Blog
Arkusz kalkulacyjny nie wystarczy do prowadzenia rejestru systemów AI według AI Act, ponieważ nie zapewnia pełnej kontroli nad dokumentacją, historią zmian ani zarządzaniem ryzykiem. Im więcej narzędzi AI wykorzystuje organizacja, tym ważniejsze staje się utrzymywanie porządku, aktualnych danych i spójnej dokumentacji. Dlatego rejestr systemów AI w firmie powinien obejmować nie tylko listę systemów, ale także ich klasyfikację i sposób wykorzystania. Dowiedz się, jak przygotować organizację na wymagania AI Act.
Rejestr systemów AI – co zmienił AI Act od 2 sierpnia 2026 roku?
Rejestr systemów AI gromadzi informacje o wszystkich systemach sztucznej inteligencji wykorzystywanych w organizacji, pozwala określić ich przeznaczenie, wskazuje osoby odpowiedzialne za ich wykorzystanie oraz ułatwia wykazanie zgodności z wymaganiami AI Act.
Od 2 sierpnia 2026 roku zaczęła obowiązywać kolejna grupa przepisów AI Act, w tym część wymagań dotyczących przejrzystości systemów AI. Zakres obowiązków konkretnej organizacji zależy jednak od jej roli, rodzaju wykorzystywanego systemu oraz sposobu jego zastosowania. Dlatego uporządkowanie informacji o używanych rozwiązaniach AI, ich przeznaczeniu, właścicielach i przetwarzanych danych może znacznie ułatwić ocenę, które wymagania AI Act dotyczą firmy. Z tego powodu inwentaryzacja narzędzi AI w firmie nie może ograniczać się do jednorazowego spisu. Firma powinna regularnie uzupełniać rejestr o nowe systemy, aktualizować informacje o już wykorzystywanych rozwiązaniach i przypisywać odpowiedzialność za ich nadzór, dzięki czemu łatwiej utrzyma porządek w dokumentacji oraz połączy rejestr z procesami takimi jakzarządzanie zasobami IT.
Aby przygotować organizację do nowych obowiązków, warto:
- zidentyfikować wszystkie systemy AI wykorzystywane w firmie,
- określić poziom ryzyka i rolę organizacji wobec każdego rozwiązania,
- udokumentować sposób wykorzystania systemów oraz osoby odpowiedzialne za ich nadzór,
- zadbać o rozwój kompetencji pracowników korzystających z narzędzi AI.
Prowadzenie rejestru systemów AI – czy jest obowiązkowe?
Prowadzenie rejestru systemów AI nie jest obowiązkowe dla każdej organizacji, jednak w wielu przypadkach stanowi najprostszy sposób na wykazanie zgodności z wymaganiami AI Act oraz obowiązkami wynikającymi z RODO. AI Act nakłada obowiązki dokumentacyjne przede wszystkim na dostawców oraz użytkowników systemów AI wysokiego ryzyka. Większość firm korzystających z popularnych narzędzi AI nie musi prowadzić odrębnego rejestru wskazanego wprost w przepisach.
Nie oznacza to jednak, że warto z niego rezygnować. Regularnie prowadzony rejestr ułatwia kontrolę nad wykorzystywanymi rozwiązaniami, wspiera takie operacje jakinwentaryzacja sprzętu i oprogramowania oraz pozwala szybciej przygotować dokumentację podczas audytu lub kontroli.
Co powinien zawierać rejestr systemów AI?
Rejestr systemów AI powinien zawierać informacje, które pozwalają szybko ustalić, jakie narzędzia wykorzystuje organizacja, do czego służą, jakie dane przetwarzają, kto za nie odpowiada oraz czy ich wykorzystanie wiąże się z określonym ryzykiem. Nie warto ograniczać się wyłącznie do narzędzi wdrożonych przez dział IT. Rejestr powinien obejmować również rozwiązania używane przez poszczególne zespoły, nawet jeśli pracownicy korzystają z nich testowo lub w bezpłatnej wersji.
W dobrze przygotowanym rejestrze warto uwzględnić:
- nazwę narzędzia, dostawcę oraz dział, który z niego korzysta;
- cel wykorzystania, np. tworzenie treści, analiza danych lub obsługa klienta;
- zakres przetwarzanych danych oraz osoby mające dostęp do narzędzia;
- ocenę ryzyka, zwłaszcza jeśli system przetwarza dane osobowe lub poufne;
- status wykorzystania, czyli decyzję, czy narzędzie zostało dopuszczone do użycia;
- datę przeglądu oraz osobę odpowiedzialną za aktualizację wpisu.
Warto również odnotować, czy dane opuszczają Europejski Obszar Gospodarczy, czy dostawca wykorzystuje je do trenowania modeli AI oraz czy organizacja przeprowadziła dodatkową analizę ryzyka.
Rejestr systemów AI w firmie a AI Act – kiedy arkusz kalkulacyjny przestaje wystarczać?
Arkusz kalkulacyjny może sprawdzić się tylko wtedy, gdy organizacja korzysta z kilku narzędzi AI. Gdy liczba systemów rośnie, ręczne prowadzenie rejestru utrudnia utrzymanie porządku, zwiększa ryzyko pomyłek i pochłania coraz więcej czasu.
Sprawna aktualizacja danych
Każde nowe narzędzie AI wymaga ponownego zweryfikowania poziomu ryzyka. W arkuszu kalkulacyjnym wszystkie zmiany wprowadza się ręcznie, dlatego wraz z rozwojem organizacji coraz trudniej zachować kompletne i aktualne informacje.
Pełna historia zmian
Rejestr powinien umożliwiać sprawdzenie – kto, kiedy i dlaczego – zmienił informacje dotyczące konkretnego systemu AI. Gdy z jednego arkusza korzysta kilka osób, odtworzenie historii zmian i zweryfikowanie ich poprawności staje się znacznie trudniejsze.
Centralizacja informacji
Informacje o systemach AI, dokumentacji czy ocenie ryzyka często trafiają do różnych arkuszy, plików i folderów. W efekcie pracownicy poświęcają więcej czasu na wyszukiwanie danych, zamiast korzystać z jednego, aktualnego źródła informacji.
Przygotowanie do audytu
Podczas audytu lub kontroli organizacja powinna szybko przedstawić informacje o wykorzystywanych systemach AI i sposobie ich nadzorowania. Jeśli dane znajdują się w wielu arkuszach kalkulacyjnych, ich zebranie, sprawdzenie i uzupełnienie wymaga dodatkowej pracy oraz zwiększa ryzyko pominięcia ważnych danych.
Rejestr systemów AI a CMDB i Asset Management
Prowadzenie rejestru systemów AI nie oznacza, że organizacja musi wdrażać kolejne narzędzia. W wielu firmach większość potrzebnych informacji znajduje się już w systemach wykorzystywanych do zarządzania infrastrukturą i oprogramowaniem, dlatego warto wykorzystać dane, które organizacja już gromadzi.
Po pierwszeOXARI CMDB pomaga uporządkować informacje o elementach infrastruktury IT oraz pokazuje zależności pomiędzy usługami, urządzeniami i użytkownikami. Dzięki temu łatwiej ustalić, z jakimi zasobami powiązane są systemy AI, kto odpowiada za ich utrzymanie i jaki wpływ mogą wywierać na pozostałe elementy środowiska IT.
Po drugieOXARI Asset Management uzupełnia te informacje o dane dotyczące sprzętu i oprogramowania, automatyzuje aktualizację informacji o zasobach oraz wspiera prowadzenie ich centralnej ewidencji. Dzięki temu organizacja nie musi wielokrotnie wprowadzać tych samych danych i może łatwiej wykorzystać je podczas tworzenia rejestru systemów AI.
Rejestr systemów AI – od czego zacząć?
Najlepiej zacząć od zidentyfikowania wszystkich narzędzi AI wykorzystywanych w organizacji oraz uporządkowania informacji o ich przeznaczeniu oraz zakresie przetwarzanych danych. Dopiero na tej podstawie warto ocenić poziom ryzyka, przypisać odpowiedzialność za poszczególne systemy i regularnie aktualizować rejestr. Im wcześniej organizacja połączy ten proces z zarządzaniem zasobami IT, tym łatwiej przygotuje się do nowych obowiązków wynikających z AI Act i ograniczy ryzyko błędów.
Szukasz rozwiązania, które pomoże uporządkować dane o zasobach IT i ułatwi prowadzenie rejestru systemów AI? Poznaj możliwości OXARI! Sprawdź, jak wykorzystać dane, które Twoja organizacja już posiada.
FAQ – najczęstsze pytania dotyczące AI Act i systemów AI
AI Act wprowadza różne obowiązki w zależności od rodzaju systemu AI, sposobu jego wykorzystania oraz roli organizacji. Poniżej odpowiadamy na najczęstsze pytania, które mogą pojawić się przy porządkowaniu firmowych narzędzi AI i przygotowywaniu dokumentacji.
Co jest systemem AI w rozumieniu AI Act?
System AI to system maszynowy działający z określonym poziomem autonomii, który na podstawie otrzymanych danych wejściowych wnioskuje, jak generować wyniki, np. treści, prognozy, zalecenia lub decyzje. Nie każde oprogramowanie wykorzystujące automatyzację jest więc automatycznie systemem AI w rozumieniu AI Act.
Kim jest podmiot stosujący system AI?
Podmiotem stosującym może być firma lub inna organizacja, która wykorzystuje system AI pod swoją kontrolą w ramach działalności zawodowej. Organizacja nie musi samodzielnie tworzyć systemu AI – może być podmiotem stosującym także wtedy, gdy korzysta z rozwiązania dostarczonego przez zewnętrznego dostawcę.
Czy wszystkie systemy AI podlegają takim samym obowiązkom?
Nie. Zakres obowiązków zależy między innymi od rodzaju systemu, poziomu ryzyka, zastosowania oraz roli organizacji. AI Act przewiduje odrębne wymagania m.in. dla systemów wysokiego ryzyka oraz określonych systemów objętych obowiązkami w zakresie przejrzystości.
Czy AI Act wymaga szkolenia pracowników korzystających z AI?
AI Act wymaga od dostawców i podmiotów stosujących systemy AI podejmowania działań wspierających rozwój kompetencji personelu w zakresie AI. Zakres takich działań powinien być dostosowany do wiedzy i doświadczenia pracowników oraz sposobu, w jaki korzystają oni z systemów AI.
Czy każdą treść wygenerowaną przez AI trzeba oznaczać?
Nie. AI Act przewiduje obowiązki dotyczące oznaczania lub ujawniania pochodzenia treści tylko w określonych sytuacjach. Dotyczy to m.in. deepfake’ów oraz niektórych treści generowanych przez AI publikowanych w celu informowania o sprawach interesu publicznego, przy czym przepisy przewidują również określone wyjątki.
