Gotowość na AI Act (readiness): przegląd firmy w 6 krokach
Gotowość na AI Act, po angielsku AI Act readiness, to po prostu odpowiedź na pytanie, czy Twoja firma wie, które obowiązki z AI Act jej dotyczą i czy jest na nie przygotowana. Nie chodzi o certyfikat ani o gruby projekt wdrożeniowy, tylko o uporządkowany przegląd. Dobra wiadomość jest taka, że da się go zrobić w sześciu krokach, a większość z nich to praca organizacyjna, nie prawnicza.
Poniżej opisujemy prosty przegląd gotowości, który można przejść samodzielnie. Na końcu pokazujemy, jak skrócić go do dwóch minut skanem, a potem pogłębić pełnym audytem.
Krok 1: Zrób spis systemów AI
Zacznij od inwentaryzacji. Wypisz, z jakich narzędzi AI korzysta firma: chatboty, generatory treści i grafik, systemy wspierające rekrutację, scoring, analitykę. Przy każdym zanotuj, kto jest dostawcą i w którym procesie narzędzie działa. Bez tej listy nie da się ocenić ryzyka, bo nie wiadomo, co oceniać.
Krok 2: Ustal swoją rolę
AI Act inaczej traktuje dostawcę systemu, a inaczej podmiot, który go tylko stosuje. Większość firm w Polsce jest podmiotem stosującym gotowe narzędzia, co oznacza lżejszy, ale nie zerowy zestaw obowiązków. Jeśli jednak firma sama tworzy lub istotnie modyfikuje system, może stać się dostawcą. To rozróżnienie opisujemy w artykule o tym, kogo dotyczy AI Act.
Krok 3: Zaklasyfikuj ryzyko
Do każdego systemu z listy przypisz kategorię ryzyka:
- Zakazane praktyki z art. 5, których nie wolno stosować.
- Wysokie ryzyko z załącznika III, na przykład rekrutacja czy ocena zdolności kredytowej.
- Ograniczone ryzyko, czyli obowiązki przejrzystości z art. 50, na przykład dla chatbotów i treści generowanych przez AI.
- Minimalne ryzyko, gdzie AI Act nie nakłada szczególnych obowiązków.
Klasyfikacja bywa trudna na granicy kategorii, dlatego w spornych przypadkach lepiej ją potwierdzić, niż zgadywać.
Krok 4: Przypisz terminy
Do każdego systemu dopisz właściwą datę. Przejrzystość z art. 50 to 2 sierpnia 2026 r., a obowiązki dla systemów wysokiego ryzyka z załącznika III to 2 grudnia 2027 r. po przesunięciu przez Digital Omnibus. Pełny kalendarz znajdziesz w artykule o tym, kiedy AI Act wchodzi w życie. Dzięki temu widać, co jest pilne, a co można rozłożyć w czasie.
Krok 5: Zadbaj o kompetencje zespołu
Art. 4 wymaga, by osoby korzystające z AI rozumiały narzędzia, których używają. W praktyce to krótkie szkolenie i prosta polityka AI w firmie, która mówi, z czego wolno korzystać i na jakich zasadach. Ten krok obowiązuje już od 2 lutego 2025 r., więc warto zacząć od niego.
Krok 6: Uporządkuj przejrzystość i dokumentację
Na koniec sprawdź rzeczy widoczne na zewnątrz i te na papierze: czy chatbot informuje, że jest AI, czy treści generowane przez AI są oznaczane tam, gdzie wymaga tego art. 50, czy jest nadzór człowieka nad ważnymi decyzjami i czy istnieje choćby prosty rejestr używanych systemów. To te elementy najczęściej wychodzą podczas kontroli i najłatwiej je poprawić z wyprzedzeniem.
Jak skrócić ten przegląd
Kroki od pierwszego do trzeciego można wstępnie zrobić za Ciebie. Darmowy skan strony w 2 minuty sprawdza 3 publiczne sygnały ryzyka AI Act, bez rejestracji, i podpowiada, gdzie szukać dalej. Pełny audyt z raportem idzie głębiej: przypisuje kategorie ryzyka i terminy do konkretnych systemów oraz wskazuje, co zrobić w pierwszej kolejności. To najszybszy sposób, żeby przejść od listy pytań do listy zadań.
Najczęstsze pytania (FAQ)
Czym jest gotowość na AI Act?
To stan, w którym firma wie, które systemy AI stosuje, jaką ma wobec nich rolę, do jakiej kategorii ryzyka należą i jakie terminy oraz obowiązki się z tym wiążą. Gotowość osiąga się przez uporządkowany przegląd, a nie przez pojedynczy certyfikat.
Czy mała firma musi przygotować się do AI Act?
Tak, jeśli korzysta z narzędzi AI. Zakres obowiązków zależy od roli i kategorii ryzyka, ale nawet zwykłe używanie chatbota czy generatora treści wiąże się z przejrzystością z art. 50 od 2 sierpnia 2026 r. i z kompetencjami z art. 4.
Od czego zacząć przegląd gotowości?
Od inwentaryzacji systemów AI i ustalenia roli, czyli czy firma jest dostawcą, czy podmiotem stosującym. Dopiero na tej podstawie da się sensownie zaklasyfikować ryzyko i przypisać terminy.
Ile czasu zajmuje sprawdzenie gotowości?
Wstępny sygnał daje darmowy skan strony w 2 minuty. Pełny przegląd sześciu kroków dla całej firmy to zwykle kilka godzin pracy, a pełny audyt z raportem skraca go, bo klasyfikację i terminy dostajesz gotowe.
Źródła
- Rozporządzenie (UE) 2024/1689 (AI Act), m.in. art. 3, 4, 5, 6, 50 i 113 – EUR-Lex
- Przesunięte terminy wysokiego ryzyka po nowelizacji: Gibson Dunn