# Lista kontrolna AI Act dla firm, które korzystają z AI

Aktualizacja: 9 listopada 2026 r. Można swobodnie kopiować i stosować. Treść artykułów z EUR-Lex i AI Act Service Desk.

Firma, która wykorzystuje systemy AI, nad którymi sprawuje kontrolę, jest podmiotem stosującym w rozumieniu aktu w sprawie sztucznej inteligencji (art. 3 pkt 4). Ta lista kontrolna pokazuje, czego akt wymaga od podmiotów stosujących, z którego artykułu wynika każdy obowiązek i jaki dowód potwierdza jego wykonanie: kompetencje w zakresie AI od 2 lutego 2025 r., przejrzystość od 2 sierpnia 2026 r. oraz obowiązki z art. 26 i 27 przy zastosowaniach wysokiego ryzyka od 2 grudnia 2027 r.

14 października 2026 r.: pierwsza norma zharmonizowana do AI Act, EN 18286 (zarządzanie jakością u dostawców systemów AI wysokiego ryzyka), została opublikowana w Dzienniku Urzędowym UE. [Co to oznacza dla podmiotów stosujących](https://standardcompute.com/en-18286-norma-zharmonizowana-ai-act).

## 1. Każda firma, która korzysta z AI

_Dotyczy każdego narzędzia: asystentów czatu, funkcji AI w innym oprogramowaniu, agentów programistycznych i modeli wywoływanych przez API._

| Gotowe | Nr | Co zrobić | Artykuł | Jak to udokumentować |
| --- | --- | --- | --- | --- |
| [ ] | 1 | Kompetencje w zakresie AI. Wprowadźcie środki wspierające rozwój kompetencji w zakresie AI wśród personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w imieniu firmy, dostosowane do ich wiedzy, doświadczenia i przeszkolenia oraz kontekstu wykorzystania. | Art. 4 (od 2 lutego 2025 r., zmieniony rozporządzeniem 2026/1744) | Ewidencja szkoleń według ról (data, uczestnicy, treść), polityka korzystania z AI potwierdzona przez pracowników i wytyczne o ryzykach, takich jak halucynacje. Certyfikat nie jest wymagany. |
| [ ] | 2 | Rejestr. Wpiszcie każdy system AI i każdy przypadek użycia: co robi, kto jest jego właścicielem, kto z niego korzysta, które modele i którzy dostawcy go obsługują oraz jakie dane są do niego przekazywane. | Podstawa dla art. 4, 6, 26 i 50 | Rejestr AI z właścicielem, celem, użytkownikami, modelami, dostawcami, kategoriami danych, informacją, czy wyniki są publikowane, i datą ostatniego przeglądu. Eksport dla każdej aplikacji lub klucza pokazujący używane modele i dostawców. |
| [ ] | 3 | Klasyfikacja ryzyka. Oceńcie każdy przypadek użycia względem ośmiu obszarów z załącznika III: biometria, infrastruktura krytyczna, kształcenie, zatrudnienie i zarządzanie pracownikami, podstawowe usługi prywatne i publiczne (w tym zdolność kredytowa oraz ustalanie cen ubezpieczeń na życie i zdrowotnych), ściganie przestępstw, migracja i kontrola graniczna oraz wymiar sprawiedliwości i procesy demokratyczne. Tworzenie wersji roboczych, tłumaczenie, streszczanie i pomoc w programowaniu nie są obszarami z załącznika III. Takie zastosowanie staje się zastosowaniem wysokiego ryzyka, gdy AI służy wymienionemu celowi, na przykład wstępnej selekcji kandydatów do pracy. | Art. 6 ust. 2 i 3, załącznik III | Notatka klasyfikacyjna dla każdego przypadku użycia ze wskazaniem sprawdzonego punktu załącznika III i uzasadnieniem, ewentualnym odstępstwem z art. 6 ust. 3, akceptacją działu prawnego i ponowną oceną przy każdej zmianie celu. Profilowanie osób fizycznych w obszarze z załącznika III zawsze oznacza wysokie ryzyko. |
| [ ] | 4 | Weryfikacja roli. Potwierdźcie, że nadal jesteście podmiotem stosującym. Obowiązki dostawcy przechodzą na Was, jeśli umieścicie swoją nazwę lub znak towarowy na systemie wysokiego ryzyka, istotnie go zmienicie albo zmienicie przeznaczenie systemu AI tak, że stanie się on systemem wysokiego ryzyka. | Art. 25 ust. 1 | Adnotacja w rejestrze dla każdego systemu: własna marka czy nie, wprowadzone zmiany oraz przeznaczenie w porównaniu z przeznaczeniem określonym przez dostawcę. |

## 2. Tylko jeśli stosujecie system AI wysokiego ryzyka

_Zastosowania z załącznika III, od 2 grudnia 2027 r. (art. 113 w brzmieniu nadanym aktem zbiorczym prawa cyfrowego dotyczącym AI)._

| Gotowe | Nr | Co zrobić | Artykuł | Jak to udokumentować |
| --- | --- | --- | --- | --- |
| [ ] | 5 | Wykorzystanie zgodnie z instrukcją. Podejmijcie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi dostawcy. | Art. 26 ust. 1 | Zarchiwizowana instrukcja obsługi z numerem wersji oraz wewnętrzna procedura, która przypisuje każde zalecenie do konkretnej kontroli. |
| [ ] | 6 | Nadzór ze strony człowieka. Powierzcie nadzór osobom, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, i zapewnijcie im niezbędne wsparcie. | Art. 26 ust. 2 | Imiennie wskazane osoby nadzorujące dla każdego systemu, ich ewidencja szkoleń, uprawnienie do zatrzymania lub obejścia systemu i ścieżka eskalacji. |
| [ ] | 7 | Dane wejściowe. W zakresie, w jakim sprawujecie kontrolę nad danymi wejściowymi, zapewnijcie ich adekwatność i wystarczającą reprezentatywność w odniesieniu do przeznaczenia systemu. | Art. 26 ust. 4 | Opis źródeł danych wejściowych i datowana ocena ich adekwatności i reprezentatywności. |
| [ ] | 8 | Monitorowanie. Monitorujcie działanie systemu w oparciu o instrukcję obsługi. Jeśli system może stwarzać ryzyko, poinformujcie dostawcę lub dystrybutora oraz organ nadzoru rynku i zawieście jego wykorzystywanie. Zgłaszajcie poważne incydenty. | Art. 26 ust. 5 | Dziennik monitorowania, procedura obsługi incydentów z danymi kontaktowymi dostawcy i organu oraz dokumentacja każdego zgłoszenia lub zawieszenia. |
| [ ] | 9 | Rejestry zdarzeń. Przechowujcie rejestry zdarzeń generowane automatycznie przez system wysokiego ryzyka, w zakresie, w jakim znajdują się pod Waszą kontrolą, przez okres stosowny do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej. | Art. 26 ust. 6 | Ustawienie retencji i miejsce przechowywania rejestrów systemu, harmonogram usuwania i przykładowy eksport obejmujący co najmniej sześć miesięcy. |
| [ ] | 10 | Informowanie pracowników. Przed oddaniem do użytku lub wykorzystaniem systemu wysokiego ryzyka w miejscu pracy pracodawca informuje przedstawicieli pracowników i pracowników, których to dotyczy. | Art. 26 ust. 7 | Datowana informacja dla pracowników oraz protokół lub pismo do związków zawodowych albo przedstawicieli pracowników. |
| [ ] | 11 | Informowanie osób, których to dotyczy. Gdy system z załącznika III podejmuje decyzje dotyczące osób fizycznych lub pomaga w ich podejmowaniu, poinformujcie te osoby, że jest wobec nich wykorzystywany. | Art. 26 ust. 11 | Treść informacji oraz miejsce i moment jej przekazania osobom, których dotyczy. |
| [ ] | 12 | Ocena skutków dla praw podstawowych, gdy jest wymagana: podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy oceny zdolności kredytowej lub ustalania cen ubezpieczeń na życie i zdrowotnych (załącznik III pkt 5 lit. b i c) oceniają skutki przed pierwszym wykorzystaniem i powiadamiają organ nadzoru rynku o wynikach. Infrastruktura krytyczna (załącznik III pkt 2) jest wyłączona. | Art. 27, art. 26 ust. 9 | Przeprowadzona ocena (procesy, okres i częstotliwość wykorzystania, grupy, na które system wpływa, ryzyka, nadzór, środki i mechanizmy rozpatrywania skarg), wysłane powiadomienie oraz odesłania do oceny skutków dla ochrony danych z art. 35 RODO. |

## 3. Przejrzystość

_Art. 50 stosuje się od 2 sierpnia 2026 r._

| Gotowe | Nr | Co zrobić | Artykuł | Jak to udokumentować |
| --- | --- | --- | --- | --- |
| [ ] | 13 | Oznakowanie po stronie dostawcy. Dostawcy systemów AI generujących syntetyczne dźwięki, obrazy, wideo lub tekst oznakowują wyniki w formacie nadającym się do odczytu maszynowego jako sztucznie wygenerowane lub zmanipulowane. To obowiązek dostawcy. W przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. stosuje się go od 2 grudnia 2026 r. | Art. 50 ust. 2, art. 111 ust. 4 | Dla każdego narzędzia generatywnego w rejestrze: oświadczenie lub dokumentacja dostawcy o sposobie oznakowania wyników wraz z datą sprawdzenia. |
| [ ] | 14 | Deepfake i teksty w sprawach interesu publicznego. Ujawniajcie, że obrazy, treści audio lub wideo stanowiące treści deepfake zostały sztucznie wygenerowane lub zmanipulowane. Ujawniajcie, że tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym został wygenerowany lub zmanipulowany przez AI, chyba że przeszedł weryfikację przez człowieka lub kontrolę redakcyjną, a ktoś ponosi odpowiedzialność redakcyjną. | Art. 50 ust. 4 | Zasada oznaczania w procesie publikacji, przykłady oznaczonych treści i nazwisko osoby ponoszącej odpowiedzialność redakcyjną za zweryfikowany tekst. |
| [ ] | 15 | Rozpoznawanie emocji i kategoryzacja biometryczna. Poinformujcie osoby, wobec których taki system jest stosowany. | Art. 50 ust. 3 | Treść informacji i miejsce jej udostępnienia albo adnotacja w rejestrze, że firma nie stosuje takiego systemu. |

## 4. Dokumenty, o które warto poprosić dostawców modeli

_Obowiązki dotyczące modeli AI ogólnego przeznaczenia spoczywają na dostawcach i obowiązują od 2 sierpnia 2025 r._

| Gotowe | Nr | Co zrobić | Artykuł | Jak to udokumentować |
| --- | --- | --- | --- | --- |
| [ ] | 16 | Dokumentacja modeli AI ogólnego przeznaczenia. Jeśli włączacie taki model do własnego systemu AI, poproście o informacje i dokumentację, które dostawca musi udostępniać dostawcom niższego szczebla, a także o publiczne streszczenie treści użytych do trenowania i politykę dotyczącą prawa autorskiego. Modele open source są zwolnione z obowiązku dokumentacyjnego, chyba że stwarzają ryzyko systemowe. | Art. 53 ust. 1 lit. b, c i d, załącznik XII | Folder dla każdego modelu z dokumentacją dostawcy, linkiem do streszczenia treści treningowych, polityką dotyczącą prawa autorskiego, warunkami przetwarzania danych i datą pobrania, podlinkowany z rejestru. |

---

## Źródła

- [Rozporządzenie (UE) 2024/1689, akt w sprawie sztucznej inteligencji, EUR-Lex](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689)
- [Rozporządzenie (UE) 2026/1744, akt zbiorczy prawa cyfrowego dotyczący AI, EUR-Lex](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/pol)
- AI Act Service Desk, tekst skonsolidowany (po angielsku): [Artykuł 4](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4), [Artykuł 6](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-6), [Artykuł 25](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25), [Artykuł 26](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26), [Artykuł 27](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-27), [Artykuł 50](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50), [Artykuł 53](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-53), [Artykuł 111](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-111), [Artykuł 113](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113), [Załącznik III](https://ai-act-service-desk.ec.europa.eu/en/ai-act/annex-3)

_Bezpłatna lista kontrolna AI Act dla podmiotu stosującego z https://standardcompute.com/ai-act-lista-kontrolna-podmiot-stosujacy (wersja z 9 listopada 2026 r.). Można swobodnie kopiować i edytować. Nie stanowi porady prawnej._