Teza

Największym błędem byłoby czekać z pracami technicznymi do chwili, w której powstanie polityczna większość gotowa zalegalizować silniejszy system kontroli społecznej. Budowa modelu danych, generatora populacji, integracji, grafu relacji, reguł, audytu i środowiska testowego potrwa lata. Można ją rozpocząć dzisiaj na osobach całkowicie syntetycznych, bez podejmowania decyzji wobec realnych ludzi.

Inwestorem nie musi być państwo. Może nim być partia, fundacja, think tank, uczelnia, firma technologiczna albo konsorcjum. Organizacja rozwija system jako laboratorium polityk publicznych. Po zwycięstwie wyborczym i zmianie prawa otrzymuje dojrzałą platformę, którą trzeba zintegrować z rejestrami produkcyjnymi, zwalidować w trybie cienia i dostroić. Nie rozpoczyna od prezentacji oraz przetargu.

Taki plan nie „omija” dzisiejszego prawa przy stosowaniu systemu wobec ludzi. Rozdziela legalny etap badawczy od przyszłego etapu operacyjnego. AI Act i RODO nadal obowiązywałyby przy przetwarzaniu realnych danych oraz podejmowaniu decyzji. Ich zniesienie, neutralizacja lub zmiana wymagałaby skutecznych działań prawnych i politycznych, w części na poziomie Unii. System można jednak przygotować wcześniej.

Co właściwie budujemy

Celem nie powinien być jeden wynik obywatela. Jedna liczba jest łatwa w komunikacji, lecz słaba technicznie: ukrywa rodzaj faktu, datę, źródło i niepewność. Lepszym rdzeniem jest krajowy rejestr zdarzeń i graf relacji, nad którym działają wersjonowane polityki sektorowe.

Zdarzenie odpowiada na pytania: kto, co, kiedy, gdzie, wobec kogo, z jakiego źródła i z jakim statusem dowodowym. Relacja może oznaczać rodzinę, wspólną firmę, transakcję, współobecność, kontakt, zależność służbową albo konflikt. Reguła decyduje, które zdarzenia i relacje mają znaczenie w określonym celu.

Taki rdzeń obsłuży system nagród, kontrolę firm, wykrywanie oszustw, bezpieczeństwo publiczne i przyszłe mechanizmy predykcyjne. Różne rządy mogą zmieniać polityki bez migracji całej historii. Warunkiem jest zapisanie faktów, a nie tylko końcowej oceny.

Osiem wariantów

Warianty nie są kolejnymi etapami obowiązkowymi. To modele, które można porównywać albo łączyć.

Wariant 0: bez nowego scoringu

Państwo poprawia jakość rejestrów, automatyzuje formularze i wymienia dane tylko w obecnych celach. Nie tworzy wspólnej oceny ani przekrojowej warstwy zdarzeń.

Zaletą jest małe ryzyko polityczne. Wadą — utrwalenie silosów, powielanie integracji i utrata możliwości wykrywania zjawisk przechodzących między resortami. To wariant bezpieczny, ale mało ambitny.

Wariant 1: scoring ściśle sektorowy

Każdy obszar rozwija własny model: podatki, świadczenia, transport, zamówienia, bezpieczeństwo. Ustawa wskazuje cel, dane i skutki. Nie wolno przenosić wyniku do innego kontekstu.

Model mieści się najłatwiej w obecnym prawie. Jest też dobrym środowiskiem walidacji. Niestety powtarza integracje i może generować sprzeczne profile tej samej osoby.

Wariant 2: federacja informacji

Powstaje wspólny standard zapytań i zdarzeń, ale dane pozostają u właścicieli. System centralny przechowuje katalog, uprawnienia, indeks i logi. Odbiorca pyta źródło w określonym celu.

Federacja ogranicza kopiowanie danych i pozwala respektować kompetencje. Jest trudniejsza operacyjnie: dostępność całości zależy od wielu usług, a zmiana schematu wymaga koordynacji. Dobrze nadaje się do polskiej administracji jako etap przejściowy.

Wariant 3: dobrowolny system zachęt

Uczestnik wyraża zgodę, otrzymuje korzyści za określone zachowania i może zrezygnować bez utraty podstawowych praw. Program może premiować terminowe zobowiązania, szkolenia, aktywność lokalną albo bezpieczne zachowanie.

To politycznie najłatwiejszy pilotaż. Pozwala badać reakcje i interfejs. Dobrowolność musi być realna: jeśli tylko uczestnik może dostać mieszkanie albo świadczenie, zgoda staje się fikcją.

Wariant 4: krajowy rejestr zdarzeń

Źródła przekazują podpisane fakty do wspólnego modelu. Nie ma jednego wyniku; każda polityka wybiera potrzebne typy zdarzeń. Obywatel widzi historię, źródła i użycia.

To najlepszy fundament techniczny. Umożliwia korektę, przeliczanie i audyt. Jest jednak ogromnym celem ataku i wymaga ścisłego modelu uprawnień.

Wariant 5: graf relacji i system rekomendacyjny

Do zdarzeń dochodzą relacje. System wykrywa powiązania osób, firm, miejsc, urządzeń i spraw. Nie tylko opisuje przeszłość, ale wskazuje priorytety kontroli i potencjalne konflikty.

Ten wariant ma największą wartość dla bezpieczeństwa. Przestępstwa często zachodzą pomiędzy osobami powiązanymi rodziną, pracą, wcześniejszą sprawą albo powtarzalną współobecnością. Analiza grafu może ograniczyć zbiór sytuacji wymagających uwagi. Nie powinna sama dowodzić winy.

Wariant 6: aktywny system czasu rzeczywistego

Platforma odbiera strumienie zdarzeń, aktualizuje graf i wysyła rekomendacje natychmiast. Łączy lokalizację, płatności, transport, zgłoszenia i czujniki. Może ostrzegać, że określone osoby w konflikcie znajdują się w tym samym miejscu albo że sekwencja działań odpowiada znanemu przygotowaniu oszustwa.

Jest to technologiczny odpowiednik kierunku z filmu „Raport mniejszości”, ale bez fikcyjnej nieomylności. System przewiduje okazję i ryzyko, nie przyszły fakt. Człowiek musi rozróżnić prewencję od karania za zdarzenie, które nie nastąpiło.

Wariant 7: platforma przygotowana przed zmianą prawa

Partia lub inna organizacja buduje warianty 4–6 na syntetycznej populacji. Testuje obciążenie, reguły, korekty, ataki, interfejsy i modele. Utrzymuje adaptery demonstracyjne odpowiadające przyszłym rejestrom, lecz nie pobiera realnych danych bez podstawy.

Po uzyskaniu władzy inicjuje zmianę prawa krajowego oraz działania wobec przepisów UE. Równolegle uruchamia platformę w trybie cienia na legalnie udostępnionych danych. Dopiero po walidacji i decyzji ustawodawcy włącza skutki.

To wariant rekomendowany przez autora, ponieważ rozdziela dług techniczny od kalendarza politycznego.

Organizacja projektu przed wyborami

Partia polityczna nie powinna prowadzić całości jak kampanijnego systemu IT. Zmiana lidera albo sztabu nie może zniszczyć wieloletniego projektu. Lepsza jest odrębna fundacja lub spółka z jasnym prawem własności intelektualnej, stabilnym finansowaniem i radą techniczną.

Naturalnym inwestorem jest organizacja, która przyjmie program zmiany relacji Polski z unijnymi regulacjami i wzmocnienia technologicznej kontroli państwa. Architektura powinna jednak być możliwa do przekazania administracji niezależnie od nazwy partii. Kod partyjny, dane członków i mikrotargeting wyborczy muszą pozostać odseparowane od przyszłej platformy państwowej.

Rada programu powinna obejmować architektów danych, specjalistów bezpieczeństwa, prawników administracyjnych, statystyków, praktyków policji, podatków, pomocy społecznej i samorządu. Pogląd polityczny wyznacza cel; specjaliści rozstrzygają, czy model mierzy to, co deklaruje.

Dane z gorzow.co.pl

Symulator Gorzowa generuje wirtualne miasto z syntetycznymi mieszkańcami, rodzinami, pracą, szkołami, ruchem i zdarzeniami. Zachowuje relacje oraz ciągłość w czasie, a strumień może być udostępniany przez API, Kafka, replikację bazy lub kolejki.1

Jego przewaga nad plikiem wygenerowanych rekordów polega na stanie. Osoba nie tylko ma wiek i adres, lecz wstaje, przemieszcza się, pracuje lub się uczy, spotyka innych i prowadzi wiarygodne życie seksualne - wszystko to oparte na kilkuset różnych parametrach, zapewniających jak najlepsze odwzorowanie realnego modelu życia osoby w takim wieku i z takim wykształceniem, ale też wprowadzających odpowiedni poziom losowości. Zdarzenie zmienia przyszłość symulacji. To nadaje się do testowania architektury zdarzeniowej i grafu.

Na potrzeby social scoringu generator trzeba rozszerzyć o:

  • zobowiązania i terminy;
  • naruszenia administracyjne;
  • transakcje i rachunki;
  • przedsiębiorstwa, własność i zatrudnienie;
  • kontrole, decyzje i odwołania;
  • przestępstwa, konflikty i zgłoszenia;
  • kamery oraz błędy rozpoznania;
  • operatorów, ich uprawnienia i próby nadużycia;
  • błędy źródeł, opóźnienia oraz duplikaty;
  • reakcje ludzi na nagrody i sankcje.

Nie wystarczy generować „grzecznych” i „niegrzecznych” obywateli. Potrzebne są mechanizmy przyczynowe. Utrata pracy zwiększa ryzyko zaległości; błędna decyzja może wywołać kolejne zdarzenia; publiczna sankcja zmienia relacje. Generator powinien znać prawdę ukrytą, aby można było mierzyć trafność systemu.

Dlaczego czyste dane są niewystarczające

System trenowany wyłącznie na idealnych rekordach nauczy się świata, którego nie ma. Produkcyjne źródła dostarczą literówki, braki, opóźnienia, korekty, zdarzenia poza kolejnością i sprzeczne identyfikatory. Generator musi celowo wprowadzać awarie.

Każde zdarzenie powinno mieć dwie wersje: prawdę symulacji i obserwację systemu. Kamera może wskazać złą osobę. Urzędnik może wprowadzić zły kod. Integracja może powtórzyć komunikat. Dzięki temu mierzymy nie tylko jakość modelu, ale odporność całego przepływu.

Warto stosować domain randomization: zmieniać rozkłady, częstości, jakość źródeł i zachowanie operatorów tak, aby system nie nauczył się jednego generatora. Nadal pozostanie luka synthetic-to-real. Literatura o danych syntetycznych podkreśla, że wysoka użyteczność i prywatność wymagają osobnych miar, a model może przenosić błędy generatora.2

Architektura referencyjna

Rdzeń powinien składać się z następujących usług:

  1. Identity Resolution — mapowanie identyfikatorów na podmioty z historią zmian.
  2. Event Gateway — odbiór zdarzeń, walidacja schematu, podpisu i idempotencji.
  3. Provenance Store — źródło, podstawa, wersja, czas i łańcuch transformacji.
  4. Event Store — niezmienny dziennik faktów oraz korekt.
  5. Graph Store — relacje osób, organizacji, miejsc, urządzeń i zdarzeń.
  6. Policy Engine — jawne i wersjonowane reguły sektorowe.
  7. Model Serving — modele statystyczne i AI odseparowane od decyzji.
  8. Decision Service — łączenie faktów, reguł, modelu i decyzji człowieka.
  9. Audit Ledger — niezależny zapis każdego dostępu, eksportu i skutku.
  10. Citizen Portal — dostęp, wyjaśnienie, korekta i historia użycia.

Nie należy wiązać projektu z jedną bazą lub chmurą. Interfejsy i semantyka są trwalsze niż dostawca. Środowisko syntetyczne powinno działać przynajmniej na dwóch skalach: miejskiej do szybkich testów i krajowej do testów partycjonowania oraz wydajności.

Model zdarzenia

Minimalne zdarzenie zawiera:

Pole Znaczenie
event_id globalnie unikalny identyfikator
subject_id podmiot zdarzenia
event_type wersjonowany typ semantyczny
occurred_at kiedy zdarzenie zaszło
observed_at kiedy zostało zaobserwowane
effective_at od kiedy może wywoływać skutek
source właściciel i system źródłowy
evidence_level sygnał, hipoteza, ustalenie, fakt prawny
legal_basis podstawa użycia w danym celu
supersedes zdarzenie korygowane lub unieważniane
signature potwierdzenie integralności i źródła

Oddzielne czasy są konieczne. Wykroczenie mogło nastąpić w styczniu, zostać wykryte w lutym, a stać się prawomocne w maju. Model używający jednego pola daty będzie tworzył błędne sekwencje.

Reguły i modele

Reguła deterministyczna powinna obsługiwać konsekwencje prawne. Model predykcyjny powinien priorytetyzować uwagę, wykrywać anomalie i wskazywać relacje. Rozdzielenie pozwala zmienić model bez cichej zmiany prawa.

Każdy wynik musi zawierać wersję modelu, cechy wejściowe, czas, poziom pewności i zakres zastosowania. Nie wolno ponownie używać wyniku z modelu oszustw jako ogólnej oceny człowieka bez osobnej walidacji.

W fazie syntetycznej prawda generatora pozwala mierzyć precision, recall, kalibrację i czas wykrycia. Ważniejszy od globalnej accuracy jest koszt błędów w konkretnym procesie. Model wykrywający rzadkie przestępstwo może mieć 99 procent accuracy, przewidując zawsze brak zdarzenia.

Testy, których nie da się pominąć

Projekt powinien mieć stały zestaw scenariuszy regresyjnych:

  • dwie osoby o tym samym imieniu i dacie urodzenia;
  • kradzież identyfikatora;
  • zdarzenie powtórzone dziesięć razy;
  • korekta po rozesłaniu sankcji;
  • sprzeczne decyzje dwóch organów;
  • awaria regionu i późniejsze odtworzenie kolejności;
  • operator eksportujący nietypowo szeroki zakres;
  • celowa manipulacja danymi przez źródło;
  • zmiana prawa w połowie okresu;
  • model pogarszający wyniki jednej grupy;
  • obywatel świadomie grający pod reguły;
  • masowa kampania tworząca fałszywe relacje.

Syntetyczna populacja jest tu przewagą: można generować przypadki rzadkie i katastrofalne bez krzywdzenia ludzi.

Etapy przed zmianą prawa

Etap A — specyfikacja. Słownik zdarzeń, model tożsamości, katalog poziomów dowodowych i architektura bezpieczeństwa.

Etap B — miasto syntetyczne. Podłączenie strumienia Gorzowa, graf relacji i pierwsze polityki bez sankcji.

Etap C — czerwony zespół. Generowanie nadużyć operatorów, błędów danych, manipulacji i prób odtworzenia tożsamości.

Etap D — skala kraju. Syntetyczne 38 milionów osób, przedsiębiorstwa, regiony, zdarzenia historyczne i testy awarii.

Etap E — cyfrowy bliźniak procedur. Adaptery naśladujące PESEL, KRS, STIR, CEPiK i inne źródła, ale z danymi sztucznymi.

Etap F — gotowość legislacyjna. Projekty ustaw, analiza konstytucyjna, mapa konfliktów z prawem UE, procedury kontroli i odwołań.

Każdy etap ma mierzalne kryteria. „Model wygląda obiecująco” nie jest kryterium.

Co dzieje się po wygranych wyborach

Pierwszym krokiem nie powinno być włączenie sankcji. Najpierw trzeba uchwalić podstawy dostępu do konkretnych rejestrów i uruchomić shadow mode. Platforma odbiera produkcyjne dane, lecz jej wyniki nie zmieniają sytuacji osoby. Zespół porównuje je z późniejszymi ustaleniami i mierzy lukę sim-to-real.

Następnie można włączyć zastosowania o najmniejszym koszcie błędu: rekomendacje kontroli firm, wykrywanie duplikatów, wsparcie analityka i pozytywne zachęty. Dopiero później konsekwencje negatywne, początkowo z obowiązkowym zatwierdzeniem.

Równolegle rząd musi rozstrzygnąć status AI Act i RODO. Sama ustawa krajowa nie neutralizuje rozporządzenia UE. Możliwe drogi to zmiana prawa unijnego, renegocjacja zakresu, budowa funkcji poza definicją zakazanej praktyki, rezygnacja z AI w określonej decyzji albo głęboka zmiana relacji prawnej Polski z UE. Serwis popiera ambitną zmianę, ale nie będzie udawał, że można ją osiągnąć komentarzem w kodzie.

Migracja na produkcję

„Przepięcie danych” jest skrótem, nie jedną operacją. Adapter musi mapować realny schemat na kanoniczne zdarzenia. Trzeba ustalić znaczenie pól, obsłużyć historię, duplikaty, braki i podstawy dostępu. Każde źródło przechodzi test zgodności.

Model trenowany syntetycznie powinien być początkowo zamrożony. Mierzymy jego wyniki na realnym strumieniu, a następnie stroimy na oznaczonych przypadkach. Nie wolno uczyć online bez kontroli, bo zachowanie ludzi i operatorów może zatruć model.

Wersja produkcyjna musi zachować możliwość odtworzenia decyzji. Jeżeli model zmieni się po tygodniu, stary wynik nadal powinien być wyjaśnialny według wersji, która go utworzyła.

Ryzyka polityczne

System przygotowany przez partię może zostać odebrany jako narzędzie przeciw przeciwnikom. Odpowiedzią nie jest ukrywanie projektu, lecz jawna architektura, dokumentacja reguł i rozdzielenie danych partyjnych od państwowych. Najbardziej wrażliwe modele mogą pozostać chronione, ale katalog celów, źródeł i skutków powinien być publiczny.

Drugim ryzykiem jest przejęcie gotowej platformy przez późniejszy rząd o innych celach. Każda infrastruktura kontroli może zmienić operatora. Dlatego potrzebne są techniczne ograniczenia dostępu, niezależny audyt i ścisłe wersjonowanie polityk. Autor popiera silniejszą kontrolę, ale system działający na błędnych danych albo prywatnych interesach urzędnika nie jest „silnym państwem”; jest państwem niesprawnym.

Ryzyka techniczne

Najważniejsze ryzyka to:

  • nauczenie modelu artefaktów generatora;
  • błędne scalanie tożsamości;
  • uznanie korelacji za relację przyczynową;
  • automatyczne rozlewanie fałszywego wpisu;
  • zbyt szerokie uprawnienia operatora;
  • wyciek grafu relacji;
  • brak odwrócenia decyzji po korekcie;
  • zależność od jednego dostawcy;
  • scoring podatny na proste „granie pod wynik”;
  • polityka zmieniana bez ponownej walidacji.

Każde ryzyko powinno mieć test, właściciela i próg zatrzymania wdrożenia.

Zabezpieczenia nie są kapitulacją

Prawo do zobaczenia faktu, korekty i odwołania zwiększa jakość danych. Logowanie operatorów ogranicza korupcję. Niezależny audyt wykrywa regresję. Terminy retencji zmniejszają koszt przechowywania starego szumu. Zabezpieczenia są elementem sprawnego systemu, nie tylko ustępstwem wobec przeciwników kontroli.

Nie wszystkie obecne unijne ograniczenia są rozsądne. Zakaz przekrojowego social scoringu blokuje zastosowania, które przy dobrym projekcie mogłyby zwiększyć bezpieczeństwo i egzekwowanie obowiązków. Jednak krytyka zakazu nie zwalnia twórców z wykazania proporcjonalności i trafności.

Minimalny produkt, który ma sens

Pierwsza wersja powinna obejmować:

  • milion syntetycznych osób i co najmniej sto tysięcy organizacji;
  • wieloletnią historię rodzin, pracy, transakcji i zobowiązań;
  • trzy polityki: ryzyko firmy, oszustwo świadczeniowe i konflikt bezpieczeństwa;
  • portal osoby pokazujący dane i wynik;
  • korektę propagowaną do wszystkich polityk;
  • rejestr dostępów i alerty nadużycia;
  • powtarzalny zestaw testów regresyjnych;
  • benchmark dla 38 milionów osób;
  • dokumentację mapowania przyszłych rejestrów państwa.

Nie trzeba symulować całego życia z równą dokładnością. Trzeba dobrze odwzorować procesy, które testują konkretną decyzję.

Rekomendacja

Najlepszą strategią jest połączenie wariantu 2, 4, 5 i 7: federacyjne źródła, wspólny rejestr zdarzeń, graf relacji oraz budowa przed zmianą prawa. Jedna liczba może później służyć komunikacji w programie dobrowolnym, ale nie powinna być rdzeniem.

Prace można rozpocząć natychmiast. Gorzów dostarcza prototyp długotrwałej, spójnej populacji. Dostępne technologie obsłużą skalę Polski. Najdłuższe zadania dotyczą semantyki, danych i procedur, a nie mocy obliczeniowej.

Po zwycięstwie wyborczym największą stratą byłoby odkrycie, że istnieje wola polityczna, lecz nie ma gotowego systemu. Projekt syntetyczny zmienia kolejność: technologia dojrzewa wcześniej, a decyzja demokratyczna rozstrzyga moment i zakres jej użycia.