System rozpoznawania twarzy — nowe przepisy dotyczące wykorzystania sztucznej inteligencji

Kamera rejestruje Twoją twarz na ulicy, dworcu albo podczas demonstracji. Czy oznacza to, że po chwili służby znają Twoje imię i nazwisko? Czy Policja może automatycznie sprawdzać, kto przechodzi przez centrum miasta?

Rozpoznawanie twarzy może pomagać w poszukiwaniu osób zaginionych i wykrywaniu przestępstw. Jednocześnie umożliwia analizowanie wizerunków ludzi, którzy nie są o nic podejrzani. Dlatego trzeba rozróżnić identyfikację osoby w konkretnej sprawie od systematycznego sprawdzania wszystkich przechodniów.

Jak działa rozpoznawanie twarzy?

System rozpoznawania twarzy (FRT, ang. Facial Recognition Technology) porównuje wizerunki.

Najpierw odnajduje twarz na zdjęciu lub nagraniu. Następnie tworzy liczbowy zapis jej cech, nazywany wzorcem biometrycznym. Porównuje go ze wzorcami utworzonymi z innych fotografii i oblicza podobieństwo.

Może wykonywać dwa różne zadania:

  • Potwierdzać tożsamość: czy podróżny jest osobą ze zdjęcia w przedstawionym paszporcie?
  • Poszukiwać tożsamości: czy twarz nieznanej osoby z nagrania pasuje do któregoś wizerunku w bazie?

Pierwsze zastosowanie to porównanie jeden do jednego, drugie — jeden do wielu. Podlegają one różnym ograniczeniom.

System nie odczytuje nazwiska z rysów twarzy. Potrzebuje materiału porównawczego pozwalającego powiązać wizerunek z tożsamością.

Rozpoznawanie na żywo a analiza nagrania

Rozpoznawanie twarzy może odbywać się na żywo, gdy program analizuje obraz z kamer, albo później, na podstawie wcześniej zabezpieczonych zdjęć i nagrań.

Przykładem pierwszej sytuacji jest automatyczne poszukiwanie określonej osoby wśród ludzi przechodzących przez dworzec. Przykładem drugiej — porównanie twarzy osoby widocznej na nagraniu napadu z materiałem zgromadzonym w toku sprawy.

To rozróżnienie ma znaczenie prawne. AI Act ustanawia szczególnie rygorystyczne ograniczenia wobec zdalnego rozpoznawania osób na żywo w przestrzeniach dostępnych publicznie do celów ścigania przestępstw. Późniejsza analiza nagrań podlega odrębnym mniej rygorystycznym zasadom.

Z jakimi zdjęciami system porównuje Twoją twarz?

Źródłem materiału mogą być policyjne zbiory fotografii, a także bazy danych Interpolu oraz z rejestru dowodów osobistych. W Krajowym Systemie Informacyjnym Policji — KSIP — gromadzone są m.in. zdjęcia sygnalityczne, fotografie osób zaginionych i osób o nieustalonej tożsamości.

Policja może uzyskiwać fotografie z Rejestru Dowodów Osobistych w zakresie niezbędnym do realizacji ustawowych zadań. Dostęp podlega określonym warunkom i zabezpieczeniom. Przepisy nie wymagają każdorazowej zgody sądu na uzyskanie zdjęcia w przewidzianym trybie.

Prüm II to unijne ramy współpracy policyjnej, które mają ułatwić zautomatyzowane przeszukiwanie krajowych zbiorów danych w innych państwach członkowskich. Obejmują nie tylko wizerunki twarzy, lecz także odciski palców i profile DNA, umożliwiając porównywanie tych danych na potrzeby identyfikacji osób i wykrywania przestępstw. Dane pozostają w krajowych zbiorach, a wspólna infrastruktura przekazuje zapytania i odpowiedzi. Nie powstaje jedna baza zdjęć wszystkich mieszkańców Unii. Według eu-LISA uruchomienie centralnego routera, pośredniczącego w wymianie danych, zaplanowano na drugi kwartał 2027 r. Nie oznacza to jednoczesnego udostępnienia wszystkich krajowych zbiorów wizerunków.

A co ze zdjęciami z Facebooka, Instagrama i innych portali społecznościowych?

Policja może wykorzystać konkretne zdjęcie z Facebooka, Instagrama lub innego portalu społecznościowego, jeżeli zostało legalnie pozyskane i jest niezbędne do wykonania ustawowych zadań, np. ustalenia tożsamości osoby związanej z daną sprawą. Dotyczy to również zdjęcia publicznie dostępnego. Umieszczenie fotografii w internecie nie usuwa jednak ochrony danych ani nie pozwala na dowolne dalsze wykorzystanie.

Obejrzenie zdjęcia przez funkcjonariusza i porównanie go z innym wizerunkiem trzeba odróżnić od automatycznej analizy biometrycznej. AI Act zakazuje wykorzystywania systemów AI do tworzenia lub rozbudowywania baz rozpoznawania twarzy przez nieukierunkowane pozyskiwanie wizerunków z internetu lub nagrań monitoringu. Wykorzystanie konkretnego zdjęcia w określonej sprawie nie jest więc tym samym co masowe zbieranie fotografii użytkowników Facebooka, Instagrama i innych portali w celu zbudowania takiej bazy.

Jakie uprawnienia daje Policji ustawa o Policji?

Policja ma prawo obserwować i rejestrować zdarzenia w miejscach publicznych w ramach ustawowych czynności. Może również uzyskiwać potrzebne informacje ze zbiorów innych organów, z zachowaniem warunków dostępu, rejestrowania operacji i zabezpieczenia danych.

Czynności powinny możliwie najmniej naruszać dobra osobiste. Na sposób prowadzenia wskazanych w ustawie czynności, w tym rejestracji zdarzeń w miejscach publicznych, przysługuje zażalenie do właściwego miejscowo prokuratora.

Monitoring miejski i rozpoznawanie twarzy — zastrzeżenia Prezesa UODO

W wystąpieniu z 23 września 2026 r. do Ministra Spraw Wewnętrznych i Administracji Prezes UODO kwestionuje porozumienia dające Policji pełny, stały i długotrwały dostęp do miejskiego monitoringu.

Dostęp powinien odpowiadać potrzebom konkretnych czynności i być ograniczony w czasie oraz miejscowo. Porozumienie z gminą nie może rozszerzać ustawowych kompetencji Policji. W ocenie organu art. 20 ust. 1e ustawy o Policji nie uzasadnia nieograniczonego dostępu na żywo do wszystkich kamer.

Prezes UODO wskazuje również na brak odpowiedniej podstawy prawnej do stałej analizy biometrycznej twarzy osób objętych monitoringiem, w tym przypadkowych przechodniów. Ogólne uprawnienia do przetwarzania zdjęć nie wystarczają: potrzebne są szczegółowe przepisy określające cele, warunki, zabezpieczenia i zasady usuwania danych.

Pełną treść wystąpienia udostępniamy na końcu artykułu.

Czym jest AI Act?

AI Act, czyli unijny akt w sprawie sztucznej inteligencji (rozporządzenie 2024/1689), określa zasady tworzenia i wykorzystywania systemów AI, w tym rozpoznawania twarzy. Zakazuje niektórych zastosowań, a inne poddaje dodatkowym wymaganiom. Jego przepisy zaczynają być stosowane etapami.

Kiedy AI Act dopuszcza rozpoznawanie twarzy na żywo?

Zasadą jest zakaz zdalnej identyfikacji biometrycznej na żywo w przestrzeniach dostępnych publicznie do celów ścigania przestępstw. Przewidziano wąskie wyjątki dotyczące:

  • poszukiwania osób zaginionych, np. zaginionego dziecka;
  • poszukiwania konkretnych ofiar uprowadzenia, handlu ludźmi lub wykorzystywania seksualnego;
  • zapobiegania konkretnemu, istotnemu i bezpośredniemu zagrożeniu życia lub bezpieczeństwa fizycznego, a także rzeczywistemu i aktualnemu albo rzeczywistemu i dającemu się przewidzieć zagrożeniu atakiem terrorystycznym;
  • lokalizowania lub identyfikowania osób podejrzewanych o określone przestępstwa, np. terroryzm, zabójstwo, zgwałcenie, handel ludźmi czy rozbój. Przestępstwo musi należeć do katalogu z załącznika II, a górna granica grożącej za nie kary pozbawienia wolności musi wynosić co najmniej cztery lata.

Nawet w tych przypadkach użycie systemu musi być bezwzględnie konieczne i spełniać pozostałe warunki. Wyjątki z AI Act nie stanowią samodzielnego upoważnienia dla polskich służb — wymagane są odpowiednie przepisy krajowe dopuszczające takie zastosowania.

Czy wystarczy zgłoszenie, czy potrzebne jest zezwolenie?

Samo zgłoszenie nie wystarcza: właściwy organ musi rozpatrzyć wniosek o zezwolenie i udzielić zgody albo jej odmówić.

Przy wyjątkowo dopuszczalnym rozpoznawaniu twarzy na żywo zasadą jest uzyskanie zezwolenia przed rozpoczęciem działania. Zgodnie z AI Act wydaje je organ wymiaru sprawiedliwości albo niezależny organ administracyjny wydający wiążące decyzje, zgodnie z przepisami krajowymi.

W należycie uzasadnionym pilnym przypadku rozpoznawanie na żywo można rozpocząć wcześniej. Wówczas należy wystąpić o zezwolenie bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od rozpoczęcia użycia systemu. Jest to termin na złożenie wniosku, a nie wydanie decyzji.

Odmowa oznacza obowiązek natychmiastowego przerwania zastosowania oraz usunięcia danych i wyników uzyskanych w ramach użycia objętego odmową. Osobne powiadomienie organów nadzorczych nie zastępuje zezwolenia.

Kto wydaje takie zezwolenie w Polsce?

Polska uchwaliła ustawę z 3 lipca 2026 r. o systemach sztucznej inteligencji. Reguluje ona przede wszystkim organizację nadzoru nad AI, postępowania dotyczące naruszeń i kary.

Ustawa nie wskazuje jednak szczególnej procedury ani organu właściwego do udzielania zezwoleń na rozpoznawanie twarzy na żywo w przestrzeni publicznej. Unijny termin 24 godzin nie jest więc gotowym trybem dla polskich służb. Brak procedury nie zwalnia z obowiązku uzyskania zezwolenia i nie daje swobody uruchamiania systemu.

48 godzin — identyfikacja po fakcie, a nie rozpoznawanie na żywo

Termin 48 godzin z art. 26 ust. 10 AI Act dotyczy określonych przypadków identyfikacji po fakcie, np. na podstawie zabezpieczonych nagrań, a nie rozpoznawania twarzy na żywo.

W tych przypadkach należy wystąpić o zezwolenie przed użyciem systemu albo bez zbędnej zwłoki, najpóźniej w ciągu 48 godzin od jego użycia. Także tutaj chodzi o złożenie wniosku, nie wydanie decyzji. Terminów 24 i 48 godzin nie można stosować zamiennie.

Istnieje jednak wyjątek od obowiązku wystąpienia o zezwolenie: gdy zabezpieczone nagranie dokumentuje popełnienie przestępstwa, np. nieznana osoba zabiera komuś portfel, Policja może użyć systemu do pierwszego ustalenia tożsamości tej osoby jako potencjalnego podejrzanego, przy spełnieniu pozostałych warunków prawnych. Nie wystarczy natomiast, że ktoś wygląda podejrzanie, znajduje się w pobliżu zdarzenia albo uczestniczy w demonstracji. Muszą istnieć obiektywne i weryfikowalne fakty bezpośrednio związane z przestępstwem. Wyjątek ten nie znosi pozostałych wymogów prawnych i nie dotyczy rozpoznawania twarzy na żywo.

Mechanizm ten wiąże się z przepisami o systemach wysokiego ryzyka, których stosowanie zasadniczo przewidziano od 2 grudnia 2027 r., z uwzględnieniem przepisów przejściowych. Nie jest dzisiejszą, uniwersalną procedurą dla każdej policyjnej analizy nagrania.

Kiedy system nie rozpozna człowieka?

Skuteczność zależy m.in. od ostrości obrazu, oświetlenia, ustawienia głowy i widoczności twarzy. Program może nie znaleźć właściwego dopasowania albo wskazać inną osobę.

Częściowe zasłonięcie twarzy może utrudniać porównanie, ale nie gwarantuje nierozpoznania. Brak dopasowania może wynikać również z braku odpowiedniego zdjęcia w bazie. Tożsamość nadal można ustalić innymi metodami.

Co równie ważne, dopasowanie twarzy nie jest dowodem winy. Nawet prawidłowe ustalenie tożsamości osoby na nagraniu nie przesądza, co zrobiła i czy ponosi odpowiedzialność.

Czy można rozpoznawać uczestników demonstracji?

Techniczna możliwość identyfikacji w tłumie nie przesądza o legalności takiego działania. Sam udział w pokojowym zgromadzeniu nie uzasadnia traktowania wszystkich uczestników jak osób podejrzanych.

W wyroku Glukhin przeciwko Rosji z 4 lipca 2023 r., skarga nr 11519/20, Europejski Trybunał Praw Człowieka oceniał wykorzystanie rozpoznawania twarzy wobec uczestnika pokojowego protestu w moskiewskim metrze.

Trybunał stwierdził naruszenie prawa do prywatności i wolności wypowiedzi. Protest nie powodował zagrożenia dla porządku ani bezpieczeństwa, a wykorzystanie tej technologii stanowiło szczególnie dotkliwą ingerencję.

Świadomość automatycznej identyfikacji może zniechęcać do wyrażania poglądów i udziału w zgromadzeniach. Dlatego trzeba oceniać nie tylko skuteczność programu, lecz także cel, podstawę prawną i kontrolę jego wykorzystania.

Stan prawny i informacje: 19 października 2026 r.

Pełna treść wystąpienia Prezesa UODO

Pobierz pełne wystąpienie Prezesa UODO z 23 września 2026 r., sygn. DPNT.413.7.2026 — PDF, 16 stron.

Źródła