Od kiedy organizacje społeczne muszą stosować ustawę o systemach AI?

Ustawa o systemach AI z 3 lipca 2026 roku, opublikowana w Dzienniku Ustaw 2026 poz. 1003, weszła w życie 11 sierpnia 2026 roku. Obowiązuje więc także organizacje pozarządowe, które korzystają z narzędzi sztucznej inteligencji.

Kiedy KRiBSI zacznie kontrole zgodności z przepisami o AI?

Uprawnienia kontrolne Komisji Rozwoju i Bezpieczeństwa Systemów Informatycznych (KRiBSI) zaczynają obowiązywać od 28 października 2026 roku. Kontrola obejmuje zgodność z rozporządzeniem 2024/1689 oraz ustawą.

Czy wklejanie danych osobowych do darmowego chatbota jest dozwolone?

Według opinii Bezprawnika z 21 października 2026 roku taka czynność może oznaczać przekazanie danych bez umowy powierzenia wymaganej przez art. 28 RODO. Przed wklejaniem danych warto sprawdzić warunki korzystania z narzędzia.

Czy organizacja musi prowadzić rejestr narzędzi AI?

Ustawa nie nakłada takiego obowiązku na organizacje korzystające z gotowych narzędzi. Rejestr jest jednak praktycznym sposobem na uporządkowanie wiedzy o tym, czym zespół się posługuje.

Jak długo mam na wypełnienie checklisty UODO?

Checklista UODO zawiera 26 pytań i wypełnia się ją około 30 minut. Uwagi do dokumentu można zgłaszać do 30 września 2026 roku.

Organizacje społeczne a AI: ustawa, RODO i obowiązki w 2026 roku

Sprawdź, jakie obowiązki wobec AI mają organizacje społeczne w Polsce. Poznaj terminy kontroli KRiBSI, zasady RODO i sposób budowy rejestru narzędzi.

Organizacje społeczne w Polsce muszą od 11 sierpnia 2026 roku uwzględniać w swojej pracy ustawę o systemach AI, a od 28 października 2026 roku mogą spodziewać się kontroli prowadzonych przez KRiBSI. Poniżej wyjaśniam, co z tego wynika w praktyce dla zarządów, koordynatorów projektów i zespołów pracujących z danymi beneficjentów.

Jakie przepisy dotyczą AI w organizacjach pozarządowych?

Obowiązki wynikają z kilku aktów jednocześnie, dlatego warto je rozdzielić. Pierwszym jest rozporządzenie 2024/1689, czyli unijne ramy dla sztucznej inteligencji. Drugim jest polska ustawa o systemach AI, która określa, kto nadzoruje ich stosowanie. Trzecim pozostaje RODO, które od lat reguluje przetwarzanie danych osobowych.

Co kontroluje KRiBSI?

KRiBSI sprawdza zgodność działania z rozporządzeniem 2024/1689 oraz ustawą, w szczególności z artykułami 5 ust. 1, 6 pkt 1 i 48. Jeśli urząd stwierdzi nieprawidłowości, może wydać zalecenia z terminem usunięcia. Zgodnie z przepisami termin ten co do zasady nie będzie krótszy niż 30 dni. Gdy istnieje uzasadnione podejrzenie naruszenia, KRiBSI może wystosować ostrzeżenie.

Ile organizacji jest gotowych na AI i RODO?

Dane z raportu UODO pokazują skalę wyzwania. Spośród 492 badanych organizacji aż 95,9% deklarowało brak gotowości lub niepewność wobec RODO i AI. Co istotne, w badaniu dominował sektor publiczny, stanowiący 89,2% uczestników. Osobne badanie Pauliny Kotowskiej z Akademii Leona Koźmińskiego, przeprowadzone w 2026 roku wśród 150 liderów, wykazało, że 38% z nich korzysta z AI nieformalnie, czyli bez wiedzy i zgody kierownictwa.

Wskaźnik	Wartość	Źródło
Badane organizacje (raport UODO)	492	UODO
Niegotowe lub niepewne wobec RODO i AI	95,9%	UODO
Udział sektora publicznego w raporcie	89,2%	UODO
Liderzy badani przez Paulinę Kotowską	150	Akademia Leona Koźmińskiego, 2026
Liderzy korzystający z AI nieformalnie	38%	Akademia Leona Koźmińskiego, 2026

Nieformalne użycie AI to zjawisko, które łatwo przeoczyć. Audyty prowadzone przez Wendy Clow w USA pokazały, że w jednej organizacji pięć osób korzystało z AI przez prywatne konta, poza kontrolą instytucji.

Czy wklejanie danych do chatbota narusza RODO?

Kluczowe pytanie brzmi, czy narzędzie przetwarza dane w imieniu organizacji. Artykuł 28 RODO wymaga wtedy zawarcia umowy powierzenia przetwarzania. Przy darmowych narzędziach takiej umowy zwykle brakuje, co oznacza, że każde wklejenie danych klienta, wolontariusza czy darczyńcy może być traktowane jak ich przekazanie bez podstawy prawnej.

Pomaga myślenie w kategoriach danych, nie narzędzi. Test, który proponuje autorka wspomnianego badania, jest prosty: czy do uzyskania odpowiedzi potrzebna jest tożsamość konkretnej osoby? Jeśli nie, dane należy zanonimizować przed wprowadzeniem do systemu. Wendy Clow opisała z kolei podział na trzy kolory danych: zielone, żółte i czerwone, który pozwala szybko zdecydować, co wolno wklejać, a czego nie.

Jak zbudować rejestr narzędzi AI krok po kroku?

Rejestr nie jest wymogiem ustawowym dla gotowych narzędzi, ale jest najtańszym sposobem na kontrolę nad sytuacją. Proponowany układ opiera się na pięciu pytaniach dotyczących każdego narzędzia oraz dwóch kolumnach: „Kto odpowiada” i „Decyzja”.

Wypisz wszystkie narzędzia AI, z których ktokolwiek w organizacji korzysta, także bezpłatne.
Dla każdego ustal, jakie dane do niego trafiają.
Sprawdź, czy istnieje umowa powierzenia lub inna podstawa prawna.
Przypisz osobę odpowiedzialną za narzędzie.
Wpisz decyzję: narzędzie zostaje, wymaga zmiany planu albo zostaje wycofane.

Rejestr warto aktualizować, a nie tworzyć raz. Dzięki niemu łatwiej wykazać, że organizacja zna swoje procesy, gdy przyjdzie kontrola.

Jak wykorzystać checklistę UODO?

Urząd Ochrony Danych Osobowych 6 sierpnia 2026 roku opublikował listy pytań inicjalnych, w tym checklistę RODO dla małych i średnich przedsiębiorstw. Składa się ona z 26 pytań, a jej wypełnienie zajmuje około 30 minut. Wypełnioną listę warto zachować w dokumentacji, ponieważ nie przesyła się jej do UODO. Organizacje, które przetwarzają dane wrażliwe albo dane dzieci, powinny skorzystać z wersji rozszerzonej lub skonsultować się ze specjalistą.

UODO planuje również wytyczne dla MŚP. Podczas spotkania 23 października 2026 roku z Izbą Gospodarczą Kobiet Biznesu urząd omawiał ich kształt, jednak termin publikacji nie został określony.

Co to oznacza dla Ciebie?

Jeśli Twoja organizacja korzysta z AI, nawet sporadycznie, najpilniejsze są trzy kroki: sprawdzić, jakie dane trafiają do narzędzi, zaktualizować rejestr i wypełnić checklistę UODO przed 30 września 2026 roku. Dla organizacji pracujących z danymi wrażliwymi lub dziećmi oznacza to również sięgnięcie po wersję rozszerzoną checklisty lub pomoc eksperta. Kontrole KRiBSI ruszają 28 października 2026 roku, więc czas na uporządkowanie spraw jest krótki, ale wystarczający, jeśli zacznie się od najważniejszych zespołów i danych.