Jak AI może zarządzać podpisem kwalifikowanym w firmie: mSzafir, SimplySign i Certum?

AI potrafi przejąć wszystko wokół podpisu kwalifikowanego: przygotowanie dokumentu, kolejkę osób do podpisania, walidację tego, co przyszło od kontrahenta, i pilnowanie dat ważności certyfikatów. Samo podpisanie zawsze robi człowiek. Asystent nigdy nie ma dostępu do klucza prywatnego ani do PIN-u, bo inaczej cały sens podpisu kwalifikowanego by przepadł. W praktyce podział jest prosty: asystent otwiera drzwi, człowiek je zamyka podpisem.

Gdzie w firmie podpis kwalifikowany jest obowiązkowy, a gdzie wystarcza mniej?

Sporo firm ma podpis kwalifikowany, bo kiedyś był potrzebny do przetargu, i od tego czasu leży w szufladzie. Zanim wepniemy AI w jakikolwiek proces, warto wiedzieć, gdzie taki podpis jest wymagany przez prawo albo przez kontrahenta, a gdzie wystarczy profil zaufany albo zwykły podpis elektroniczny.

Obowiązkowy podpis kwalifikowany (lub zrównany z nim profil zaufany, zależnie od przepisu) pojawia się w kilku konkretnych miejscach:

• Złożenie wniosku do KRS przez Portal Rejestrów Sądowych wymaga podpisu kwalifikowanego albo profilu zaufanego. Skan z pieczątką tu nie przejdzie.
• Pliki JPK wysyłane do Krajowej Administracji Skarbowej można podpisać podpisem kwalifikowanym lub profilem zaufanym, ale nie "zwykłym" podpisem odręcznym zeskanowanym w PDF.
• Oferty w przetargach publicznych przez Platformę e-Zamówień wymagają wyłącznie podpisu kwalifikowanego. Profil zaufany tu nie wystarczy.
• e-Doręczenia: samo posiadanie skrzynki nie wymaga podpisu kwalifikowanego, ale wysyłanie dokumentów z mocą prawną w wielu przypadkach go wymaga. Tu przepisy różnią się zależnie od rodzaju pisma.
• Dokumenty do UDT, do inspekcji pracy czy do urzędów dozoru: warto sprawdzić przy każdym wniosku, bo wymagania są różne.

Gdzie podpis kwalifikowany nie jest wymagany, ale firmy i tak go używają: umowy B2B między polskimi firmami (obie strony decydują, profil zaufany też jest prawnie skuteczny), faktury korygujące i potwierdzenia odbioru w procesach automatycznych (tu lepiej sprawdza się pieczęć elektroniczna firmy), dokumentacja kadrowa wewnętrzna.

Dlatego pierwsza rzecz, którą robi AI przy wdrożeniu, to klasyfikacja dokumentów: który typ wymaga jakiego rodzaju podpisu. Ta lista zostaje w systemie jako reguła, zamiast polegać na pamięci konkretnej osoby w dziale prawnym.

mSzafir, SimplySign i Certum: co ma API, a co trzeba robić ręcznie?

Trzech głównych dostawców kwalifikowanego podpisu w Polsce to mSzafir (KIR), SimplySign (Asseco Data Systems) i Certum (Asseco Data Systems). Każdy ma inne możliwości integracji.

mSzafir od Krajowej Izby Rozliczeniowej to podpis w chmurze z dokumentowanym REST API. Firma podpisuje umowę z KIR, dostaje klucze dostępu do środowiska (client_id, client_secret, endpoint produkcyjny i testowy) i może przez API tworzyć sesje podpisywania. Przepływ wygląda tak: system wysyła dokument do mSzafir API, tam tworzony jest hash dokumentu, użytkownik dostaje powiadomienie na telefon (SMS lub aplikacja mobilna mSzafir), zatwierdza podpisanie PIN-em. Podpisany plik wraca przez webhook albo przez polling statusu sesji. Klucz prywatny siedzi na HSM w infrastrukturze KIR i nie wychodzi nigdzie.

SimplySign od Asseco Data Systems działa podobnie: REST API, sesje podpisywania tworzone przez API, potwierdzenie przez aplikację mobilną na telefonie podpisującego. Dobra integracja z dokumentami PDF (format PAdES) i XML (format XAdES, np. JPK). Żeby zacząć, firma potrzebuje umowy z Asseco, kluczy API i kont podpisujących dla pracowników. Status sesji zwracany przez webhook po zakończeniu podpisywania.

Certum to szeroka rodzina. Certum tradycyjny to karta kryptograficzna z czytnikiem i oprogramowanie proCertum CardManager na komputerze. Tradycyjna karta Certum nie ma otwartego API do automatyzacji. Jedyna droga to lokalne oprogramowanie i fizyczna obecność karty w czytniku przy każdym podpisaniu. Wariant chmurowy Certum (bazujący na infrastrukturze SimplySign) daje już dostęp programowy. Jeśli firma ma w szufladzie kilka kart Certum i planuje automatyzować procesy podpisywania, musi rozważyć przejście na wariant chmurowy, bo inaczej automatyzacja jest niemożliwa.

Walidacja podpisów: każdy z dostawców udostępnia endpoint REST do walidacji pliku. Wynik zwracany jest jako JSON ze strukturą: status certyfikatu (ważny, unieważniony, wygasły), dane podpisującego z certyfikatu (imię, nazwisko, opcjonalnie NIP), data i godzina podpisania, integralność dokumentu (czy plik był zmieniany po podpisaniu).

Co robi AI przy każdym dokumencie czekającym na podpis?

Typowy scenariusz z biura: przychodzi umowa do podpisania. Leży w folderze współdzielonym. Nikt dokładnie nie wie, kto ma podpisać i do kiedy. Przez dwa tygodnie prawnicy pytają o status, menedżer mówi że "sprawdzi", a umowa stoi.

Gdy AI jest wpięte w ten proces, wygląda to inaczej. Dokument trafia do kolejki: albo z e-maila (asystent widzi załącznik z tematem zawierającym "umowa do podpisania"), albo z ERP lub DMS po zmianie statusu dokumentu, albo z folderu na dysku sieciowym. AI odczytuje typ dokumentu, sprawdza w tabeli reguł, kto musi podpisać i w jakim formacie. PDF: PAdES. Plik XML (np. JPK): XAdES. Następnie:

• Tworzy wpis w rejestrze: dokument, termin, lista podpisujących, wymagany format, podstawa prawna lub procedura wewnętrzna.
• Przez API (mSzafir lub SimplySign) inicjuje sesję podpisywania i wysyła powiadomienie do pierwszej osoby z kolejki, z linkiem do sesji.
• Monitoruje status sesji. Gdy pierwsza osoba podpisze, wysyła powiadomienie do kolejnej. Obsługuje wielopodpisowość: np. prokurent samoistny podpisuje pierwszy, prezes zarządu drugi.
• Gdy minie termin bez podpisu: eskalacja. Powiadomienie idzie do menedżera, wpis w rejestrze dostaje flagę "przekroczony termin".
• Po zebraniu wszystkich podpisów: walidacja wynikowego dokumentu, zapis w archiwum, powiadomienie do inicjatora z potwierdzeniem.

Podpisujący ze swojej strony dostaje wiadomość z linkiem albo powiadomienie push w aplikacji. Klika, otwiera aplikację mSzafir albo SimplySign, widzi hash dokumentu, wpisuje PIN. To wszystko. AI nie wchodzi między człowieka a jego klucz. Warto powiedzieć to wprost klientom, którzy pytają "czy AI może podpisywać za mnie". Nie może i nie powinno móc.

Walidacja podpisu na dokumencie od kontrahenta: czy to naprawdę kwalifikowany podpis?

To zadanie, które większość firm kompletnie odpuszcza. Przychodzi PDF z adnotacją "podpisany kwalifikowanym podpisem", a nikt nie sprawdza, czy to prawda. Czy certyfikat był ważny w momencie podpisania? Czy dokument nie był modyfikowany po podpisaniu? Czy to w ogóle podpis kwalifikowany, czy profil zaufany, a może zwykły obrazek podpisu wklejony w PDF jako grafika?

AI po otrzymaniu takiego dokumentu uruchamia walidację przez endpoint dostawcy albo przez własny serwis walidacyjny oparty na unijnej liście zaufanych usług (EU Trusted Service List). Z pliku PAdES (PDF) albo XAdES (XML) wyciąga:

• Dane podpisującego z certyfikatu: imię, nazwisko, organ certyfikujący (np. Certum CA, KIR).
• Datę i godzinę podpisania, w tym znacznik czasu od zaufanego TSA, jeśli jest wbudowany w podpis.
• Status certyfikatu w momencie podpisania: czy był ważny, czy nie figurował na liście unieważnień (OCSP lub CRL).
• Integralność pliku: czy bajty dokumentu nie zostały zmienione po złożeniu podpisu.
• Obecność znacznika czasu LTV (długoterminowa ważność): bez niego podpis może stać się nieweryfikowalny po kilku latach, gdy certyfikat wygaśnie.

Wynik, który AI zwraca do pracownika, może wyglądać tak: "Podpis kwalifikowany. Podpisała: Anna Wiśniewska. Data: 03.11.2026, 14:22. Certyfikat wystawiony przez Certum CA, ważny w momencie podpisania. Dokument niezmieniony po podpisaniu. Znacznik czasu obecny." Albo: "Podpis niekwalifikowany: podpisano Profilem Zaufanym, nie podpisem kwalifikowanym. Sprawdź, czy taki poziom jest wystarczający dla tej umowy."

Typowo wygląda to tak, że przez rok firma przyjmuje dokumenty opisane jako "podpisane kwalifikowanym", gdzie kilka z nich ma certyfikat wygasły przed datą podpisania. Walidacja ręcznie to kilka minut na dokument, więc nikt tego nie robi. Z AI walidacja każdego przychodzącego pliku idzie automatycznie, a wynik trafia od razu przy dokumencie do rejestru.

Pieczęć elektroniczna firmy: inne zastosowanie, ten sam rejestr

Pieczęć elektroniczna (eSeala) to certyfikat wystawiany na firmę jako podmiot, nie na osobę fizyczną. Nie potrzebuje do działania człowieka z PIN-em przy każdym użyciu. Można ją stosować w procesach automatycznych, gdzie firma pieczętuje masowo generowane dokumenty.

Gdzie pieczęć ma sens: faktury generowane automatycznie z systemu ERP, potwierdzenia dostawy, wyciągi z systemu dla klientów, certyfikaty gwarancyjne generowane seryjnie, dokumenty kadrowe wysyłane do pracowników z systemu HR. Certum, SimplySign i mSzafir oferują pieczęcie elektroniczne dla firm z dostępem przez API.

Po stronie systemu nie trzeba czekać na człowieka: sesja pieczętowania może iść automatycznie po spełnieniu warunków (dokument gotowy, status "do wysyłki"). AI wywołuje API, dokument dostaje pieczęć, wraca potwierdzenie. W rejestrze AI prowadzi dokładnie to samo co dla podpisów osobistych: który dokument dostał pieczęć, kiedy, jaki certyfikat. I pilnuje ważności samego certyfikatu pieczęci, bo to też certyfikat z datą ważności, który ktoś musi w firmie odnowić.

Alerty o wygasaniu certyfikatów: luka, którą AI wypełnia

Certyfikat kwalifikowany ma zazwyczaj dwa lata ważności. Firma, która ma pięciu prokurentów z podpisami kwalifikowanymi i dwie pieczęcie, nagle odkrywa, że certyfikat jednego z prokurentów wygasł trzy tygodnie temu i wszystkie dokumenty podpisane po tej dacie mają problem z walidacją.

AI prowadzi tabelę aktywnych certyfikatów w firmie. Pola w tabeli: właściciel lub nazwa (dla pieczęci), dostawca (mSzafir, SimplySign, Certum), numer seryjny certyfikatu, data ważności, ostatnie użycie. Skąd bierze te dane: albo z API dostawcy, gdzie API zwraca dane o kontach i ich certyfikatach, albo z importu pliku raz na kwartał, albo z automatycznego czytania metadanych z podpisanych dokumentów przechodzących przez rejestr.

Alert wysyła z wyprzedzeniem: 60 dni przed wygasaniem, 30 dni, 7 dni. Do właściciela certyfikatu i do osoby odpowiedzialnej za finanse lub prawnika. Żaden z dostawców (mSzafir, SimplySign, Certum) nie ma gotowego ekranu w panelu klienta, który robiłby to za firmę i docierał do konkretnych osób zgodnie z jej procedurami. To jest właśnie ta luka, którą wypełnia AI.

Dodatkowy przypadek: jeśli przez ostatnie 90 dni żaden dokument nie przeszedł przez certyfikat konkretnej osoby, AI może zaraportować to jako "nieaktywny certyfikat". Może ta osoba zmieniła rolę, odeszła, albo nigdy nie zaczęła używać podpisu. Certyfikat bez użycia to koszt i potencjalne ryzyko.

Od czego zaczynamy wdrożenie?

Pierwsze sensowne wdrożenie zajmuje zwykle kilka tygodni. Kolejność kroków jest ważna.

Spis dokumentów: Na początku robimy listę typów dokumentów w firmie, które wymagają kwalifikowanego podpisu lub pieczęci. Każdy typ z regułą: kto podpisuje, w jakim formacie (PAdES dla PDF, XAdES dla XML), do kiedy, jakie przepisy to wymagają.

Audyt certyfikatów: Sprawdzamy, który wariant certyfikatu firma ma lub zamawia. Jeśli firma używa tradycyjnych kart Certum, a chce automatyzacji, decyduje, czy przechodzi na wariant chmurowy, czy zostawia tę część procesu ręczną.

Podłączenie API: Firma dostaje klucze od KIR lub Asseco Data Systems, środowisko testowe, pierwsze dokumenty testowe. AI dostaje uprawnienia do inicjowania sesji i odczytu statusów, ale nie do klucza prywatnego podpisującego. To rozróżnienie jest techniczne i wynika z architektury API: klucz prywatny nigdy nie opuszcza HSM dostawcy.

Uruchomienie rejestru i alertów: Po dwóch tygodniach produkcji mamy historię, z której AI odpowie na pytanie: "ile umów podpisaliśmy w październiku", "które dokumenty czekają na podpis dłużej niż 5 dni roboczych", "czy Pan Nowak ma aktualny certyfikat do piątku, bo mamy przetarg".

Jeśli szukacie miejsca, od którego zacząć rozmowę o tym, jak podpiąć AI do procesów z podpisem kwalifikowanym w Waszej firmie: 15 minut rozmowy wystarczy, żeby zobaczyć, które z tych kroków dotyczą Was i co da się uruchomić szybko. Możecie też zajrzeć do realnych wdrożeń, żeby zobaczyć, jak to wygląda w praktyce u innych firm.