zabezpieczenie
inwentarz AI
Rejestr narzędzi i zastosowań AI w firmie, z właścicielem, celem, danymi i zasadami dla każdej pozycji. Żaden przepis nie wymaga samego rejestru. Bez niego nie ustalisz, które obowiązki z AI Act Cię dotyczą.
- co chroni
- wiesz, które narzędzia AI widzą Twoje dane, więc właściwe obowiązki i szkolenia trafiają na właściwe narzędzia
- kto za to odpowiada
- szef IT, a organ zarządzający wskazuje, kto odpowiada za użycie AI
- zacznij od
- zapytaj każdego kierownika zespołu, czego używają jego ludzie, i zapisz jeden wiersz na narzędzie z jednym właścicielem
czym jest
Inwentarz AI to rejestr wszystkich narzędzi i zastosowań AI w firmie. Przy każdym mówi, kto za nie odpowiada, do czego służy, jakie dane do niego trafiają i jakie obowiązują zasady. Obejmuje płatnych asystentów, funkcje AI w oprogramowaniu, które już uruchamiasz, i narzędzia, z których pracownicy korzystają sami.
Żaden tekst przeczytany do tej strony nie wymaga samego rejestru. AI Act wymaga środków wspierających AI literacy u pracowników korzystających z takich systemów oraz dalszych obowiązków, gdy zastosowanie jest na liście wysokiego ryzyka. Nie ustalisz, który z nich Cię dotyczy, ani nie przeszkolisz ludzi na właściwych narzędziach, jeśli nie wiesz, co jest w użyciu. Dlatego rejestr jest praktyką i pierwszym krokiem do reszty.
Zacznij od krótkiej, uczciwej listy i posortuj ją według zastosowania. Większość pozycji to zwykła pomoc biurowa. Kilka, takich jak narzędzia filtrujące kandydatów lub oceniające pracowników, niesie obowiązki, które zaczynają się 2 grudnia 2027 r. Wskaż właściciela każdej pozycji, a potem przeglądaj listę według harmonogramu.
podstawa AI Act art. 4 w brzmieniu nadanym przez Rozporządzenie 2026/1744 art. 1; AI Act art. 26(1); NIS2 art. 21(2)(d); RODO art. 32(1). Sam rejestr, jego pola i rytm przeglądu są praktyką.
jak rejestr AI pozostaje prawdziwy
- 1znalezieniepytasz zespoły i szukasz narzędzi, o których nikt nie powiedział
- 2zapiswłaściciel, cel, dane i zasady przy każdej pozycji
- 3sortowaniezwykła pomoc biurowa albo zastosowanie z dodatkowymi obowiązkami
- 4przegląddata przy każdej pozycji i sposób dopisania narzędzia
gdzie narzędzia chowają się przed rejestrem
- kupione kartązespół zakłada konto bez wiedzy IT
- włączone w aktualizacjioprogramowanie, które masz, dodaje asystenta
- darmowe narzędziapracownicy wklejają do nich pracę na własną rękę
- rozszerzenia przeglądarkiinstalowane pojedynczo, niewidoczne na żadnej liście
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę z 200 osobami, w której kilka zespołów zaczęło w zeszłym roku używać narzędzi AI.
Polityka wymienia dwóch zatwierdzonych asystentów. Sprzedaż wkleja maile klientów do darmowego narzędzia, rekruter używa funkcji selekcji, która przyszła z aktualizacją, i nikt tego nie zapisał. Gdy klient pyta, dokąd trafiły jego dane, nikt nie potrafi odpowiedzieć.
Rejestr wymienia każde używane narzędzie z właścicielem, celem, danymi, które wchodzą, i warunkami dostawcy. Funkcja do rekrutacji jest oznaczona jako zastosowanie wymagające większej uwagi. Każdy może dopisać narzędzie krótkim formularzem i szybko dostaje odpowiedź.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| AI Act | AI Act art. 4 | Dostawcy i podmioty stosujące systemy AI (deployer) podejmują środki wspierające AI literacy (kompetencje w zakresie AI) u pracowników, którzy z tych systemów korzystają. Przepis zastąpiono Rozporządzeniem 2026/1744, które nie wymaga określonego poziomu wiedzy każdej osoby. | Wypisz narzędzia, których pracownicy faktycznie używają, żeby szkolenie obejmowało narzędzia w użyciu. |
| AI Act | AI Act art. 26(1) | Podmiot stosujący system wysokiego ryzyka używa go zgodnie z instrukcją dostawcy. Dalsze obowiązki obejmują nadzór, monitorowanie, logi i informowanie pracowników. | Oznacz w rejestrze, które zastosowania dotyczą kandydatów, pracowników lub innych obszarów wysokiego ryzyka, i trzymaj przy tej pozycji instrukcję dostawcy. Te obowiązki zaczynają się 2 grudnia 2027 r. |
| NIS2 | NIS2 art. 21(2)(d) | Bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami. | Traktuj każdą usługę AI jak dostawcę: zapisz, kto ją prowadzi, dokąd trafiają Twoje dane i co mówi umowa. |
| RODO | RODO art. 32(1) | Odpowiednie środki techniczne i organizacyjne dla danych osobowych, dopasowane do ryzyka. | Zapisz, jakie dane trafiają do każdego narzędzia, żeby dane osobowe nie lądowały w narzędziu, którego nikt pod tym kątem nie sprawdził. |
podstawa AI Act art. 4 w brzmieniu nadanym przez Rozporządzenie 2026/1744 art. 1; AI Act art. 26(1); NIS2 art. 21(2)(d); RODO art. 32(1). Żaden z tych przepisów nie wymaga inwentarza. Rejestr jest praktyką.
na co patrzeć przy wyborze
- Czy rejestr ma przy każdej pozycji wskazanego właściciela, cel, dane, które wchodzą, i zasady użycia?
- Czy obejmuje narzędzia kupione przez zespół kartą, funkcje AI włączone w oprogramowaniu, które już masz, i darmowe narzędzia, których pracownicy używają na własną rękę?
- Czy jest sposób na znalezienie narzędzi, o których nikt nie powiedział, na przykład przegląd rozliczeń wydatków, logów logowań lub rozszerzeń przeglądarki?
- Czy oznacza zastosowania, które dotyczą danych osobowych, kandydatów lub pracowników?
- Czy zapisuje, co warunki dostawcy mówią o używaniu Twoich danych do trenowania modeli i o miejscu ich przechowywania?
- Kto zatwierdza nowe narzędzie i jak szybko, żeby ludzie nie omijali procesu?
- Czy każda pozycja ma datę przeglądu, a firma zasadę wycofywania narzędzia?
- Czy rejestr łączy się ze szkoleniem, tak że o każdej zasadzie z niego pracownicy usłyszeli?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Zapytaj każdy zespół, czego używa, i spisz pierwszą listę z jednym właścicielem na wiersz.
- solidnie
Dopisz cel, dane i warunki dostawcy, oznacz zastosowania dotyczące danych osobowych, kandydatów lub pracowników i przeglądaj listę co kwartał.
- mocno
Szukaj niezgłoszonych narzędzi w rozliczeniach wydatków, logach logowań i rozszerzeniach, ustal szybką ścieżkę zatwierdzania i połącz każdą zasadę ze szkoleniem.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
rejestr tylko zatwierdzonych narzędzi
Pracownicy już używają narzędzi, których nikt nie zatwierdził. Rejestr z samymi dozwolonymi pozycjami pokazuje politykę i ukrywa stan faktyczny. Zapisz, co jest w użyciu, potem zdecyduj.
pozycja bez właściciela
Pozycja bez wskazanej osoby nie jest przeglądana i nikt za nią nie odpowiada. Daj każdemu wierszowi jednego właściciela.
pomijanie AI wewnątrz innego oprogramowania
Wiele produktów dodaje funkcję asystenta w aktualizacji. Sprawdź, co włączyli obecni dostawcy, i zapytaj, czy można to wyłączyć.
każde zastosowanie jako wysokie ryzyko
Większość zastosowań biurowych nie jest na liście wysokiego ryzyka. Sortowanie pozycji według zastosowania zostawia ciężkie obowiązki tym kilku, które ich wymagają, na przykład narzędziom filtrującym kandydatów lub oceniającym pracowników.
lista zrobiona raz
Lista powstała na warsztacie jest nieaktualna po kwartale. Ustal datę przeglądu i sposób, w jaki ludzie dopiszą narzędzie.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| rejestr AI: narzędzie, właściciel, cel, dane, zasady, data przeglądu | szef IT, a organ zarządzający wskazuje, kto odpowiada za użycie AI | co kwartał |
| zapis sprawdzenia narzędzi pod kątem zakazanych praktyk | szef IT lub dział prawny | przy dodaniu narzędzia |
| zapis szkolenia obejmującego narzędzia z rejestru | szef HR | co roku |
| instrukcje dostawcy i przydział nadzoru dla każdego zastosowania wysokiego ryzyka | biznesowy właściciel zastosowania | co roku |
podstawa practice. Rytm odświeżania jest Twoim wyborem.
sprawdź sam
twój następny krok
Zapytaj każdego kierownika zespołu, jakich narzędzi AI używają jego ludzie, i wpisz odpowiedzi do pierwszej listy z jednym właścicielem na wiersz.