Paragrafem w algorytm

Od 28 października 2026 r. obowiązują kolejne przepisy polskiej ustawy o systemach sztucznej inteligencji. To właśnie one pozwalają na zapowiedziane kontrole, postępowania administracyjne oraz mechanizmy egzekwowania wymagań wynikających z unijnego rozporządzenia AI Act.

Radca prawny Michał Modro w rozmowie z „Menedżerem Zdrowia” zwraca uwagę, że dla szpitali, przychodni i pozostałych podmiotów leczniczych oznacza to konieczność znacznie dokładniejszego przyjrzenia się wykorzystywanym narzędziom.

– Dotyczy to nie tylko oprogramowania wspierającego diagnostykę czy podejmowanie decyzji klinicznych, lecz również rozwiązań używanych do organizacji pracy, komunikacji z pacjentami, przetwarzania dokumentacji lub zarządzania personelem – podkreśla Michał Modro, doprecyzowując, że podstawą zmian jest ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003). To właśnie 28 października weszły w życie jej art. 8–18 oraz rozdziały 3–5, 8 i 9.

Nowy organ nadzoru nad innowacjami

Polska ustawa powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), której zadaniem jest nadzorowanie przestrzegania przepisów dotyczących systemów AI w granicach przyznanych jej kompetencji.

Komisja otrzymała instrumenty pozwalające nie tylko badać zgodność funkcjonowania wdrażanych technologii z prawem, ale również reagować w sytuacjach, gdy ich wykorzystanie mogłoby zagrażać bezpieczeństwu użytkowników, zdrowiu lub prawom podstawowym.

– Nie oznacza to jednak, że KRiBSI automatycznie staje się organem właściwym do kontroli każdego wyrobu medycznego opartego na algorytmach. W przypadku niektórych rozwiązań, zwłaszcza tych objętych sektorowymi regulacjami, zasadnicze znaczenie zachowują kompetencje prezesa Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych – wyjaśnia Modro.

W praktyce pierwszym zagadnieniem, które powinna rozstrzygnąć placówka medyczna, jest nie tylko to, czy korzysta ze sztucznej inteligencji, ale również jaki charakter prawny ma konkretny system i który urząd pozostaje właściwy do jego nadzorowania.

Jak będzie przebiegała kontrola szpitala?

Zgodnie z art. 48 i 49 wspomnianej ustawy komisja może prowadzić kontrolę na podstawie przyjętego planu, uzyskanych informacji lub w ramach ogólnego monitorowania przestrzegania przepisów.

– Co do zasady procedura rozpoczyna się nie wcześniej niż po upływie siedmiu dni od doręczenia zawiadomienia. Ustawodawca przyjął również, że czynności audytowe będą prowadzone zdalnie, z wykorzystaniem środków komunikacji elektronicznej – tłumaczy Michał Modro, podkreślając, że inaczej wygląda sytuacja, gdy istnieje uzasadnione podejrzenie lub znaczące prawdopodobieństwo wystąpienia szkody dla życia, zdrowia, bezpieczeństwa albo praw podstawowych pacjentów. W takich przypadkach KRiBSI może zarządzić przeprowadzenie wizytacji bezpośrednio w siedzibie podmiotu leczniczego, a także – na warunkach określonych w art. 49 ust. 4 – odstąpić od siedmiodniowego terminu awizowania.

Modro przyznaje, że w ochronie zdrowia ma to szczególne znaczenie.

Nieprawidłowe działanie narzędzia wykorzystywanego do kwalifikacji chorych, ustalania priorytetów udzielania pomocy czy wspomagania decyzji klinicznych może bowiem wywoływać skutki znacznie poważniejsze niż błąd w zwykłym oprogramowaniu biurowym.

Kontrola nie musi przy tym kończyć się wyłącznie na zaleceniach. Art. 63 ustawy przewiduje możliwość nakazania zaprzestania stosowania systemu AI, jego wycofania z rynku albo z użytkowania, jeżeli stwarza on bezpośrednie zagrożenie. Takiej decyzji można nadać rygor natychmiastowej wykonalności.

Kary finansowe. Nawet 15 mln euro lub 3 proc. obrotu

Istotnym elementem nowego modelu nadzoru są sankcje administracyjne.

Art. 99 ust. 4 rozporządzenia AI Act przewiduje za określone naruszenia (w tym nakładane na podmioty stosujące systemy wysokiego ryzyka oraz w obszarze przejrzystości) kary do 15 mln euro lub do 3 proc. całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku, zależnie od tego, która wartość jest wyższa.

W przypadku naruszenia zakazanych praktyk maksymalny poziom restrykcji rośnie nawet do 35 mln euro albo 7 proc. obrotu.

Nie oznacza to jednak, że każda nieprawidłowość wdrożeniowa w szpitalu automatycznie uzasadnia nałożenie maksymalnej grzywny. Ostateczna wysokość sankcji zależy między innymi od rodzaju naruszonego obowiązku, okoliczności sprawy, rozmiaru szkody, stopnia odpowiedzialności oraz działań naprawczych podjętych przez zarząd. Odrębne zasady limitowania kar przewidziano dla sektora małych i średnich przedsiębiorstw. Znaczenie ma również status prawny jednostki – w tym szczególne reguły dotyczące podmiotów publicznych.

– Najważniejszy wniosek jest następujący: zagrożenie karą nie wynika z samego faktu korzystania z nowoczesnych technologii, lecz z naruszenia konkretnych, mających zastosowanie norm prawnych – podkreśla Michał Modro.

Opinia indywidualna za 150 zł. Nowy instrument ochrony prawnej?

Jednym z najbardziej interesujących rozwiązań przyjętych przez polskiego ustawodawcę jest możliwość wystąpienia do KRiBSI o wydanie opinii indywidualnej.

Na podstawie art. 9–13 ustawy dyrekcja może przedstawić komisji opis istniejącego rozwiązania AI lub planowanego wdrożenia, dołączając własną ocenę prawną.

Opłata za złożenie wniosku wynosi zaledwie 150 zł.

Urząd ma 30 dni na wydanie i doręczenie stanowiska, a w sprawach szczególnie skomplikowanych termin ten wydłuża się do 60 dni. Wprowadzono przy tym mechanizm o olbrzymim znaczeniu praktycznym: zgodnie z art. 12 ust. 3 niewydanie decyzji w ustawowym czasie uznaje się za akceptację stanowiska wnioskodawcy.

– Nie jest to jednak bezwarunkowe potwierdzenie legalności każdego oprogramowania. Ochrona prawna ściśle wiąże się z rzetelnie opisanym stanem faktycznym lub zdarzeniem przyszłym. Istotna jest również prawidłowość samego wniosku, ustawowe ograniczenia oraz możliwość późniejszej zmiany lub uchylenia opinii przez organ – wyjaśnia Modro, podkreślając, że dla menedżerów zdrowia jest to potencjalnie niezwykle użyteczny instrument. Zamiast poprzestawać na deklaracjach dostawcy technologii, można przygotować niezależną argumentację i zwrócić się o jej oficjalną weryfikację. Warto jednak oprzeć pismo na dokumentacji technicznej, faktycznym przeznaczeniu aplikacji oraz sposobie jej codziennego użytkowania. Ogólnikowe zapewnienia o bezpieczeństwie nie zastąpią pogłębionej analizy.

Diagnozująca AI – co z nią?

Czy system AI, który nie diagnozuje, to zawsze system niskiego ryzyka?

– To jedno z najczęstszych pytań zadawanych przez kadrę zarządzającą i dostawców innowacji medycznych. W praktyce często pojawia się komunikat, że modele nie pełnią funkcji diagnostycznych, dlatego nie są systemami wysokiego ryzyka. Taka teza może być prawdziwa w odniesieniu do konkretnego produktu, ale jako uniwersalna zasada do kwalifikacji prawnej – bywa myląca – zwraca uwagę Michał Modro.

Art. 6 AI Act i załącznik III określają bowiem inne przypadki wykorzystania sztucznej inteligencji, które podlegają pod surowsze rygory. W ochronie zdrowia mogą to być między innymi algorytmy oceniające stan pacjentów w nagłych wypadkach, ustalające priorytety wysyłania karetek czy wspierające decyzje o dostępie do określonych świadczeń. Także moduły wykorzystywane do rekrutacji lub zarządzania czasem pracy personelu podlegają kwalifikacji jako rozwiązania wysokiego ryzyka, mimo że nie służą leczeniu.

Z drugiej strony – proste narzędzia edytorskie, programy porządkujące zbiory administracyjne czy generatory szablonów korespondencji nie stają się automatycznie obarczone wysokim ryzykiem tylko przez to, że są zainstalowane na serwerach szpitala. O ostatecznej klasyfikacji decydują: przeznaczenie, rzeczywiste funkcje, kontekst zastosowania oraz sztywne kryteria unijnego rozporządzenia.

– Należy przy tym pamiętać o kalendarzu wdrażania przepisów. Zgodnie z harmonogramem obowiązki dotyczące systemów z załącznika III będą stosowane od 2 grudnia 2027 r., a te powiązane z produktami ujętymi w załączniku I – od 2 sierpnia 2028 r. Oznacza to, że nie wszystkie rygory AI Act uaktywniły się natychmiast 28 października bieżącego roku – podkreśla ekspert.

Co powinien zrobić dyrektor szpitala?

Dostosowanie placówki do nowego reżimu nadzoru to coś więcej niż szybka aktualizacja regulaminu organizacyjnego czy ogólnej polityki IT. W pierwszej kolejności niezbędny jest rygorystyczny przegląd funkcjonujących już wdrożeń.

Rekomendowane przez Michała Modro działania to:

• inwentaryzacja technologii: ustalenie, z jakich inteligentnych narzędzi korzystają pracownicy, w jakich procesach i na jakich licencjach umownych,
• klasyfikacja prawna: ocena, czy dany program jest systemem AI w rozumieniu rozporządzenia, czy figuruje jako wyrób medyczny i do jakiej kategorii ryzyka przynależy,
• weryfikacja bezpieczeństwa danych: audyt przepływów informacji, w szczególności zasad udostępniania danych pacjentów, cyfrowej dokumentacji medycznej i tajemnicy zawodowej,
• ustalenie odpowiedzialności: imienne określenie, kto w strukturze szpitala odpowiada za nadzór nad algorytmem, weryfikuje jego wyniki i posiada kompetencje, by wstrzymać jego działanie w razie błędu,
• przygotowanie dokumentacji kontrolnej: skompletowanie ocen ryzyka, instrukcji dostawców, rejestrów dostępu, procedur reagowania na incydenty oraz uzasadnień dla przyjętej klasyfikacji.

– Ostatni punkt bywa decydujący podczas postępowania kontrolnego. Samo wewnętrzne przekonanie zarządu o bezpieczeństwie sieci okaże się niewystarczające – trzeba będzie wykazać, że zastosowany model działania został uprzednio zbadany, odpowiednio zabezpieczony i podlega realnemu nadzorowi – mówi „Menedżerowi Zdrowia” Modro.

Nadzór nad AI to także odpowiedzialność za bezpieczeństwo pacjenta

Nowe regulacje nie znoszą dotychczasowych ram odpowiedzialności podmiotów leczniczych i osób wykonujących zawody medyczne.

– Wdrożenie algorytmów nie zwalnia lekarzy z obowiązku postępowania zgodnie z aktualną wiedzą medyczną, należytą starannością i prawami pacjenta. Nie wyłącza również stosowania wymogów RODO ani przepisów regulujących prowadzenie dokumentacji medycznej. Dlatego szczególnego znaczenia nabiera jasne wytyczenie granicy między wspomaganiem personelu przez oprogramowanie a faktycznym powierzaniem maszynie podejmowania ostatecznych decyzji. Jeżeli system reklamowany przez dostawcę jako wyłącznie pomocniczy w rzeczywistości wpływa na triage pacjentów, kolejność udzielania świadczeń lub ścieżkę kliniczną, placówka musi liczyć się z koniecznością ponownej oceny jego przeznaczenia i podstaw prawnych stosowania – mówi Modro.

Nowy etap nadzoru, ale nie koniec procesu wdrażania

28 października 2026 r. skończył się ważny etap tworzenia polskiego systemu nadzoru nad sztuczną inteligencją. Należy jednak odróżnić wejście w życie kompetencji kontrolnych od pełnej gotowości organizacyjnej urzędu. Ministerstwo Cyfryzacji wskazywało, że rozpoczęcie działalności KRiBSI jako organu kolegialnego przewidziano dopiero na listopad.

Z perspektywy rynku najważniejsza zmiana polega na tym, że innowacje technologiczne będą teraz podlegały coraz bardziej sformalizowanej certyfikacji prawno-administracyjnej.

– Nie każde narzędzie oparte na AI używane na oddziale wiąże się z wysokim ryzykiem, nie każde podlega identycznym obowiązkom i nie wszystkie znajdą się pod jurysdykcją tego samego organu. Jednak każdy dyrektor powinien precyzyjnie wiedzieć, z jakich rozwiązań korzysta zespół, jakie zagrożenia się z nimi wiążą i na jakiej podstawie dopuszczono je do użytku – podsumowuje Modro, podkreślając, że to właśnie skrupulatna kwalifikacja prawna połączona z ciągłym nadzorem człowieka stanowi dziś fundament bezpiecznego wykorzystania sztucznej inteligencji w ochronie zdrowia.

Mała aktualizacja, duże ryzyko Aktualizacja medycznego algorytmu to nie techniczny detal, lecz realne ryzyko kliniczne. Zmiana parametrów może drastycznie wpłynąć na trafność diagnoz, mimo braku jakichkolwiek zmian wizualnych w oprogramowaniu.

Przeczytaj także: „Wdrożenie AI to nie zakup licencji. Jak mądrze wykorzystać ją w ochronie zdrowia?” i „Mądry przed szkodą”.