Rejestr systemów AI: z których przepisów wynika i co powinien zawierać
Szukając w AI Act przepisu „prowadź rejestr systemów AI”, nie znajdziecie go. Znajdziecie za to kilkanaście obowiązków, których nie da się spełnić ani wykazać, jeśli firma nie wie, gdzie i do czego używa AI. Rejestr to nie formalność dla urzędu, tylko punkt wyjścia do wszystkiego innego.
W skrócie
- AI Act nie ma jednego artykułu nakazującego wewnętrzny rejestr systemów AI. Mówimy to wprost.
- Rejestr wynika z obowiązków, które bez niego są niewykonalne: ocena z art. 6 ust. 4, rejestracja z art. 49 ust. 2, art. 4, art. 26, art. 50.
- RODO wymaga rozliczalności (art. 5 ust. 2): administrator musi umieć wykazać zgodność, także przy przetwarzaniu przez AI.
- Urzędy mają wprost obowiązek inwentaryzacji sprzętu i oprogramowania (§ 19 ust. 2 pkt 2 KRI).
- Dobry rejestr ma dla każdego systemu: przeznaczenie, rolę firmy, dane, klasę ryzyka, datę oceny i osobę odpowiedzialną.
Jak to spełniamy
Żywy rejestr systemów AI: każdy moduł i każde wdrożenie ma wpis, rolę (dostawca lub podmiot stosujący), klasę ryzyka i datę oceny. Żaden system nie jest zakazany.
Czy jest obowiązek prowadzenia rejestru
Uczciwa odpowiedź: w AI Act nie ma przepisu, który każdej firmie nakazuje prowadzić wewnętrzny spis systemów AI. Jest natomiast unijna baza danych (art. 71), do której dostawcy rejestrują systemy wysokiego ryzyka i systemy z załącznika III, które uznali za wyłączone. To coś innego niż spis w firmie.
Rejestr wewnętrzny wynika z kilku przepisów naraz. Żaden z nich nie mówi „rejestr”, ale każdy wymaga wiedzy, której bez rejestru nie macie:
| Przepis | Czego wymaga | Pytanie, na które odpowiada rejestr |
|---|---|---|
| AI Act art. 4 | środki wspierające kompetencje osób, które używają AI | kto używa jakich systemów |
| AI Act art. 5 | zakaz określonych praktyk | czy żaden system nie jest zakazany |
| AI Act art. 6 ust. 4 | spisana ocena przed wdrożeniem | jaka jest klasa ryzyka i kiedy ją ustalono |
| AI Act art. 26 | obowiązki przy systemach wysokiego ryzyka | które systemy są wysokiego ryzyka |
| AI Act art. 50 | jawność i znakowanie | które systemy rozmawiają z ludźmi albo generują treści |
| RODO art. 5 ust. 2, art. 30, art. 35 | rozliczalność, rejestr czynności przetwarzania, ocena skutków | jakie dane osobowe trafiają do AI |
| KRI § 19 ust. 2 pkt 2 (urzędy) | inwentaryzacja sprzętu i oprogramowania | jakie oprogramowanie AI działa w urzędzie |
Podstawa w AI Act
Najbliżej rejestru jest art. 6 ust. 4: kto uznaje, że jego system z załącznika III nie jest wysokiego ryzyka, musi to udokumentować przed wdrożeniem i pokazać na żądanie organu.
4. Dostawca, który uważa, że system AI, o którym mowa w załączniku III, nie jest system [sic] wysokiego ryzyka, przed wprowadzeniem tego systemu do obrotu lub oddaniem go do użytku dokumentuje swoją ocenę. Taki dostawca podlega obowiązkowi rejestracji określonemu w art. 49 ust. 2. Na wniosek właściwych organów krajowych dostawca przedstawia dokumentację tej oceny.
2. Przed wprowadzeniem do obrotu lub oddaniem do użytku systemu AI, co do którego dostawca stwierdził, że nie jest systemem wysokiego ryzyka zgodnie z art. 6 ust. 3, dostawca ten lub – w stosownych przypadkach – jego upoważniony przedstawiciel rejestrują się i swój system w bazie danych UE, o której mowa w art. 71.
Omnibus AI tę rejestrację uprościł, ale jej nie zniósł:
Aby usprawnić przestrzeganie przepisów i zmniejszyć związane z tym koszty, należy uprościć rejestrację systemów AI, o których mowa w art. 6 ust. 3 rozporządzenia (UE) 2024/1689, w unijnej bazie danych zgodnie z art. 49 ust. 2 tego rozporządzenia, poprzez usystematyzowanie wymaganego zakresu informacji na podstawie załącznika VIII do tego rozporządzenia. Chociaż rejestracja takich systemów AI w unijnej bazie danych ma nadal kluczowe znaczenie dla skutecznego nadzoru rynku i rozliczalności publicznej, wymogi dotyczące rejestracji należy uprościć i uczynić bardziej proporcjonalnymi. […]
Wniosek praktyczny: ocena z art. 6 ust. 4 musi gdzieś leżeć, z datą sprzed wdrożenia. Rejestr systemów AI jest naturalnym miejscem na nią. Więcej o samej ocenie w analizie systemów wysokiego ryzyka.
Podstawa w RODO
RODO nie mówi o AI, ale mówi o każdym przetwarzaniu danych osobowych. Jeśli pracownik wkleja do asystenta AI dane klienta, to jest przetwarzanie. Kluczowa jest zasada rozliczalności:
2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie („rozliczalność”).
Do tego dochodzi rejestr czynności przetwarzania z art. 30 RODO, który większość firm już prowadzi. Narzędzia AI, które przetwarzają dane osobowe, powinny się w nim znaleźć jako osobne czynności albo jako element istniejących (na przykład obsługa reklamacji z pomocą asystenta). Rejestr systemów AI i rejestr czynności przetwarzania warto ze sobą powiązać, a nie prowadzić w oderwaniu.
Przy nowych technologiach może być też potrzebna ocena skutków z art. 35 RODO. Szczegóły w analizie RODO przy AI.
Podstawa w KRI dla urzędów
Podmioty realizujące zadania publiczne mają obowiązek wprost, w ramach systemu zarządzania bezpieczeństwem informacji:
2. Zarządzanie bezpieczeństwem informacji realizowane jest w szczególności przez zapewnienie przez kierownictwo podmiotu publicznego warunków umożliwiających realizację i egzekwowanie następujących działań:
[…]
2) utrzymywania aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj i konfigurację;
Asystent AI w urzędzie jest oprogramowaniem służącym do przetwarzania informacji, więc musi być w inwentaryzacji, z rodzajem i konfiguracją (na przykład: jaki model, gdzie działa, kto ma dostęp). Szczegóły w analizie KRI.
Co powinno być w rejestrze
Żaden przepis nie podaje wzoru. Poniższa lista to nasza propozycja, złożona z pytań, które zadaje każdy z przepisów wyżej:
| Pole | Po co |
|---|---|
| Nazwa systemu i dostawca (także model, na którym działa) | identyfikacja, ocena dostawcy |
| Przeznaczenie: do czego dokładnie służy | klasa ryzyka zależy od przeznaczenia, nie od technologii |
| Rola firmy: dostawca czy podmiot stosujący | od roli zależą obowiązki z art. 16, 26 i 50 |
| Dział i osoba odpowiedzialna | nadzór człowieka, kontakt przy incydencie |
| Kto używa i czy przeszedł szkolenie | art. 4 AI Act |
| Jakie dane trafiają do systemu, w tym dane osobowe i ich kategorie | RODO, umowa powierzenia, ocena skutków |
| Gdzie system działa (serwer firmy, chmura, kraj) | przekazywanie danych, KRI |
| Klasa ryzyka: zakazany, wysokie ryzyko, wyłączony na podstawie art. 6 ust. 3, obowiązki przejrzystości, minimalne | art. 5, 6, 50 |
| Uzasadnienie klasy, data oceny i kto oceniał | art. 6 ust. 4: ocena sprzed wdrożenia |
| Oznaczenie dla ludzi i dla maszyn, jeśli dotyczy | art. 50 ust. 1, 2 i 4 |
| Data następnego przeglądu | zmiana przeznaczenia zmienia klasę ryzyka |
Najczęstszy błąd: rejestr robiony raz, „na audyt”. Wystarczy, że ktoś w dziale kadr zacznie używać tego samego asystenta do oceny kandydatów, i system zmienia klasę na wysokie ryzyko. Rejestr ma żyć: nowe zastosowanie to nowy wpis albo nowa ocena.
Nie zapomnijcie o AI „w środku” innych programów
Funkcje AI są dziś wbudowane w pocztę, edytory, CRM i programy księgowe. Jeśli firma ich używa do pracy, też należą do rejestru. Najprościej zacząć od listy programów, które już macie, i przy każdym zapytać: czy ma funkcje AI i czy z nich korzystamy.
Kto to sprawdza w Polsce
AI Act jest rozporządzeniem, więc działa w Polsce bezpośrednio. Polska ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) dodaje to, czego rozporządzenie nie mogło ustalić samo: kto pilnuje przepisów, jak wygląda kontrola i kto nakłada kary. Ustawę ogłoszono 27.07.2026, weszła w życie 11.08.2026, a przepisy o opiniach, kontroli, postępowaniu i karach zaczęły działać trzy miesiące po ogłoszeniu.
Art. 5. 1. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, zwana dalej „Komisją”, jest organem nadzoru rynku w zakresie systemów sztucznej inteligencji w rozumieniu art. 70 ust. 1 rozporządzenia 2024/1689.
2. Komisja działa jako pojedynczy punkt kontaktowy, o którym mowa w art. 70 ust. 2 rozporządzenia 2024/1689.
Komisja może prowadzić kontrolę (art. 48), przyjmuje skargi od każdego (art. 59), może wydać ostrzeżenie już w toku postępowania (art. 61) i nakłada kary w wysokości z rozdziału XII AI Act (art. 104).
Art. 48. 1. Komisja może prowadzić kontrolę przestrzegania rozporządzenia 2024/1689 i ustawy, z uwzględnieniem art. 2 ust. 2.
Art. 104. 1. Komisja nakłada na podmiot obowiązany do przestrzegania rozporządzenia 2024/1689, w drodze decyzji, administracyjną karę pieniężną w przypadkach, wysokości i na warunkach określonych w rozdziale XII rozporządzenia 2024/1689.
Przydatne, gdy nie macie pewności. Ustawa daje opinię indywidualną: Komisja odpowiada na Wasze pytanie o konkretny stan faktyczny albo planowane wdrożenie, opłata za wniosek to 150 zł (art. 11), a opinia wiąże Komisję i inne organy w tej sprawie (art. 13). Wniosek może złożyć także firma, która dopiero planuje działanie objęte AI Act (art. 9 ust. 1 pkt 2).
Jak to spełniamy w redAi
- Żywy rejestr systemów AI. Każdy nasz moduł i każde wdrożenie u klienta ma wpis: przeznaczenie, rolę redAi (dostawca albo podmiot stosujący), klasę ryzyka, uzasadnienie i datę oceny.
- Ocena przed wdrożeniem. Wpis z oceną powstaje, zanim system trafi do użytku, a nie po fakcie.
- Wynik dzisiaj: żaden z naszych systemów nie jest zakazany na podstawie art. 5. Narzędzia w obszarach z załącznika III działają jako wsparcie człowieka w rozumieniu art. 6 ust. 3.
- Przy wdrożeniu u Was pomagamy założyć Wasz rejestr: wpisujemy portal i moduły, które uruchamiamy, a Wy dopisujecie inne narzędzia AI w firmie.
Co zrobić po Waszej stronie
- Zróbcie listę wszystkich narzędzi AI w firmie, także funkcji AI w programach, których już używacie. Zapytajcie działy, nie tylko IT.
- Przy każdym wpiszcie przeznaczenie i rolę firmy. Jeśli coś zbudowaliście sami, najpewniej jesteście dostawcą.
- Oceńcie klasę ryzyka i wpiszcie datę oraz osobę, która oceniała.
- Połączcie rejestr z rejestrem czynności przetwarzania RODO i z planem szkoleń z art. 4.
- Ustalcie przegląd co najmniej raz na pół roku i przy każdej zmianie zastosowania.
Najczęstsze pytania
Czy AI Act wymaga rejestru systemów AI w firmie?
Nie ma jednego artykułu, który nakazuje każdej firmie wewnętrzny rejestr. Rejestr wynika jednak z obowiązków, których bez niego nie da się spełnić ani wykazać: oceny z art. 6 ust. 4, art. 4, art. 26 i art. 50, a w zakresie danych osobowych z zasady rozliczalności RODO.
Czym różni się rejestr systemów AI od unijnej bazy danych z art. 71?
Baza z art. 71 to publiczny rejestr prowadzony przez Komisję, do którego dostawcy zgłaszają systemy wysokiego ryzyka i systemy z załącznika III wyłączone na podstawie art. 6 ust. 3. Rejestr wewnętrzny to spis wszystkich narzędzi AI w firmie, niezależnie od klasy ryzyka.
Co powinno być w rejestrze systemów AI?
Co najmniej: nazwa i dostawca, przeznaczenie, rola firmy, osoba odpowiedzialna, dane, które trafiają do systemu, miejsce działania, klasa ryzyka z uzasadnieniem, data oceny i data przeglądu.
Czy ChatGPT używany przez pracowników też trzeba wpisać do rejestru?
Tak, jeśli jest używany do pracy. To narzędzie AI, do którego mogą trafiać dane firmy i dane osobowe, a jego użytkownicy są objęci art. 4 AI Act.
Czy urząd musi wpisać asystenta AI do inwentaryzacji?
Tak. § 19 ust. 2 pkt 2 KRI wymaga aktualnej inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji, z rodzajem i konfiguracją.
Źródła
- AI Act, tekst skonsolidowany z 27.07.2026 (EUR-Lex, wersja informacyjna)
- Omnibus AI, rozporządzenie (UE) 2026/1744 (motyw 22)
- RODO, rozporządzenie (UE) 2016/679 (EUR-Lex)
- KRI, rozporządzenie Rady Ministrów z 21.05.2024, Dz.U. 2024 poz. 773 (ISAP)
Cytaty pochodzą z polskich wersji językowych aktów prawnych opublikowanych w Dzienniku Urzędowym UE i w Dzienniku Ustaw. Ta strona opisuje, jak rozumiemy przepisy i jak je spełniamy we wdrożeniach redAi. Nie zastępuje porady prawnej w Waszej konkretnej sprawie.
Opracowanie: zespół redAi z wykorzystaniem narzędzi AI. Cytaty przepisów sprawdzone z tekstami źródłowymi.
Pozostałe przepisy
Potrzebujecie dokumentów do audytu albo przetargu?
Rejestr systemów AI, ocena ryzyka, polityka przejrzystości, materiał szkoleniowy i wzór umowy powierzenia. Prześlemy komplet.