Piaskownica regulacyjna to kontrolowane środowisko, w którym firma może rozwijać, testować i oceniać nowy produkt lub technologię pod nadzorem regulatora. Robi to bezpiecznie, zanim usługa trafi na rynek. Co ważne, piaskownica to ramy prawne, nie infrastruktura IT. To rozwiązanie znane. W Polsce własne środowisko testowe dla fintechów uruchomił Urząd Komisji Nadzoru Finansowego (UKNF). Teraz ma się pojawić “sandbox” dla firm wykorzystujących AI.
Jaki jest mechanizm działania piaskownicy regulacyjnej AI? Firma tworząca nowy produkt w oparciu o sztuczną inteligencję nie wie, czy będzie on zgodny z przepisami. Pojawia się dylemat: czekać na zmianę ustaw i rozporządzeń, a tym samym godzić się na spowolnienie innowacji, a może działać szybko i „ślepo", narażając firmę na kary? Piaskownica ma być rozwiązaniem tego problemu. Obowiązek jej stworzenia wprowadza akt w sprawie sztucznej inteligencji (AI Act, rozporządzenie Parlamentu Europejskiego i Rady UE 2024/1689).
Testowanie AI w piaskownicy regulacyjnej
W piaskownicy regulacyjnej AI firma może testować i rozwijać systemy wykorzystujące sztuczną inteligencję bez konieczności spełniania z góry wszystkich wymogów compliance, które normalnie obowiązują przed wprowadzeniem systemu do obrotu. Piaskownica – zgodnie z art. 91 ust. 3. projektu ustawy o systemach sztucznej inteligencji – zwalnia z trzech konkretnych obowiązków: systemu zarządzania jakością, dokumentacji zgodności oraz obowiązku rejestrowania zdarzeń (logów).
Dla startupu wdrożenie systemu zarządzania jakością i kompletna dokumentacja techniczna to często wielomiesięczne i kosztowne przedsięwzięcie - zauważa Anna Olszewska, partnerka z kancelarii Peak Legal specjalizującej się w kwestiach dotyczących nowych technologii.
W założeniu, dzięki piaskownicy przedsiębiorca szybko zorientuje się, czy jego produkt jest zgodny z prawem, zanim zainwestuje w niego poważne środki. Dodatkową korzyścią jest bezpośrednia komunikacja z organem nadzoru (w projekcie ustawy to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji) i możliwość konsultowania rozwiązania z KRiBSI.
Ograniczenia piaskownicy AI
- Piaskownica nie zawiesza stosowania innych przepisów, takich jak RODO, prawo bankowe, ustawa o wyrobach medycznych. Nie jest certyfikatem zgodności ani dopuszczeniem produktu do obrotu. Nie eliminuje odpowiedzialności cywilnej ani karnej. Reguluje wyłącznie tryb testowania pod kątem AI Act. KRiBSI może oferować wsparcie interpretacyjne co do stosowania RODO w konkretnym projekcie AI, ale nie ma kompetencji do zawieszania obowiązków z tej regulacji - podkreśla Anna Olszewska.
Mecenas Olszewska podaje przykład: producent wyrobu medycznego zawierającego system AI nadal podlega MDR/IVDR (rozporządzenia UE regulujące rynek wyrobów medycznych); niezależnie od uczestnictwa w piaskownicy AI Act. Analogicznie instytucja finansowa nadal podlega nadzorowi KNF i przepisom prawa bankowego.
- Uczestnictwo w takiej piaskownicy nie zwalnia z obowiązku naprawienia wszelkich szkód wyrządzonych osobom trzecim w wyniku doświadczeń prowadzonych na systemach AI. Dotyczy to pełnej odpowiedzialności cywilnej, a jeśli dojdzie do naruszenia przepisów karnych, również potencjalnej odpowiedzialności karnej - podkreśla mecenas Beata Dyrda z kancelarii SZiP Legal, zajmująca się m.in. obsługą podmiotów działających w branży IT.
Np. gdyby testowany w piaskownicy system medycznej diagnostyki wyrządził szkodę pacjentowi, jego dostawca odpowiada za nią na zasadach ogólnych – jak każdy podmiot poza sandboxem – bez taryfy ulgowej.
Mecenas Beata Dyrda zauważa, że jedyne formalne ułatwienie oferowane przez piaskownicę to nienakładanie kar administracyjnych na mocy AI Act. Firmy mogą eksperymentować i dostosowywać swój system do wymagań prawa bez ryzyka kary pieniężnej, o ile realizują konkretny plan testów, spełniają warunki uczestnictwa, a także stosują się do wytycznych właściwych organów krajowych.
- Odstępstwa nie obejmują wymogów materialnych, w szczególności dotyczących bezpieczeństwa systemów AI oraz poszanowania praw podstawowych. Piaskownica nie zawiesza więc standardów ochrony użytkowników – przeciwnie, odbywa się pod bieżącym nadzorem organu, który może ingerować w projekt, a nawet go wstrzymać – wskazuje Beata Dyrda.
Co dzieje się po zakończeniu piaskownicy?
Czy firmy, których projekt przejdzie pozytywnie przez piaskownicę mogą liczyć na formalne korzyści?
Projekt ustawy jest tu lakoniczny i z punktu widzenia przedsiębiorcy może być nieco rozczarowujący - przyznaje mecenas Anna Olszewska.
Tłumaczy, że art. 95 ust. 3 odsyła do art. 57 ust. 15 AI Act, który zobowiązuje uczestnika do złożenia sprawozdania końcowego przekazywanego Komisji Europejskiej. Pozytywne przejście piaskownicy nie jest jednak równoznaczne z uzyskaniem certyfikatu zgodności, decyzją dopuszczającą do obrotu, skrótem w procesie notyfikacji ani zwolnieniem z oceny zgodności. Ocenia, że piaskownica pozostaje narzędziem budowania wiedzy i dialogu z regulatorem, nieformalną ścieżką certyfikacji. Jej pozytywne przejście to sygnał dla rynku i organu nadzoru jako demonstracja dobrej woli i udokumentowana historia współpracy z regulatorem, która może mieć znaczenie w ewentualnych późniejszych postępowaniach.
Mecenas Beata Dyrda zwraca natomiast uwagę, że właściwy organ – na wniosek uczestnika piaskownicy (dostawcy lub potencjalnego dostawcy systemu AI) - po zakończeniu testów wystawia pisemne potwierdzenie skutecznego przeprowadzenia testów oraz sporządza szczegółowe sprawozdanie końcowe (art. 57 ust. 7 AI Act).
- Dokumenty te nie zastępują formalnego certyfikatu, ale mogą być wykorzystane przez dostawcę w procesie oceny zgodności. Co ważne, organy nadzoru rynku i jednostki notyfikowane pozytywnie uwzględniają takie raporty przy certyfikacji, co pozwala skrócić niezbędne procedury - tłumaczy Beata Dyrda
Dodatkowy rok na uruchomienie piaskownicy
Kraje członkowskie miały powołać organ nadzoru rynku do 2 sierpnia 2025 roku. Polska nie dotrzymała terminu. Prace nad ustawą o systemach sztucznej inteligencji wprowadzającą Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) rozpoczęły się w Sejmie dopiero w maju tego roku.
Nie ma zatem szansy, aby pierwsza polska piaskownica AI wystartowała w sierpniu 2026 r. Polska jest więc już rok po pierwszym terminie (organ nadzoru) i trzy miesiące przed drugim (piaskownica). W listopadzie ubiegłego roku pisaliśmy, że z jednego projektu ustawy o systemach sztucznej inteligencji zrobiły się dwa, procedowane wariantowo. Wątpliwości dotyczyły m.in. jaka będzie pozycja systemowa KRiBSI i jaki urząd ją obsłuży. Jednak termin uruchomienia piaskownic prawdopodobnie zostanie przesunięty na 2 sierpnia 2027 r. Rada i Parlament Europejski porozumiały się w tej sprawie 7 maja w ramach Digital Omnibus on AI.
Anna Olszewska wskazuje, że przesunięcie terminu daje szanse jego dotrzymania, natomiast nadal wymaga to sprawnych działań legislacyjnych i instytucjonalnych. Dodaje, że majowe porozumienie musi jeszcze przyjąć przed sierpniem Parlament i Rada Europejska. Jeśli tak się nie stanie to aktualne przepisy AI Act, w tym terminy dotyczące piaskownic, obowiązują w dotychczasowym brzmieniu.
Polska nie może więc budować strategii wyłącznie na nowym terminie. Prace nad powołaniem KRiBSI muszą trwać równolegle. Skala koniecznych zadań instytucjonalnych sprawia, że harmonogram również uwzględniając roczne przedłużenie terminu będzie napięty też w 2027 roku. Powołanie organu, zbudowanie aparatu administracyjnego, wydanie rozporządzeń wykonawczych - wszystkie te działania zajmą czas - podkreśla Anna Olszewska.
Zasady udziału MŚP w piaskownicy AI
Jakie będą zadania KRiBSI? Zgodnie z projektem ustawy, Komisja – z przewodniczącym powoływanym i odwoływanym przez Sejm – będzie ogłaszała konkursy na uczestnictwo w piaskownicy regulacyjnej, a później listę rankingową. Firmy, które uzyskają kwalifikację rozpoczną testowanie swoich rozwiązań AI w kontrolowanym środowisku. Dla mikro-, małych i średnich przedsiębiorstw piaskownica będzie bezpłatna. Pozostałe podmioty zapłacą nie więcej niż czterokrotność minimalnego wynagrodzenia.
Projekt polskiej ustawy ma lukę. - Nie reguluje on wprost, czy od ostatecznej decyzji KRiBSI o niedopuszczeniu do piaskownicy przysługuje skarga do sądu administracyjnego. Ogólne przepisy kodeksu postępowania administracyjnego powinny zapewniać dostęp do WSA, ale brak wyraźnego odesłania może być źródłem sporów proceduralnych - mówi mec. Anna Olszewska.
Zakwalifikowana firma będzie przez określony czas działać w specjalnym trybie (na podstawie art. 57 AI Act). Regulator będzie aktywnie nadzorował testy: przekaże wskazówki i wsparcie mające na celu m.in. “identyfikację ryzyka, w szczególności dla praw podstawowych, zdrowia i bezpieczeństwa, testowania, środków ograniczających ryzyko”.
Mecenas Anna Olszewska zauważa, że Digital Omnibus on AI dodaje piaskownicę na poziomie unijnym jako alternatywny kanał dla firm, które nie zakwalifikują się do krajowej lub uznają ją za nieadekwatną do skali projektu. Ułatwia też dostęp dla tzw. small mid-caps, czyli średniej wielkości firm, które nie mają zasobów dużych korporacji.
Firmy nie wiedzą o piaskownicach AI
Piaskownice AI mają sprzyjać innowacyjności i ułatwiać życie przedsiębiorcom. Firmy przepytane przez Centralny Ośrodek Informatyki na potrzeby Ministerstwa Cyfryzacji, w większości przypadków nie mają jednak wiedzy o tym rozwiązaniu.
Raport „Piaskownice regulacyjne w obszarze AI" z kwietnia 2026 roku powstał na bazie ankiety wśród 229 firm. Okazało się, że co prawda 86 proc. firm słyszało o AI Act jednak ich wiedza jest pobieżna, rozproszona i pochodzi z nieoficjalnych źródeł (mediów społecznościowych). Większości firm pojęcie “piaskownica regulacyjna” nic nie mówi. Aż 45 proc. badanych firm nigdy nie słyszało o piaskownicy regulacyjnej, a kolejne 38 proc. twierdzi, że zna tylko nazwę tego instrumentu. Głównym źródłem informacji o piaskownicy jest LinkedIn. Najbardziej otwarte na udział w piaskownicy są firmy z sektora MŚP (55 proc. badanych).
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
