AI Act nie wymaga od każdej firmy posiadania dyplomu „Master of European Compliance”. Wymaga zrozumienia, jakich systemów używasz, jaką pełnisz rolę i jakie ryzyko tworzą. Jeżeli zaczniesz od rejestru zastosowań, większość pracy stanie się konkretna. Jeżeli zaczniesz od kupowania certyfikatu, możesz mieć ładny dokument i zero porządku.
Materiał jest informacyjny i nie zastępuje oceny prawnej. Nie próbuję też zastąpić oficjalnych wytycznych. Poniżej masz praktyczny sposób uporządkowania zastosowań i następnych decyzji.
Najpierw inwentarz zastosowań
Wypisz każde użycie AI: czat dla zespołu, analiza dokumentów, rekomendacje, ocena CV, generowanie obrazów, scoring, automatyczne odpowiedzi, agent wykonujący działania. Dodaj narzędzie, właściciela, użytkowników, dane i rezultat. Nie tylko nazwę produktu.
Zaznacz, czy system jest gotowy, konfigurowany czy budowany. To wpływa na rolę firmy i dokumenty. Inne ryzyko ma odpowiedź na pytania, inne decyzja o człowieku. Nie grupuj wszystkiego w „używamy AI”.
Dodaj datę przeglądu i osobę, która zna praktykę. Inwentarz ma opisywać rzeczywistość, nie idealną mapę z prezentacji.
Rola dostawcy i wdrażającego
Dostawca rozwija lub udostępnia system pod swoją nazwą, a wdrażający używa go w ramach swojej działalności. W małej firmie najczęściej jesteś wdrażającym, ale możesz wejść w rolę dostawcy, jeżeli budujesz własny system albo udostępniasz go pod marką.
Nie zakładaj roli po nazwie produktu. Biała etykieta, modyfikacja celu lub własna integracja może zmienić odpowiedzialność. Zapisz, co konfigurujesz i komu udostępniasz. Przy własnym rozwiązaniu rozważ konsultację prawną.
Jeżeli jesteś tylko użytkownikiem, nie przepisuj całej odpowiedzialności na producenta. Masz wpływ na dane, proces, nadzór i skutki.
Ryzyko zależy od zastosowania
Nie każde AI jest wysokiego ryzyka. Wiele zastosowań jest minimalnych, ale ocena CV, decyzje o pracownikach, kredyt, ubezpieczenia, usługi publiczne i inne wrażliwe obszary wymagają szczególnej analizy. Liczba użytkowników nie jest jedynym kryterium.
Zadaj pytania: na kogo wpływa wynik, jakie są skutki błędu, czy można go odwrócić, jakie dane są używane i czy człowiek podejmuje decyzję. Im większy skutek i mniejsza odwracalność, tym większa potrzeba kontroli.
Nie używaj kategorii „mały klient” jako wymówki. Wpływ na osoby jest ważniejszy od wielkości firmy.
Przejrzystość w praktyce
Komisja wskazuje na zasady informowania przy interakcji z AI oraz oznaczaniu określonych treści syntetycznych. Reguły przejrzystości zaczynają obowiązywać od sierpnia 2026. Zapisz, gdzie użytkownik rozmawia z AI i jak to widać.
Nie ukrywaj oznaczenia w stopce dokumentu, którego nikt nie otworzy. Informacja powinna być jasna i dostępna przed lub w trakcie interakcji. Dodaj sposób przejścia do człowieka.
Przy obrazach, audio, wideo i tekstach dotyczących interesu publicznego oceń wymóg oznaczenia osobno. Nie każda notatka robocza wymaga takiego samego komunikatu jak publikacja.
Trzy firmy, trzy różne role
Pierwsza firma kupuje gotowego asystenta do odpowiedzi na pytania zespołu. Konfiguruje dostęp i używa go wewnętrznie. To typowy przykład wdrażającego, choć szczegóły zależą od konkretnego systemu i zastosowania. Firma odpowiada za sposób użycia, dane, ludzki nadzór i własne obowiązki.
Druga firma bierze ten sam model, buduje własny interfejs i udostępnia klientowi „Autorski System Wiedzy” pod swoją marką. Nie wystarczy powiedzieć „my tylko używamy API”. Samo nadawanie nazwy i sposób udostępnienia mogą zmienić rolę. Trzeba sprawdzić przepisy dla dostawcy oraz warunki dostawcy pierwotnego.
Trzecia firma integruje gotowy system z procesem rekrutacji i zmienia sposób użycia na ocenę kandydatów. Nowe zastosowanie może mieć inną klasyfikację ryzyka i poważne skutki dla ludzi. Roli nie ocenia się po liczbie linii kodu. Analizuje się m.in. markę, przeznaczenie i istotne modyfikacje właściwe dla przepisu.
Karta zastosowania, którą da się wypełnić
Na górze zapisz nazwę procesu, nie nazwę licencji. „Ocena zgłoszeń rekrutacyjnych” jest lepsza niż „ChatGPT”. Dodaj właściciela biznesowego, administratora, użytkowników, osoby, których dotyczy wynik, i datę rozpoczęcia. Zaznacz wersję narzędzia, jeśli wpływa na zachowanie.
W drugiej części opisz dane wejściowe, rezultat i rzeczywistą decyzję. „System proponuje kolejność dokumentów do przeglądu” różni się od „system odrzuca kandydatów”. Nie używaj eufemizmu „wspiera”, jeśli w praktyce nikt nie zmienia jego wyniku. Nadzór ma być rzeczywisty, z czasem i możliwością odmowy.
W trzeciej części zapisz rolę prawną do weryfikacji, kategorię ryzyka, źródła oceny, wymagane informacje dla użytkownika, logi, incydenty i warunki zatrzymania. Na końcu dodaj datę kolejnego przeglądu oraz podpis osoby, która zna proces. Karta bez właściciela jest tylko ładną kartą.
Przejrzystość przy pierwszym kontakcie
Jeżeli klient rozmawia z asystentem, informacja o AI powinna pojawić się w samym interfejsie i być zrozumiała przed istotną częścią interakcji. Napisz prosto, z czym rozmawia użytkownik i jak przejść do człowieka. Nie ukrywaj tego pod nazwą „cyfrowy kolega” i drobnym drukiem w pomocy.
Sprawdź także sytuację awaryjną. Gdy model nie działa albo nie rozumie pytania, kanał do człowieka musi nadal istnieć. Informacja „jesteś w pełni zautomatyzowanym procesie” bez możliwości interwencji jest szczególnie słaba przy decyzjach istotnych dla odbiorcy.
Przy treściach syntetycznych nie kopiuj jednego oznaczenia do wszystkiego. Rodzaj medium, sposób publikacji i zakres obowiązku wymagają oceny. Zespół powinien zapisać, kiedy oznacza, w jaki sposób i kto sprawdza rezultat. Przy publikacjach autorskich uzupełnieniem jest przewodnik o prawach autorskich przy AI.
Zmiana dostawcy nie kasuje karty
Migracja do nowego modelu wygląda jak zmiana techniczna, ale może zmienić jakość, logi, przetwarzanie danych i sposób kontroli. Przed przełączeniem porównaj wyniki na tym samym zestawie zadań i sprawdź warunki przetwarzania. Nie zastępuj starej karty pustym rekordem z nazwą nowego produktu.
Zachowaj historię wersji, datę migracji i wynik odbioru. Jeżeli nowy system działa inaczej, pracownicy potrzebują zaktualizowanej instrukcji. Dotyczy to także komunikatów dla użytkowników i ścieżki incydentu. Stare kontakty do dostawcy mogą przestać działać w najmniej odpowiednim momencie.
Jeżeli zmiana dotyczy samego celu, wykonaj ponownie ocenę roli i ryzyka, nie tylko test jakości. „Ten sam model” nie oznacza „to samo zastosowanie”. W drugą stronę nowy model nie wymaga automatycznie dramatu, jeśli proces i obowiązki zostały prawidłowo ocenione.
Mały przegląd bez kupowania pewności siebie
Wybierz jedno zastosowanie i porównaj kartę z rzeczywistymi klikami. Poproś pracownika, żeby pokazał proces: skąd bierze dane, kiedy akceptuje, jak odrzuca wynik i gdzie zgłasza błąd. Różnice zapisz bez szukania winnego. Dokument powinien opisywać pracę, którą da się wykonać.
Następnie sprawdź jeden komunikat dla odbiorcy i jeden incydent testowy. Czy informacja o AI jest widoczna? Czy właściciel potrafi zatrzymać proces? Czy logi wystarczają do odtworzenia zdarzenia bez przechowywania nadmiernych danych? Te odpowiedzi są konkretniejsze niż ogólne „jesteśmy compliant”.
Dopiero po takim przeglądzie ustal, czy potrzebujesz prawnika, dodatkowych testów, zmiany umowy albo ograniczenia systemu. Rejestr nie daje certyfikatu zgodności. Daje punkt startu do odpowiedzialnej decyzji i uniemożliwia ukrywanie najciekawszych zastosowań w folderze „różne”.
Dokumenty, które opisują pracę
Przygotuj kartę zastosowania: cel, rola, źródła, właściciele, użytkownicy, ograniczenia, akceptacja, logi, przegląd i stop. Nie kopiuj polityki producenta i nie nazywaj jej swoją. Opisz własną pracę.
Dodaj wersję i datę. Jeżeli zmieniasz cel, integrację lub dane, zaktualizuj kartę. Rejestr ma być aktualny, nie archiwalny projekt raz na rok.
Przy zastosowaniach wysokiego ryzyka dokumenty będą szersze. Nie próbuj zastąpić ich prostą checklistą z internetu. Ocena wymaga konkretnych wymagań i odpowiedzialności.
Nadzór i kompetencje zespołu
Wyznacz osoby, które rozumieją zadanie, ograniczenia i sposób interwencji. Kompetencje AI to nie tylko umiejętność otwarcia czatu. To rozpoznawanie błędów, źródeł, prywatności, ryzyka i momentu zatrzymania.
Przećwicz przypadki: sprzeczne źródła, nietypowy klient, instrukcja w dokumencie, odpowiedź z błędem, potrzeba odwołania. Pracownik powinien wiedzieć, kiedy nie użyć systemu.
Nie kupuj certyfikatu bez ćwiczeń. Krótkie scenariusze i odpowiedzialność są bardziej użyteczne.
Logi i incydenty
Zapisuj wersję, zadanie, źródła, wynik i akceptację w zakresie potrzebnym do odbioru. Nie gromadź pełnych danych bez potrzeby. Logi mają pomóc zrekonstruować problem i właściciela decyzji.
Przygotuj ścieżkę zgłoszenia: kto odbiera, jak zatrzymać system, jak zachować dowody i kiedy eskalować. Nie czekaj na oficjalny incydent, żeby sprawdzić kontakt.
Przy poważnych zastosowaniach ustal obowiązki raportowania zgodnie z rolą i wymaganiami. Nie zakładaj, że każda odpowiedź AI jest incydentem prawnym.
Szkolenie zespołu na jednym konkretnym błędzie
Zamiast godzinnej prezentacji o całym rozporządzeniu wybierz sytuację z pracy. Pracownik dostaje odpowiedź asystenta opartą na starej instrukcji i ma zdecydować, co dalej. Powinien rozpoznać datę źródła, nie wysłać wyniku, zgłosić konflikt i znaleźć właściciela.
Po ćwiczeniu zapisz, czy uczestnik umie wskazać rolę systemu, ograniczenie, sposób interwencji i kanał zgłoszenia. Nie oceniaj znajomości haseł. Sprawdzasz zachowanie. Jeżeli odpowiedź brzmi „zgaduję, że model wie”, proces wymaga poprawy, nie tylko szkolenia.
Powtórz krótkie scenariusze po istotnej zmianie narzędzia. Jedno ćwiczenie dla obsługi będzie inne niż dla rekrutacji lub publikacji treści. Kompetencje zależą od zastosowania i ryzyka, a nie od jednego dyplomu dla wszystkich.
Rejestr ma pokazywać także wyłączone systemy
Kiedy kończysz korzystanie z narzędzia, nie usuwaj całego śladu decyzji. Oznacz zastosowanie jako nieaktywne, zapisz datę, powód, eksport, odwołanie dostępu i sposób usunięcia danych. To pozwala odpowiedzieć, co działało w przeszłości i dlaczego zostało zatrzymane.
Sprawdź, czy proces nie działa nadal w zaplanowanym zadaniu albo na koncie testowym. Status „archiwum” w dokumencie nie odwołuje tokenów. Właściciel potwierdza rzeczywiste zatrzymanie i brak nowych operacji.
Przy ponownym uruchomieniu nie zakładaj, że stara karta wystarczy. Oceń aktualne warunki, model, dane i zespół. Przejrzysta historia pomaga uniknąć powrotu do rozwiązania, które wcześniej zostało wyłączone z konkretnego powodu.
Przegląd raz na kwartał
Sprawdź nowe narzędzia i zmiany zastosowań, aktualne źródła i wymagania, błędy i uprawnienia. Zaktualizuj rejestr. Usuń procesy, których nie ma. To nie ma być kolejny raport do szuflady.
Wybierz jedno zastosowanie do testu. Oceń faktyczne zachowanie, nie tylko dokument. Jeżeli ryzyko rośnie, ogranicz zakres lub zatrzymaj.
Pomocny jest rejestr zastosowań AI i priorytety. Przy mapie odpowiedzialności Aeneia Audit pomaga oddzielić praktyczne działania od kupowania pewności siebie.
Najlepszy porządek z AI Act zaczyna się od prawdy o zastosowaniach. Kiedy wiesz co, kto i po co, dokumenty przestają być magią compliance i zaczynają opisywać normalną pracę.
Sprawdź nas. To zdrowe.
Temat zmienia się szybko. Linki prowadzą do źródeł pierwotnych i stron, na których możesz zweryfikować kontekst.
