Maszyna dostała odroczenie. Człowiek nie.

Kompetencje cyfrowe personelu jako ukryty warunek nośności systemu. Co się dzieje, gdy prawodawca europejski odracza wymagania wobec maszyn, ale nie wobec ludzi, którzy mają je obsługiwać.

Seria: Nośność systemu ochrony zdrowiaArtykuł 26Dźwignia: efektywnośćStan na 12 sierpnia 2026

Kompetencje cyfrowe personelu jako ukryty warunek nośności. Prawodawca europejski, stojąc przed wyborem, co odroczyć, odroczył wymagania wobec technologii — a utrzymał wymagania wobec człowieka, który tę technologię obsługuje.

Szpitalny korytarz nocą; pielęgniarka przy stanowisku pracy w świetle monitora
Rozstrzygającą zmienną nie jest technologia, lecz kompetencja człowieka, który się nią posługuje. Ilustracja: materiał redakcyjny.

Pierwsze dwanaście dni sierpnia 2026 roku ułożyło się w polskiej ochronie zdrowia w sekwencję, której nikt nie zaplanował, a która mówi o stanie systemu więcej niż niejeden dokument strategiczny.

Rys. 1 · Dziesięć dni, jeden wspólny mianownikTrzy zdarzenia sierpnia 2026 r., które razem opisują jeden problem.
  1. 2 sierpniaWchodzą w stosowanie przepisy o przejrzystości systemów AI (art. 50 aktu o AI). Komisja uzyskuje realne uprawnienia egzekucyjne wobec dostawców modeli ogólnego przeznaczenia.
  2. 7 sierpniaCentrum e‑Zdrowia publikuje IX edycję badania stopnia informatyzacji podmiotów leczniczych — 9823 ankiety.
  3. 11–12 sierpniaOpinia publiczna dowiaduje się o wycieku ok. 19 mln rekordów pacjentów z systemów jednego dostawcy, obsługującego 12 tys. podmiotów leczniczych.
Wspólny mianownik. We wszystkich trzech przypadkach rozstrzygającą zmienną nie jest technologia, lecz kompetencja człowieka — i organizacja, która tę kompetencję albo zbudowała, albo nie.
Trzy zdarzenia, dziesięć dni. Oprac. własne na podstawie źródeł 1, 2, 6 i 7.

Zacznijmy od tego, co zdarzyło się w tym tygodniu, ponieważ to najostrzejsza możliwa ilustracja tezy. Według komunikatów Ministerstwa Cyfryzacji i relacji prasowych z 11 i 12 sierpnia przedmiotem incydentu stała się baza spółki dostarczającej platformę informatyczną i system elektronicznej dokumentacji medycznej placówkom ochrony zdrowia. Wicepremier i minister cyfryzacji Krzysztof Gawkowski mówił o „nadzwyczajnym wycieku danych” i o jednym z największych incydentów cyberbezpieczeństwa w historii Polski1. Marek Gieorgica z Ministerstwa Cyfryzacji doprecyzował skalę: „Z oprogramowania firmy korzystało 12 tys. podmiotów. To nie są tylko placówki prywatne”, a „wykradzionych z firmy, co potwierdza sama firma, jest 19 milionów rekordów”2. Zakres danych obejmuje numery PESEL, imiona i nazwiska, daty urodzenia, numery telefonów, dane adresowe, informacje o wystawionych receptach, o wizytach oraz o chorobach i leczeniu1. Postępowanie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości wraz z prokuraturą; według wicepremiera nic nie wskazuje na atak państwowy, a raczej na działanie sprawców motywowanych finansowo1.

Zastrzeżenie. Nie zamierzam w tym tekście oceniać ani przypisywać odpowiedzialności za ten konkretny incydent — trwa postępowanie, a przedwczesne sądy są w takich sprawach szkodliwe. Zwracam natomiast uwagę na to, co wynika z niego niezależnie od ustaleń śledztwa i co ma charakter systemowy.

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski przypomniał administratorom danych, którzy powierzyli przetwarzanie temu dostawcy, o obowiązku samodzielnej analizy zdarzenia pod kątem naruszenia ochrony danych: zgłoszenia do organu nadzorczego w ciągu siedemdziesięciu dwóch godzin oraz zawiadomienia osób, których dane dotyczą, jeżeli występuje wysokie ryzyko naruszenia ich praw lub wolności3. Ciężar tej oceny i tego zawiadomienia spoczywa na każdym gabinecie, przychodni i szpitalu osobno — nie na dostawcy oprogramowania.

Proszę zatrzymać się nad praktycznym znaczeniem tego zdania. W dwunastu tysiącach podmiotów leczniczych w Polsce ktoś — najczęściej osoba, która nie jest ani prawnikiem, ani informatykiem — musi w ciągu trzech dni ocenić prawdopodobieństwo i wagę ryzyka dla praw i wolności osób fizycznych, sporządzić zgłoszenie do organu nadzorczego i podjąć decyzję o zawiadomieniu pacjentów. To nie jest zadanie dla działu IT. To jest zadanie kompetencyjne, rozłożone na tysiące stanowisk, w organizacjach, które w większości nigdy nie przećwiczyły takiego scenariusza.

Odroczenie, które dotyczy maszyn, a nie ludzi

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744, potocznie zwane cyfrowym omnibusem, zostało opublikowane w Dzienniku Urzędowym Unii Europejskiej 24 lipca 2026 roku i weszło w życie 27 lipca — sześć dni przed datą, którą miało zmienić4. Nowelizacja przesunęła obowiązki dotyczące systemów sztucznej inteligencji wysokiego ryzyka: dla systemów samodzielnych z załącznika III na 2 grudnia 2027 roku, a dla sztucznej inteligencji wbudowanej w produkty regulowane z załącznika I — w tym w wyroby medyczne — na 2 sierpnia 2028 roku4,5. Termin ustanowienia przez państwa członkowskie krajowych piaskownic regulacyjnych przesunięto na 2 sierpnia 2027 roku5.

Sprostowanie faktograficzne — data, która potrafi kosztować rok. W części doniesień agencyjnych z końca lipca odroczenie obowiązków wobec systemów wysokiego ryzyka opisano jako przesunięcie „o rok, do 2 sierpnia 2027 roku”6. To nie jest zgodne z tekstem przyjętego rozporządzenia. Data 2 sierpnia 2027 r. dotyczy wyłącznie obowiązku utworzenia krajowych piaskownic regulacyjnych. Systemy z załącznika III mają termin 2 grudnia 2027 r., a systemy z załącznika I — 2 sierpnia 2028 r.4,5 Kto planuje budżet szkoleniowy albo harmonogram wdrożenia na podstawie błędnej daty, zaplanuje go źle w obie strony.

Czego natomiast omnibus nie odroczył — i to jest sedno sprawy.

Rys. 2 · Trzy warstwy obowiązków — i ich datyOdroczenie dotyczy jednej warstwy. Dwie pozostałe obowiązują niezależnie od niego.
Od 2 II 2025 · nadzór od 3 VIII 2026NieodroczoneKompetencje w zakresie AI — art. 4Każdy podmiot stosujący jakikolwiek system AI, niezależnie od klasy ryzyka i wielkości organizacji.Chatbot rejestracyjny, moduł wspomagający opis, narzędzie transkrypcji — przepis stosuje się dzisiaj.
Od 2 VIII 2026 · znakowanie maszynowe przejściowo do 2 XII 2026Przejrzystość — art. 50Informowanie o interakcji z AI; oznaczanie treści wygenerowanych lub zmanipulowanych przez AI.Problem rejestratorki, sekretarki medycznej i rzecznika — nie problem informatyczny.
Od 2 XII 2027 · zał. I — od 2 VIII 2028Odroczone, nie odwołaneNadzór człowieka nad systemem wysokiego ryzyka — art. 26 ust. 2Kompetencje · przeszkolenie · uprawnienia · wsparcie. Cztery warunki, wszystkie po stronie pracodawcy.Rejestry zdarzeń przez min. 6 miesięcy; informowanie pracowników przed wdrożeniem.
Uwaga praktyczna. Mieszanie warstw regulacyjnych powoduje w polskich szpitalach więcej szkody niż same przepisy.
Oprac. własne na podstawie źródeł 4, 5, 6 i 8.

Obowiązek kompetencji w zakresie sztucznej inteligencji — artykuł 4 aktu o sztucznej inteligencji — obowiązuje od 2 lutego 2025 roku i nie został przesunięty. Omnibus zmienił jego brzmienie, ale go nie uchylił i nie zawiesił. W wersji pierwotnej dostawcy i podmioty stosujące mieli podejmować środki, aby „zapewnić, w możliwie najszerszym zakresie, odpowiedni poziom kompetencji w zakresie AI” wśród swojego personelu. Po nowelizacji podejmują środki, aby „wspierać rozwój kompetencji w zakresie AI” personelu i osób obsługujących systemy w ich imieniu, z uwzględnieniem umiejętności, doświadczenia, wykształcenia i kontekstu, przy czym przepis „nie wymaga od dostawców ani podmiotów stosujących zagwarantowania jakiegokolwiek określonego poziomu kompetencji w zakresie AI u konkretnej osoby”4. Kancelarie prawne opisują tę zmianę jako przekształcenie zobowiązania rezultatu w zobowiązanie starannego działania4; Gibson Dunn ujmuje ją krótko jako „utrzymane, lecz złagodzone”5.

Złagodzenie brzmienia bywa czytane jako odpuszczenie. Byłby to błąd, i to kosztowny, z dwóch powodów. Po pierwsze, zobowiązanie starannego działania nie znika — zmienia się jedynie przedmiot dowodu. Organizacja nie musi wykazać, że każdy pracownik osiągnął określony poziom; musi wykazać, że podjęła realne, adekwatne do kontekstu środki. W praktyce oznacza to konieczność posiadania programu, dokumentacji i dowodu jego wykonania. Po drugie, i to jest fakt operacyjny o dużym znaczeniu, według wskazań Komisji krajowe organy nadzoru rynku rozpoczęły nadzór i egzekwowanie artykułu 4 z dniem 3 sierpnia 2026 roku4. Przepis obowiązywał od półtora roku, ale dopiero teraz stoi za nim aparat egzekucyjny.

To jest, moim zdaniem, najważniejszy sygnał regulacyjny tego lata dla polskich szpitali — i najbardziej konsekwentnie przeoczony. Prawodawca europejski, stojąc przed wyborem, co odroczyć, odroczył wymagania wobec technologii, a utrzymał wymagania wobec kompetencji człowieka, który tę technologię obsługuje. Trudno o czytelniejsze zdanie o tym, gdzie leży rzeczywiste ryzyko.

Nośność, której nie widać w bilansie

Nośność to zdolność systemu ochrony zdrowia do przyjęcia obciążenia bez utraty funkcji — bez odwoływania zabiegów, bez wydłużania kolejek ponad granicę bezpieczeństwa klinicznego, bez wypychania personelu z zawodu. Nośność podnosi się czterema dźwigniami: przychodem, efektywnością, odpornością i pojemnością. Kompetencje cyfrowe personelu to dźwignia efektywności, i to dźwignia o wyjątkowo złej prasie, ponieważ nie widać jej ani w bilansie, ani w wykazie środków trwałych, ani w sprawozdaniu z inwestycji. Nie da się jej przeciąć wstęgą.

A jednak to ona rozstrzyga, czy zainwestowany kapitał w ogóle zamienia się w wydolność. Most, który ma nośność czterdziestu ton, nie przewiezie czterdziestu ton, jeśli kierowca nie wie, którym pasem jechać. Tomograf z modułem wspomagania decyzji nie skróci kolejki, jeśli radiolog nie wie, jak model został walidowany, na jakiej populacji, z jakim progiem czułości i co zrobić, gdy wynik modelu jest sprzeczny z obrazem klinicznym. System elektronicznej dokumentacji medycznej nie odda personelowi czasu, jeśli pielęgniarka wprowadza te same dane dwa razy, bo nikt nie pokazał jej ścieżki, która eliminuje duplikat. A najlepiej zabezpieczona baza danych nie ochroni pacjenta, jeśli osoba przy rejestracji kliknie w załącznik, którego nie powinna była otworzyć.

Co pokazał pomiar: IX edycja badania Centrum e‑Zdrowia

Siódmego sierpnia 2026 roku Centrum e‑Zdrowia opublikowało wyniki dziewiątej edycji „Badania stopnia informatyzacji podmiotów wykonujących działalność leczniczą”, prowadzonego wspólnie z Ministerstwem Zdrowia. W tej edycji wpłynęło 9823 wypełnionych i pozytywnie zweryfikowanych ankiet7.

9 823ankietyZwrotność w segmencie szpitalnym: 731 z 1309 podmiotów, czyli 55,8%. Dziewięć edycji oznacza szereg czasowy.
90,6%szpitali indeksuje EDMDokumentacja medyczna w systemie P1. Repozytorium EDM ma 92,7%, internet szerokopasmowy 98,5%, łącze zapasowe 73,5%.
36,5%bariera kompetencyjnaDruga najczęściej wskazywana bariera rozwoju — po ograniczeniach finansowych (63,3%).
40,9%szpitali planuje AIWdrożenie rozwiązań opartych na sztucznej inteligencji w ciągu najbliższych 12 miesięcy. Dziś AI stosuje 7,3% placówek w diagnostyce i leczeniu.

Wszystkie dane za IX edycją badania MZ i CeZ (dane za rok 2025), publikacja 7 sierpnia 2026 r.7

Obraz w warstwie infrastrukturalnej jest zaskakująco dobry. Do końca 2025 roku w systemie e‑zdrowie zarejestrowano 211,5 miliona indeksów elektronicznej dokumentacji medycznej dotyczących konsultacji lekarskich, 115,4 miliona wyników badań laboratoryjnych, 37,3 miliona kart informacyjnych leczenia szpitalnego i 25,8 miliona opisów badań diagnostycznych. W samym 2025 roku placówki ambulatoryjne wystawiły ponad 474,8 miliona e‑recept, a szpitale ponad 27,3 miliona7. To nie jest system, który dopiero zaczyna się cyfryzować. To system, w którym cyfrowa warstwa transakcyjna jest już infrastrukturą krytyczną — co, nawiasem mówiąc, tłumaczy, dlaczego incydent u jednego dostawcy potrafi dotknąć dwunastu tysięcy podmiotów naraz.

Znacznie ciekawsze są jednak liczby dotyczące ludzi, bo to one wyznaczają granicę nośności.

Rys. 3 · Niezaspokojony popyt, nie opór przed zmianąPo jednej stronie bariera zgłaszana przez organizacje, po drugiej — gotowość ludzi.

Organizacje · zgłaszana bariera rozwoju

63,3%ograniczenia finansowe
36,5%niedostateczne kompetencje cyfrowe pracowników

Pracownicy · chęć udziału w szkoleniach

92,9%pracownicy szpitali
83,6%inne podmioty lecznicze
66,2%placówki ambulatoryjne
Odczyt. Ponad jedna trzecia organizacji uznaje kompetencje własnych ludzi za barierę rozwoju, a ponad dziewięćdziesiąt procent pracowników szpitali chce się szkolić. To nie jest opór przed zmianą. To nie jest problem motywacyjny. To jest niezaspokojony popyt — sytuacja, w której chętnych jest wielokrotnie więcej niż oferty. Nie trzeba przekonywać, trzeba dostarczyć.
Dane: MZ / Centrum e‑Zdrowia, IX edycja badania stopnia informatyzacji PWDL (dane za 2025 r.)7.

Osobno trzeba odnotować cyberbezpieczeństwo, bo dziewiąta edycja badania czyta się w tym tygodniu jak prognoza, która się sprawdziła.

87%odporność na cyberatakiNajczęściej wskazywana potrzeba badanych szpitali.
78,7%świadomość pracownikówDruga najpilniejsza potrzeba — wskazana przez same szpitale.
72,5%ciągłość działania systemówTrzecia potrzeba w kolejności.

Szpitale wiedziały. Nazwały problem, uszeregowały priorytety, wskazały, że drugim najważniejszym elementem odporności jest świadomość ludzi. Raport z tymi wynikami opublikowano cztery dni przed ujawnieniem incydentu obejmującego dziewiętnaście milionów rekordów. Trudno o mocniejszy argument za tym, że pomiar w polskiej ochronie zdrowia działa — i że problemem nie jest diagnoza, lecz droga od diagnozy do działania.

Polski kalendarz instytucjonalny

Dwudziestego czwartego lipca 2026 roku Prezydent Karol Nawrocki podpisał ustawę o systemach sztucznej inteligencji, przygotowaną przez Ministerstwo Cyfryzacji, która buduje krajowe zaplecze stosowania aktu o sztucznej inteligencji. Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — krajowy organ nadzoru rynku i podstawowy punkt kontaktowy wobec instytucji unijnych. Harmonogram jest napięty: w ciągu dwóch miesięcy od wejścia ustawy w życie Sejm za zgodą Senatu powołuje przewodniczącego na pięcioletnią kadencję, a w ciągu trzech miesięcy przewodniczący zwołuje pierwsze posiedzenie9.

To oznacza, że w październiku będzie przewodniczący, a w listopadzie komisja rozpocznie działalność.Dariusz Standerski, wiceminister cyfryzacji — cyt. za „Rzeczpospolitą”, 24 lipca 2026 r.9

W skład komisji wejdą, obok przewodniczącego i dwóch zastępców, czterej członkowie wskazani przez Prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji oraz Prezesa UKE9. Obywatel, który uzna, że system sztucznej inteligencji naruszył jego prawa, będzie mógł zawiadomić komisję; postępowanie nie może trwać dłużej niż sześć miesięcy, a od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie pełniącego funkcję Sądu Ochrony Konkurencji i Konsumentów9.

Rozbieżność źródeł — opisana, nie rozstrzygnięta. Zakres władczych uprawnień komisji wymaga ostrożnego opisu. Relacja prasowa z 24 lipca wskazywała, że komisja będzie mogła nakazać zaprzestanie stosowania systemu albo jego wycofanie9. Komunikat Ministerstwa Cyfryzacji z 27 lipca, omawiający zmiany wprowadzone w toku prac parlamentarnych, wymienia natomiast wśród nich „rezygnację z działań KRiBSI o charakterze zakazów i nakazów”10. Rozbieżność najprawdopodobniej wynika z tego, że relacja prasowa opisywała stan sprzed poprawek. Do czasu rozstrzygnięcia na podstawie tekstu ogłoszonego w Dzienniku Ustaw ostrożniej jest przyjmować wersję nowszą. Dla podmiotu leczniczego praktyczna konkluzja jest zresztą taka sama: od listopada 2026 roku istnieje w Polsce organ, do którego pacjent może napisać skargę na system sztucznej inteligencji użyty wobec niego w szpitalu.

Powstaje zatem okno, którego charakter warto nazwać wprost. Nadzór krajowy zaczyna działać w listopadzie 2026 roku. Przejrzystość obowiązuje od sierpnia 2026 roku. Kompetencje są wymagane od lutego 2025 roku i nadzorowane od sierpnia 2026 roku. A obowiązki materialne wobec systemów wysokiego ryzyka zaczną obowiązywać dopiero w grudniu 2027 roku. Placówki, które uwierzyły uproszczonemu komunikatowi o „odroczeniu AI Act”, nie zrobiły w tym czasie nic. To jest okno maksymalnego ryzyka reputacyjnego i regulacyjnego, i trwa ono od listopada 2026 do grudnia 2027 roku.

Ustawa daje jednak także narzędzie, o którym warto mówić z uznaniem. Komisja uruchomi piaskownice regulacyjne — kontrolowane środowiska testowania systemów AI — a udział mikro‑, małych i średnich przedsiębiorców będzie w nich nieodpłatny9,10. Przedsiębiorcy będą mogli występować o opinie indywidualne, wydawane w ciągu trzydziestu dni, a w sprawach szczególnie skomplikowanych sześćdziesięciu; brak odpowiedzi w terminie oznacza opinię zgodną ze stanowiskiem wnioskodawcy9. Uczciwość każe odnotować także głos sceptyczny: dr Paula Skrzypecka w tej samej publikacji stwierdziła, że nie jest zwolenniczką piaskownic regulacyjnych, ponieważ w praktyce nie spotkała projektu, który dzięki udziałowi w takim przedsięwzięciu rzeczywiście nabrałby rozpędu9. To zastrzeżenie warto potraktować poważnie — jako wskazanie, że o wartości piaskownicy przesądzi jakość jej wykonania, a nie sam fakt jej ustanowienia.

Sprawiedliwa kultura: kto odpowiada, gdy człowiek zaufał maszynie

Załóżmy sytuację, która wydarzy się — nie „może się wydarzyć”, tylko wydarzy się — w polskim szpitalu w ciągu najbliższych dwóch lat, skoro cztery na dziesięć szpitali planuje wdrożenie sztucznej inteligencji w ciągu roku. Moduł wspomagania decyzji oznacza badanie jako prawidłowe. Lekarz, przy trzydziestu opisach do końca dyżuru, akceptuje sugestię. Zmiana zostaje przeoczona. Pacjent wraca po pół roku z rozpoznaniem, którego można było uniknąć.

Odruch instytucjonalny jest znany i przewidywalny: znaleźć lekarza, wskazać, że to on podpisał opis, i zamknąć sprawę. Ten odruch jest podwójnie szkodliwy. Jest szkodliwy etycznie, bo obciąża jednostkę odpowiedzialnością za wadę projektu organizacyjnego. I jest szkodliwy operacyjnie, bo gwarantuje, że następny lekarz w podobnej sytuacji nie zgłosi wątpliwości, a system nigdy się nie dowie, gdzie ma słabe miejsce.

Pytania, które trzeba zadać zamiast pytania o winę

  • Czy ten lekarz został przeszkolony w zakresie działania modelu, jego ograniczeń i populacji walidacyjnej?
  • Czy wiedział, jaka jest czułość systemu i przy jakim progu wyniki fałszywie ujemne stają się prawdopodobne?
  • Czy miał realną możliwość odrzucenia sugestii bez sankcji organizacyjnej i bez straty czasu, którego nie miał?
  • Czy ktokolwiek nadał mu formalnie rolę osoby sprawującej nadzór, z odpowiednim wsparciem?
  • Czy szpital prowadził rejestr zdarzeń pozwalający odtworzyć, co model pokazał i o której godzinie?

To nie jest podręcznik etyki. To lista kontrolna art. 26 ust. 2

Prawodawca europejski zapisał w rozporządzeniu dokładnie te warunki, które kultura sprawiedliwego traktowania formułuje od trzydziestu lat, odkąd lotnictwo cywilne odkryło, że karanie pilotów za zgłaszanie błędów obniża bezpieczeństwo lotów: kompetencje, przeszkolenie, uprawnienia, wsparcie8.

Kiedy któregokolwiek z tych czterech elementów brakuje, wina jednostki jest fikcją prawną przykrywającą zaniechanie organizacji.

Sprawiedliwa kultura nie jest jednak amnestią. Świadome obejście procedury, ukrycie zdarzenia, użycie systemu poza zakresem wskazanym przez producenta, zaniechanie zgłoszenia naruszenia mimo świadomości obowiązku — to sytuacje, w których odpowiedzialność indywidualna jest właściwa i konieczna.

Ta sama zasada stosuje się do zdarzeń cyberbezpieczeństwa. Jeżeli w którymkolwiek z dwunastu tysięcy podmiotów okaże się, że ktoś kliknął, czego nie powinien, pierwszym pytaniem nie może być pytanie o tę osobę. Pierwszym pytaniem musi być pytanie, czy ta osoba została przygotowana — a dane z dziewiątej edycji badania mówią nam, że 78,7 procent szpitali samo wskazywało podnoszenie świadomości pracowników jako jedną z trzech najpilniejszych potrzeb, a więc wiedziało, że przygotowanie jest niewystarczające7. Organizacja, która zna lukę i jej nie zamyka, a następnie obciąża pracownika skutkami tej luki, nie stosuje sprawiedliwości. Stosuje przeniesienie ryzyka.

Tarcza dla obywatela: co pacjent ma z tego mieć

1 · Prawo do wiedzyOd 2 sierpnia pacjent wchodzący w interakcję z systemem AI ma być o tym poinformowany. Człowiek, który wie, że rozmawia z automatem, inaczej formułuje objaw i inaczej ocenia odpowiedź.
2 · Prawo do kompetentnego nadzoruArtykuł 26 daje gwarancję, że nad systemem współdecydującym o zdrowiu czuwa człowiek mający kompetencje, przeszkolenie, uprawnienia i wsparcie. To jest tarcza w sensie ścisłym: nie zakaz technologii, lecz warunek jej używania wobec obywatela.
3 · Prawo do skargiOd listopada 2026 roku obywatel może zawiadomić krajową komisję; postępowanie kończy się decyzją w terminie sześciu miesięcy, z drogą odwoławczą do sądu. Do tej pory pacjent miał do wyboru drogę cywilną albo skargę do podmiotu, którego sprawa dotyczyła. Teraz ma organ.
4 · Prawo do informacji o naruszeniuObowiązek zawiadomienia osoby, której dane dotyczą, nie jest uprzejmością administratora; jest obowiązkiem prawnym. To, czy pacjenci dwunastu tysięcy podmiotów zostaną rzetelnie poinformowani, będzie najlepszym dostępnym testem dojrzałości kompetencyjnej polskiej ochrony zdrowia.

Jest jeszcze korzyść, o której mówi się najmniej, a która dotyczy największej liczby ludzi — czas. Z Internetowego Konta Pacjenta korzysta już ponad 21 milionów osób, a tylko od początku 2026 roku konto aktywowało ponad 772 tysiące nowych użytkowników; blisko 6 milionów kont dotyczy dzieci przypisanych do kont rodziców, co oznacza, że dostęp do IKP ma ponad 80 procent osób poniżej osiemnastego roku życia11. Ta skala jest realnym aktywem, ale zamienia się w ulgę dla pacjenta tylko wtedy, gdy po drugiej stronie ekranu personel potrafi z tych narzędzi korzystać sprawnie. Każda minuta, którą pielęgniarka traci na obejście źle rozumianego systemu, jest minutą, której nie ma dla pacjenta. Kompetencje cyfrowe personelu są więc — paradoksalnie — najbardziej humanistyczną z inwestycji cyfrowych, bo jedyne, co realnie produkują, to czas przy łóżku.

Co Polska ma do zaoferowania światu, a co świat Polsce

Polska → Europa

  • Instrument pomiarowy — dziewięć edycji badania, blisko 10 tys. zweryfikowanych ankiet, ponad 50% zwrotności w segmencie szpitalnym. Większość państw członkowskich dysponuje wyłącznie fragmentarycznymi migawkami.
  • Skala infrastruktury — ponad 21 mln użytkowników IKP, powszechna e‑recepta i e‑skierowanie w setkach milionów dokumentów rocznie, niemal 93% szpitali z repozytorium EDM.
  • Model dydaktyczny z ewaluacją — projekt CeZ „Kompetencje cyfrowe w ochronie zdrowia”: ponad 80 szkoleń i ponad 2200 uczestników od grudnia 2024 r.; 98,5% oceniło przekaz jako przystępny, 91,5% potwierdziło przydatność zawodową12.
  • Przewaga czasowa — działający organ nadzoru i piaskownice od listopada 2026 r., podczas gdy unijny termin dla wszystkich państw to 2 sierpnia 2027 r.

Europa → Polska

  • Gotowa taksonomia kompetencji — rezultaty projektu BeWell i opracowanie o zamykaniu luki kompetencji cyfrowych w ochronie zdrowia13. Nie trzeba budować własnej taksonomii od zera; trzeba ją zaadaptować.
  • Benchmark gotowości — pierwsza ocena WHO/Europe integracji AI z systemami zdrowia w Regionie Europejskim, oparta na danych z 50 państw14.
  • Pieniądze dostępne teraz — nabór HaDEA w programie Cyfrowa Europa na zaawansowane umiejętności cyfrowe dla upowszechnienia AI w ochronie zdrowia: 7,8 mln €, termin 1 października 2026 r.; w tym samym naborze 14,4 mln € na europejski format wymiany EDM16.
  • Dyscyplina pojęciowa — art. 26 ust. 2 zmusza organizację do rozstrzygnięcia, kto nadzoruje system, na podstawie jakiego przeszkolenia, z jakim umocowaniem i przy jakim wsparciu. To rzadki przypadek, w którym zgodność z prawem jest darmowym audytem organizacyjnym.
Ostrożnie z proporcjami. Z omówienia raportu WHO/Europe przygotowanego przez branżowy serwis ICT&health wynika, że szkolenia z zakresu sztucznej inteligencji w trakcie pracy oferuje jedynie 24% państw regionu, a kształcenie przeddyplomowe — 20%; jednocześnie 86% państw wskazuje niepewność prawną jako główną barierę wdrożeń14,15. Wskaźniki przytaczam za omówieniem, nie za pierwotnym raportem. Jeżeli się potwierdzą w szczegółowej lekturze, oznaczają rzecz istotną: w obszarze przygotowania kadr do pracy z AI nie ma w Europie ustabilizowanego lidera, którego trzeba by doganiać. Jest puste pole, na którym można zająć pozycję.

Jak to zrobić: pomiar, decyzja, wdrożenie, rozliczenie

Krok 1

Pomiar

Nie „ilu przeszkolono” — ta miara mierzy nakład, nie skutek.

Krok 2

Decyzja

Kompetencje jako warunek dopuszczenia wdrożenia, nie dodatek do niego.

Krok 3

Wdrożenie

Trzy poziomy różnicowane rolą, nie stanowiskiem.

Krok 4

Rozliczenie

Najsłabsze ogniwo. Instytucja, która nigdy niczego nie wycofała, nie prowadzi ewaluacji, tylko sprawozdawczość.

Pomiar musi wyjść poza pytanie „ilu pracowników przeszkolono”. Miarą nośności jest odsetek stanowisk objętych aktualną, udokumentowaną kompetencją odniesioną do konkretnego systemu — nie „szkolenie z AI” w ogólności, lecz przeszkolenie z określonego modułu w określonej wersji, obejmujące jego ograniczenia i populację walidacyjną. Drugą miarą jest średni czas od wdrożenia systemu do osiągnięcia przez zespół samodzielności operacyjnej. Trzecią — liczba zgłoszeń dotyczących działania systemu przypadająca na tysiąc jego użyć, przy czym w zdrowej organizacji ta liczba w pierwszym roku powinna rosnąć, a nie maleć, bo rosnąca liczba zgłoszeń oznacza, że ludzie ufają procedurze zgłaszania. Czwartą — odsetek przypadków, w których osoba sprawująca nadzór odrzuciła sugestię systemu, wraz z analizą, ile z tych odrzuceń było trafnych. Piątą, najtrudniejszą, ale najważniejszą — zmiana czasu poświęcanego przez personel na czynności dokumentacyjne, mierzona przed wdrożeniem i po nim.

Decyzja wymaga zerwania z modelem, w którym kompetencje cyfrowe są dodatkiem do wdrożenia. Właściwy model jest odwrotny: kompetencje są warunkiem dopuszczenia wdrożenia. To znaczy, że w postępowaniu zakupowym na system z komponentem sztucznej inteligencji kryterium oceny obejmuje program przygotowania użytkowników, a odbiór wdrożenia następuje po wykazaniu, że zespół osiągnął zdefiniowany poziom samodzielności — nie po podpisaniu protokołu instalacji. To znaczy również, że budżet szkoleniowy nie jest osobną pozycją, którą tnie się pierwszą w razie kłopotów, lecz częścią kosztu wdrożenia, tak jak koszt migracji danych. Przy czterdziestu procentach szpitali planujących wdrożenie AI w ciągu dwunastu miesięcy7 ta decyzja zapada właśnie teraz, w setkach placówek jednocześnie, i w większości z nich zapada domyślnie — czyli źle.

Wdrożenie powinno mieć trzy poziomy, różnicowane rolą, a nie stanowiskiem. Poziom podstawowy — dla wszystkich, którzy stykają się z systemem AI w jakiejkolwiek formie — obejmuje rozumienie, czym model jest i czym nie jest, jak rozpoznać sytuację, w której jego wynik jest niewiarygodny, jak i komu zgłosić wątpliwość oraz jak poinformować pacjenta zgodnie z obowiązkiem przejrzystości. Poziom nadzoru — dla osób formalnie wyznaczonych w trybie artykułu 26 ustęp 2 — obejmuje znajomość instrukcji użytkowania, populacji walidacyjnej, znanych ograniczeń, procedury zawieszenia systemu oraz obowiązku informowania dostawcy i organu nadzoru rynku. Poziom zarządczy — dla dyrekcji i kadry kierowniczej — obejmuje odpowiedzialność organizacyjną, ocenę ryzyka, relację z organem nadzoru, obowiązki wynikające z ochrony danych osobowych oraz ekonomikę wdrożenia. Kluczowa jest przy tym forma: szkolenia prowadzone przy stanowisku pracy, na rzeczywistych przypadkach z danej placówki, dają wielokrotnie lepszy efekt niż kurs ogólny.

Rozliczenie zamyka pętlę i jest w polskich warunkach najsłabszym ogniwem. Oznacza publiczne raportowanie wskaźników, powiązanie ich z decyzjami inwestycyjnymi i wskazanie osoby odpowiedzialnej — w podmiocie leczniczym z imienia i funkcji, nie „działu”. Oznacza także gotowość do przyznania, że wdrożenie nie przyniosło zakładanego efektu, i do jego wycofania.

Rola Fundacji Healthcare Poland

Living Lab Healthcare traktuje kompetencje personelu jako element ocenianego rozwiązania, a nie jako okoliczność zewnętrzną. Rozwiązanie zgłoszone do pilotażu jest oceniane także pod kątem tego, ile czasu potrzebuje przeciętny użytkownik, żeby osiągnąć samodzielność, jak wygląda materiał szkoleniowy dostarczony przez producenta i czy instrukcja użytkowania pozwala osobie sprawującej nadzór zrozumieć ograniczenia modelu. Rozwiązanie, które wymaga eksperta do obsługi, nie jest gotowe do skalowania w systemie publicznym — i lepiej dowiedzieć się tego w pilotażu niż po wdrożeniu w dwudziestu szpitalach.

Koncepcja szpitala referencyjnego CM‑KLARA obejmuje centrum kompetencji, w którym personel innych placówek może uczyć się na środowisku odwzorowującym warunki realnej pracy. Ta funkcja — ośrodka referencyjnego dla kompetencji, nie tylko dla procedur — jest w Polsce nieobsadzona. Wobec deklarowanej chęci szkolenia przekraczającej dziewięćdziesiąt procent w szpitalach7 problemem nie jest zainteresowanie, lecz przepustowość — a przepustowość buduje się infrastrukturą dydaktyczną, nie apelami.

Koalicja CyberC4HE wnosi warstwę, bez której cała reszta jest krucha: bezpieczeństwo i kulturę zgłaszania. Materiał szkoleniowy, scenariusze ćwiczeń i procedury reagowania są w dużej mierze wspólne dla całego sektora, a to znaczy, że organizacja sektorowa może je dostarczyć taniej niż każdy szpital osobno — i szybciej, co w obecnej sytuacji ma znaczenie nie mniejsze niż koszt.

Trzeba przy tym powiedzieć uczciwie, gdzie są granice. Żadna organizacja pozarządowa nie zastąpi ani płatnika, ani regulatora, ani pracodawcy w obowiązku, który artykuł 4 i artykuł 26 nakładają na podmiot stosujący system. Fundacja może dostarczyć metodykę, wspólną infrastrukturę szkoleniową i punkt odniesienia dla oceny wdrożeń. Decyzja, czy pielęgniarka na oddziale dostanie dwie godziny na przeszkolenie, zapada w gabinecie dyrektora i nigdzie indziej.

Dziesięć dni i szesnaście miesięcy

Między 2 grudnia 2027 roku, gdy zaczną obowiązywać obowiązki wobec samodzielnych systemów wysokiego ryzyka, a dniem dzisiejszym rozciąga się szesnaście miesięcy. Europejski prawodawca podarował je sektorowi nie po to, żeby zaczekał, lecz po to, żeby przygotował ludzi.

Rekomendacja jest jednoznaczna: wykorzystać dodatkowy czas, a nie czekać na niego — traktować porozumienie jako sygnał, żeby zacząć albo kontynuować, a nie jako powód, żeby odłożyć. I zdanie już dosłowne: „2 sierpnia 2026 roku pozostaje aktywną datą zgodności”.Gibson, Dunn & Crutcher LLP, alert kliencki5 — pierwsze zdanie parafrazą, drugie w tłumaczeniu własnym

W polskich warunkach ten czas ma bardzo konkretną wartość. W październiku 2026 roku zostanie powołany przewodniczący krajowego organu nadzoru, w listopadzie ruszy komisja, kilka miesięcy później piaskownice regulacyjne. Do 1 października trwa nabór na 7,8 miliona euro na zaawansowane kompetencje cyfrowe dla wdrożeń sztucznej inteligencji w zdrowiu16. Cztery na dziesięć szpitali zamierza w ciągu roku uruchomić rozwiązanie oparte na AI. A dwanaście tysięcy podmiotów właśnie uczy się — w najtrudniejszy z możliwych sposobów — czym jest obowiązek administratora danych. To wszystko dzieje się w oknie krótszym niż jeden cykl budżetowy szpitala.

System ochrony zdrowia nie pęka w miejscu, w którym brakuje technologii. Pęka w miejscu, w którym technologia została wprowadzona szybciej, niż ludzie zdołali się jej nauczyć — i w którym nikt nie uznał, że nauczenie ich jest częścią wdrożenia, a nie uprzejmością wobec personelu. Kompetencja nie jest miękkim dodatkiem do inwestycji. Jest nośnością samą w sobie: tym, co decyduje, czy most przeniesie obciążenie, na które go zaprojektowano.

Maszyna dostała odroczenie. Człowiek nie — i słusznie, bo to on odpowiada.

Przypisy i źródła

  1. „Doszło do nadzwyczajnego wycieku danych”. Chodzi o 19 mln pacjentów, Rynek Zdrowia, 12 sierpnia 2026 — rynekzdrowia.pl. Zob. też: Mieli wykraść dane medyczne blisko 19 mln Polaków, Rynek Zdrowia, 11 sierpnia 2026; Możliwy wyciek danych 19 mln Polaków. Pilna reakcja rządu, „Rzeczpospolita”, 12 sierpnia 2026 (dostęp: 12 sierpnia 2026).
  2. Wyciek danych nie dotyczy tylko komercyjnych placówek. Z oprogramowania korzystało 12 tys. podmiotów, Rynek Zdrowia, 12 sierpnia 2026 — rynekzdrowia.pl (dostęp: 12 sierpnia 2026).
  3. Incydent w MyDr — obowiązki wynikające z RODO, Prawo.pl (Wolters Kluwer), 12 sierpnia 2026 — prawo.pl (dostęp: 12 sierpnia 2026). Uwaga redakcyjna: treść stanowiska Prezesa UODO przytoczono za publikacją Prawo.pl; oryginalnego komunikatu na uodo.gov.pl nie udało się otworzyć w dniu weryfikacji.
  4. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 (tzw. cyfrowy omnibus w zakresie AI), Dz.Urz. UE z 24 lipca 2026 r., wejście w życie 27 lipca 2026 r. — eur-lex.europa.eu. Analiza znowelizowanego art. 4: V. G. Sapuppo, AI literacy: the Digital Omnibus rewrites Article 4 of the AI Act, lawandtechnology.eu, 30 lipca 2026. Informacja o rozpoczęciu nadzoru nad art. 4 od 3 sierpnia 2026 r.: The Digital Omnibus Is Law, Spicy Advisory, 28 lipca 2026 (dostęp: 12 sierpnia 2026).
  5. Gibson, Dunn & Crutcher LLP, EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes, Client Alert, 27 maja 2026 — gibsondunn.com (dostęp: 12 sierpnia 2026). Uwaga redakcyjna: alert opisuje wstępne porozumienie polityczne z maja 2026 r.; wskazane w nim daty zostały następnie potwierdzone w tekście rozporządzenia (UE) 2026/1744.
  6. AI Act wchodzi w kolejny etap: od 2 sierpnia Komisja Europejska zaczyna egzekwować część przepisów, PAP / Rynek Zdrowia, 31 lipca 2026 — rynekzdrowia.pl (dostęp: 12 sierpnia 2026). Uwaga redakcyjna: zawarte w depeszy stwierdzenie o odroczeniu „o rok, do 2 sierpnia 2027 r.” nie odpowiada treści przyjętego rozporządzenia — zob. przypisy 4 i 5.
  7. Ministerstwo Zdrowia i Centrum e‑Zdrowia, Badanie stopnia informatyzacji podmiotów wykonujących działalność leczniczą — IX edycja (dane za rok 2025), publikacja 7 sierpnia 2026 — cez.gov.pl (dostęp: 12 sierpnia 2026). Omówienie prasowe: Wysoki poziom cyfryzacji ochrony zdrowia. Aż 90,6 proc. szpitali indeksuje dokumentację w systemie, Rynek Zdrowia, 10 sierpnia 2026.
  8. Artykuł 26: Obowiązki podmiotów stosujących systemy AI wysokiego ryzyka, rozporządzenie (UE) 2024/1689 (akt o sztucznej inteligencji) — ust. 2 (nadzór człowieka: kompetencje, przeszkolenie, uprawnienia, wsparcie), ust. 5, 6 i 7. Pierwotna data stosowania: 2 sierpnia 2026 r. zgodnie z art. 113 — przesunięta dla systemów z załącznika III na 2 grudnia 2027 r. na mocy rozporządzenia (UE) 2026/1744.
  9. N. Nowotnik, Polska komisja ds. AI rozpocznie pracę w listopadzie, „Rzeczpospolita”, 24 lipca 2026 (aktualizacja: 12 sierpnia 2026) — rp.pl (dostęp: 12 sierpnia 2026).
  10. Ministerstwo Cyfryzacji, Ustawa o systemach AI — bezpieczny rozwój sztucznej inteligencji w Polsce, komunikat z 27 lipca 2026 — gov.pl. Przebieg prac legislacyjnych: druk sejmowy nr 2443 (dostęp: 12 sierpnia 2026).
  11. Zaufało mu już ponad 21 mln Polaków. W Centrum e‑Zdrowia padł nowy rekord, Rynek Zdrowia, 6 lipca 2026, za komunikatem Centrum e‑Zdrowia — rynekzdrowia.pl (dostęp: 12 sierpnia 2026).
  12. Centrum e‑Zdrowia, CeZ rozwija kompetencje cyfrowe w ochronie zdrowia — ponad 2200 przeszkolonych uczestników, komunikat z 1 lipca 2025 — cez.gov.pl (dostęp: 12 sierpnia 2026).
  13. European Observatory on Health Systems and Policies, Closing the digital skills gap for the European health and care workforce, seminarium z maja 2025 r. (cykl BeWell Spotlight Series) — eurohealthobservatory.who.int (dostęp: 12 sierpnia 2026).
  14. WHO Regional Office for Europe, pierwsza ocena integracji sztucznej inteligencji z systemami ochrony zdrowia w Regionie Europejskim, listopad 2025 (badanie 2024–2025, dane z 50 państw członkowskich).
  15. Omówienie raportu WHO/Europe w serwisie ICT&health — wskaźniki dotyczące szkoleń AI w trakcie pracy (24%), kształcenia przeddyplomowego (20%) i niepewności prawnej jako bariery (86%). Uwaga redakcyjna: wskaźniki przytoczono za omówieniem, nie za pierwotnym raportem.
  16. Komisja Europejska / HaDEA, nabór w programie Cyfrowa Europa na zaawansowane umiejętności cyfrowe na potrzeby upowszechnienia AI w ochronie zdrowia — budżet 7,8 mln €, termin składania wniosków 1 października 2026 r., godz. 17.00 czasu brukselskiego; w tym samym naborze 14,4 mln € na wdrożenie europejskiego formatu wymiany EDM i wtórne wykorzystanie danych zdrowotnych.

Polska Odporna · Nośność systemu ochrony zdrowia · Artykuł 26 · Michał P. Dybowski · 12 sierpnia 2026