Piaskownica, zanim zegar wybije sierpień. Dlaczego kontrolowany test, a nie sam przepis, decyduje o bezpieczeństwie pacjenta

Do 2 sierpnia 2026 roku każde państwo Unii ma mieć operacyjną piaskownicę regulacyjną sztucznej inteligencji. To jeden z niewielu terminów AI Act, którego nie przesunięto — podczas gdy obowiązki dla systemów wysokiego ryzyka oddalają się o szesnaście miesięcy. Powstaje paradoks: czas na budowę bezpiecznego miejsca do testów biegnie, czas na rozliczenie ucieka. Ten tekst pokazuje, dlaczego to nie przepis, lecz kontrolowany test w prawdziwym szpitalu jest tarczą dla pacjenta.

Jest pierwszy tydzień czerwca 2026 roku, a nad europejskim zegarem regulacyjnym wisi data, która brzmi technicznie, lecz dotyczy każdego pacjenta. Drugiego sierpnia 2026 roku każde państwo członkowskie Unii Europejskiej ma obowiązek utrzymywać co najmniej jedną operacyjną piaskownicę regulacyjną sztucznej inteligencji. Tak stanowi artykuł 57 rozporządzenia o sztucznej inteligencji, znanego jako AI Act. To jeden z nielicznych terminów w całym akcie, który — w odróżnieniu od większości obowiązków dla systemów wysokiego ryzyka — nie został przesunięty i według dostępnego dziś prawa pozostaje wiążący. Mamy więc niespełna dwa miesiące na to, by mechanizm, który ma chronić obywatela i jednocześnie nie zdławić innowacji, przeszedł z papieru do realnego działania.

Łatwo potraktować tę datę jako kolejny biurokratyczny kamień milowy. Byłby to błąd, którego cenę zapłaciliby pacjenci. Bo piaskownica regulacyjna to nie formalność dla prawników — to narzędzie, które rozstrzyga, czy algorytm, który ma wspomóc radiologa w odczycie tomografii albo dyspozytora w segregacji zgłoszeń ratunkowych, zostanie sprawdzony, zanim dotknie chorego, czy dopiero po tym, jak coś pójdzie nie tak. Niniejszy tekst jest o tej różnicy. I o tezie, którą Fundacja Healthcare Poland stawia od początku swojej pracy w tym obszarze: test regulacyjny jest konieczny, ale niewystarczający. Tarczą dla obywatela jest dopiero test operacyjny — sprawdzenie rozwiązania w prawdziwym środowisku klinicznym, pod nadzorem, zanim trafi ono do masowego użycia.

Czym naprawdę jest piaskownica i czego nie należy z nią mylić

Pojęcie „piaskownicy regulacyjnej” przywędrowało do świata sztucznej inteligencji z sektora finansowego, gdzie od lat pozwalało nowym usługom płatniczym działać przez ograniczony czas, na ograniczonej próbie klientów, pod okiem nadzorcy i z czasowym poluzowaniem części wymogów. Idea jest prosta i głęboko ludzka: zanim pozwolimy czemuś nowemu wejść na rynek na pełną skalę, dajmy temu bezpieczne miejsce, w którym wolno popełnić błąd bez krzywdy dla osób trzecich i bez ruiny dla twórcy. Organizacja Współpracy Gospodarczej i Rozwoju (OECD), opisując ten instrument, wskazuje, że piaskownica oferuje czasową elastyczność regulacyjną i nadzór, dzięki czemu można wcześnie identyfikować ryzyka, prowadzić „uczenie się regulacyjne” i dopracowywać wymogi, zanim zaczną obowiązywać w pełnej skali.^[5]

Warto od razu rozwiać nieporozumienie, które ciąży nad debatą. OECD, powołując się na analizy inicjatywy Datasphere, rozróżnia trzy typy piaskownic.

To rozróżnienie nie jest akademicką subtelnością — w ochronie zdrowia decyduje o wszystkim. Można bowiem uzyskać świadectwo, że algorytm „spełnia wymogi”, nie sprawdziwszy nigdy, jak zachowa się on na realnym strumieniu pacjentów konkretnego szpitala, z jego aparaturą, jego populacją i jego sposobem prowadzenia dokumentacji. Dlatego OECD odnotowuje, że tym, co odróżnia piaskownicę od pokrewnych narzędzi jak living lab czy testbed, jest jej najwyższy stopień zinstytucjonalizowania i powiązanie z realnym nadzorem.^[5]

Skala zjawiska jest już dziś znaczna. Według danych przywołanych przez OECD, do lutego 2025 roku na świecie zidentyfikowano ponad sześćdziesiąt piaskownic związanych z AI, danymi i technologią, a kluczowe ramy regulacyjne — od unijnego AI Act po amerykański AI Action Plan — traktują je jako narzędzie podstawowe, a nie egzotyczne.^[5]

Innymi słowy: nie jesteśmy na początku eksperymentu. Jesteśmy w momencie, w którym najlepsze praktyki są już dostępne, a stawką jest to, czy Polska po nie sięgnie, czy odkryje je ponownie własnym kosztem.

Co dokładnie nakazuje artykuł 57 i dlaczego ten termin się nie przesunął

Sięgnijmy do litery prawa, bo to ona wyznacza ramy odpowiedzialności. Artykuł 57 rozporządzenia (UE) 2024/1689 nakłada na państwa członkowskie obowiązek zapewnienia, by ich właściwe organy ustanowiły co najmniej jedną krajową piaskownicę regulacyjną AI, operacyjną do 2 sierpnia 2026 roku. Obowiązek ten można wypełnić także wspólnie z innymi państwami albo przez udział w piaskownicy już istniejącej, o ile zapewnia to równoważny poziom pokrycia krajowego. Cele są w przepisie wyliczone wprost: poprawa pewności prawnej i zgodności z regulacją, dzielenie się dobrymi praktykami, wspieranie innowacji i konkurencyjności, „uczenie się regulacyjne oparte na dowodach” oraz ułatwienie i przyspieszenie dostępu do rynku, w szczególności małym i średnim przedsiębiorstwom, w tym start‑upom.^[1]

W przepisie kryje się rozwiązanie, które dla każdego twórcy technologii medycznej jest na wagę złota. Jeśli przyszły dostawca przestrzega uzgodnionego planu testów i w dobrej wierze stosuje się do wskazówek właściwego organu, organy nie nakładają kar administracyjnych za naruszenia rozporządzenia ujawnione w trakcie testów. Co więcej, jeśli w nadzór zaangażowane były inne organy odpowiedzialne za inne dziedziny prawa, również one odstępują od kar w swoim zakresie. Po zakończeniu uczestnik otrzymuje pisemny dowód przeprowadzonych działań oraz raport końcowy, który organy nadzoru rynku i jednostki notyfikowane mają brać pod uwagę „pozytywnie”, aby w rozsądnym zakresie przyspieszyć ocenę zgodności.^[1]

To jest właśnie sedno: piaskownica nie zwalnia nikogo z odpowiedzialności cywilnej za szkodę wyrządzoną osobie trzeciej — ta pozostaje — ale zamienia regulację z muru, o który firmy się rozbijają, w poręcz, która prowadzi je bezpiecznie do zgodności.

Dlaczego akurat ta data nabiera dziś szczególnej wagi? Bo wokół niej wszystko inne się przesuwa. Jak relacjonuje serwis Prawo.pl, w pakiecie Digital Omnibus, którego kluczowe przepisy Parlament Europejski zatwierdził pod koniec marca 2026 roku, obowiązki dla systemów AI wysokiego ryzyka — a więc także tych z obszaru zdrowia i bezpieczeństwa — mają zostać opóźnione o szesnaście miesięcy, do 2 grudnia 2027 roku.^[2] Aktualizowane na czerwiec 2026 roku analizy potwierdzają, że jest to na razie wstępne porozumienie polityczne, osiągnięte w maju 2026 roku i czekające na formalne przyjęcie; dopóki nie zostanie ogłoszone w Dzienniku Urzędowym, 2 sierpnia 2026 roku pozostaje datą prawną i roboczą linią bazową.^[4]

Powstaje więc paradoks, który warto nazwać po imieniu: termin na zbudowanie bezpiecznej przestrzeni do testów trwa, podczas gdy termin na pełną zgodność systemów wysokiego ryzyka się oddala. To nie osłabia znaczenia piaskownicy — przeciwnie. W okresie, gdy twarde obowiązki są odsuwane, kontrolowany, dobrowolny test staje się jedynym miejscem, w którym pacjent jest realnie chroniony, a twórca realnie uczony, zanim nadejdzie godzina rozliczenia.

Polska o krok od własnej piaskownicy — i o krok od decyzji, jaka ma być

Polska nie zaczyna od zera, ale i nie ma czasu na zwłokę. Pierwszego kwietnia 2026 roku Rada Ministrów przyjęła projekt ustawy o systemach sztucznej inteligencji, która wdraża AI Act do krajowego porządku prawnego. Ustawa powołuje nowy organ nadzoru — Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — który, jak wskazuje resort cyfryzacji, będzie mógł badać zgodność wykorzystania AI z przepisami między innymi w diagnostyce medycznej, wydawać przedsiębiorcom indywidualne opinie dające pewność co do legalności planowanych działań oraz tworzyć piaskownice regulacyjne, czyli wydawać zgody na odstępstwa od stosowania określonych przepisów w celu wspierania nowatorskich rozwiązań.^[2] Eksperci cytowani przez Prawo.pl zwracają uwagę, że obecne przepisy o piaskownicach — artykuł 91 i następne projektu — mają charakter ogólny, więc dopiero dalsze prace legislacyjne mają określić szczegółowe warunki dopuszczenia, przebieg testów i sposób nadzoru.^[2] Mówiąc wprost: rama już jest, ale o tym, czy będzie to żywe narzędzie, czy martwy zapis, zdecydują najbliższe miesiące i jakość wykonania.

Ministerstwo Cyfryzacji deklaruje ambicję, by pierwsza polska piaskownica wystartowała najpóźniej do 2 sierpnia 2026 roku, a udział w niej — zwłaszcza dla start‑upów i MŚP — był nieodpłatny. Resort zapowiada dedykowaną sekcję na portalu ai.gov.pl jako centralny punkt dostępu do ekosystemu wsparcia, równolegle z budową dwóch „fabryk AI” w Poznaniu i Krakowie, utworzeniem „AI Hubu” dla administracji oraz piaskownicami technologicznymi dla samorządów.^[3]

To dobra wiadomość i poważna deklaracja. Pozostaje pytanie, które dla zdrowia jest najważniejsze: czy polska piaskownica będzie tylko procesem prawnym wydawania odstępstw, czy także realnym środowiskiem, w którym algorytm medyczny sprawdza się na prawdziwym, choć kontrolowanym, strumieniu pacjentów. Bo to drugie — nie pierwsze — chroni chorego.

Czego świat już się nauczył — i co Polska może z tego wziąć

Najlepsze praktyki nie są domysłem. Najdalej w Europie zaszła Hiszpania, która uruchomiła pierwszą w Unii piaskownicę AI na mocy dekretu królewskiego 817/2023, obowiązującego od listopada 2023 roku, oraz powołała pierwszy w UE wyspecjalizowany organ nadzoru — Hiszpańską Agencję Nadzoru nad Sztuczną Inteligencją (AESIA), działającą od czerwca 2024 roku. W kwietniu 2025 roku do hiszpańskiej piaskownicy wybrano dwanaście projektów, między innymi z obszaru diagnostyki medycznej, a w grudniu 2025 roku AESIA opublikowała szesnaście szczegółowych przewodników i szablonów — od zarządzania ryzykiem po dokumentację techniczną i ocenę zgodności — wypracowanych w dużej mierze na podstawie wniosków z pilotażu piaskownicy.^[4] Kluczowy jest tu pewien szczegół instytucjonalny: w nadzorze nad medyczną AI AESIA współdziała z agencją odpowiedzialną za leki i wyroby medyczne (AEMPS), bo algorytm wspierający diagnozę bywa jednocześnie wyrobem medycznym podlegającym osobnym rozporządzeniom MDR i IVDR.^[4] To pokazuje regułę, której nie wolno w Polsce przeoczyć: w zdrowiu piaskownica AI musi być prowadzona wspólnie z regulatorem wyrobów medycznych i z organem ochrony danych, a nie obok nich.

Doświadczenia spoza Europy układają się w spójną lekcję. OECD przytacza przykład Singapuru, którego piaskownica zdrowotna oferuje wytyczne dotyczące danych syntetycznych, by minimalizować ryzyko prywatności przy zachowaniu realizmu testów, oraz uruchomiony w 2025 roku Global AI Assurance Sandbox, w którego pilotażu siedemnastu wdrożeniowców AI z dziewięciu krajów współpracowało z szesnastoma wyspecjalizowanymi testerami. To właśnie tam ujawniła się rzecz, której żaden czysto papierowy audyt by nie wychwycił: chatbot, który bezpiecznie obsługiwał zapytania po angielsku, ujawnił poufne informacje, gdy zwrócono się do niego po mandaryńsku.^[5]

Luksemburg pokazał z kolei, że piaskownica to przede wszystkim platforma koordynacji — w jego modelu współpracuje jedenaście instytucji i podmiotów innowacyjnych, co zapobiega fragmentacji nadzoru. Izrael dowiódł, że uczestnictwo nie jest automatyczne i wymaga zachęt: powołał rządowy fundusz finansujący wsparcie prawne i mentoring dla regulatorów uruchamiających piaskownice oraz granty dla firm. Brazylia wprowadziła trójstopniowy model z budowaniem kompetencji uczestników przez partnerski uniwersytet przed fazą eksperymentu.^[5]

Z tych historii wyłaniają się trzy ostrzeżenia, które OECD formułuje wprost: regulatorom brakuje zwykle zdolności i kompetencji technicznych do nadzorowania złożonych systemów AI; koordynacja między wieloma organami bywa najtrudniejszą częścią zadania; a zbyt rygorystyczne, przeładowane procedury potrafią zniechęcić właśnie tych, dla których piaskownica powstała — małe firmy i start‑upy.^[5]

Co z tego wynika dla nas po obu stronach bilansu? Polska ma światu do zaoferowania rzecz rzadką: gęstą sieć szpitali gotowych być realnym poligonem walidacji, połączoną z budowaną właśnie infrastrukturą obliczeniową i krajowym modelem językowym. To jest nasz kapitał — zdolność do testu operacyjnego, nie tylko regulacyjnego. Świat oferuje nam w zamian gotowe wzorce: hiszpańską dyscyplinę współpracy z regulatorem wyrobów medycznych, singapurską kulturę testów danych syntetycznych i wielojęzycznych, luksemburską inżynierię koordynacji oraz izraelską naukę o zachętach. Polityce publicznej daje to zaś coś, czego brakuje jej najbardziej — mechanizm „uczenia się regulacyjnego opartego na dowodach”, który artykuł 57 wpisuje wprost w cele piaskownicy.^[1]

Dlaczego sam test regulacyjny to za mało — narracja Tarczy dla obywatela

W tym miejscu trzeba postawić tezę, która jest sercem podejścia Fundacji Healthcare Poland i którą warto bronić nawet wbrew wygodzie. Świadectwo zgodności nie jest tym samym co bezpieczeństwo pacjenta. Model diagnostyczny może przejść ocenę dokumentacji, spełnić wymogi przejrzystości i nadzoru człowieka, a mimo to zawieść na strumieniu realnych przypadków konkretnego oddziału — bo populacja pacjentów różni się od zbioru treningowego, bo aparat obrazowania jest innej generacji, bo lekarze opisują przypadki w sposób, którego model nie widział. Przykład singapurski z chatbotem, który „pęka” dopiero w innym języku, jest tu metaforą uniwersalną: prawda o systemie AI ujawnia się w warunkach, których papier nie przewidzi.^[5]

Dlatego mówimy: test regulacyjny jest konieczny, ale tarczą dla obywatela staje się dopiero test operacyjny — sprawdzenie w realnym, lecz nadzorowanym środowisku klinicznym, z planem ograniczania ryzyka i z prawem nadzorcy do natychmiastowego wstrzymania testu, które artykuł 57 zresztą gwarantuje.^[1]

Ta perspektywa zmienia również etykę całego przedsięwzięcia. Logika Just Culture — sprawiedliwej kultury uczenia się na błędach — uczy, że błąd ujawniony w bezpiecznych warunkach jest darem, a nie przewinieniem, o ile system potrafi się z niego nauczyć. Piaskownica, w której twórca w dobrej wierze ujawnia słabość modelu i nie zostaje za to ukarany karą administracyjną, jest instytucjonalnym wcieleniem tej zasady.^[1] Zamiast pytać „kto zawinił, gdy algorytm pomylił się przy pacjencie”, pytamy wcześniej: „gdzie i jak ten algorytm może się pomylić, zanim dotknie pacjenta — i co z tą wiedzą zrobimy”. To przesunięcie z rozliczania skutków na rozliczanie z należytej staranności w testach jest, w duchu Just Council, najpełniejszą formą szacunku zarówno dla obywatela, jak i dla uczciwego innowatora. Bezpieczeństwo i innowacja przestają być wrogami; stają się dwiema stronami tej samej dyscypliny.

Pomiar, decyzja, wdrożenie, rozliczenie — jak zmierzyć, czy piaskownica naprawdę działa

Cykl „Nośność systemu ochrony zdrowia” opiera się na prostej dyscyplinie: pomiar, decyzja, wdrożenie, rozliczenie. Piaskownica wpisuje się w nią idealnie, ale tylko wtedy, gdy nie poprzestaniemy na samym jej uruchomieniu.

Pomiar oznacza tu jasne wskaźniki, których OECD domaga się jako warunku, by piaskownice nie stały się „odosobnionymi eksperymentami” zamiast narzędziem polityki: skrócenie czasu wejścia na rynek dla zgodnych systemów, wzrost pewności i spójności regulacyjnej oraz realne, wywołane wnioskami z testów zmiany w prawie i normach.^[5] Decyzja oznacza świadomy wybór modelu — czy budujemy wyłącznie piaskownicę regulacyjną wydającą odstępstwa, czy także operacyjną, zdolną do testu w klinice. Wdrożenie to powiązanie piaskownicy z oceną zgodności, tak by raport końcowy realnie skracał drogę przez jednostkę notyfikowaną, jak przewiduje artykuł 57.^[1] Rozliczenie to obowiązek corocznego raportowania do Urzędu ds. AI i publikowania wniosków, który rozporządzenie nakłada na organy krajowe — i który zamienia piaskownicę z jednorazowego gestu w stały silnik uczenia się państwa.^[1]

Tę dyscyplinę warto przełożyć na język korzyści dla każdej z grup, których ona dotyczy.

Pacjent i obywatel zyskują tarczę: rozwiązanie sprawdzone, zanim dotknie chorego, i nadzór, który może je zatrzymać. Szpitale i kadry zyskują dostęp do innowacji przetestowanej w warunkach zbliżonych do ich własnych, a nie w laboratoryjnej abstrakcji, oraz partnera, który bierze na siebie ciężar zgodności. Regulator i płatnik zyskują „dowody zamiast domysłów” — empiryczną podstawę do projektowania refundacji i wymogów, zamiast regulowania w ciemno. Biznes i inwestorzy zyskują przewidywalność i skrócenie kosztownej drogi na rynek, a małe firmy — ochronę przed tym, by zgodność stała się barierą dostępną wyłącznie dla gigantów. A marka „Healthcare Poland” zyskuje to, co w gospodarce zaufania najcenniejsze: reputację miejsca, w którym innowacja medyczna jest jednocześnie szybka i bezpieczna, co czyni z Polski naturalny węzeł walidacji dla całego regionu.

Rola Fundacji Healthcare Poland — od współtworzenia reguł do prowadzenia testu

W tym właśnie punkcie kompetencja Fundacji Healthcare Poland przestaje być deklaracją, a staje się ofertą. Fundacja rozwija dwa komplementarne modele piaskownic, które razem zamykają lukę między papierem a praktyką.

Pierwszy to ścieżka regulacyjna, prowadzona w ramach prac nad państwowymi mechanizmami odstępstw i nadzoru — przestrzeń, w której zapadają decyzje o ramach prawnych testu. Drugi, bliższy sercu misji zdrowotnej, to operacyjna piaskownica zdrowotna: test rozwiązania w realnym środowisku klinicznym, skupiony na AI diagnostycznej, technologiach medycznych i — przede wszystkim — na bezpieczeństwie pacjenta. To w tym drugim modelu materializuje się teza, że test regulacyjny nie wystarcza, a kluczowy jest test operacyjny. Komplementarność obu ścieżek odpowiada wprost na lekcję, którą OECD nazywa najtrudniejszą: konieczność koordynacji między organem regulacyjnym, regulatorem wyrobów medycznych i organem ochrony danych w jednym, spójnym procesie.^[1][5]

Fundacja proponuje też rozwiązanie problemu, który w analizach OECD wraca jak refren — braku zdolności i koordynacji po stronie publicznej. Koncepcja koordynatora całego procesu piaskownic, dopraszającego legislatorów i regulatorów stosownie do potrzeb konkretnego projektu, ogłaszającego zapotrzebowanie na rozwiązania rynkowe i monitorującego zgodność z AI Act, jest polską odpowiedzią na luksemburski model platformy koordynacyjnej i na izraelską naukę o tym, że bez zachęt i wsparcia ani regulator, ani firma nie wejdą do piaskownicy z pełnym zaangażowaniem.^[5] Tak rozumiana piaskownica nie jest usługą jednego podmiotu — jest dobrem wspólnym, w którym każdy resort wyznacza swojego przedstawiciela, a proces od kwalifikacji, przez plan testów i derogacje, po ścieżkę wdrożenia jest przejrzysty i powtarzalny. To jest właśnie sposób, w jaki polski system ochrony zdrowia może zwiększyć swoją nośność: nie przez kolejny pojedynczy algorytm, lecz przez zdolność do bezpiecznego sprawdzania i skalowania setek z nich.

Dwa miesiące, które warto przeżyć mądrze

Wróćmy do zegara. Do 2 sierpnia 2026 roku zostało niewiele tygodni, a stawką nie jest dotrzymanie formalnego terminu dla samego terminu. Stawką jest to, czy pierwsza polska piaskownica AI w zdrowiu powstanie jako żywe narzędzie ochrony pacjenta i napędu innowacji, czy jako pusta rama, którą trzeba będzie naprawiać po pierwszym incydencie. Świat dostarczył nam map: hiszpańską dyscyplinę współpracy z regulatorem wyrobów medycznych, singapurską kulturę testów danych syntetycznych i wielojęzycznych, luksemburską inżynierię koordynacji, izraelską naukę o zachętach, brazylijskie budowanie kompetencji. Prawo dostarczyło nam ramy — artykuł 57 z jego obietnicą, że uczciwy test nie kończy się karą, lecz raportem przyspieszającym drogę na rynek. Fundacja Healthcare Poland dostarcza tezy i zdolności: że tarczą dla obywatela jest dopiero test operacyjny, i że Polska ma — w swoich szpitalach, kadrach i budowanej infrastrukturze — wszystko, by ten test przeprowadzać lepiej niż ktokolwiek w regionie.

Pozostaje decyzja. A w duchu sprawiedliwej kultury uczenia się na błędach najlepszą decyzją jest ta, która tworzy bezpieczne miejsce na błąd, zanim zapłaci za niego pacjent. Sierpień nadejdzie niezależnie od tego, czy będziemy gotowi. Lepiej, by zastał nas przy pracy w piaskownicy, niż przy tłumaczeniu, dlaczego jej zabrakło.