Tekst zaktualizowany 30 lipca 2026 o zmiany wprowadzone rozporządzeniem 2026/1744 oraz o polską ustawę o systemach sztucznej inteligencji.
Jeśli system AI trafia do kategorii wysokiego ryzyka, AI Act nie kończy się na etykiecie. Wymaga konkretnych dokumentów i procesów. Dobra wiadomość jest taka, że większość z nich da się przygotować zawczasu, zanim pojawi się kontrola albo zanim klient o nie zapyta. Poniżej komplet, ułożony tak, jak sprawdza to Quick-Check w ośmiu wymiarach.
Ile jest czasu
Obowiązki dla systemów wysokiego ryzyka wchodzą 2 grudnia 2027 dla systemów samodzielnych z załącznika III oraz 2 sierpnia 2028 dla systemów wbudowanych w produkty objęte załącznikiem I. Terminy przesunęło rozporządzenie 2026/1744, obowiązujące od 27 lipca 2026, ze względu na brak gotowych norm zharmonizowanych.
Przesunięcie łatwo przeczytać jako zaproszenie do odłożenia prac. Warto jednak zauważyć, że część poniższej listy to nie dokumenty, tylko procesy prowadzone na bieżąco. Rejestr incydentów, rejestr dostawców czy zapisy zdarzeń opisują to, co dzieje się w firmie każdego dnia. Zakładane w listopadzie 2027 będą pustymi plikami, bo nie da się wpisać do nich zdarzeń, których nikt nie notował.
Osobno warto pamiętać, że nie wszystko zostało przesunięte. Zakazane praktyki i obowiązek zapewnienia kompetencji w zakresie sztucznej inteligencji obowiązują od 2 lutego 2025, a wymogi przejrzystości od 2 sierpnia 2026.
Osiem wymiarów, osiem rzeczy do przygotowania
- Klasyfikacja ryzyka. Udokumentowane uzasadnienie, do której kategorii trafia system (artykuł 6 i załącznik III). Pierwszy dokument, bo przesądza całą resztę.
- Dokumentacja techniczna. Artykuł 11 i załącznik IV. To rdzeń teczki: ogólny opis systemu i jego przeznaczenia, elementy i proces powstawania, użyte dane, ocena ryzyka oraz zastosowane środki nadzoru. Ma być na tyle pełna, by ktoś z zewnątrz zrozumiał, jak system działa i dlaczego jest bezpieczny.
- Nadzór ludzki. Artykuł 14: kto i jak nadzoruje system, w jaki sposób człowiek może interweniować lub go zatrzymać. Potrzebne jest wyznaczenie konkretnych osób i opis procedury, nie ogólna deklaracja.
- Bias i sprawiedliwość. Wynika z zarządzania danymi (artykuł 10): jak ograniczasz uprzedzenia i jak testujesz system pod kątem dyskryminacji, na przykład czy nie odrzuca częściej określonej grupy.
- Zarządzanie danymi. Artykuł 10: jakość, reprezentatywność i pochodzenie danych treningowych oraz wejściowych. Słabe dane to słaby system, niezależnie od modelu. To jedyny wymiar, w którym zaniedbanie boli już dziś, bo przetwarzanie danych osobowych podlega odrębnym przepisom niezależnie od terminów AI Act.
- Reagowanie na incydenty. Artykuł 73 nakłada na dostawców systemów wysokiego ryzyka obowiązek zgłaszania poważnych incydentów organowi nadzoru rynku oraz prowadzenia procedury i rejestru. Warto mieć rejestr i ścieżkę zgłoszenia gotowe, zanim incydent w ogóle nastąpi, bo w trakcie nie ma na to czasu. Osobno i niezależnie działa obowiązek zgłaszania naruszeń ochrony danych osobowych, który ma własny tryb, własnego adresata i własny termin.
- Zarządzanie dostawcami. Jeśli firma korzysta z cudzych modeli lub komponentów, potrzebny jest rejestr dostawców i jasne ustalenia, kto za co odpowiada. Wiąże się to z rolami dostawcy i podmiotu stosującego (artykuły 25 i 26), bo ta sama firma może być raz jedną, raz drugą stroną.
- Audyt i wyjaśnialność. Artykuł 12 (rejestrowanie zdarzeń) i artykuł 13 (przejrzystość, informacje dla użytkownika): zdolność wykazania po fakcie, jak system działał i dlaczego podjął daną decyzję.
Dodatkowo dla dostawców
Dostawca systemu wysokiego ryzyka ma jeszcze system zarządzania jakością (artykuł 17) oraz obowiązek rejestracji systemu w bazie unijnej. To poziom całej firmy, nie pojedynczego wdrożenia. Podmiot stosujący system ma własny, węższy zestaw obowiązków, dlatego warto najpierw ustalić, w której roli występuje firma.
Komu się to pokazuje
Ustawa o systemach sztucznej inteligencji została podpisana 24 lipca 2026. Ustanawia Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako krajowy organ nadzoru rynku. Komisja rozpocznie działalność jesienią 2026, przewodniczący ma zostać powołany do października, pełny skład do listopada.
To ten organ będzie mógł kontrolować przestrzeganie przepisów, wydawać decyzje administracyjne, w tym o wycofaniu systemu z rynku lub ograniczeniu jego stosowania, oraz nakładać sankcje. Ustawa przewiduje również ścieżkę skargową, więc postępowanie może zacząć się od zgłoszenia użytkownika, a nie od planowej kontroli. W praktyce oznacza to, że teczka powinna być kompletna wcześniej, niż wynikałoby z samych terminów.
Po co zawczasu
Komplet brzmi poważnie, ale każdy element to konkretny, skończony dokument, a nie mglista deklaracja. Przygotowany wcześniej zamienia stres kontroli w spokojne pokazanie teczki, a w rozmowie z klientem staje się dowodem, że firma wie, co robi. Quick-Check pokazuje, w których z tych ośmiu wymiarów Twoja firma ma komplet, gdzie są luki i co dokładnie przygotować.
Pełny tekst rozporządzenia znajdziesz w EUR-Lex pod numerem CELEX 32024R1689: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689