpowiedzi;
- klauzule dotyczące wykorzystywania danych do trenowania modeli (i możliwość wyłączenia tej funkcji);
- gotowość dostawcy do zawarcia umowy powierzenia przetwarzania zgodnej z art. 28 rodo;
- procedury reagowania na naruszenia ochrony danych.
Wersje Enterprise popularnych narzędzi (ChatGPT Enterprise, Claude Team), co do zasady, oferują wyłącznie trenowanie na danych użytkowników i DPA zgodne z rodo, co czyni je realną opcją dla jst. Decyzja o wyborze narzędzia powinna być poprzedzona analizą prawną i uzgodniona z inspektorem ochrony danych.
Halucynacje AI a odpowiedzialność urzędnika
Modele językowe nie przechowują informacji w sposób umożliwiający ich wiarygodne przywołanie. Generują tekst na podstawie statystycznego prawdopodobieństwa następnego słowa. W konsekwencji mogą produkować treści brzmiące przekonująco, lecz całkowicie nieprawdziwe: fikcyjne przepisy, nieistniejące orzeczenia, błędne dane liczbowe. Zjawisko to określa się mianem halucynacji AI.
W 2023 r. amerykańscy prawnicy przedłożyli sądowi pisma procesowe zawierające fikcyjne orzeczenia wygenerowane przez ChatGPT [9]. Sąd nałożył kary finansowe. W administracji samorządowej analogiczny scenariusz wygląda tak: urzędnik powołuje się w uzasadnieniu decyzji na nieistniejący przepis, przytacza błędne orzeczenie lub podaje nieprawdziwe statystyki. Konsekwencje mogą dotknąć zarówno urzędnika, jak i organ.
Odpowiedzialność za dokument urzędowy ponosi człowiek, który go podpisuje, niezależnie od tego, jakim narzędziem się posługiwał. Zasady legalizmu (art. 6 kpa), prawdy obiektywnej i budowania zaufania do władzy publicznej (art. 7 i 8 § 1 kpa) wymagają, by rozstrzygnięcie organu opierało się na zweryfikowanych ustaleniach faktycznych i prawidłowo zastosowanych przepisach. Uzasadnienie decyzji (art. 107 § 3 kpa) musi być rzeczowe, kompletne i oparte na faktach. Bezrefleksyjne przejmowanie treści wygenerowanych przez AI nie spełnia tych standardów.
Problem halucynacji ma też konsekwencje w orzecznictwie sądów administracyjnych. Sądy weryfikują uzasadnienia decyzji pod kątem kompletności i prawidłowości zastosowanych przepisów. Decyzja oparta na nieistniejącym orzeczeniu lub błędnie zinterpretowanym przepisie może zostać uchylona w postępowaniu sądowoadministracyjnym, a organ może zostać zobowiązany do ponownego rozpatrzenia sprawy. AI może stanowić punkt wyjścia do analizy, ale weryfikacja wyniku w pierwotnych źródłach (tekst aktu prawnego, baza orzeczeń, komentarz) jest obowiązkiem, nie opcją. Dotyczy to szczególnie powołań na konkretne artykuły ustaw, sygnatury orzeczeń i dane statystyczne.
Shadow AI
Niekontrolowane korzystanie z narzędzi sztucznej inteligencji przez pracowników na prywatnych kontach, bez wiedzy pracodawcy to zjawisko znane jako shadow AI. Badania NASK wskazują, że znaczna część pracowników administracji używa AI we własnym zakresie [10], wprowadzając do bezpłatnych narzędzi dane służbowe, fragmenty korespondencji, projekty dokumentów i dane osobowe interesantów.
Problem wynika często nie ze złej woli, lecz z braku jasnych reguł. Gdy urząd nie oferuje zatwierdzonego narzędzia i nie określa zasad, pracownicy sięgają po bezpłatne rozwiązania dostępne w przeglądarce, traktując je jako naturalne przedłużenie wyszukiwarki. Różnica polega na tym, że wyszukiwarka nie przetwarza treści zapytania w celu trenowania modelu. Bezpłatne narzędzie AI może to robić.
Zakazywanie korzystania z AI bez zaoferowania alternatywy prowadzi wyłącznie do głębszego ukrycia problemu. Skuteczna odpowiedź wymaga połączenia regulacji (polityka AI), edukacji (szkolenia) i infrastruktury (dostęp do zatwierdzonych narzędzi). Shadow AI nie ogranicza się do dużych modeli językowych. Pracownicy korzystają również z narzędzi tłumaczących, generatorów grafik, asystentów wbudowanych w przeglądarki i aplikacje biurowe. Każde z tych narzędzi może przetwarzać dane w sposób niekontrolowany przez administratora.
Polityka wewnętrzna jako fundament wdrożenia AI
Warunkiem odpowiedzialnego wykorzystania AI w jednostkach samorządu terytorialnego jest wewnętrzna polityka korzystania ze sztucznej inteligencji, przyjęta jako zarządzenie wójta, burmistrza, prezydenta miasta lub dyrektora jednostki organizacyjnej.
Polityka powinna wskazywać katalog narzędzi dopuszczonych do użytku służbowego (whitelist) wraz z określeniem, które kategorie danych mogą być w nich przetwarzane. Lista wymaga okresowej aktualizacji w miarę zmian na rynku i w przepisach.
Polityka musi jednoznacznie określać zakazy:
- wprowadzania danych osobowych do narzędzi działających na bezpłatnych kontach;
- korzystania z chińskich modeli AI do celów służbowych;
- podejmowania decyzji administracyjnych wyłącznie na podstawie wyników AI bez weryfikacji przez człowieka;
- wykorzystywania AI do profilowania mieszkańców.
Każda polityka AI powinna ustanawiać obowiązek weryfikacji i dokumentacji. Pracownik korzystający z AI powinien sprawdzić każdy wynik wygenerowany przez system, ze szczególnym uwzględnieniem przepisów prawnych, dat, danych liczbowych i powołań na orzecznictwo. Polityka powinna określać, w jakim zakresie korzystanie z AI wymaga odnotowania w dokumentacji sprawy.
Niezbędne jest też wyznaczenie osoby odpowiedzialnej za koordynację wykorzystania AI w urzędzie. Nie musi to być osobne stanowisko. Funkcję można powierzyć inspektorowi ochrony danych, pełnomocnikowi ds. cyberbezpieczeństwa lub innemu pracownikowi z odpowiednimi kompetencjami.
Polityka nie musi być obszernym dokumentem. Zarządzenie na dwie–trzy strony, które jasno wskazuje dozwolone narzędzia, formuje zakazy i określa zasady weryfikacji, stanowi wystarczający punkt wyjścia. Z czasem dokument można rozbudowywać o procedury DPIA, schematy klasyfikacji systemów AI według AI Act czy wewnętrzne regulaminy korzystania z chatbotów w obsłudze interesantów. Istotne jest, by pierwsza wersja polityki powstała szybko i została zakomunikowana pracownikom, zamiast czekać na doskonały dokument, który nigdy nie powstanie.
Doświadczenia z rekomendacji samorządowych
Krajowa Izba Radców Prawnych jako pierwszy samorząd zawodowy w Polsce przyjęła w 2025 r. rekomendacje dotyczące wykorzystania AI przez radców prawnych [12]. Dokument ten, choć adresowany do radców wykonujących zawód w różnych formach, zawiera założenia mające bezpośrednie zastosowanie w obsłudze prawnej jst.
Rekomendacje opierają się na założeniu, że korzystanie z AI jest dopuszczalne, o ile nie narusza obowiązków zawodowych, w tym tajemnicy zawodowej i obowiązku staranności. Radca prawny obsługujący jst może posługiwać się narzędziami AI do wstępnej analizy stanu prawnego, przygotowania projektów pism czy przeglądu orzecznictwa, pod warunkiem weryfikacji każdego wyniku i nieujawniania informacji objętych tajemnicą zawodową.
Dotychczasowe doświadczenia wskazują, że klarowne wytyczne (co wolno, czego nie wolno, na jakich warunkach) są skuteczniejsze od całkowitych zakazów. Organizacje, które przyjęły taką formułę, odnotowują spadek przypadków shadow AI i wzrost jakości wykorzystania narzędzi tam, gdzie jest to uzasadnione. Podobne podejście przyjęły samorządy zawodowe w innych krajach europejskich, w tym izby adwokackie w Niemczech, Francji i Holandii, a także stanowe izby adwokackie w Stanach Zjednoczonych. Wszędzie wspólnym mianownikiem jest dopuszczenie AI pod warunkiem zachowania odpowiedzialności człowieka za efekt końcowy.
Sztuczna inteligencja w administracji samorządowej jest faktem. Zadaniem prawników obsługujących jst jest dopilnowanie, by ten fakt funkcjonował w ramach prawnych i organizacyjnych chroniących prawa mieszkańców i interes publiczny. Czas na działanie jest teraz. AI literacy obowiązuje od lutego 2025 r., a pełne wymogi dla systemów wysokiego ryzyka będą wymagane w sierpniu 2026 r. Jednostki, które zaczną od opracowania polityki wewnętrznej, przeprowadzenia audytu i przeszkolenia pracowników, będą przygotowane na kolejne etapy regulacji. Te, które tego nie zrobią, będą reagować na problemy, zamiast im zapobiegać.
Podstawa prawna
- rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, DzUrz UE L 119 z 04.05.2016
- rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828, DzUrz UE L 2024/1689 z 12.07.2024
- ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, tekst jedn. DzU z 2025 r., poz. 1691 ze zm.
Przypisy
- UODO, Raport Strategiczny – Badanie potrzeb organizacji w zakresie wykorzystania sztucznej inteligencji, Warszawa, styczeń 2026, s. 3 i n.
- Art. 6 w zw. z Załącznikiem III pkt 1 lit. a AI Act. Zob. art. 26 i 27 AI Act odnośnie do obowiązków podmiotów wdrażających systemy wysokiego ryzyka.
- UODO, Raport Strategiczny…, dz. cyt., s. 15.
- EROD, Opinia 28/2024 w sprawie niektórych aspektów ochrony danych związanych z przetwarzaniem danych osobowych w kontekście modeli sztucznej inteligencji, przyjęta 17 grudnia 2024 r.
- Art. 25 rodo (ochrona danych w fazie projektowania oraz domyślna ochrona danych).
- Art. 35 rodo (ocena skutków dla ochrony danych).
- Zob. OpenAI Terms of Use, tinyurl.com/polopenai [dostęp: 14.04.2026]; Anthropic Terms of Service, tinyurl.com/anthroleg [dostęp: 14.04.2026].
- DeepSeek Privacy Policy wskazuje, że dane użytkowników są przechowywane na serwerach w Chinach i podlegają chińskiemu prawu, co wyklucza ich wykorzystanie do celów służbowych w administracji publicznej.
- Mata v. Avianca, Inc., Case No. 22-cv-1461 (S.D.N.Y. 2023) z 22 czerwca 2023 r. Sąd nałożył kary na prawników, którzy przedłożyli pisma procesowe zawierające fikcyjne orzeczenia wygenerowane przez ChatGPT.
- NASK, Koncepty rozwiązań AI dla urzędów. Badanie jakościowe i ilościowe, Ministerstwo Cyfryzacji, Warszawa 2025.
- UODO, Raport Strategiczny…, dz. cyt., s. 3 i n.
- KIRP, Rekomendacje Krajowej Izby Radców Prawnych dotyczące wykorzystania sztucznej inteligencji przez radców prawnych, Warszawa 2025.
Autor
Paweł Kowalski
Autor jest doktorem prawa, radcą prawnym, adiunktem na Wydziale Prawa Uniwersytetu SWPS w Warszawie; pełnomocnikiem Prezesa Krajowej Izby Radców Prawnych ds. nowych technologii.
