Rozporządzenie AI Act zmienia sposób, w jaki organizacje w UE kupują, wdrażają i dokumentują systemy sztucznej inteligencji. Dla wielu polskich MŚP najważniejsze nie jest memorowanie artykułów rozporządzenia, lecz umiejętność odpowiedzi na trzy pytania: czy używamy systemu wysokiego ryzyka?, kto jest dostawcą, a kto wdrażającym?, jakie obowiązki już teraz wynikają z praktyki?
Klasyfikacja ryzyka — punkt wyjścia
AI Act opiera się na podejściu opartym na ryzyku. Najwięcej obowiązków dotyczy systemów wysokiego ryzyka (m.in. wybrane zastosowania w rekrutacji, kredycie, infrastrukturze krytycznej — zależnie od finalnego zakresu i wytycznych). Systemy ogólnego przeznaczenia (GPAI) mają osobny zestaw wymogów dla dostawców.
W praktyce firma korzystająca z gotowego chatbota do pisania maili marketingowych zwykle jest w innej sytuacji niż dostawca modelu używanego do scoringu kredytowego.
Checklista dla zarządu i compliance
- Inwentaryzacja: jakie narzędzia AI są używane formalnie i „w szarej strefie” (Shadow AI).
- Cel przetwarzania i kategorie danych — szczególnie dane osobowe.
- Umowy z dostawcami: lokalizacja danych, subprocessors, logi, prawo do audytu.
- Procedura incydentów: błędna decyzja modelu, wyciek promptów, deepfake.
- Szkolenie pracowników: co wolno wklejać, czego nie.
Czego wymagać od dostawcy SaaS
Zamiast ogólnego „jesteśmy zgodni z AI Act”, poproś o:
- opis przeznaczenia systemu i ograniczeń,
- informację o treningu / fine-tuningu na danych klienta,
- mechanizmy human oversight (jeśli dotyczy),
- dokumentację zmian modelu (versioning),
- kontakt do osoby odpowiedzialnej po stronie dostawcy.
Compliance AI nie zaczyna się od prawnika — zaczyna się od listy narzędzi, których ludzie faktycznie używają w piątek o 16:40.
To nie poradnik prawny. Przy wdrożeniach wysokiego ryzyka skonsultuj ocenę z counselami specjalizującymi się w prawie nowych technologii. Celem redakcji jest dać język rozmowy między IT, biznesem a compliance.