Połowa polskich urzędników używa AI po cichu, przed sierpniowym terminem AI Act

Co drugi urzędnik w polskich samorządach korzysta z narzędzi AI takich jak ChatGPT, Copilot czy Claude na własną rękę, bez wiedzy i kontroli pracodawcy. Tak wynika z badania Fundacji Miasto i Związku Miast Polskich, które opisuje zjawisko zwane Shadow AI - niejawne, nieuregulowane korzystanie ze sztucznej inteligencji w instytucjach publicznych. Problem narasta w momencie, gdy do pełnego zastosowania unijnego AI Act zostało niewiele ponad miesiąc.

Badanie, o którym pisze Prawo.pl, powstało na podstawie ankiety wśród członków Związku Miast Polskich. Wnioski są jednoznaczne - urzędnicy sięgają po komercyjne chatboty, żeby przyspieszyć pisanie pism, streszczać dokumenty czy szukać informacji, a robią to bez żadnego nadzoru instytucjonalnego. Formalnie wdrożone rozwiązania AI ma zaledwie 27,5 procent samorządów, choć realne użycie sztucznej inteligencji w codziennej pracy urzędów jest znacznie szersze.

Skala nieformalnego użycia

Z danych wynika, że tylko 8 procent przebadanych samorządów ma jakiekolwiek spisane zasady korzystania z AI przez pracowników. Około 20 procent jednostek pracuje nad strategiami wdrożenia sztucznej inteligencji, ale aż 60 procent w ogóle nie uwzględniło tego tematu w dokumentach strategicznych. Ponad połowa, 52 procent, wskazuje obawy o bezpieczeństwo danych jako główną barierę utrudniającą formalne wdrożenie.

Tam, gdzie AI trafiła do oficjalnego użytku, najczęściej wspiera automatyzację dokumentów i procesów biurowych - deklaruje to 63 procent samorządów. W dalszej kolejności AI pojawia się w promocji miast i turystyki oraz w systemach bezpieczeństwa, monitoringu i zarządzania ruchem.

Ryzyko prawne dla urzędów

Najbardziej oczywistym zagrożeniem jest naruszenie ochrony danych osobowych poprzez wprowadzenie do publicznych narzędzi AI informacji dotyczących obywateli jako elementu zapytania (promptu) - Paweł Dymek, radca prawny, Kancelaria Głowacki i Wspólnicy

Dymek zwraca uwagę, że konsekwencje nieformalnego korzystania z AI spadają nie na pracownika, lecz na instytucję. Jak podkreśla, wobec podmiotu poszkodowanego odpowiada urząd, czyli Skarb Państwa lub jednostka samorządu terytorialnego. To oznacza, że błąd pojedynczego urzędnika wpisującego dane obywatela do publicznego chatbota może skończyć się odpowiedzialnością odszkodowawczą całej instytucji.

Prawnik dodaje, że jeśli urząd decyduje się korzystać z konkretnego systemu AI, musi zapewnić jego stosowanie zgodnie z instrukcją producenta, wdrażając odpowiednie środki techniczne i organizacyjne. Brak takich zabezpieczeń, przy jednoczesnym nieformalnym korzystaniu przez pracowników z narzędzi w rodzaju ChatGPT czy Copilota, tworzy lukę odpowiedzialności, którą trudno domknąć po fakcie.

Miasta patrzą, ale nie działają

Miasta nie zakazują tej praktyki, ale też nie budują aktywnie strategii wspierających pracowników - Adam Mikołajczyk, ekspert ds. zrównoważonego marketingu miejskiego, Fundacja Miasto

Mikołajczyk opisuje sytuację, w której samorządy tolerują nieformalne korzystanie z AI, ale nie inwestują w szkolenia, polityki bezpieczeństwa ani infrastrukturę, która pozwoliłaby przenieść to użycie na legalny, kontrolowany grunt. Efektem jest strefa szara - urzędnicy korzystają z narzędzi, bo przyspieszają pracę, ale robią to poza jakąkolwiek kontrolą instytucjonalną.

Nieliczne wyjątki pokazują, że da się to zrobić inaczej. Gdynia testuje PLLuM, polski model językowy rozwijany w ramach krajowych projektów AI, do wspierania wyszukiwania danych obywateli i tworzenia dokumentów, jednocześnie przygotowując dokumentację zgodności z unijnymi wymogami na sierpień 2026 roku.

Zegar AI Act tyka

Presja czasowa jest realna. Obowiązek zapewnienia pracownikom odpowiedniej wiedzy o systemach AI, czyli tak zwana kompetencja AI, formalnie wszedł w życie już 2 lutego 2026 roku, ale wiele instytucji publicznych go nie wdrożyło. Od 2 sierpnia 2026 roku zaczynają obowiązywać znacznie surowsze wymogi dla systemów wysokiego ryzyka, obejmujące między innymi część zastosowań w administracji publicznej.

Kary za naruszenia zakazanych praktyk AI, takich jak niekontrolowane profilowanie obywateli czy masowe rozpoznawanie twarzy, mogą sięgać 35 milionów euro lub 7 procent globalnego rocznego obrotu organizacji. Dla samorządów finansowanych z budżetu publicznego to i tak drugorzędna groźba w porównaniu z ryzykiem odpowiedzialności odszkodowawczej wobec mieszkańców, o którym mówi Dymek.

Podobny problem dotyczy sektora prywatnego. Polskie firmy również często zakładają, że obowiązki wynikające z AI Act zaczną obowiązywać dopiero po uchwaleniu krajowej ustawy implementującej rozporządzenie, tymczasem unijne przepisy działają wprost, niezależnie od stanu prac legislacyjnych w Sejmie. Prawnicy ostrzegają, że część zakazanych praktyk, w tym rozpoznawanie emocji pracowników czy scoring społeczny, obowiązuje już teraz.

Dla polskich urzędów kluczowe będzie najbliższe półtora miesiąca. Instytucje, które nie zinwentaryzują używanych narzędzi AI, nie wprowadzą polityk bezpieczeństwa i nie przeszkolą pracowników przed 2 sierpnia, wejdą w nowy reżim prawny z otwartą luką między tym, co pracownicy faktycznie robią, a tym, co urząd oficjalnie nadzoruje.

Źródła: Prawo.pl (prawo.pl), Rzeczpospolita (rp.pl)