Skarga na system AI może stać się jednym z najczęściej wykorzystywanych instrumentów uruchamiania nadzoru nad sztuczną inteligencją, a jednocześnie jednym z najmniej intuicyjnych środków ochrony prawnej w nowym reżimie. Osoba, która uważa, że została pokrzywdzona działaniem systemu AI, może zwrócić się do właściwego organu i uruchomić jego zainteresowanie sprawą, ale nie oznacza to jeszcze, że wszczyna własne postępowanie administracyjne ani że staje się jego stroną. Polski ustawodawca zdecydował się bowiem na model, w którym skarga pełni przede wszystkim funkcję nadzorczą: dostarcza regulatorowi informacji, które mogą prowadzić do wszczęcia z urzędu postępowania wobec dostawcy lub podmiotu stosującego system AI.
To rozwiązanie tworzy interesujące napięcie pomiędzy indywidualnym charakterem prawa do skargi a publicznoprawnym charakterem postępowania prowadzonego przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Z jednej strony art. 85 AIAct przyznaje osobom fizycznym i prawnym wyraźne uprawnienie do wniesienia skargi do właściwego organu nadzoru rynku. Z drugiej – w sprawach należących do właściwości Komisji krajowa ustawa rozdziela etap rozpatrywania skargi od właściwego postępowania w sprawie naruszenia, które wszczynane jest z urzędu. W efekcie skarżący może być faktycznym inicjatorem interwencji Komisji, a mimo to nie uzyskać statusu strony prowadzonego następnie postępowania. To właśnie ten paradoks stanowi punkt wyjścia do oceny rzeczywistej siły skargi jako nowego instrumentu ochrony praw jednostki w krajowym mechanizmie stosowania AIAct.
Skarga jako element nowego modelu egzekwowania AIAct
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r. s. 1689; dalej: AIAct) wprowadza nie tylko rozbudowany system obowiązków nakładanych na dostawców, podmioty stosujące, importerów i dystrybutorów systemów AI, lecz także mechanizmy ich publicznoprawnego egzekwowania. Jednym z nich jest przewidziane w art. 85 AIAct prawo do wniesienia skargi do właściwego organu nadzoru rynku.
Znaczenie tego instrumentu należy odczytywać w kontekście podstawowych celów AIAct. Zgodnie z art. 1 ust. 1 AIAct należą do nich zarówno poprawa funkcjonowania rynku wewnętrznego i wspieranie innowacji, jak i zapewnienie wysokiego poziomu ochrony zdrowia, bezpieczeństwa i praw podstawowych zapisanych w Karcie praw podstawowych Unii Europejskiej. Prawa podstawowe nie stanowią przy tym wyłącznie aksjologicznego tła regulacji. Zostały one włączone w strukturę regulacyjną AIAct jako kryteria klasyfikacji ryzyka, obowiązki operatorów i przesłanki interwencji organów nadzoru.
Skarga z art. 85 AIAct stanowi jeden z procesowych elementów tego modelu. Zgodnie z tym przepisem każda osoba fizyczna lub prawna, która ma podstawy, by uważać, że doszło do naruszenia rozporządzenia, może wnieść skargę do właściwego organu nadzoru rynku. Skargi mają być uwzględniane przy prowadzeniu działań w zakresie nadzoru rynku i rozpatrywane zgodnie ze specjalnie ustanowionymi w tym celu procedurami. Konstrukcję tę dopełnia motyw 170 AIAct. Prawodawca unijny podkreśla w nim, że skarga pozostaje bez uszczerbku dla innych środków administracyjnych i sądowych dostępnych osobom fizycznym i prawnym, których prawa i wolności zostały naruszone przez wykorzystanie systemu AI. Skarga nie zastępuje zatem istniejących środków ochrony prawnej. Ma charakter dodatkowego instrumentu uruchamiającego mechanizm nadzoru rynku.
Jest to istotna różnica w stosunku do modelu znanego przede wszystkim z art. 77 RODO. Podobieństwo obu instytucji jest na pierwszy rzut oka oczywiste, jednak ich konstrukcja prawna nie jest identyczna. Skarga do organu ochrony danych jest bezpośrednio powiązana z ochroną praw osoby, której dane dotyczą. Art. 85 AIAct osadza natomiast skargę w mechanizmie market surveillance. Skarga jednostki staje się więc informacją wykorzystywaną przez organ przy wykonywaniu funkcji nadzorczej, której przedmiotem jest zgodność systemu AI lub działalności operatora z rozporządzeniem. Rozróżnienie to ma zasadnicze znaczenie dla określenia statusu skarżącego i skutków wniesienia skargi.
Polski model instytucjonalny
AIAct jest rozporządzeniem i jako taki nie wymaga implementacji w rozumieniu właściwym dyrektywom. Konieczne było jednak ustanowienie krajowych ram instytucjonalnych i proceduralnych zapewniających jego stosowanie. Funkcję tę realizuje ustawa z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU). Przepisy AIU regulujące postępowanie przed organem nadzoru rynku wejdą w życie 28.10.2026 r.
Już art. 1 AIU wyraźnie rozdziela jej funkcje. Obejmują one organizację i sposób sprawowania nadzoru nad rynkiem systemów AI oraz modelami AI ogólnego przeznaczenia, postępowanie w sprawie naruszenia AIAct i ustawy, akredytację i notyfikację jednostek oceniających zgodność oraz pozostałe krajowe instrumenty niezbędne dla stosowania rozporządzenia.
Zgodnie z art. 5 ust. 1 AIU Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (dalej: Komisja) jest organem nadzoru rynku w zakresie systemów sztucznej inteligencji w rozumieniu art. 70 ust. 1 AIAct, a stosownie do art. 5 ust. 2 AIU wykonuje również funkcję pojedynczego punktu kontaktowego, o którym mowa w art. 70 ust. 2 AIAct. Art. 6 AIU powierza Komisji m.in. sprawowanie kontroli przestrzegania AIAct i ustawy, wydawanie postanowień i decyzji w sprawach o ich naruszenie, wykonywanie zadań i kompetencji organu nadzoru rynku, wymianę informacji z innymi organami nadzoru, monitorowanie i upowszechnianie orzecznictwa oraz prowadzenie rejestru skarg.
Krajowej właściwości Komisji nie można jednak obecnie rozpatrywać w oderwaniu od zmian AIAct dokonanych rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8.7.2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt zbiorczy prawa cyfrowego dotyczący AI) (Dz.Urz. UE L z 2026 r. s. 1744). Zmieniony art. 75 ust. 1 AIAct przyznaje Urzędowi ds. AI (AI Office) wyłączną kompetencję w zakresie nadzorowania i egzekwowania obowiązków wynikających z AIAct w odniesieniu do określonych kategorii systemów. Dotyczy to w szczególności – z wyjątkami wskazanymi w tym przepisie – systemów AI opartych na modelach AI ogólnego przeznaczenia, gdy model i system są opracowywane przez tego samego dostawcę albo podmioty należące do tego samego przedsiębiorstwa, a także systemów AI stanowiących bardzo dużą platformę internetową lub bardzo dużą wyszukiwarkę internetową albo zintegrowanych z takimi usługami. Wyłączna kompetencja AI Office obejmuje dostawców takich systemów, a podmioty stosujące – w przypadkach określonych w art. 75 ust. 1 AIAct. Co istotne z perspektywy niniejszych rozważań, w zakresie systemów należących do właściwości AI Office postępowanie prowadzone na podstawie art. 75a AIAct może zostać podjęte również w następstwie skargi wniesionej na podstawie art. 85 AIAct.
Oznacza to, że po zmianach z 2026 r. skarga z art. 85 AIAct nie może być utożsamiana wyłącznie ze skargą kierowaną do krajowej Komisji. Adresatem skargi jest „właściwy organ nadzoru rynku”, a ustalenie jego właściwości wymaga uwzględnienia rozdziału IX sekcji 3 AIAct, w szczególności art. 74 i 75 AIAct. Dalsze rozważania dotyczą zatem krajowego modelu rozpatrywania skargi w zakresie, w jakim właściwa pozostaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.
Polska ustawa przewiduje jednocześnie rozbudowany mechanizm współdziałania Komisji z innymi organami. Szczególne znaczenie dla ochrony praw podstawowych ma art. 20 ustawy, przewidujący współpracę m.in. z Prezesem UODO, Prezesem UOKiK, KNF oraz krajowymi organami i podmiotami publicznymi określonymi w wykazie, o którym mowa w art. 77 ust. 2 AIAct.
Mechanizm ten został dodatkowo wzmocniony rozporządzeniem (UE) 2026/1744. W aktualnym brzmieniu art. 77 ust. 1 AIAct przyznaje krajowym organom lub podmiotom publicznym nadzorującym lub egzekwującym przestrzeganie obowiązków wynikających z prawa Unii w zakresie ochrony praw podstawowych uprawnienie do żądania od właściwego organu nadzoru rynku informacji lub dokumentacji sporządzonej lub prowadzonej na podstawie AIAct i uzyskania do nich dostępu, gdy jest to niezbędne do skutecznego wykonywania ich zadań w granicach właściwości. Art. 77 ust. 1a AIAct nakłada na organ nadzoru rynku obowiązek zapewnienia takiego dostępu, w razie potrzeby również przez pozyskanie informacji lub dokumentacji od dostawcy albo podmiotu stosującego, natomiast art. 77 ust. 1b AIAct ustanawia obowiązek ścisłej współpracy i wzajemnej pomocy. Jeżeli posiadana dokumentacja jest niewystarczająca do ustalenia, czy doszło do naruszenia prawa Unii chroniącego prawa podstawowe, art. 77 ust. 3 AIAct pozwala właściwemu organowi lub podmiotowi publicznemu wystąpić do organu nadzoru rynku z uzasadnionym żądaniem przeprowadzenia technicznego testowania systemu wysokiego ryzyka.
Powstaje zatem wieloośrodkowy model ochrony. To samo zdarzenie – przykładowo dyskryminujące działanie systemu rekrutacyjnego – może uruchomić kompetencje organu nadzoru rynku na podstawie AIAct, Prezesa UODO na podstawie RODO, a potencjalnie również innych organów właściwych w zakresie ochrony określonych praw podstawowych.
dr Mirosław Sanek – Lider Działu RODO w kancelarii MKZPartnerzy, ekspert z zakresu ochrony danych osobowych, compliance oraz cyfrowej transformacji. Pełnił funkcję zastępcy Prezesa Urzędu Ochrony Danych Osobowych.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
