AI Act: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Potwierdź, że jesteś podmiotem stosującym system AI, wskaż właściciela i zbierz terminy w jednym kalendarzu.

1. 1.1

   potwierdź, że jesteś podmiotem stosującym system AI

   Podmiot stosujący system AI to firma, która używa systemu AI we własnym imieniu, poza użytkiem osobistym. Sprawdź, czy pracownicy używają w pracy jakiegokolwiek systemu AI. Jeśli nie, zapisz to i sprawdzaj raz w roku.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa notatka z datą i uzasadnieniem

   dowód, który zostaje

   notatka zatwierdzona przez zarząd

   strona pracy

   podstawa AI Act art. 2(1), 3(4)

2. 1.2

   wskaż właściciela używania AI

   Wybierz jedną osobę, która odpowiada za to, jakich narzędzi AI firma używa i do czego. Daj jej prawo do odmowy i ustal, kto raportuje zarządowi postęp prac.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu wskazująca odpowiedzialnego właściciela

   dowód, który zostaje

   protokół z tej decyzji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 1.3

   zbierz terminy w jednym kalendarzu

   Zapisz terminy, które dotyczą podmiotu stosującego system AI: zakazy i obowiązek AI literacy (kompetencje w zakresie AI) już obowiązują, 2 grudnia 2026 r. dochodzą dwa zakazy, a 2 grudnia 2027 r. zaczynają się przepisy o wysokim ryzyku dla zastosowań z załącznika III. Przepisy w tej dziedzinie już się zmieniały, więc zapisz dzień sprawdzenia.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   datowana lista terminów, które Cię dotyczą, ze źródłem każdego

   dowód, który zostaje

   lista ponownie sprawdzona w podanym dniu

   strona pracy

   podstawa AI Act art. 113; Rozporządzenie 2026/1744 art. 1

4. 1.4

   sprawdź polską ustawę o systemach sztucznej inteligencji

   W Polsce obowiązuje ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003, ogłoszona 27 lipca 2026 r. Weszła w życie 11 sierpnia 2026 r., a rozdziały 3 do 5, 8 i 9 obowiązują od 28 października 2026 r. Ustawa wskazuje komisję jako organ nadzoru rynku. Pełnej nazwy organu, jego uprawnień wobec podmiotów stosujących ani wysokości krajowych kar nie odczytano z PDF-a na tyle pewnie, by je podać, więc sprawdź je w tekście ustawy.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   notatka o krajowych obowiązkach i organie, ze wskazaniem artykułów ustawy

   dowód, który zostaje

   notatka sprawdzona z tekstem ustawy w podanym dniu

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Spisz każde używane narzędzie AI, do czego służy i czy dotyka ludzi lub danych osobowych.

1. 2.1

   spisz każde używane narzędzie AI

   Zacznij od tego, co możesz wyeksportować dziś: lista oprogramowania z finansów, lista aplikacji z Twojego dostawcy tożsamości, rozszerzenia przeglądarek na zarządzanych urządzeniach. Potem zapytaj każdy zespół, czego używa, także darmowych narzędzi i funkcji wbudowanych w inne oprogramowanie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   wykaz narzędzi AI z właścicielem każdego

   dowód, który zostaje

   datowane eksporty i wykaz

   zabezpieczenie: ai-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   zapisz cel, dane i użytkowników każdego narzędzia

   Przy każdym narzędziu zapisz, do czego służy, jakie dane do niego trafiają, kto go używa i czy jego wynik dociera do klientów, kandydatów lub pracowników. Oznacz każde narzędzie używane do oceny kandydatów lub pracowników.

   • właściciel wszyscy
   • zbuduj i skonfiguruj

   co powstaje

   wykaz z celem, danymi i użytkownikami każdego narzędzia

   dowód, który zostaje

   wykaz potwierdzony przez kierownika każdego zespołu

   zabezpieczenie: ai-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Ustal, jakie narzędzia są dozwolone i do czego, i przeszkol osoby, które ich używają.

1. 3.1

   spisz zasady dla pracowników

   Zdecyduj, jakie narzędzia są dozwolone, jakie dane wolno do nich wprowadzać, kto zatwierdza nowe narzędzie i kogo pytać w razie wątpliwości. Wskaż, które wyniki człowiek musi sprawdzić, zanim ich użyje. Zmieść się na jednej stronie.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   jednostronicowa zasada używania AI, podpisana przez zarząd

   dowód, który zostaje

   zasada z datą zatwierdzenia i wersją

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 3.2

   przeprowadź szkolenie AI literacy o używanych narzędziach

   Obowiązek polega na podjęciu środków wspierających AI literacy u pracowników korzystających z takich systemów. Przepis w brzmieniu z lipca 2026 r. nie wymaga gwarantowania określonego poziomu wiedzy każdej osobie. Rozsądnym środkiem jest krótkie szkolenie o Waszych narzędziach i Waszych zasadach. Obejmij nim także nowych pracowników i trzymaj listę obecności razem z materiałem.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   szkolenie i rejestr obecności

   dowód, który zostaje

   rejestr i materiał z numerem wersji

   strona pracyzabezpieczenie: awareness-training

   podstawa AI Act art. 4; Rozporządzenie 2026/1744 art. 1

Sprawdź narzędzia pod kątem zakazanych praktyk i obowiązków przejrzystości i ustal, czy któreś zastosowanie jest wysokiego ryzyka.

1. 4.1

   sprawdź narzędzia pod kątem zakazanych praktyk

   Przejdź raz przez listę zakazanych praktyk, narzędzie po narzędziu, i zapisz wynik. Dwa zakazy zaczynają obowiązywać 2 grudnia 2026 r.: AI generująca bez zgody seksualizowane obrazy rozpoznawalnych osób oraz AI generująca materiały przedstawiające seksualne wykorzystywanie dzieci. Przerwij każde użycie objęte zakazem.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   datowana kontrola każdego narzędzia z listą zakazów

   dowód, który zostaje

   kontrola podpisana przez autora

   podstawa AI Act art. 5

2. 4.2

   powiadom ludzi tam, gdzie obowiązuje przejrzystość

   Jeśli publikujesz deepfake'i, napisz o tym. Jeśli używasz rozpoznawania emocji lub kategoryzacji biometrycznej, poinformuj osoby, wobec których to stosujesz. Sprawdź w wykazie, czy któryś z tych przypadków Cię dotyczy, a jeśli tak, przygotuj komunikat.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   lista zastosowań wymagających komunikatu oraz same komunikaty

   dowód, który zostaje

   komunikaty w postaci opublikowanej lub przekazanej

   podstawa AI Act art. 50(3), 50(4)

3. 4.3

   ustal, czy któreś zastosowanie jest wysokiego ryzyka

   Porównaj każde oznaczone zastosowanie z listą z załącznika III. Narzędzia do filtrowania aplikacji lub oceny pracowników są na niej. Jeśli zastosowanie jest na liście, dotyczy go następna faza. Jeśli uznasz, że nie jest, zapisz uzasadnienie.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   decyzja dla każdego oznaczonego zastosowania, z uzasadnieniem

   dowód, który zostaje

   decyzje zatwierdzone przez właściciela używania AI

   podstawa AI Act art. 26(1); AI Act załącznik III

Zadaj właściwe pytania każdemu dostawcy AI i zachowaj odpowiedzi.

1. 5.1

   wyślij te same pytania każdemu dostawcy AI

   Zapytaj każdego dostawcę: Czy deklaruje, że system jest wysokiego ryzyka według załącznika III? Gdzie jest instrukcja obsługi? Jakie logi możesz wyeksportować i na jak długo? Jak dostawca postępuje przy poważnych incydentach i jak Cię o nich informuje? Czy Twoje dane służą do trenowania systemu? Czy oznacza wygenerowane treści?

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   standardowy kwestionariusz AI i otrzymane odpowiedzi

   dowód, który zostaje

   kwestionariusz i odpowiedzi z datami

   strona pracyzabezpieczenie: supplier-management

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   przenieś odpowiedzi do umów i rejestru

   Jeśli narzędzie przetwarza dla Ciebie dane osobowe, sprawdź, czy dostawca jest podmiotem przetwarzającym i czy umowa zawiera wymagane elementy. Zapisz każdą odpowiedź w rejestrze dostawców, a to, czego potrzebujesz, na przykład dostęp do logów, dopisz do umowy przy odnowieniu.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   uzupełniony rejestr dostawców i lista zmian w umowach

   dowód, który zostaje

   rejestr oraz podpisane zapisy tam, gdzie się zmieniły

   strona pracyzabezpieczenie: supplier-management

   podstawa RODO art. 28(3)

Spełnij obowiązki podmiotu stosującego dla zastosowań wysokiego ryzyka przed 2 grudnia 2027 r.

1. 6.1

   zdecyduj, czy zastosowanie zostaje

   Dla każdego zastosowania wysokiego ryzyka zdecyduj, czy je zachować, zastąpić czy zakończyć, zanim 2 grudnia 2027 r. zaczną obowiązywać przepisy. Porównaj nakład pracy z kroków poniżej z tym, co daje narzędzie.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uchwała zarządu dla każdego zastosowania wysokiego ryzyka

   dowód, który zostaje

   protokół z tej decyzji

   podstawa AI Act załącznik III

2. 6.2

   zdobądź instrukcję dostawcy i stosuj ją

   Poproś dostawcę o instrukcję obsługi i zachowaj jej aktualną wersję. Podejmij środki, by używać systemu zgodnie z nią. Jeśli dziś nie potrafisz powiedzieć, co jest w instrukcji, pierwszym zadaniem jest to ustalić.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   instrukcja dostawcy w aktach i notatka, jak jej przestrzegasz

   dowód, który zostaje

   instrukcja z wersją i datą otrzymania

   strona pracyzabezpieczenie: supplier-management

   podstawa AI Act art. 26(1)

3. 6.3

   powierz nadzór kompetentnej osobie

   Powierz nadzór ze strony człowieka wskazanej osobie, która ma kompetencje, przeszkolenie i uprawnienia, by reagować na to, co robi system. Upewnij się, że ta osoba ma na to czas.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   wskazana osoba nadzorująca dla każdego zastosowania wysokiego ryzyka

   dowód, który zostaje

   powołanie oraz szkolenie, które ta osoba przeszła

   podstawa AI Act art. 26(2)

4. 6.4

   najpierw poinformuj pracowników i ich przedstawicieli

   Zanim w miejscu pracy uruchomisz system wysokiego ryzyka, poinformuj dotkniętych nim pracowników i ich przedstawicieli. Napisz, który to system, do czego służy i kogo pytać. Sprawdź, czy prawo krajowe lub porozumienie nie dodaje obowiązków konsultacji.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   komunikat dla pracowników i ich przedstawicieli

   dowód, który zostaje

   komunikat z datą przekazania

   podstawa AI Act art. 26(7)

5. 6.5

   przechowuj logi, które kontrolujesz

   Ustal, jakie logi tworzy system i które z nich są pod Twoją kontrolą. Przechowuj je co najmniej sześć miesięcy, chyba że inne prawo ustala inny okres. Z dostawcą uzgodnij, jak dostajesz pozostałe.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   reguła przechowywania logów dla każdego zastosowania wysokiego ryzyka

   dowód, który zostaje

   przykładowy eksport pokazujący działające przechowywanie

   zabezpieczenie: logging-monitoring

   podstawa AI Act art. 26(6)

6. 6.6

   monitoruj system i zgłaszaj poważne incydenty

   Monitoruj działanie systemu według instrukcji. Jeśli zidentyfikujesz poważny incydent, zgłoś go dostawcy i organowi. Dodaj tę drogę do procedury incydentów i wskaż, kto wysyła zgłoszenie.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rutyna monitorowania i droga zgłoszenia ze wskazanymi rolami

   dowód, który zostaje

   procedura i próbne zgłoszenie

   strona pracyzabezpieczenie: incident-management

   podstawa AI Act art. 26(5)

7. 6.7

   pilnuj danych osobowych w tych systemach zgodnie z RODO

   Dane kandydatów i pracowników w tych narzędziach nadal podlegają RODO. Dodaj każde narzędzie do analizy ryzyka wraz z ryzykiem dla osób, których dane dotyczą, i sprawdź, czy środki bezpieczeństwa to ryzyko pokrywają.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   każde narzędzie w analizie ryzyka z decyzją o zabezpieczeniach

   dowód, który zostaje

   analiza z datą i zatwierdzeniem

   strona pracy

   podstawa RODO art. 32(1)

Utrzymuj aktualny wykaz, trzymaj dowody razem i raportuj zarządowi.

1. 7.1

   utrzymuj aktualny wykaz

   Przeglądaj wykaz w ustalonym rytmie i za każdym razem, gdy zespół wdraża nowe narzędzie. Porównuj go z listą oprogramowania z finansów i pytaj o wszystko, co pojawia się w jednym źródle, a w drugim nie.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   rytm przeglądów i datowany zapis przeglądu

   dowód, który zostaje

   zapisy przeglądów

   zabezpieczenie: ai-inventory

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 7.2

   trzymaj dowody w jednym miejscu

   Zbierz wyniki każdego kroku powyżej w jednym folderze: wykaz, zasady, rejestr szkoleń, weryfikację zakazanych praktyk, komunikaty, instrukcje i odpowiedzi dostawców.

   • właściciel szef IT
   • udowodnij i utrzymuj

   co powstaje

   folder dowodów uporządkowany według kroków

   dowód, który zostaje

   folder, z datą przy każdej pozycji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 7.3

   raportuj zarządowi i sprawdzaj terminy

   Raz w roku pokaż zarządowi listę narzędzi, otwarte braki i nadchodzące terminy. Sprawdź terminy z aktualnym tekstem AI Act, bo zmieniono je w lipcu 2026 r. Zapisz, co zarząd postanowił.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   roczny raport dla zarządu

   dowód, który zostaje

   raport i protokół

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst pierwotny (EUR-Lex)
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus w sprawie AI), zmieniające AI Act (EUR-Lex)
• Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)