Oprogramowanie do zarządzania obowiązkami AI Act powinno pomóc ustalić, jakie systemy AI organizacja dostarcza lub stosuje, do jakiego celu służą i które wymagania dotyczą konkretnej roli oraz daty. Samo wykrycie słowa „AI” w aplikacji nie stanowi klasyfikacji prawnej. Także zakup platformy nie jest obowiązkiem przewidzianym w rozporządzeniu. Można zacząć od dobrze prowadzonego spisu, a narzędzie wybrać wtedy, gdy wielu właścicieli systemów musi aktualizować oceny i dowody. Poniżej jest scenariusz wyboru, nie ranking dostawców ani obietnica certyfikacji.
Najważniejsza korekta harmonogramu: od 27 lipca 2026 r. obowiązuje rozporządzenie zmieniające (UE) 2026/1744. Zmieniło ono daty stosowania części przepisów dla systemów wysokiego ryzyka w AI Act 2024/1689. Nie należy już powtarzać ogólnego twierdzenia, że wszystkie obowiązki dla systemów wysokiego ryzyka rozpoczęły się w sierpniu 2026 r. Oficjalny harmonogram Komisji pokazuje etapy, lecz w razie rozbieżności pierwszeństwo ma tekst opublikowanego rozporządzenia zmieniającego.
Najpierw rozdziel role i zastosowania
W spisie zapisz nazwę systemu, faktyczny cel, podmiot, który go dostarcza, użytkowników, osoby, na które wpływa, źródło danych, integracje i datę wdrożenia. Oddziel dostawcę systemu od podmiotu stosującego. Firma może korzystać z cudzego narzędzia w rekrutacji jako podmiot stosujący, a dla własnej aplikacji oferowanej pod swoją nazwą mieć inne obowiązki. Znacząca modyfikacja albo zmiana zamierzonego celu może również wpłynąć na rolę, ale nie zakładaj tego automatycznie przy każdej konfiguracji. Narzędzie powinno pozwalać dołączyć analizę konkretnego przypadku, a nie przypisywać rolę na podstawie nazwy dostawcy.
Nie utożsamiaj modelu ogólnego przeznaczenia z każdym systemem, który go używa. Model może być komponentem kilku zastosowań: asystent do redakcji wewnętrznego tekstu, wstępny selektor kandydatów i obsługa klientów mają różne cele i skutki. Jedna pozycja „model językowy” ukryje te różnice. Właściciel procesu powinien potwierdzić, co faktycznie robi system i czy człowiek podejmuje decyzję. Przewodnik po AI Act porządkuje pojęcia; tutaj ważne jest, aby spis nadawał się do aktualizacji.
Wpisz również systemy kupione przez działy bez udziału zespołu prawnego. Nie chodzi o polowanie na pracowników, ale o poznanie przepływów danych i sposobu użycia. Pytaj, czy wysyłają do narzędzia dane osobowe, tajemnice przedsiębiorstwa albo materiał, którego nie wolno przekazywać usługodawcy. Przypisz właściciela i uzgodnij dozwolone zastosowanie. Narzędzie z automatycznym skanerem nie odkryje każdego ręcznego użycia, a ankieta bez rozmowy może pominąć istotne różnice między działami.
Klasyfikacja nie jest prostą piramidą czterech etykiet
Artykuł 5 AI Act zakazuje określonych praktyk; podstawowe zakazy stosuje się od 2 lutego 2025 r., z wyjątkami dla nowych punktów dodanych w 2026 r. mającymi własny termin. Artykuł 6 i załączniki I oraz III określają drogi uznania systemu za wysokiego ryzyka. Załącznik III obejmuje m.in. niektóre zastosowania w edukacji, zatrudnieniu i dostępie do istotnych usług, ale sama nazwa branży nie przesądza wyniku. Trzeba ustalić zamierzony cel i odpowiednie przesłanki, w tym kwalifikacje i wyjątki wskazane w art. 6. Przewodnik o systemach wysokiego ryzyka rozwija tę ocenę.
Artykuł 50 zawiera konkretne obowiązki przejrzystości dla określonych systemów, a nie jedną ogólną kategorię „ograniczonego ryzyka” ze wspólnym obowiązkiem. Ustal na przykład, czy system bezpośrednio kontaktuje się z osobą, czy generuje treść syntetyczną i jaka rola należy do dostawcy lub podmiotu stosującego. Obowiązki z rozdziału IV stosuje się co do zasady od 2 sierpnia 2026 r. Zmiana z 2026 r. dała do 2 grudnia 2026 r. ograniczony czas na dostosowanie do art. 50 ust. 2 dla dostawców systemów generujących określone treści syntetyczne, wprowadzonych na rynek przed 2 sierpnia 2026 r. Nie jest to przesunięcie całej przejrzystości. Jeżeli strona service desk o art. 50 wyświetla jeszcze starsze brzmienie, stosuj tekst nowelizacji.
Dla rozdziału III sekcji 1–3, z wyjątkiem art. 6 ust. 5, nowy art. 113 wyznacza 2 grudnia 2027 r. dla systemów wysokiego ryzyka z art. 6 ust. 2 i załącznika III oraz 2 sierpnia 2028 r. dla systemów z art. 6 ust. 1 i załącznika I. Nie sprowadzaj tych dwóch ścieżek do jednej daty. Sprawdź też przepisy przejściowe art. 111 dla systemów już wprowadzonych na rynek lub oddanych do używania oraz szczególne przypadki sektora publicznego. Program powinien przechowywać podstawę klasyfikacji, stan systemu i właściwą datę, zamiast dodawać każdemu wpisowi to samo ostrzeżenie „po terminie”.
Zadania już aktualne i przygotowanie do kolejnych etapów
Obowiązek wspierania rozwoju kompetencji AI ma nową treść po zmianie art. 4. Dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój umiejętności osób pracujących z systemami w ich imieniu, uwzględniając doświadczenie, wiedzę, kontekst użycia i osoby, na które system oddziałuje. Przepis nie nakazuje gwarantować określonego poziomu każdej osobie ani kupować certyfikowanego kursu. W systemie zapisz grupy użytkowników, zastosowanie, wybrane działania i przegląd ich przydatności. Sam znaczek „szkolenie ukończone” bez kontekstu nie pokazuje, czy zespół rozumie ograniczenia konkretnego narzędzia.
Zakazy z art. 5 i zadania dotyczące modeli ogólnego przeznaczenia mają własne etapy stosowania, wcześniejsze niż nowy termin części wymagań high-risk. Nie przesuwaj ich razem z art. 113. Dla systemu z obszaru rekrutacji już dziś warto ustalić, czy użycie jest dopuszczalne i jakie dane trafiają do dostawcy, choć określona sekcja obowiązków high-risk zacznie obowiązywać później. Nie jest to zwolnienie z RODO, prawa pracy ani istniejących zasad bezpieczeństwa. Przygotowanie dokumentacji wcześniej jest rekomendacją zarządczą, nie fikcyjnym stwierdzeniem, że cały przyszły pakiet już obowiązuje.
Rozporządzenie zmieniające wprowadziło też warunkowe możliwości przetwarzania danych szczególnych kategorii przy wykrywaniu i korygowaniu stronniczości, z ograniczeniami i zabezpieczeniami. Nie jest to ogólne pozwolenie na zbieranie takich danych dla każdego projektu AI. Jeśli produkt reklamuje automatyczną „kontrolę biasu” na danych wrażliwych, zażądaj opisu niezbędności, ograniczeń dostępu, środków ochrony i odpowiedniej podstawy. Unikaj kopiowania całych zbiorów produkcyjnych do środowiska próbnego. Wątpliwość powinna zostać oznaczona do oceny, nie zamieniona w zielony wynik.
Scenariusz próby: rekrutacja, obsługa i publikacja
Daj każdemu kandydatowi trzy fikcyjne zastosowania. Pierwsze: system ocenia kandydatów do pracy i wpływa na listę osób zapraszanych na rozmowę. Drugie: asystent pomaga redagować odpowiedzi działu obsługi, ale człowiek je sprawdza. Trzecie: narzędzie generuje obrazy publikowane w kampanii. Wymagaj od produktu osobnych kart: cel, rola, dane, grupa osób, wersja, decyzja o klasyfikacji i podstawa tej decyzji. Sam wspólny dostawca modelu nie może połączyć trzech kart w jedną odpowiedź o ryzyku.
Dla rekrutacji poproś o wskazanie odpowiedniego punktu załącznika III, zakresu art. 6 oraz właściciela kontroli człowieka. Narzędzie ma umożliwiać zapis uzasadnienia, dowodów i późniejszej zmiany celu. Nie oczekuj automatycznego „certyfikatu AI Act”. Dla asystenta sprawdź, co dzieje się z danymi klientów w zapytaniach i czy dostawca może je wykorzystywać do innych celów. Dla obrazów ustal, czy i jak zastosowanie art. 50 wymaga oznaczenia, oraz czy działa ograniczone przejście dla starego systemu. To test różnych obowiązków, nie trzech wersji tej samej listy kontrolnej.
Dodaj zmianę: zespół HR zaczyna używać asystenta również do automatycznej preselekcji. Wcześniejsza ocena jako narzędzia redakcyjnego może być nieaktualna. Czy program zauważa zmianę celu, przypomina o nowej klasyfikacji i przechowuje stary stan? Czy kieruje decyzję do osoby z kompetencją prawną i techniczną? Monitorowanie wartości modelu bez historii decyzji o zastosowaniu nie pomoże ustalić, jakie obowiązki dotyczyły systemu w danym okresie.
Dokumentacja: kto czego potrzebuje?
Dostawca systemu wysokiego ryzyka ma wymagania dotyczące m.in. zarządzania ryzykiem, danych, dokumentacji technicznej, logowania, przejrzystości wobec podmiotu stosującego, nadzoru człowieka i odpowiedniej jakości działania. Zakres i termin zależą od kwalifikacji oraz przepisów przejściowych. Podmiot stosujący ma inne obowiązki; nie każ mu automatycznie tworzyć całej dokumentacji technicznej dostawcy. Oprogramowanie powinno rozdzielać dokumenty otrzymane od dostawcy, instrukcje użycia, lokalne decyzje wdrożeniowe i zgłoszenia problemów. Przypisz każdemu dokumentowi wersję oraz właściciela.
Przy zakupie systemu AI poproś dostawcę o opis zamierzonego celu i ograniczeń, dane potrzebne do oceny, instrukcje i sposób informowania o zmianach. Nie twórz pozoru, że odebranie pliku pdf zwalnia z oceny lokalnego zastosowania. Z drugiej strony własny zespół nie powinien odtwarzać od zera dokumentacji, którą w odpowiednim terminie ma przygotować dostawca. Ustal w umowie dostęp do aktualizacji, logów, informacji o incydentach i możliwość bezpiecznego zakończenia korzystania. Dowody mają odpowiadać roli i etapowi cyklu życia systemu.
Jeśli system przetwarza dane osobowe, równolegle stosuje się RODO. Potrzebna jest podstawa przetwarzania z art. 6, czasem dodatkowy warunek z art. 9, przejrzystość i zabezpieczenia. Ocena skutków dla ochrony danych z art. 35 jest obowiązkowa, gdy planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko dla praw i wolności; nie każda używana aplikacja AI automatycznie wymaga DPIA. UODO omawia DPIA przy systemach AI. Połącz kartę systemu z odpowiednią oceną skutków, rejestrem czynności i podstawą prawną, zamiast dwukrotnie zgadywać te same fakty.
Kategorie narzędzi i pytania zakupowe
Arkusz lub wewnętrzna baza może wystarczyć do małego spisu, jeżeli ma właściciela, wersjonowanie i procedurę zgłaszania nowego użycia. Platforma GRC może pomóc przypisywać decyzje i dowody, ale trzeba sprawdzić, czy rozumie role dostawcy i podmiotu stosującego oraz aktualne terminy. Narzędzie MLOps może znakomicie śledzić wersje modelu, a nie rozstrzygać prawa. Platforma privacy może połączyć ocenę AI z dokumentacją RODO, lecz zakres techniczny trzeba zweryfikować. Przewodnik wyboru programu RODO dla MŚP pokazuje inną, węższą próbę; nie zakładaj, że ten sam produkt obejmuje ocenę AI Act. Żadna kategoria nie jest automatycznie najlepsza dla wszystkich.
Poproś o pokazanie trzech kart z próby, zmiany zastosowania, decyzji człowieka oraz eksportu po rozwiązaniu umowy. Zapytaj, kto aktualizuje tekst prawa i w jaki sposób system zachowuje ślad po poprzednim harmonogramie. Kandydat, który nadal wskazuje sierpień 2026 jako termin wszystkich systemów wysokiego ryzyka, nie spełnia podstawowego kryterium aktualności. Sprawdź, czy potrafi odróżnić datę wejścia w życie nowelizacji, daty stosowania poszczególnych rozdziałów i status lokalnego projektu. Nie przypisuj polskiej instytucji kompetencji nadzorczych wyłącznie na podstawie broszury handlowej.
Porównaj koszt licencji, użytkowników, importu, szkolenia, utrzymania klasyfikacji, integracji, ochrony danych i wyjścia. Nie ma wiarygodnej ceny rynkowej jednego „oprogramowania AI Act” bez określenia zakresu. Sprawdź też, czy dostawca używa danych z dokumentacji do własnych celów oraz jak zabezpiecza wrażliwe projekty. Jeżeli przetwarza dane osobowe w imieniu organizacji, zastosuj właściwe wymogi art. 28 RODO w umowie pisemnej lub innym wiążącym akcie prawa Unii albo państwa członkowskiego. Koszt oprogramowania RODO może być punktem odniesienia dla składników oferty, nie cennikiem AI.
Przetestuj zmianę wersji i dwie osie czasu
Wybierz jedno z fikcyjnych zastosowań i wprowadź nową wersję modelu. Niech dostawca zmieni opis ograniczeń, a dział biznesowy doda nową grupę użytkowników. Program powinien zachować poprzednią kartę, datę wejścia zmiany, źródło informacji i osobę, która potwierdziła dalsze użycie. Sprawdź, czy nowe zastosowanie automatycznie trafia do ponownej kwalifikacji, czy tylko do technicznej historii wersji. Karta wersji modelu bez karty konkretnego sposobu użycia nie pokaże, dlaczego wynik prawny się zmienił. Z drugiej strony każda drobna poprawka interfejsu nie musi automatycznie oznaczać nowej roli prawnej; potrzebna jest ocena skutku zmiany.
Prowadź osobno kalendarz norm i kalendarz projektu. Pierwszy zawiera daty stosowania odpowiednich przepisów po nowelizacji 2026/1744 oraz ewentualne przepisy przejściowe. Drugi pokazuje, kiedy organizacja zamierza kupić, przetestować, wdrożyć i zweryfikować system. Pomylenie tych dat prowadzi albo do spóźnionej pracy, albo do raportu sugerującego obecne naruszenie przepisu, którego pakiet jeszcze nie obowiązuje. Jeśli produkt ma tylko jedno pole „deadline”, poproś o pokazanie, jak obsłuży dwa różne zastosowania z art. 6 i zmianę terminu bez utraty dawnego uzasadnienia.
W próbie oznacz również decyzję „użycie wstrzymane”. Przykładowo zespół nie potrafi ustalić, czy system rekrutacyjny tworzy ranking kandydatów, czy jedynie porządkuje dokumenty. Dobra dokumentacja pozwala zarejestrować brak odpowiedzi od dostawcy, ograniczyć użycie do czasu wyjaśnienia i wskazać osobę odpowiedzialną za decyzję. Zielona kontrolka oparta na domyślnym wyborze „niskie ryzyko” byłaby myląca. To praktyczne kryterium wyboru narzędzia, nie dodatkowy obowiązek zakupu ani ustawowy format rejestru.
Sprawdź granice między systemami dokumentacji
Organizacja korzystająca z AI przy danych osobowych często ma już rejestr RODO, umowy z usługodawcami i procedurę bezpieczeństwa. Nie przenoś bezrefleksyjnie każdego dokumentu do nowej platformy. Ustal, który system jest źródłem aktualnej umowy, kto zmienia opis przepływu danych i jak karty AI odsyłają do tych dowodów. Równoległe kopie z różnymi datami mogą wprowadzać w błąd podczas kontroli. W próbie zmień dostawcę modelu i sprawdź, czy powiązana ocena danych, instrukcja użytkowania oraz właściciel biznesowy otrzymują zadanie przeglądu.
Sprawdź także dostęp pracowników. Opis systemu może ujawniać strategię produktu, dane kandydatów lub lukę w zabezpieczeniach. Osoba szkoląca użytkowników potrzebuje informacji o ograniczeniach, lecz niekoniecznie całej dokumentacji technicznej lub danych testowych. Zapytaj o podział ról, historię dostępu i bezpieczny eksport do dalszej oceny. Zbyt szeroki dostęp do platformy „compliance” sam tworzy ryzyko, którego automatyczna klasyfikacja AI nie rozwiąże. W omówieniu art. 32 RODO znajdziesz ramę do oceny środków ochrony, jeżeli karta systemu zawiera dane osobowe.
Pytania praktyczne
Czy wszystkie systemy wysokiego ryzyka musiały spełniać cały pakiet od sierpnia 2026 r.?
Nie. Rozporządzenie (UE) 2026/1744 zmieniło art. 113: wskazane sekcje rozdziału III stosuje się od 2 grudnia 2027 r. dla drogi art. 6 ust. 2/załącznik III i od 2 sierpnia 2028 r. dla art. 6 ust. 1/załącznik I, z wymienionym wyjątkiem art. 6 ust. 5. Sprawdź przepisy przejściowe dla starszych systemów oraz inne obowiązki, które mają własne daty. Odroczenie jednego pakietu nie znosi obecnych zakazów, przejrzystości czy RODO.
Czy kupno platformy zapewnia zgodność z AI Act?
Nie. Oprogramowanie może pomóc w spisie, przydzieleniu właściciela, wersjonowaniu i dowodach. Prawidłowe określenie celu, roli, kwalifikacji i środków zależy od faktów i decyzji organizacji. Poproś o próbę na niepełnych danych i zmianie użycia; marketingowy certyfikat bez podstawy prawnej nie jest dowodem zgodności.
Czy każdy system AI wymaga DPIA na gruncie RODO?
Nie. DPIA zależy od dużego prawdopodobieństwa wysokiego ryzyka konkretnego przetwarzania danych osobowych oraz właściwych wykazów i okoliczności. Rekrutacja może wymagać wnikliwej oceny, ale nie wynika z tego automatyczna odpowiedź dla każdego generatora tekstu. Rozdziel ocenę AI Act od oceny danych osobowych, a następnie połącz wspólne fakty i zabezpieczenia.
Od czego zacząć bez zakupu oprogramowania?
Od spisu zastosowań i właścicieli, kontroli praktyk zakazanych, sprawdzenia aktualnych obowiązków przejrzystości oraz zasad korzystania z danych. Oznacz niepewne klasyfikacje i wyznacz osobę do ich rozstrzygnięcia. Jeżeli liczba zmian utrudnia utrzymanie historii, przetestuj narzędzie na trzech różnych zastosowaniach. Sama liczba modeli nie uzasadnia zakupu.
Wybierz narzędzie do decyzji, nie do zielonych pól
Dobra dokumentacja łączy aktualny tekst prawa, cel użycia, rolę, termin, właściciela i dowód. To ważniejsze niż piramida kolorów. Sprawdź rozporządzenie zmieniające z lipca 2026 r. w każdej ofercie, potem wykonaj wspólną próbę i oceń eksport. AI Act i RODO działają równolegle tam, gdzie system przetwarza dane osobowe, ale nie są tym samym zestawem obowiązków. Program ma pomagać w ich rozdzieleniu i powiązaniu, nie zastępować oceny człowieka.