Akt w sprawie sztucznej inteligencji: sklasyfikuj przypadki użycia i zaplanuj dowody

Zarządzanie AI zaczyna się od wiedzy o tym, które systemy organizacja dostarcza, stosuje lub w inny sposób udostępnia. Lista nazw modeli nie wystarczy: to przeznaczenie, środowisko wdrożenia i Twoja rola określają, jakie obowiązki należy zbadać.

Dla kierownictwa klasyfikacja jest decyzją o alokacji zasobów w równym stopniu jak oceną prawną. Określa, które projekty wymagają przeglądu przez specjalistów, co muszą wykazać dostawcy i jakie dowody muszą istnieć przed wdrożeniem. Narzędzie rekrutacyjne i wewnętrzny asystent do pisania mogą korzystać z tego samego modelu, a mimo to wymagać zupełnie różnych ocen.

Użytecznym wynikiem jest zweryfikowany rejestr przypadków użycia powiązany z właścicielami, wymaganiami, dowodami i decyzjami o zmianach, a nie ogólnofirmowa etykieta „AI niskiego ryzyka”.

Ustal zakres i odpowiedzialność przed przypisaniem ryzyka

Akt w sprawie sztucznej inteligencji (EU AI Act) jest rozporządzeniem, którego obowiązki zależą od rodzaju działalności, systemu i operatora. Jego zakres terytorialny obejmuje dostawców wprowadzających systemy do obrotu lub oddających je do użytku w UE, podmioty stosujące mające siedzibę lub znajdujące się w UE, a także niektórych dostawców i podmioty stosujące spoza UE, jeśli wyniki działania systemu są wykorzystywane w UE. Samo obywatelstwo nie jest kryterium.

Poproś recenzentów prawnych i technicznych o ustalenie, czy aplikacja spełnia definicję systemu AI zawartą w akcie oraz czy mają zastosowanie odpowiednie wyłączenia z zakresu. Nie zakładaj, że każdy skrypt automatyzujący jest AI ani że usługa hostowana zewnętrznie wykracza poza Twoje obowiązki.

Następnie zapisz swoją rolę:

• Dostawca: rozwija system lub zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym.
• Podmiot stosujący: wykorzystuje system, nad którym sprawuje kontrolę, w kontekście zawodowym.
• Importer lub dystrybutor: wprowadza odpowiednie systemy na rynek UE lub udostępnia je w łańcuchu dostaw, co wiąże się z określonymi obowiązkami weryfikacyjnymi.
• Producent produktu lub upoważniony przedstawiciel: ma obowiązki wynikające z konkretnego układu dotyczącego produktu lub pisemnego pełnomocnictwa.

Organizacja może pełnić różne role w odniesieniu do różnych elementów swojego portfela. Zakup dostępu do API nie przesądza o roli w odniesieniu do gotowej aplikacji. Zmiana oznaczenia, istotna modyfikacja lub zmiana przeznaczenia mogą, przy spełnieniu odpowiednich warunków, uruchomić obowiązki dostawcy. Dostrajanie (fine-tuning) jest zatem sygnałem do przeglądu, a nie automatycznym wnioskiem prawnym.

Odróżniaj model AI ogólnego przeznaczenia od zbudowanego wokół niego systemu. Obowiązki dostawcy modelu i obowiązki dotyczące systemów niższego szczebla są powiązane, ale nie są wymienne.

Zbuduj wykaz przypadków użycia, który wspiera podejmowanie decyzji

Inwentaryzuj funkcje biznesowe, a nie tylko dostawców. Przeprowadź rozmowy z działami zakupów, kadr, produktu, operacji i IT: AI może pojawić się jako nowa funkcja u istniejącego dostawcy, a nie w wyniku dedykowanego zakupu.

Dla każdego przypadku użycia zapisz:

Zapisuj faktyczne procesy obok przeznaczenia. Narzędzie opisane jako „wsparcie dla rekruterów” może w praktyce eliminować kandydatów, jeśli pracownicy przeglądają wyłącznie jego krótką listę. Pisemna polityka wymagająca przeglądu przez człowieka nie dowodzi, że taki przegląd się odbywa.

Produktem jest wersjonowany zapis dla każdego przypadku użycia. Nierozstrzygnięte klasyfikacje powinny pozostać widocznie nierozstrzygnięte, z właścicielem i terminem decyzji, zamiast domyślnie trafiać do najmniej wymagającej kategorii.

Oceniaj zakazy, ścieżki wysokiego ryzyka i przejrzystość oddzielnie

Znany czteropoziomowy podział, czyli praktyki zakazane, wysokie ryzyko, obowiązki w zakresie przejrzystości i niższe ryzyko, jest użytecznym wprowadzeniem. Nie jest jednak kompletnym drzewem decyzyjnym. Obowiązki w zakresie przejrzystości mogą nakładać się na obowiązki dotyczące wysokiego ryzyka, a obowiązki w zakresie kompetencji w dziedzinie AI nie ograniczają się do systemów wysokiego ryzyka.

Najpierw sprawdź praktyki zakazane

Art. 5 zakazuje określonych praktyk, z zastrzeżeniem szczegółowych warunków i wyjątków przewidzianych w tym przepisie. Istotne pytania kontrolne dotyczą tego, czy system stosuje szkodliwą manipulację lub wykorzystuje słabości, prowadzi zakazany scoring społeczny, tworzy bazy danych służące rozpoznawaniu twarzy poprzez nieukierunkowane pozyskiwanie wizerunków (scraping) lub przeprowadza zakazaną kategoryzację biometryczną.

Zakazane jest również wykorzystywanie AI do wyciągania wniosków na temat emocji na podstawie danych biometrycznych w miejscu pracy i instytucjach edukacyjnych, z wyjątkiem określonych względów medycznych lub bezpieczeństwa. Analiza sentymentu oparta wyłącznie na tekście nie podlega temu zakazowi tylko dlatego, że ocenia ton emocjonalny. Niektóre zastosowania biometryczne w celu ścigania przestępstw podlegają ściśle określonym zasadom; stwierdzenie „każde rozpoznawanie twarzy jest zakazane” nie jest trafnym zamiennikiem oceny.

Eskaluj możliwą praktykę zakazaną przed zakupem lub wdrożeniem. Dowody powinny opisywać funkcjonalność i rozumowanie prawne, a nie jedynie powtarzać deklarację dostawcy o „etycznej AI”.

Sprawdź obie ścieżki klasyfikacji jako wysokiego ryzyka

Ścieżka produktów regulowanych, art. 6 ust. 1: zbadaj, czy AI sama jest produktem lub związanym z bezpieczeństwem elementem produktu objętego odpowiednim unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I oraz czy produkt ten wymaga oceny zgodności przez stronę trzecią. Znaczenie mają oba warunki. Korzystaj ze zmienionego tekstu prawnego właściwego dla danego reżimu produktowego; samo wbudowanie AI nie przesądza o statusie wysokiego ryzyka.

Ścieżka załącznika III, art. 6 ust. 2: zbadaj, czy zamierzona funkcja odpowiada wymienionemu przypadkowi użycia. Osiem obszarów to ogólne nagłówki, a nie zasady czyniące każde zastosowanie w danej branży zastosowaniem wysokiego ryzyka.

Zapoznaj się ze szczegółowymi pozycjami i wyłączeniami. Na przykład wykrywanie oszustw finansowych jest odróżnione od wymienionego zastosowania dotyczącego oceny zdolności kredytowej, a weryfikacja dokumentów podróży jest wyłączona z odpowiedniej pozycji dotyczącej identyfikacji w kontekście migracji. Administracyjna organizacja kampanii nie jest równoznaczna z wywieraniem wpływu na wyborców.

Oceniaj przejrzystość nawet wtedy, gdy przepisy o wysokim ryzyku nie mają zastosowania

Art. 50 dotyczy określonych interakcji i wyników. W zależności od roli i okoliczności obowiązki obejmują informowanie osób, że wchodzą w interakcję z AI, oznaczanie syntetycznych wyników w formacie nadającym się do odczytu maszynowego, ujawnianie treści typu deepfake oraz określonych tekstów generowanych przez AI w sprawach leżących w interesie publicznym. Zastosowania polegające na rozpoznawaniu emocji i kategoryzacji biometrycznej, jeśli są dozwolone, również podlegają przepisom o ujawnianiu informacji.

Nie sprowadzaj tego do zasady „oznacz każdy dokument przygotowany z pomocą AI”. Ustal, który przepis ma zastosowanie, kto musi działać i czy istotny jest jakiś wyjątek. Jako dowody zachowuj treść informacji, ich umiejscowienie, ustalenia dotyczące oznaczania wyników i wyniki testów.

Traktuj wyjątek z art. 6 ust. 3 jako udokumentowaną ocenę

Niektóre systemy z załącznika III mogą na podstawie art. 6 ust. 3 nie zostać zaklasyfikowane jako systemy wysokiego ryzyka. Nie jest to ogólne zwolnienie dla narzędzi, w których gdzieś w procesie uczestniczy człowiek.

Ocena musi ustalić, czy system stwarza znaczące ryzyko szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, w tym czy istotnie wpływa na wynik podejmowania decyzji. Przepis wskazuje okoliczności obejmujące wąskie zadania proceduralne, poprawę wyniku zakończonej wcześniej czynności wykonywanej przez człowieka, wykrywanie wzorców lub odstępstw w określonych warunkach przeglądu oraz zadania przygotowawcze. Skorzystanie z wyjątku wymaga spełnienia co najmniej jednego z tych warunków i ustalenia, że system nie stwarza określonego znaczącego ryzyka.

Dostawca korzystający z tego wyjątku musi udokumentować ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku oraz spełnić mający zastosowanie obowiązek rejestracji. Co istotne, system z załącznika III, który dokonuje profilowania osób fizycznych, pozostaje systemem wysokiego ryzyka; nie oznacza to, że każdy system profilujący w każdym kontekście automatycznie staje się systemem wysokiego ryzyka.

Dowody powinny wyjaśniać, z jakich informacji korzysta system, jak jego wyniki wpływają na recenzentów i czy rzekomo przygotowawcze zadanie przesądza o tym, kto zostanie poddany merytorycznej ocenie. Uwzględnij obserwacje procesu i reprezentatywne wyniki. Zdanie „ostateczną decyzję podejmuje człowiek” jest niewystarczające, jeśli szeregowanie, filtrowanie lub rekomendacje w praktyce przesądzają o tej decyzji.

Planuj według aktualnych dat rozpoczęcia stosowania

Według stanu na 7 października 2026 r. aktualny przegląd i harmonogram aktu w sprawie sztucznej inteligencji przygotowany przez Komisję Europejską wskazuje następujące kamienie milowe:

Sprawdź zmieniony tekst prawny i właściwe dla Ciebie przepisy przejściowe. Istniejące systemy, daty wprowadzenia modeli do obrotu, zmiany i szczególne układy dotyczące operatorów mogą wymagać dodatkowej analizy. Starsze poradniki mogą nadal podawać wcześniejsze daty dla systemów wysokiego ryzyka.

Nie interpretuj zaktualizowanego harmonogramu dla systemów wysokiego ryzyka jako odroczenia całego aktu. Zaplanuj budżet oddzielnie na obowiązki, które już mają zastosowanie, i na przygotowanie do odpowiedniego reżimu wysokiego ryzyka. Twój rejestr powinien wskazywać właściwy kamień milowy i źródło użyte do jego ustalenia.

Przekształć klasyfikację w plan dowodów

Obowiązki dostawcy i podmiotu stosującego są różne. Kierownictwo powinno wymagać planu właściwego dla roli, zamiast przypisywać każdy obowiązek każdemu zespołowi.

Jeśli dostarczasz system wysokiego ryzyka

Wymogi dotyczące systemów wysokiego ryzyka i obowiązki dostawcy obejmują zarządzanie ryzykiem, zarządzanie danymi, dokumentację techniczną, rejestrowanie zdarzeń, informacje dla podmiotów stosujących, nadzór ze strony człowieka, dokładność, solidność, cyberbezpieczeństwo i zarządzanie jakością. Zaplanowania wymagają także mające zastosowanie procedury oceny zgodności, deklaracji, oznakowania, rejestracji, monitorowania po wprowadzeniu do obrotu oraz procesy dotyczące incydentów.

Przełóż je na konkretne produkty:

• Ocenę ryzyka w całym cyklu życia, ze środkami ograniczającymi, ryzykiem resztkowym i decyzjami o zatwierdzeniu.
• Zapisy dotyczące pochodzenia, przydatności i jakości danych, jeśli są istotne dla systemu.
• Dokumentację techniczną określającą przeznaczenie, projekt, zależności, ograniczenia i metody ewaluacji.
• Wyniki testów powiązane z kryteriami akceptacji i kontekstem wdrożenia.
• Instrukcje dotyczące nadzoru, wyjaśniające interwencję, nadpisanie decyzji i eskalację.
• Specyfikacje rejestrowania zdarzeń, ustalenia dotyczące monitorowania i procedury obsługi incydentów.
• Plan prac w zakresie zgodności, wskazujący właściwą procedurę i wymagane zapisy.

Nie każdy system wysokiego ryzyka podlega tej samej procedurze oceny. Nie planuj budżetu na uniwersalny audyt przeprowadzany przez stronę trzecią i nie traktuj certyfikacji bezpieczeństwa jako dowodu zgodności z aktem w sprawie sztucznej inteligencji.

Jeśli stosujesz system wysokiego ryzyka

Skoncentruj się na korzystaniu z systemu zgodnie z instrukcjami, powierzeniu nadzoru kompetentnym osobom, monitorowaniu jego wykorzystania i prowadzeniu wymaganych zapisów. Zadbaj o adekwatność danych wejściowych w zakresie, w jakim je kontrolujesz, oraz o spełnienie mających zastosowanie wymogów dotyczących informowania pracowników lub osób, których dotyczy system.

Poproś dostawców o odpowiednie instrukcje, informacje o ograniczeniach, wymogi dotyczące nadzoru i informacje o zgodności. Ustal, czego nie mogą dostarczyć i kto usunie tę lukę. Oświadczenie dostawcy dotyczące zapewnienia nie dowodzi, że Twoja lokalna konfiguracja jest właściwa.

Oceń, czy w przypadku Twojej kategorii podmiotu stosującego i przypadku użycia wymagana jest ocena skutków dla praw podstawowych. Nie jest ona obowiązkowa dla wszystkich wdrożeń. Jeśli w grę wchodzą dane osobowe, oceń wymogi RODO oddzielnie; ocena skutków dla ochrony danych i ocena na gruncie aktu w sprawie sztucznej inteligencji służą różnym celom prawnym, nawet jeśli dowody się pokrywają.

Dla każdego produktu określ właściciela, recenzenta, termin, lokalizację źródła i kryterium akceptacji. Stwierdzenie „polityka przesłana” nie jest równoznaczne ze stwierdzeniem „kontrola wykazana”.

Przykład: jeden model, dwie decyzje biznesowe

Założenia poglądowe: pracodawca z UE korzysta z modelu językowego strony trzeciej w wewnętrznym asystencie do pisania oraz w odrębnej aplikacji rekrutacyjnej. Aplikacja rekrutacyjna ocenia kandydatów według kryteriów stanowiska i przedstawia uszeregowaną krótką listę. Pracodawca korzysta z obu narzędzi wewnętrznie; jego dokładne role jako operatora wymagają przeglądu.

W przypadku asystenta do pisania zapisz dozwolone zadania związane z przygotowywaniem tekstów, ograniczenia dotyczące danych, przegląd wyników oraz ewentualne mające zastosowanie wymogi w zakresie przejrzystości. Zwykłe wewnętrzne przygotowywanie tekstów nie staje się zastosowaniem wysokiego ryzyka tylko dlatego, że wykorzystuje AI. Rozszerzenie zastosowania na ocenę w kontekście zatrudnienia wymagałoby ponownej oceny.

W przypadku rekrutacji bezpośrednio istotna jest pozycja załącznika III dotycząca zatrudnienia. Przeanalizuj ocenianie i profilowanie kandydatów, a nie tylko opis interfejsu. Jeśli rekruterzy rozpatrują wyłącznie kandydatów z krótkiej listy, system istotnie kształtuje dostęp do zatrudnienia. Zatwierdzenie ostatecznej decyzji o zatrudnieniu przez człowieka nie usuwa tego wpływu.

Decyzja kierownictwa jest zatem różna dla każdej aplikacji. Asystent do pisania może być używany po przeglądzie z proporcjonalnymi kontrolami. Projekt rekrutacyjny wymaga planu przygotowania do wymogów dla systemów wysokiego ryzyka, dowodów od dostawcy, przeszkolonego nadzoru, oceny lokalnego wykorzystania i udokumentowanej decyzji o wdrożeniu.

Jeśli zespół zaproponuje zmianę funkcji rekrutacyjnej na planowanie terminów rozmów kwalifikacyjnych, oceń ten nowy cel i proces od nowa. Planowanie terminów może być wąskim zadaniem proceduralnym, ale utrzymanie w tle oceniania kandydatów podważyłoby zmienione uzasadnienie. Wersjonuj decyzję, zamiast nadpisywać pierwotny zapis.

Uczyń rozliczalność widoczną w decyzjach operacyjnych

Wyznacz właściciela biznesowego, który potrafi wyjaśnić cel i zatwierdzić zasoby, właściciela technicznego, który potrafi uzasadnić działanie systemu, oraz recenzenta prawnego lub ds. compliance, który może zakwestionować klasyfikację. Zatwierdzenie przez zarząd powinno rozstrzygać kwestie finansowania, ograniczeń wdrożenia i nierozwiązanego ryzyka, a nie zastępować analizy specjalistów.

Jako praktyczną rekomendację przeglądaj klasyfikację, gdy zmienia się cel, użytkownicy, dane, integracje, autonomia lub istotny wpływ na decyzje. Powiąż ten przegląd z odnowieniami zamówień i wydaniami produktów. Sama aktualizacja modelu może nie zmieniać klasyfikacji, ale może unieważnić dowody z ewaluacji lub założenia operacyjne.

Typowe błędy to akceptowanie klasyfikacji dokonanych przez dostawcę dla całej oferty, zakładanie, że przegląd przez człowieka automatycznie tworzy wyjątek, pomijanie już obowiązujących wymogów dotyczących kompetencji w zakresie AI i przejrzystości oraz gromadzenie dokumentów bez testowania lokalnego działania. System zarządzania zgodny z ISO/IEC 42001 może wspierać ład organizacyjny, ale certyfikacja nie przesądza automatycznie o zgodności z aktem w sprawie sztucznej inteligencji.

Secani może wspierać proces zarządzania dowodami, łącząc wymagania, kontrole, materiały źródłowe, właścicieli, zadania i zweryfikowane decyzje. Zacznij od jednego procesu, powiąż dowody z tym, czego dowodzą, i utrzymuj komentarze, zatwierdzenia oraz znaczniki czasu przy istotnych wnioskach. Traktuj sugestie wspierane przez AI jako projekty do przeglądu przez człowieka, a nie rozstrzygnięcia prawne. Nasz przewodnik po zarządzaniu agentami AI przedstawia praktyczne kontrole dotyczące uprawnień i przeglądu.

Kolejnym użytecznym krokiem są skoncentrowane warsztaty klasyfikacyjne: wybierz najbardziej istotne działające przypadki użycia, zaproś ich właścicieli biznesowych i technicznych oraz przygotuj zweryfikowane zapisy z nierozstrzygniętymi pytaniami i zadaniami dotyczącymi dowodów. Daje to kierownictwu możliwą do obrony podstawę do decyzji, co może być kontynuowane, co wymaga warunków, a co dalszej oceny.