Cyfrowa rewolucja: prawo i technologia w służbie społeczeństwa – prof. Dariusz Szostek [wideo]

Cyfryzacja, cyberbezpieczeństwo, sztuczna inteligencja i tożsamość cyfrowa – te hasła coraz częściej pojawiają się w debacie publicznej. Unia Europejska w ostatnich latach zaserwowała nam prawdziwe „tsunami legislacyjne” – falę nowych regulacji, które mają dostosować prawo do gwałtownego rozwoju technologii. Zobacz prezentację prof. UŚ dr hab Dariusza Szostka:

prof. UŚ dr hab Dariusz Szostek z Uniwersytetu Śląskiego, ekspert od prawa nowych technologii, w swojej prezentacji zwraca uwagę, że Europa próbuje nadrobić zaległości i zapewnić obywatelom bezpieczną cyfrową przyszłość. Jak te zmiany wyglądają na tle polskiego podwórka? Czy prawo nadąża za technologią? Przyjrzyjmy się kluczowym obszarom – od unijnych ram prawnych po polskie realia – językiem zrozumiałym dla każdego internauty.

„Unia Europejska przespała wiele rzeczy. Nie jest liderem i nie będzie już liderem w zakresie nowych technologii”

prof. UŚ dr hab Dariusz Szostek

Dodaje przy tym, że Polska plasuje się na przedostatnim miejscu w UE pod względem kompetencji cyfrowych i rozwoju AI – wyprzedzamy jedynie Rumunię. Mimo to Bruksela ruszyła do ofensywy regulacyjnej, chcąc wzmocnić europejskie podmioty technologiczne i bezpieczeństwo cyfrowe obywateli.

Poniżej opisujemy najważniejsze inicjatywy i przepisy w czterech obszarach: cyfryzacji, blockchain i kryptowalut, cyberbezpieczeństwa, sztucznej inteligencji oraz tożsamości cyfrowej.

Cyfrowa dekada Europy i polskie opóźnienia

Unia Europejska wyznaczyła ambitny plan transformacji cyfrowej do 2030 roku, znany jako „Cyfrowa Dekada Europy”. Zawarto go w decyzji Parlamentu Europejskiego i Rady (UE) 2022/2481, zwanej programem „Droga ku cyfrowej dekadzie”.

Dokument ten ustanawia konkretne cele cyfrowe na 2030 r., m.in.:

• Umiejętności: co najmniej 80% obywateli UE powinno mieć podstawowe kompetencje cyfrowe, a w sektorze IT UE chce mieć 20 mln specjalistów (z większym udziałem kobiet).
• Biznes: 75% przedsiębiorstw UE ma korzystać z chmury, dużych zbiorów danych lub AI, a liczba tzw. jednorożców (startupów wycenianych powyżej 1 mld USD) ma się podwoić. Ponad 90% MŚP powinno osiągnąć przynajmniej podstawowy poziom dojrzałości cyfrowej.
• Infrastruktura: zapewnienie łączności gigabitowej dla wszystkich oraz podwojenie udziału Europy w produkcji półprzewodników.
• E-administracja: wszystkie kluczowe usługi publiczne mają być dostępne online, 100% obywateli ma mieć dostęp do elektronicznej dokumentacji medycznej, a 100% obywateli – dostęp do identyfikacji elektronicznej (eID) uznawanej w całej UE.

Te unijne cele są wiążące politycznie – postępy państw będą co roku monitorowane i porównywane. Polska, choć popiera kierunek cyfryzacji, obrała niestety wolniejsze tempo.

Rząd dopiero pod koniec 2024 r. przedstawił projekt Strategii Cyfryzacji Polski do 2035 roku, który – co znamienne – powiela wiele założeń unijnej „Cyfrowej Dekady”, ale z terminem realizacji wydłużonym o 5 lat. W projekcie strategii zapisano m.in. że do 2035 r.: 85% Polaków osiągnie podstawowe kompetencje cyfrowe, 1,5 mln osób będzie pracować jako specjaliści ICT, połowa firm wdroży rozwiązania AI, a 20 milionów obywateli uzyska dostęp do cyfrowego portfela tożsamości​

Problem w tym, że wiele z tych celów Unia wymaga zrealizować znacznie szybciej – np. europejski portfel tożsamości cyfrowej musi być udostępniony obywatelom już do końca 2026 roku (zgodnie z nowym rozporządzeniem eIDAS).

prof. UŚ dr hab Szostek krytykuje tak odległe horyzonty czasowe polskiej strategii. Z przekąsem zauważa, że większość kamieni milowych wyznaczono u nas na lata 2032–2035, czyli za trzy kadencje parlamentu – podczas gdy potrzeba działania „tu i teraz”.

W efekcie Polska może przespać kolejne lata. Już teraz dane nie pozostawiają złudzeń: według indeksu DESI za 2023 r. nasz kraj w 26 na 32 wskaźniki rozwoju cyfrowego wypada poniżej średniej UE. Aż 71% polskich firm ma niski lub bardzo niski poziom cyfrowej dojrzałości – nie spełniają nawet połowy unijnych kryteriów. Dotyczy to zwłaszcza małych i średnich przedsiębiorstw, które często nie mają ani fachowców IT, ani świadomości, jak wykorzystać dostępne fundusze na innowacje.

Dla porównania, te 29% firm w Polsce, które są cyfrowo zaawansowane, to głównie duże korporacje i oddziały międzynarodowe, zatrudniające najlepszych specjalistów.

W administracji publicznej sytuacja również pozostawia wiele do życzenia. Choć od lat mówi się o e-administracji, to tylko ok. 30% procedur urzędowych odbywa się bez papieru, a i tak połowa z nich kończy się… wydrukowaniem dokumentów.

„My naprawdę kochamy papier”

prof. UŚ dr hab Dariusz Szostek

Profesor przytacza przykłady urzędów, w których e-maile są drukowane i wpinane do segregatorów. Jego zdaniem Polska wciąż tkwi mentalnie w dokumencie 1.0 (papierowym), podczas gdy świat zmierza ku dokumentom 3.0 – aktywnym cyfrowym dokumentom, które na bieżąco odzwierciedlają aktualny stan faktyczny.

Brak takiej wizji prowadzi do absurdów: np. zaświadczenie o niekaralności ważne jest 6 miesięcy od wydania na papierze, więc jeśli ktoś tydzień po uzyskaniu takiego dokumentu zostanie skazany za poważne przestępstwo, to jeszcze przez kilka miesięcy może legitymować się „czystym” papierem. Dokument 3.0 mógłby ten problem rozwiązać – byłby powiązany z rejestrem online i natychmiast traciłby ważność po zmianie statusu.

„W Unii Europejskiej dane są ważne, a nie dokument – w Polsce odwrotnie: dokument jest ważny, a nie dane”

prof. UŚ dr hab Dariusz Szostek

Unia naciska na interoperacyjność administracji i zasadę „only once” – obywatel podaje dane tylko raz, a urzędy same między sobą je wymieniają. Ile razy wypełnialiśmy ten sam formularz w różnych instytucjach? W idealnym scenariuszu obywatel powinien móc załatwić sprawę jednym kliknięciem lub pokazaniem kodu QR zamiast dostarczać kolejne papierki.

Te idee przenikają nowe unijne regulacje – od digitalizacji usług po jednolity system e-tożsamości. Polska będzie musiała za tym nadążyć, by za 5–10 lat nie obudzić się z armią archaicznych przedsiębiorstw i urzędów działających „po staremu”.

Blockchain i kryptowaluty – od eksperymentu do regulacji

Jednym z symboli cyfrowej rewolucji ostatnich lat jest blockchain – technologia rozproszonych rejestrów, na której opierają się m.in. kryptowaluty. Prof. Szostek przypomina, że Bitcoin na początku działał w próżni prawnej, podobnie jak przed wiekami bankowość funkcjonowała bez regulacji.

„Bitcoin to najlepszy eksperyment naukowy w zakresie blockchaina”

prof. UŚ dr hab Dariusz Szostek

Wskazuje, że wiele innych projektów krypto długo nie miało praktycznego zastosowania. Dziś kryptowaluty to nie tylko ciekawostka dla geeków, ale ogromny rynek finansowy, który wpływa na gospodarki i może być wykorzystywany zarówno innowacyjnie, jak i nieuczciwie.

Dobitnym przykładem była sytuacja z początku wojny w Ukrainie w 2022 r. – nastąpił wtedy skokowy wzrost transferów kryptowalut z UE na zewnątrz, m.in. do Dubaju i Indii. W ciągu pierwszych 2–3 miesięcy wojny odnotowano najwyższe w historii obroty krypto, częściowo niewidoczne dla instytucji nadzoru. Pieniądze mogły omijać tradycyjne systemy bankowe i potencjalnie służyć do obchodzenia sankcji czy ukrywania kapitału.

„Trzeba było wprowadzić regulacje, żebyśmy wiedzieli, co się dzieje”

prof. UŚ dr hab Dariusz Szostek

Unia Europejska zareagowała, wprowadzając pionierskie przepisy dotyczące rynku kryptoaktywów. Kluczowym aktem jest rozporządzenie w sprawie rynków kryptowalut (MiCA), przyjęte w 2023 r. MiCA tworzy jednolite zasady dla emisji i obrotu kryptoaktywami w całej UE. Obejmuje te cyfrowe aktywa i usługi z nimi związane, które wcześniej nie podlegały żadnym regulacjom finansowym.

Cel MiCA:

• zabezpieczyć inwestorów,
• zapewnić przejrzystość oraz nadzór nad rynkiem,
• wesprzeć innowacje,
• umożliwić uczciwym firmom rozwój na rynku europejskim.

Harmonizacja przepisów ma ułatwić firmom krypto działanie w różnych krajach UE, a użytkownikom – tańsze i bezpieczniejsze usługi płatnicze i inwestycyjne.

W praktyce MiCA wprowadza m.in.:

• licencjonowanie dostawców usług kryptowalutowych,
• obowiązki informacyjne przy emisji nowych tokenów (tzw. whitepaper dla każdej oferty),
• szczególne wymogi wobec stablecoinów – czyli cyfrowych monet powiązanych z tradycyjnymi walutami.

Emisja stablecoina będzie wymagała m.in. posiadania rezerw finansowych i podlegała kontroli organów nadzoru.

Rozporządzenie MiCA weszło pełni w życie z końcem 2024 r., dając krajom członkowskim czas na dostosowanie się. W Polsce oznacza to m.in., że Komisja Nadzoru Finansowego zyska narzędzia do nadzoru nad giełdami kryptowalut i emitentami kryptoaktywów, co dotąd było utrudnione z braku konkretnych przepisów.

Blockchain to jednak znacznie więcej niż kryptowaluty. Ta technologia zapewniająca niezmienność i rozproszone potwierdzanie transakcji znajduje coraz to nowsze zastosowania – od śledzenia łańcuchów dostaw, przez cyfrowe archiwa, po… systemy identyfikacji.

„Smart kontrakty i tokenizacja nadają się do wielu aspektów niekoniecznie powiązanych z wartością”

prof. UŚ dr hab Dariusz Szostek

Przykładowo, w nowym systemie dokumentów 3.0 pewne elementy mogą działać w oparciu o blockchain, aby zagwarantować ich integralność i aktualność. Także w obszarze tożsamości cyfrowej trwają prace nad wykorzystaniem blockchaina do weryfikacji atrybutów (np. uprawnień czy licencji) w sposób zaufany i niepodrabialny.

Jak widać, prawo stara się „ucywilizować” dziki dotąd świat krypto – ale nie po to, by zahamować rozwój, lecz by zapewnić ramy zaufania. Podobnie przecież stało się z rynkiem finansowym:

„Kiedyś banki działały bez żadnych regulacji i budziły nieufność, a dziś – choć nie zawsze są szacowne – funkcjonują według jasnych reguł”

prof. UŚ dr hab Dariusz Szostek

Być może za kilka lat rynek blockchain i kryptowalut będzie tak samo uregulowany i stabilny, jak tradycyjny sektor bankowy, a innowacyjne rozwiązania oparte o smart kontrakty staną się codziennością w biznesie i administracji.

Cyberbezpieczeństwo jako priorytet

Żyjemy w niebezpiecznych czasach – cyberbezpieczeństwo jest kluczowe. Ten refren pojawia się we wszystkich europejskich strategiach i aktach prawnych związanych z technologiami. Rosnąca liczba cyberataków, zagrożenia dla infrastruktury krytycznej, wojna hybrydowa prowadzona w sieci – to wszystko sprawiło, że kwestia ochrony systemów informatycznych stała się priorytetem na szczeblu UE. Każdy nowy przepis – od sztucznej inteligencji po usługi cyfrowe – zawiera odniesienia do wymogów bezpieczeństwa i odporności na ataki.

Unia Europejska już w 2016 r. przyjęła pierwszą ogólną dyrektywę dot. bezpieczeństwa sieci i informacji (NIS1), a w 2022 r. zastąpiła ją NIS2 – nową, znacznie rozszerzoną dyrektywą o cyberbezpieczeństwie. Dyrektywa NIS2 ustanawia jednolite ramy prawne ochrony przed cyberzagrożeniami w 18 sektorach krytycznych (m.in. energetyka, transport, służba zdrowia, infrastruktura cyfrowa). Nakłada na państwa obowiązek:

• przyjęcia krajowej strategii cyberbezpieczeństwa,
• usprawnienia współpracy transgranicznej przy reagowaniu na incydenty.

Spektrum podmiotów objętych regulacją znacznie się poszerza – nowe przepisy dotyczą nie tylko operatorów infrastruktury, ale też średnie i duże firmy z branż takich jak: usługi cyfrowe, dostawcy chmury, produkcja urządzeń, gospodarka przestrzenna czy administracja publiczna.

Wszystkie te podmioty będą musiały spełniać szeroki katalog wymogów:

• wdrożenie procedur zarządzania ryzykiem,
• zabezpieczenia techniczne,
• zgłaszanie poważnych incydentów w ciągu 24 godzin,
• audyty bezpieczeństwa,
• sankcje za zaniedbania.

NIS2 podnosi poprzeczkę w całej UE – jak stwierdza Komisja, wprowadza „wyższy wspólny poziom ambicji w zakresie cyberbezpieczeństwa” dzięki klarowniejszym zasadom i silniejszym mechanizmom nadzoru.

Polska będzie musiała dostosować do NIS2 swoje prawo (dotychczas opierające się na ustawie o krajowym systemie cyberbezpieczeństwa z 2018 r.). Czekają nas zapewne zmiany organizacyjne – np. aktualizacja krajowej strategii cyberbezpieczeństwa, wyznaczenie nowych sektorów podlegających obowiązkom oraz wzmocnienie roli CSIRT (zespołów reagowania na incydenty).

Wymogi NIS2 dotkną też bezpośrednio firmy – nawet te średniej wielkości – zmuszając je do poważnego potraktowania kwestii ochrony danych i systemów. To wyzwanie, bo dziś brakuje nam kadr i świadomości: tylko 3,6% pracowników w Polsce to specjaliści ICT (przy średniej UE 4,5%), a wiele firm nawet nie wie, jak zabrać się za cyberbezpieczeństwo.

„Odporność na cyberataki pojawia się w każdym dokumencie”

prof. UŚ dr hab Dariusz Szostek

Dodaje jednak krytycznie, że w Polsce nie widać wystarczających działań, by podnieść wiedzę i kompetencje przedsiębiorców oraz obywateli w tym zakresie.

Unia stawia konkretne cele: do 2030 r.:

• 75% firm ma korzystać z chmury lub AI,
• 90% MŚP ma osiągnąć przynajmniej podstawowy poziom cyfrowego bezpieczeństwa.

Tymczasem w Polsce obecnie tylko 19% firm używa chmury (UE: 34%), a z narzędzi AI – zaledwie ok. 3% (UE: 8%). Grozi nam zatem cyfrowa luka bezpieczeństwa – wiele mniejszych podmiotów pozostaje bezbronnych wobec zagrożeń, nie mając ani ludzi, ani procedur, by się bronić.

Na szczęście, rośnie też świadomość na poziomie najwyższych władz. Cyberataki stały się realnym elementem geopolitycznej rozgrywki – wystarczy wspomnieć o atakach hakerskich na ukraińską infrastrukturę krytyczną czy próbach zakłócania polskich instytucji (np. atak GhostWriter ujawniający e-maile polskich polityków).

Rząd powołał stanowisko Pełnomocnika ds. cyberbezpieczeństwa, buduje się sieć centrów CyberSec (przy NASK, MON i ABW działają główne CSIRT-y), trwają prace nad narodowym centrum certyfikacji urządzeń. Jednak bez inwestycji w kadry i edukację efekty będą ograniczone.

„Mamy gigantyczny problem – nawet nie ma kto uczyć kolejnych specjalistów ICT”

prof. UŚ dr hab Dariusz Szostek

Potrzebne są więc programy kształcenia, kursy dla pracowników i menedżerów, a także kampanie uświadamiające zwykłych użytkowników, jak bronić się przed phishingiem, malware czy manipulacją informacją.

Cyberbezpieczeństwo to fundament cyfrowej gospodarki. Bez zaufania, że nasze dane i systemy są chronione, trudno oczekiwać, by społeczeństwo masowo korzystało z e-usług czy by firmy inwestowały w nowe technologie.

Dlatego UE łączy:

• kije (obowiązki i kary z NIS2),
• marchewki (fundusze na podnoszenie kompetencji, jak np. program Digital Europe finansujący szkolenia i infrastrukturę).

W Polsce również powinniśmy potraktować to jako inwestycję w przyszłość – inaczej grozi nam pozostanie „miękkim podbrzuszem” Europy, podatnym na cyfrowe zagrożenia.

Sztuczna inteligencja – od regulacji algorytmów po pogoń za liderami

Sztuczna inteligencja (AI) niesie ogromne szanse – od usprawnienia diagnostyki medycznej po autonomiczne pojazdy – ale także rodzi poważne wyzwania etyczne i społeczne. Unia Europejska postanowiła jako pierwsza na świecie kompleksowo uregulować AI, aby była ona „godna zaufania, ukierunkowana na człowieka”.

Tak narodził się Akt w sprawie sztucznej inteligencji (AI Act) – rozporządzenie UE 2024/1689, uzgodnione politycznie w 2023 r. i formalnie przyjęte w 2024 r. To pierwsze tak szerokie ramy prawne dla AI na świecie. Celem regulacji jest zapewnienie, że systemy SI rozwijane i używane w Europie respektują bezpieczeństwo, prawa podstawowe i wartości – a jednocześnie wspieranie innowacji i inwestycji w tej dziedzinie.

AI Act wprowadza podejście oparte na analizie ryzyka. Różne zastosowania sztucznej inteligencji są podzielone na cztery kategorie:

• Niedopuszczalne ryzyko – np. social scoring obywateli, masowa inwigilacja biometryczna – zakazane całkowicie.
• Wysokie ryzyko – np. AI w zdrowiu, edukacji, rekrutacji – objęte rygorystycznymi wymogami i nadzorem.
• Ograniczone ryzyko – np. chatboty, generatory treści – muszą spełniać wymogi przejrzystości.
• Minimalne ryzyko – np. AI w grach lub filtrach zdjęć – praktycznie poza zakresem regulacji.

Systemy wysokiego ryzyka będą dopuszczone, ale pod warunkiem spełnienia obowiązków takich jak:

• dokładna ocena ryzyka,
• nadzór człowieka nad decyzjami AI,
• gwarancje jakości danych uczących,
• dokumentacja algorytmu,
• mechanizmy kontroli wyników.

Przykładowo, jeśli szpital używa AI do diagnozy pacjentów, będzie musiał udowodnić, że system jest rzetelnie przetestowany, a lekarze rozumieją jego działanie i mogą je weryfikować.

Systemy ograniczonego ryzyka (np. ChatGPT, Midjourney) muszą informować użytkownika, że ma do czynienia z AI, oznaczać deepfake’i i rejestrować dane o tworzonych treściach. Nie wymagają jednak licencji jak systemy wysokiego ryzyka.

Systemy minimalnego ryzyka – np. AI w grach wideo – pozostają poza bezpośrednimi regulacjami, o ile nie przetwarzają danych osobowych.

AI Act jest częścią szerszego pakietu działań UE, który obejmuje również:

• Europejski pakt na rzecz AI – dobrowolne zobowiązania dla firm,
• piaskownice regulacyjne (sandboxy),
• plan koordynacji badań nad AI.

Wszystko to ma jeden zasadniczy cel: Europa chce, by AI rozwijała się na jej warunkach, w służbie ludzi, a nie poza kontrolą.

„Pozwoliliśmy na to, że nie kontrolujemy algorytmów”

prof. UŚ dr hab Dariusz Szostek

Profesor zauważa, że Europejczycy masowo przekazują dane amerykańskim modelom AI, korzystając z darmowych usług – a dane te trafiają do firm spoza UE. To stwarza zagrożenie uzależnienia od obcych technologii.

„Jeżeli uzależniamy się od algorytmów amerykańskich, to jakiś Trump może zrobić z nami to samo, co Putin z gazem”

prof. UŚ dr hab Dariusz Szostek

UE chce odzyskać kontrolę, stawiając na własne regulacje i rozwój AI na miejscu.

Jednak, jak mówi Szostek, Europa jest daleko w tyle. Aż 80% inwestycji i zysków z AI zgarniają dziś USA i Chiny. Polska dopiero raczkuje – tylko 3% polskich firm korzysta z narzędzi AI, a liczba startupów AI jest znikoma.

„To opowieści z mchu i paproci”

prof. UŚ dr hab Dariusz Szostek o twierdzeniach, że Polska jest liderem AI

Polska przyjęła Politykę Rozwoju Sztucznej Inteligencji 2020–2027, zgodną z podejściem UE i OECD, ale w praktyce brakuje inwestycji i skali. Powstały inicjatywy takie jak GovTech Polska czy analizy zastosowań AI w usługach publicznych, ale sektor prywatny wciąż podchodzi ostrożnie.

AI Act, którego główne przepisy wejdą w życie w latach 2025–2026 (część wcześniej), wymusi przygotowanie struktur nadzoru. Polska będzie musiała wskazać właściwe organy (np. UODO, UKE, KNF) i dostosować prawo krajowe.

Dla firm wdrażających AI oznacza to:

• dodatkowe obowiązki i koszty,
• większą przewidywalność,
• łatwiejszą ekspansję na rynki UE.

UE stawia na „zaufaną AI” jako alternatywę dla modelu chińskiego (kontrola państwa) i amerykańskiego (swoboda korporacji).

Ostatecznie Polska musi aktywnie włączyć się w ten wyścig. W przeciwnym razie zostaniemy jedynie konsumentem cudzych rozwiązań.

Jednolita tożsamość cyfrowa – koniec z dziesiątkami loginów

Na koniec przyjrzyjmy się obszarowi, który dotyczy każdego z nas: tożsamość cyfrowa. Coraz więcej spraw załatwiamy przez internet, logujemy się do usług publicznych i prywatnych, zakładamy konta w aplikacjach. Niestety, dziś często robimy to za pomocą niezliczonych, rozproszonych narzędzi – profili, haseł, loginów, potwierdzeń SMS, a nieraz przez konto Google czy Facebooka.

Prof. Szostek obrazowo opisuje, że Polska „na rzepkę skrobała” własne e-identyfikatory: mamy Profil Zaufany, e-dowód (z warstwą elektroniczną w dowodzie osobistym), aplikację mObywatel, bankowe loginy zaufane, różne rodzaje podpisów elektronicznych – a obywatel gubi się w tym gąszczu.

„Trzeba być profesorem i radcą prawnym, żeby wiedzieć, co jest tożsamością cyfrową, a co nie.”

prof. UŚ dr hab Dariusz Szostek

Skutki bywają komiczne: prof. Szostek wspomina wizytę w ministerstwie, gdzie na wejściu ochroniarz sprawdzał jedynie, czy w mObywatelu „flaga się porusza” – uznając to za dowód ważności dokumentu. Nikt nie zeskanował kodu QR ani nie zweryfikował certyfikatu; ważne, że animacja działała.

Autor żartuje, że posiadacz mObywatela „z machającą flagą” mógłby pewnie wejść na ważne spotkanie bez dalszych pytań. Taki brak świadomości i procedur pokazuje, że przed nami długa droga do bezpiecznej identyfikacji cyfrowej.

Unia Europejska postanowiła zrobić z tym porządek. Już w 2014 r. przyjęto rozporządzenie eIDAS, ustanawiające podstawy uznawania środków e-identyfikacji między państwami. Pozostawiono jednak krajom dużą swobodę – i efektem była wspomniana różnorodność rozwiązań.

Obecnie trwa finalizacja nowelizacji eIDAS 2.0, która wprowadzi Europejskie Ramy Tożsamości Cyfrowej. W praktyce oznacza to stworzenie Europejskiego Portfela Tożsamości Cyfrowej (European Digital Identity Wallet), dostępnego dla każdego obywatela i rezydenta UE.

Portfel ma umożliwiać:

• potwierdzanie tożsamości online i offline,
• przedstawianie kwalifikacji, obywatelstwa i uprawnień,
• korzystanie z usług w dowolnym kraju UE,
• składanie podpisów kwalifikowanych przez telefon.

Każde państwo członkowskie będzie musiało zapewnić co najmniej jedno zgodne z normami rozwiązanie. Portfel ma działać zarówno online, jak i offline, z zachowaniem pełnej kontroli użytkownika nad swoimi danymi i minimalną wymianą informacji.

Przykładowo: będzie można potwierdzić, że ma się powyżej 18 lat bez ujawniania daty urodzenia, czy elektronicznie przedstawić dyplom pracodawcy za granicą.

Nowe przepisy mają wejść w życie w maju 2024 r., a państwa członkowskie mają czas do końca 2026 r. na wdrożenie portfela. Polska chwali się aplikacją mObywatel, z której korzysta już 18 mln osób. Jednak mObywatel to na razie rozwiązanie krajowe. Europejski portfel będzie bardziej zaawansowany.

Poza dokumentami państwowymi, będzie umożliwiał przechowywanie i udostępnianie poświadczeń od różnych dostawców, także prywatnych. Co istotne – każdy obywatel UE otrzyma bezpłatny dostęp do podpisu kwalifikowanego przez portfel.

Jak ujęła to przewodnicząca Ursula von der Leyen:

„Chcemy zestawu przepisów ukierunkowanych na ludzi… i dlatego proponujemy jedną bezpieczną europejską tożsamość elektroniczną.”

Ursula von der Leyen

Unijny portfel ma przywrócić obywatelom kontrolę nad swoimi danymi, dziś rozproszonymi po setkach kont i aplikacji. Zamiast logować się przez Google czy Facebooka – i oddawać im przy okazji dane – będziemy mogli korzystać z zaufanego, europejskiego identyfikatora.

Dla Polski to zarówno wyzwanie, jak i szansa. Trzeba będzie dostosować istniejące rozwiązania – Profil Zaufany, e-dowód, mObywatel – do unijnych norm. Trwają już prace legislacyjne, by nadać mObywatelowi rangę oficjalnego dokumentu tożsamości.

Następnie Polska musi zdecydować, czy rozwijać własny portfel (np. na bazie mObywatela), czy dopuścić także portfele zagraniczne lub komercyjne – np. Apple czy Samsung – o ile spełnią one wymagania i zostaną notyfikowane przez państwo.

Portfele będą wzajemnie uznawane – Polak będzie mógł używać niemieckiego portfela w kontaktach z polskim urzędem i odwrotnie.

„Przecież to głupie, że nie działa”

syn prof. Szostka o niedziałającym mObywatelu za granicą

Otóż właśnie ma zacząć działać – nie jako aplikacja krajowa, lecz element wspólnego europejskiego systemu. Jeśli wszystko pójdzie zgodnie z planem, za pomocą jednej aplikacji-portfela załatwimy sprawy w całej Europie – bez dziesiątek haseł i dokumentów.

Pojawiają się jednak pytania o bezpieczeństwo. Czy skumulowanie danych w jednym narzędziu nie stworzy łakomego kąska dla hakerów? Unia zapewnia, że architektura będzie zdecentralizowana, dane chronione, a korzystanie dobrowolne.

Rozdzielenie warstwy danych od warstwy uwierzytelnienia ma uniemożliwić śledzenie użytkownika – w przeciwieństwie do korporacyjnych loginów, które zbierają dane o każdej aktywności.

Dla obywatela najważniejsza będzie wygoda: koniec z setkami loginów i udostępnianiem nadmiarowych danych przypadkowym serwisom.

Z badań Eurobarometru wynika, że 63% Europejczyków chciałoby mieć jeden bezpieczny identyfikator cyfrowy do wszystkich usług online – i taki właśnie system przygotowuje UE.

Jeśli Polska wykorzysta swoją przewagę (mObywatel jest jedną z najnowocześniejszych aplikacji rządowych w Europie), może stać się liderem we wdrażaniu portfela.

Warunek? Trzeba poważnie podejść do standardów bezpieczeństwa i edukacji użytkowników. Nawet najlepsza technologia nie zadziała, jeśli ludzie nie będą wiedzieli, jak z niej korzystać – lub, jak wspomniany ochroniarz, nie będą potrafili jej zweryfikować.

Podsumowanie

Przedstawione zmiany pokazują, że prawo próbuje dogonić galopującą technologię i okiełznać cyfrowy świat w interesie nas wszystkich – zwykłych użytkowników. Unia Europejska stawia na cyfrową suwerenność: chce zapewnić obywatelom bezpieczny internet, usługi oparte na europejskich wartościach i kontrolę nad danymi.

Stąd wysyp nowych regulacji – od:

• cyfryzacji administracji (Cyfrowa Dekada),
• rynku cyfrowego (ustawy DSA/DMA),
• cyberbezpieczeństwa (NIS2),
• sztucznej inteligencji (Akt o SI),
• danych (Data Act),
• tożsamości cyfrowej (eIDAS2),
• po blockchain (MiCA).

To ogromny legislacyjny program, który prof. Szostek trafnie nazywa „tsunami”. Jego najważniejszym celem jest wzmocnienie zaufania: żebyśmy nie bali się korzystać z e-usług, powierzając im swoje pieniądze, dane czy tożsamość.

Polska – jako członek UE – jest częścią tej rewolucji. Mamy swoje bolączki: niedostatki kompetencji, opóźnienia we wdrażaniu, niekiedy zbyt wolne strategie. Ale mamy też atuty:

• zdolnych specjalistów,
• udane projekty jak mObywatel,
• pozytywne nastawienie społeczeństwa do nowych technologii.

Warunkiem sukcesu będzie wykorzystanie unijnych środków (np. z programu Cyfrowa Europa) i mądre wdrożenie przepisów, tak by nie stały się biurokratycznym ciężarem, lecz impulsem do rozwoju.

„Wskoczyć do rozpędzonego pociągu” teraz, a nie za dekadę.

prof. UŚ dr hab Dariusz Szostek

Jeśli nasze firmy i urzędy nie zintegrują się z cyfrową transformacją w najbliższych latach, za 5–10 lat możemy zostać z tyłu – z archaicznymi przedsiębiorstwami i przestarzałymi usługami.

Cyfrowa przyszłość dzieje się na naszych oczach. Od nas – obywateli, przedsiębiorców, decydentów – zależy, czy Polska będzie jej pełnoprawnym uczestnikiem, czy tylko biernym widzem.

Jedno jest pewne: cyfryzacja, AI, blockchain i cyberbezpieczeństwo to już nie tematy futurystyczne, ale codzienność, która dotyka każdego internauty.

Warto więc śledzić te zmiany, oswajać je i wykorzystywać na własną korzyść, pamiętając o zachowaniu zdrowego rozsądku i ostrożności.

„Ufaj, ale sprawdzaj”

specjaliści od bezpieczeństwa

Nowe prawo ma nam zapewnić właśnie narzędzia do tego, byśmy mogli ufać technologii, mając jednocześnie mechanizmy jej kontroli. Dzięki temu cyfrowa rewolucja rzeczywiście będzie służyć społeczeństwu – czyli nam wszystkim.