Sandboxy regulacyjne AI. Unijne zasady udziału i terminy

Czym jest sandbox regulacyjny AI

Sandbox regulacyjny to kontrolowane środowisko, w którym firma rozwija, trenuje i testuje system AI pod nadzorem organu, zanim wprowadzi go na rynek. Może obejmować także testy w warunkach rzeczywistych. Celem jest wyjaśnienie wątpliwości prawnych, np. jak spełnić wymogi dla systemu wysokiego ryzyka, zanim firma poniesie pełne koszty oceny zgodności.

Obowiązek tworzenia sandboxów wynika z art. 57 AI Act, a art. 58 upoważnia Komisję do określenia szczegółów. Nowe rozporządzenie ma zapobiec sytuacji, w której każde państwo prowadzi nabory na innych zasadach. Europejski Inspektor Ochrony Danych wydał opinię o projekcie 6 marca 2026 roku.

Kto może się zgłosić i jak wygląda wybór

Wniosek może złożyć dostawca lub przyszły dostawca systemu AI, także razem z podmiotem stosującym system lub innym partnerem. Projekt musi dotyczyć systemu, który nie trafił jeszcze na rynek, systemu po istotnej zmianie albo systemu, który przez zmianę zastosowania stał się systemem wysokiego ryzyka. Firmy spoza UE zgłaszają się przez upoważnionego przedstawiciela i płacą opłatę za udział.

Organ ocenia wniosek według co najmniej pięciu kryteriów:

• potrzeby udziału wynikającej z konkretnych problemów regulacyjnych lub praktycznych,
• potencjału wiedzy regulacyjnej, z której skorzysta cały sektor,
• wkładu w interes publiczny, korzyści społeczne i politykę UE,
• dojrzałości projektu,
• innowacyjnego charakteru systemu AI.

Koszty udziału dla MŚP i dużych firm

Dla MŚP, w tym startupów, doradztwo, nadzór, wsparcie przy ocenie zgodności i nadzór nad testami w warunkach rzeczywistych mają być bezpłatne. Organ może pobrać zwrot wyjątkowych kosztów usług wykraczających poza ten zakres, ale musi uprzedzić o tym przed startem i szczegółowo je rozliczyć. Ten sam system obejmuje instytucje publiczne.

Pozostałe firmy mogą płacić opłatę równą pełnym kosztom usług. Organ musi opublikować cennik w chwili otwarcia naboru. Sandboxy tworzone przez Biuro AI na poziomie UE mają dawać pierwszeństwo także małym spółkom o średniej kapitalizacji (SMC).

Plan sandboxa, raport końcowy i terminy

Po wyborze firma i organ uzgadniają plan sandboxa. Zawiera on harmonogram z datą zakończenia, zakres prac, wymogi AI Act i innych przepisów objęte nadzorem, informację o przetwarzaniu danych osobowych, zabezpieczenia na wypadek poważnych incydentów oraz ewentualny plan testów w warunkach rzeczywistych. Organ ochrony danych bierze udział, gdy system przetwarza dane osobowe.

Na koniec firma dostaje pisemne potwierdzenie przebiegu i raport końcowy, najpóźniej w ciągu 45 dni roboczych. Żaden z tych dokumentów nie ma mocy deklaracji zgodności i nie jest zgodą na wprowadzenie produktu na rynek. Organy nadzoru rynku i jednostki notyfikowane mają jednak brać je pod uwagę, żeby przyspieszyć ocenę zgodności.

Organ może zawiesić testy lub udział firmy, gdy złamano warunki planu, gdy pojawiło się poważne ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, którego nie da się ograniczyć, albo na wniosek uczestnika.

Ograniczenia i niewiadome

Rozporządzenie odsyła w wielu miejscach do formularzy i wytycznych Europejskiej Rady ds. AI. Bez tych szablonów nabory w praktyce nie ruszą w jednolitej formie, a Komisja nie podała, kiedy Rada je przyjmie. Akt nie określa też maksymalnej długości udziału, tylko wskazuje, że ma ona odpowiadać złożoności projektu i możliwościom organu.

Liczba miejsc będzie zależeć od zasobów organów krajowych. Rozporządzenie pozwala im ograniczać nabory do wybranych sektorów, więc nie każda firma dostanie się do sandboxa w swoim kraju.

Co to oznacza dla Polski

W Polsce sandboxy ma prowadzić Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), działająca od 28 października 2026 roku. Polska ustawa o systemach sztucznej inteligencji przewiduje udział na 6-12 miesięcy, wybór w konkursie i nieodpłatny udział MŚP. Krajowe procedury będą musiały być zgodne z unijnym rozporządzeniem, które stosuje się bezpośrednio od 1 grudnia 2026 roku.

Daty pierwszego polskiego naboru nadal nie ogłoszono. Ministerstwo Cyfryzacji przygotowuje model sandboxów razem z Koreą Południową. W naszej ocenie polskie firmy rozwijające systemy wysokiego ryzyka powinny już teraz przygotować projekt planu w układzie z art. 5 rozporządzenia, bo przyda się on w naborze zarówno w Polsce, jak i w innym państwie UE.