Lista kontrolna AI Act dla firm, które korzystają z AI
Aktualizacja: 9 listopada 2026 r. Można swobodnie kopiować i stosować. Treść artykułów z EUR-Lex i AI Act Service Desk.
Firma, która wykorzystuje systemy AI, nad którymi sprawuje kontrolę, jest podmiotem stosującym w rozumieniu aktu w sprawie sztucznej inteligencji (art. 3 pkt 4). Ta lista kontrolna pokazuje, czego akt wymaga od podmiotów stosujących, z którego artykułu wynika każdy obowiązek i jaki dowód potwierdza jego wykonanie: kompetencje w zakresie AI od 2 lutego 2025 r., przejrzystość od 2 sierpnia 2026 r. oraz obowiązki z art. 26 i 27 przy zastosowaniach wysokiego ryzyka od 2 grudnia 2027 r.
Pobierzcie ją jako plik Markdown albo jako CSV z pustymi kolumnami na osobę odpowiedzialną, status i dowód, i omówcie ją z działem prawnym i działem bezpieczeństwa informacji.
14 października 2026 r.: pierwsza norma zharmonizowana do AI Act, EN 18286 (zarządzanie jakością u dostawców systemów AI wysokiego ryzyka), została opublikowana w Dzienniku Urzędowym UE. Co to oznacza dla podmiotów stosujących.
Pobierz listę kontrolną (.md)Arkusz (.csv)
Plik CSV można otworzyć w Excelu, Arkuszach Google lub Numbers. Zawiera kolumny na osobę odpowiedzialną, status i link do dowodu.
Lista kontrolna
Zacznijcie od części 1, która dotyczy każdej firmy. Część 2 dotyczy wyłącznie systemów AI wysokiego ryzyka w rozumieniu art. 6 i załącznika III. Część 3 zależy od tego, co publikujecie, a część 4 od tego, na jakich modelach budujecie.
1. Każda firma, która korzysta z AI
Dotyczy każdego narzędzia: asystentów czatu, funkcji AI w innym oprogramowaniu, agentów programistycznych i modeli wywoływanych przez API.
| Nr | Co zrobić | Artykuł | Jak to udokumentować |
|---|---|---|---|
| 1 | Kompetencje w zakresie AI. Wprowadźcie środki wspierające rozwój kompetencji w zakresie AI wśród personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w imieniu firmy, dostosowane do ich wiedzy, doświadczenia i przeszkolenia oraz kontekstu wykorzystania. | ArtykułArt. 4 (od 2 lutego 2025 r., zmieniony rozporządzeniem 2026/1744) | Jak to udokumentowaćEwidencja szkoleń według ról (data, uczestnicy, treść), polityka korzystania z AI potwierdzona przez pracowników i wytyczne o ryzykach, takich jak halucynacje. Certyfikat nie jest wymagany. |
| 2 | Rejestr. Wpiszcie każdy system AI i każdy przypadek użycia: co robi, kto jest jego właścicielem, kto z niego korzysta, które modele i którzy dostawcy go obsługują oraz jakie dane są do niego przekazywane. | ArtykułPodstawa dla art. 4, 6, 26 i 50 | Jak to udokumentowaćRejestr AI z właścicielem, celem, użytkownikami, modelami, dostawcami, kategoriami danych, informacją, czy wyniki są publikowane, i datą ostatniego przeglądu. Eksport dla każdej aplikacji lub klucza pokazujący używane modele i dostawców. |
| 3 | Klasyfikacja ryzyka. Oceńcie każdy przypadek użycia względem ośmiu obszarów z załącznika III: biometria, infrastruktura krytyczna, kształcenie, zatrudnienie i zarządzanie pracownikami, podstawowe usługi prywatne i publiczne (w tym zdolność kredytowa oraz ustalanie cen ubezpieczeń na życie i zdrowotnych), ściganie przestępstw, migracja i kontrola graniczna oraz wymiar sprawiedliwości i procesy demokratyczne. Tworzenie wersji roboczych, tłumaczenie, streszczanie i pomoc w programowaniu nie są obszarami z załącznika III. Takie zastosowanie staje się zastosowaniem wysokiego ryzyka, gdy AI służy wymienionemu celowi, na przykład wstępnej selekcji kandydatów do pracy. | ArtykułArt. 6 ust. 2 i 3, załącznik III | Jak to udokumentowaćNotatka klasyfikacyjna dla każdego przypadku użycia ze wskazaniem sprawdzonego punktu załącznika III i uzasadnieniem, ewentualnym odstępstwem z art. 6 ust. 3, akceptacją działu prawnego i ponowną oceną przy każdej zmianie celu. Profilowanie osób fizycznych w obszarze z załącznika III zawsze oznacza wysokie ryzyko. |
| 4 | Weryfikacja roli. Potwierdźcie, że nadal jesteście podmiotem stosującym. Obowiązki dostawcy przechodzą na Was, jeśli umieścicie swoją nazwę lub znak towarowy na systemie wysokiego ryzyka, istotnie go zmienicie albo zmienicie przeznaczenie systemu AI tak, że stanie się on systemem wysokiego ryzyka. | ArtykułArt. 25 ust. 1 | Jak to udokumentowaćAdnotacja w rejestrze dla każdego systemu: własna marka czy nie, wprowadzone zmiany oraz przeznaczenie w porównaniu z przeznaczeniem określonym przez dostawcę. |
2. Tylko jeśli stosujecie system AI wysokiego ryzyka
Zastosowania z załącznika III, od 2 grudnia 2027 r. (art. 113 w brzmieniu nadanym aktem zbiorczym prawa cyfrowego dotyczącym AI).
| Nr | Co zrobić | Artykuł | Jak to udokumentować |
|---|---|---|---|
| 5 | Wykorzystanie zgodnie z instrukcją. Podejmijcie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi dostawcy. | ArtykułArt. 26 ust. 1 | Jak to udokumentowaćZarchiwizowana instrukcja obsługi z numerem wersji oraz wewnętrzna procedura, która przypisuje każde zalecenie do konkretnej kontroli. |
| 6 | Nadzór ze strony człowieka. Powierzcie nadzór osobom, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, i zapewnijcie im niezbędne wsparcie. | ArtykułArt. 26 ust. 2 | Jak to udokumentowaćImiennie wskazane osoby nadzorujące dla każdego systemu, ich ewidencja szkoleń, uprawnienie do zatrzymania lub obejścia systemu i ścieżka eskalacji. |
| 7 | Dane wejściowe. W zakresie, w jakim sprawujecie kontrolę nad danymi wejściowymi, zapewnijcie ich adekwatność i wystarczającą reprezentatywność w odniesieniu do przeznaczenia systemu. | ArtykułArt. 26 ust. 4 | Jak to udokumentowaćOpis źródeł danych wejściowych i datowana ocena ich adekwatności i reprezentatywności. |
| 8 | Monitorowanie. Monitorujcie działanie systemu w oparciu o instrukcję obsługi. Jeśli system może stwarzać ryzyko, poinformujcie dostawcę lub dystrybutora oraz organ nadzoru rynku i zawieście jego wykorzystywanie. Zgłaszajcie poważne incydenty. | ArtykułArt. 26 ust. 5 | Jak to udokumentowaćDziennik monitorowania, procedura obsługi incydentów z danymi kontaktowymi dostawcy i organu oraz dokumentacja każdego zgłoszenia lub zawieszenia. |
| 9 | Rejestry zdarzeń. Przechowujcie rejestry zdarzeń generowane automatycznie przez system wysokiego ryzyka, w zakresie, w jakim znajdują się pod Waszą kontrolą, przez okres stosowny do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej. | ArtykułArt. 26 ust. 6 | Jak to udokumentowaćUstawienie retencji i miejsce przechowywania rejestrów systemu, harmonogram usuwania i przykładowy eksport obejmujący co najmniej sześć miesięcy. |
| 10 | Informowanie pracowników. Przed oddaniem do użytku lub wykorzystaniem systemu wysokiego ryzyka w miejscu pracy pracodawca informuje przedstawicieli pracowników i pracowników, których to dotyczy. | ArtykułArt. 26 ust. 7 | Jak to udokumentowaćDatowana informacja dla pracowników oraz protokół lub pismo do związków zawodowych albo przedstawicieli pracowników. |
| 11 | Informowanie osób, których to dotyczy. Gdy system z załącznika III podejmuje decyzje dotyczące osób fizycznych lub pomaga w ich podejmowaniu, poinformujcie te osoby, że jest wobec nich wykorzystywany. | ArtykułArt. 26 ust. 11 | Jak to udokumentowaćTreść informacji oraz miejsce i moment jej przekazania osobom, których dotyczy. |
| 12 | Ocena skutków dla praw podstawowych, gdy jest wymagana: podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy oceny zdolności kredytowej lub ustalania cen ubezpieczeń na życie i zdrowotnych (załącznik III pkt 5 lit. b i c) oceniają skutki przed pierwszym wykorzystaniem i powiadamiają organ nadzoru rynku o wynikach. Infrastruktura krytyczna (załącznik III pkt 2) jest wyłączona. | ArtykułArt. 27, art. 26 ust. 9 | Jak to udokumentowaćPrzeprowadzona ocena (procesy, okres i częstotliwość wykorzystania, grupy, na które system wpływa, ryzyka, nadzór, środki i mechanizmy rozpatrywania skarg), wysłane powiadomienie oraz odesłania do oceny skutków dla ochrony danych z art. 35 RODO. |
3. Przejrzystość
Art. 50 stosuje się od 2 sierpnia 2026 r.
| Nr | Co zrobić | Artykuł | Jak to udokumentować |
|---|---|---|---|
| 13 | Oznakowanie po stronie dostawcy. Dostawcy systemów AI generujących syntetyczne dźwięki, obrazy, wideo lub tekst oznakowują wyniki w formacie nadającym się do odczytu maszynowego jako sztucznie wygenerowane lub zmanipulowane. To obowiązek dostawcy. W przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. stosuje się go od 2 grudnia 2026 r. | ArtykułArt. 50 ust. 2, art. 111 ust. 4 | Jak to udokumentowaćDla każdego narzędzia generatywnego w rejestrze: oświadczenie lub dokumentacja dostawcy o sposobie oznakowania wyników wraz z datą sprawdzenia. |
| 14 | Deepfake i teksty w sprawach interesu publicznego. Ujawniajcie, że obrazy, treści audio lub wideo stanowiące treści deepfake zostały sztucznie wygenerowane lub zmanipulowane. Ujawniajcie, że tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym został wygenerowany lub zmanipulowany przez AI, chyba że przeszedł weryfikację przez człowieka lub kontrolę redakcyjną, a ktoś ponosi odpowiedzialność redakcyjną. | ArtykułArt. 50 ust. 4 | Jak to udokumentowaćZasada oznaczania w procesie publikacji, przykłady oznaczonych treści i nazwisko osoby ponoszącej odpowiedzialność redakcyjną za zweryfikowany tekst. |
| 15 | Rozpoznawanie emocji i kategoryzacja biometryczna. Poinformujcie osoby, wobec których taki system jest stosowany. | ArtykułArt. 50 ust. 3 | Jak to udokumentowaćTreść informacji i miejsce jej udostępnienia albo adnotacja w rejestrze, że firma nie stosuje takiego systemu. |
4. Dokumenty, o które warto poprosić dostawców modeli
Obowiązki dotyczące modeli AI ogólnego przeznaczenia spoczywają na dostawcach i obowiązują od 2 sierpnia 2025 r.
| Nr | Co zrobić | Artykuł | Jak to udokumentować |
|---|---|---|---|
| 16 | Dokumentacja modeli AI ogólnego przeznaczenia. Jeśli włączacie taki model do własnego systemu AI, poproście o informacje i dokumentację, które dostawca musi udostępniać dostawcom niższego szczebla, a także o publiczne streszczenie treści użytych do trenowania i politykę dotyczącą prawa autorskiego. Modele open source są zwolnione z obowiązku dokumentacyjnego, chyba że stwarzają ryzyko systemowe. | ArtykułArt. 53 ust. 1 lit. b, c i d, załącznik XII | Jak to udokumentowaćFolder dla każdego modelu z dokumentacją dostawcy, linkiem do streszczenia treści treningowych, polityką dotyczącą prawa autorskiego, warunkami przetwarzania danych i datą pobrania, podlinkowany z rejestru. |
Jak bramka AI pomaga w dokumentowaniu
Kilka punktów powyżej wymaga tego samego: aktualnego zapisu, z jakich modeli i dostawców korzysta każda aplikacja, oraz historii tego, kto zmieniał reguły. Gdy każde żądanie do AI przechodzi przez jedną bramkę, taki zapis powstaje sam.
Standard Compute łączy Claude, GPT, Gemini i modele otwarte w jednym koncie firmowym, z osobnym kluczem dla każdej osoby i każdej aplikacji. Każda zmiana wprowadzona przez administratora jest zapisywana z wartością przed i po, a Wy możecie wyeksportować rekord każdego żądania z modelem, dostawcą, który je obsłużył, i obowiązującym ograniczeniem regionalnym. Rekordy są przechowywane przez 12 miesięcy. Rekordy żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy treści Waszych promptów ani odpowiedzi.
| Punkt listy kontrolnej | Co Standard Compute rejestruje lub egzekwuje |
|---|---|
| 2. Rejestr | Klucz dla każdej osoby i aplikacji, modele dozwolone dla każdego klucza oraz model i dostawca obsługujący każde żądanie. |
| 3 i 4. Klasyfikacja i rola | Listy dozwolonych modeli dla każdego klucza, dzięki czemu dany przypadek użycia działa tylko na zatwierdzonych dla niego modelach. |
| 9. Rejestry zdarzeń | Dziennik żądań z modelem, dostawcą i ograniczeniem regionalnym dla każdego wywołania, przechowywany przez 12 miesięcy i dostępny do eksportu. |
| 1 i 16. Polityka i wybór dostawców | Listy dozwolonych dostawców dla całej firmy, zespołu lub klucza. Nowi dostawcy nigdy nie są dodawani bez zgody administratora, a trasy zapasowe nigdy nie omijają Waszej listy. |
| Historia reguł | Dziennik audytu z wartością przed i po dla każdej zmiany dotyczącej osób, kluczy i reguł. |
| Ochrona danych | Ograniczenie do Europy: każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe. Zerowa retencja danych (ZDR): żądania trafiają tylko do punktów końcowych, które zobowiązują się nie przechowywać żadnej kopii Waszych danych. |
To zapisy bramki dotyczące korzystania z modeli i dostawców. Rejestry zdarzeń z art. 26 ust. 6 to te, które generuje sam system wysokiego ryzyka. O tym, czego akt wymaga od Waszej firmy, decyduje Wasz dział prawny. Ta lista kontrolna nie stanowi porady prawnej.
Pytania
- Czy korzystanie z ChatGPT, Claude lub agenta programistycznego w pracy biurowej to zastosowanie wysokiego ryzyka według AI Act?
- Wysokiego ryzyka są systemy z art. 6 ust. 1 i przypadki użycia wymienione w załączniku III, takie jak rekrutacja, zarządzanie pracownikami, zdolność kredytowa, kształcenie i dostęp do podstawowych usług. Tworzenie wersji roboczych, tłumaczenie, streszczanie i pomoc w programowaniu nie znajdują się na tej liście. To samo narzędzie staje się systemem wysokiego ryzyka, gdy służy wymienionemu celowi, na przykład wstępnej selekcji kandydatów do pracy lub ocenie pracowników.
- Jak długo podmiot stosujący musi przechowywać rejestry zdarzeń AI?
- W przypadku systemów wysokiego ryzyka art. 26 ust. 6 wymaga przechowywania rejestrów zdarzeń generowanych automatycznie przez system, w zakresie, w jakim znajdują się pod kontrolą podmiotu stosującego, przez okres stosowny do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej.
- Kto musi przeprowadzić ocenę skutków dla praw podstawowych?
- Zgodnie z art. 27 podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy z załącznika III służące ocenie zdolności kredytowej albo ocenie ryzyka i ustalaniu cen ubezpieczeń na życie i zdrowotnych. Ocenę przeprowadza się przed pierwszym wykorzystaniem, a o wynikach powiadamia się organ nadzoru rynku. Może ona odsyłać do oceny skutków dla ochrony danych z RODO.
- Od kiedy stosuje się obowiązki przejrzystości z art. 50?
- Od 2 sierpnia 2026 r. Podmioty stosujące ujawniają, że treści deepfake oraz teksty publikowane w sprawach leżących w interesie publicznym zostały wygenerowane przez AI (art. 50 ust. 4). Dostawcy oznakowują syntetyczne wyniki w formacie nadającym się do odczytu maszynowego (art. 50 ust. 2), a w przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. art. 111 ust. 4 daje im czas do 2 grudnia 2026 r.
- Co bramka AI wnosi do tej listy kontrolnej?
- Jeden zapis tego, z jakich modeli i dostawców korzysta każda aplikacja, i jedno miejsce, w którym egzekwowana jest zatwierdzona lista. Standard Compute eksportuje dziennik żądań z modelem, dostawcą i ograniczeniem regionalnym, przechowywany przez 12 miesięcy, zapisuje każdą zmianę administratora z wartością przed i po oraz egzekwuje listy dozwolonych modeli i dostawców.
Źródła
- Rozporządzenie (UE) 2024/1689, akt w sprawie sztucznej inteligencji, EUR-Lex
- Rozporządzenie (UE) 2026/1744, akt zbiorczy prawa cyfrowego dotyczący AI, EUR-Lex
- AI Act Service Desk, tekst skonsolidowany (po angielsku): Artykuł 4, Artykuł 6, Artykuł 25, Artykuł 26, Artykuł 27, Artykuł 50, Artykuł 53, Artykuł 111, Artykuł 113, Załącznik III
Powiązane strony
Kierujcie każde żądanie do AI przez jedno konto firmowe i trzymajcie rejestr oraz dokumentację w jednym miejscu.