Unijny akt w sprawie sztucznej inteligencji 2026: lista kontrolna automatyzacji AI w firmie

Podsumowanie decyzji: Praktyczna lista kontrolna po 2 sierpnia 2026 roku: role, ryzyko, przejrzystość, nadzór człowieka, dostawcy i bezpieczne pilotaże AI.

· · 7 min czytania

Decyzja: klasyfikuj zastosowanie, nie narzędzie

Liczy się cel, wpływ i rola firmy, a nie nazwa modelu. Ten sam asystent ma mały wpływ przy wewnętrznym szkicu, lecz większy przy decyzjach o ludziach. Zapisz cel, osoby, dane, automatyczne działania i punkt interwencji człowieka.

To nie jest porada prawna. Obowiązki zależą od kraju, sektora, ryzyka i roli. Zacznij od odwracalnego, mierzalnego pilotażu zatwierdzonego przez człowieka i sprawdź progi w aktualnych źródłach UE.

Co zmieniło się 2 sierpnia 2026?

Komisja Europejska wskazuje, że Urząd ds. AI i organy krajowe zaczęły egzekwować określone przepisy. Zaczęły też obowiązywać wymogi przejrzystości z art. 50 dotyczące niektórych systemów interaktywnych i treści syntetycznych: informowanie o kontakcie z AI oraz oznaczanie określonych deepfake’ów lub innych treści. Terminy stosowania przepisów dotyczących systemów wysokiego ryzyka mogą być późniejsze.

Dla każdego zastosowania zapisz cel, rolę firmy, rynek, dane, osoby, których dotyczy system, generowany wynik i datę. Przed zakupem lub decyzją prawną sprawdź oficjalny harmonogram.

Mapa ról

Podmiot oferujący system pod własną nazwą może być dostawcą, a podmiot używający go w odniesieniu do pracowników lub klientów — podmiotem stosującym. Integracja modelu AI ogólnego przeznaczenia z produktem może oznaczać rolę dostawcy niższego szczebla. Ustal, kto kontroluje cel, zmiany i dane oraz kto ponosi odpowiedzialność.

Zapisz osoby odpowiedzialne po stronie biznesu i IT, dostawcę, wersję, dane, działanie, sposób zatwierdzania, wymagany komunikat, okres przechowywania danych, sposób wyłączenia i datę przeglądu. Ponów ocenę po zmianach.

Cztery grupy ryzyka

Po pierwsze: wstrzymaj możliwą praktykę zakazaną i skonsultuj jej ocenę. Po drugie: oceń wysokie ryzyko w zatrudnieniu, kredytach, edukacji, infrastrukturze lub podstawowych usługach. Po trzecie: sprawdź obowiązki przejrzystości chatbotów i mediów syntetycznych. Po czwarte: nawet narzędzia wewnętrzne wymagają kontroli danych, bezpieczeństwa i jakości oraz nadzoru człowieka.

Oceń integracje, odwracalność działań, liczbę osób, dane osobowe, koszt błędu i czas interwencji. W razie niepewności wyłącz działania automatyczne.

Lista kontrolna przejrzystości z art. 50

Wymagany komunikat musi pojawić się we właściwym czasie, być jasny i dostępny oraz nie może być ukryty w polityce prywatności. W przypadku obrazów, dźwięku, wideo lub tekstów przeznaczonych do publicznego udostępniania sprawdź wymagane oznaczenia widoczne dla odbiorcy, oznaczenia nadające się do odczytu maszynowego i wyjątki.

Sprawdź język, obsługę czytnika ekranu, zachowanie oznaczeń po eksporcie, możliwość kontaktu z człowiekiem i dokumentację wersji. Potwierdź zasady przejściowe dla starszych systemów w oficjalnych wytycznych.

Kontrole techniczne i operacyjne

Stosuj cykl NIST AI RMF: zarządzaj, mapuj, mierz i reaguj. Przed pilotażem ustal kryteria sukcesu, dopuszczalny próg błędu i warunki zatrzymania. Testuj brak dokumentu, sprzeczne instrukcje, inne języki, nieuprawnione żądania i awarie.

W przypadku agentów zastosuj zalecenia OWASP: tylko niezbędne funkcje, początkowo wyłącznie odczyt, zatwierdzenie przez człowieka przed wysłaniem, płatnością lub usunięciem, klucze i dane dostępowe poza modelem oraz pełne logi. Zaplanuj przywracanie działania po ataku polegającym na wstrzyknięciu instrukcji, wycieku danych, błędzie lub awarii dostawcy.

Plan 30 dni

Dni 1–5: inwentaryzacja i wyznaczenie osób odpowiedzialnych; 6–10: określenie roli i ryzyka; 11–15: komunikaty, eskalacja, uprawnienia, przechowywanie danych i umowy; 16–23: testy; 24–30: ograniczony pilotaż i decyzja.

Ten plan nie jest certyfikatem. Wybierz proces odwracalny i mierzalny. Skorzystaj z mapowania procesu i porównania RPA i AI.

Macierz oceny dostawcy i pilotażu

Poproś na piśmie o listę modeli i podwykonawców, miejsca przetwarzania i okresy przechowywania danych, zasady wykorzystywania danych do trenowania modeli, zabezpieczenia, procedury obsługi incydentów, informacje o wersjach, oznaczeniach, logach, przenoszeniu danych i zakończeniu współpracy. Samo stwierdzenie „zgodne z AI Act” nie jest dowodem; pytaj o konkretny mechanizm kontrolny, realizowany obowiązek i rolę firmy.

Przykładowy scenariusz: MŚP klasyfikuje e-maile i tworzy szkice odpowiedzi. Człowiek je wysyła, sprawy wrażliwe trafiają do właściwej osoby, a AI niczego nie usuwa i nie dokonuje płatności. Mierz błędne przekierowania, poprawki, incydenty i przywracanie działania. To hipotetyczny przykład, nie wynik klienta.

Metodologia

Twierdzenia są oceniane pod kątem wykonalności, kosztu, ryzyka i mierzalności. Przykładowe obliczenia opierają się na założeniach; decyzje prawne i dotyczące bezpieczeństwa wymagają źródeł pierwotnych.

Nota źródłowa

Linki i wymienione dokumenty są punktami wyjścia. Nie publikujemy niezweryfikowanych wyników klientów.

Ostatnia aktualizacja:

Częste pytania

Czy każdy system AI jest wysokiego ryzyka?

Nie. Zależy to od celu, obszaru i funkcji; mogą jednak istnieć obowiązki przejrzystości, prywatności lub bezpieczeństwa.

Czy chatbot musi ujawnić, że jest AI?

Art. 50 przewiduje obowiązek informowania w przypadku określonych systemów interaktywnych. Sprawdź rolę firmy, zastosowanie i wyjątki w oficjalnych źródłach.

Czy firma spoza UE może podlegać przepisom?

Oferowanie systemu na rynku UE, używanie go w odniesieniu do osób w UE lub określona rola w łańcuchu wartości mogą wymagać analizy zakresu stosowania przepisów.

Jakie dokumenty zachować?

Cel, właściciele, rola/ryzyko, przepływ danych, nadzór, testy, wersja/dostawca, komunikat, incydenty i zmiany.

Czy można przeprowadzić pilotaż przed zakończeniem oceny?

Możliwy może być odwracalny test o ograniczonym zakresie, zatwierdzony przez człowieka. W razie niepewności nie włączaj działań o istotnych konsekwencjach.