Jak przygotować dokumentację systemów AI w firmie przed kontrolą z EU AI Act?

EU AI Act nakłada pierwsze twarde obowiązki na polskie firmy od 2 sierpnia 2026 roku. Jeśli używasz AI do rekrutacji, oceny pracowników, obsługi klientów w finansach lub zdrowiu albo zarządzania dostępem do usług, masz już obowiązek prowadzenia dokumentacji: rejestru systemów, oceny ryzyka i polityki dla użytkowników. W typowej firmie MŚP jeden pracownik może to przygotować w ciągu tygodnia, jeśli pójdzie po kolei i wie, na czym skupić uwagę.

Które systemy AI w Twojej firmie podlegają EU AI Act, a które możesz pominąć?

Ustawa dzieli systemy AI na cztery poziomy ryzyka. Dla MŚP praktycznie liczy się podział na dwa: wysokie ryzyko i reszta.

Systemy wysokiego ryzyka są wprost wymienione w Załączniku III do rozporządzenia. Jeśli masz cokolwiek z tej listy, dochodzą pełne obowiązki dokumentacyjne:

• narzędzie do wstępnej selekcji CV, oceny rozmów kwalifikacyjnych albo rangowania kandydatów
• moduł do oceny pracowników, np. automatyczna analiza wyników powiązana z decyzjami o premiach, awansach lub rozwiązaniu umowy
• scoring zdolności kredytowej albo ocena ryzyka przy zawieraniu umowy finansowej lub ubezpieczeniowej
• AI działające w infrastrukturze krytycznej: energetyka, wodociągi, transport
• systemy stosowane w ochronie zdrowia jako narzędzia diagnostyczne albo wspomagające leczenie

Jeśli Twoja firma używa AI wyłącznie do pisania maili, streszczania dokumentów, odpowiadania pracownikom na pytania o procedury albo generowania treści marketingowych, to zazwyczaj niskie lub minimalne ryzyko. Obowiązki są wtedy dużo lżejsze: wystarczy polityka użytkowania i podstawowy rejestr.

Typowy błąd: firma używa chatbota do obsługi klientów i traktuje go jako „zwykłą wyszukiwarkę". Jeśli ten chatbot decyduje, czy klient dostaje rabat albo jest kierowany do działu windykacji, to może być już system wysokiego ryzyka. Liczy się to, co system faktycznie robi w procesie, a nie to, jak firma go nazywa wewnętrznie.

Krok 1: inwentaryzacja, czyli spisanie wszystkiego, co działa na AI w firmie

Zanim ocenisz ryzyko, musisz wiedzieć, co masz. To jest zawsze punkt startowy. Zajmuje zazwyczaj dzień lub dwa.

Stwórz arkusz w Excelu lub Google Sheets z kolumnami:

• Nazwa systemu: np. „ChatGPT Plus na koncie firmowym", „Moduł scoringowy w Symphonia CRM", „Bot rekrutacyjny HRlink"
• Dostawca i forma: zewnętrzna usługa chmurowa czy instalacja lokalna
• Do czego służy w firmie: konkretnie, nie „do automatyzacji", lecz „do generowania odpowiedzi na zapytania ofertowe od klientów B2B"
• Kto używa: dział, stanowisko, przybliżona liczba osób
• Jakie dane przetwarza: czy trafiają tam dane pracowników, klientów, dane finansowe, dane wrażliwe
• Czy wynik AI wpływa na decyzję o człowieku: tak / nie / częściowo
• Kto odpowiada za ten system w firmie: imię, stanowisko

U jednego z klientów, firmy spedycyjnej ze Śląska, inwentaryzacja wyszła na ponad dwadzieścia pozycji, w tym kilka narzędzi, o których zarząd nie wiedział. Poszczególne działy kupowały dostępy samodzielnie, z własnych budżetów i na prywatne karty. Warto zapytać każdy dział bezpośrednio: „Czego używacie do pisania, analiz, odpowiedzi na pytania i pracy z dokumentami?"

Efekt dnia pierwszego i drugiego: lista systemów AI z wstępnym oznaczeniem ryzyka przy każdym wierszu. Dopiero z tą listą ma sens kolejny krok.

Krok 2: ocena ryzyka dla każdego systemu

Dla każdego systemu oznaczonego jako wysokie ryzyko albo „do sprawdzenia" przeprowadź krótką ocenę. Nie musisz pisać operatu jak dla RODO. Wystarczy dokument, czyli zwykły plik Word albo PDF, z odpowiedziami na osiem pytań:

• Co system robi i jak podejmuje decyzje (ogólnie, bez kodu)?
• Na jakich danych działa: skąd pochodzą, kto je wprowadza?
• Kto w firmie jest administratorem tego systemu?
• Jak firma weryfikuje wynik AI przed podjęciem decyzji wobec pracownika lub klienta?
• Czy osoba, której dotyczy decyzja, może się odwołać albo żądać wyjaśnienia?
• Gdzie są logi działania systemu i jak długo są przechowywane?
• Kto jest dostawcą i czy przekazujesz mu dane osobowe?
• Jakie ryzyko dla osoby fizycznej niesie błędna decyzja systemu?

Te odpowiedzi to Twoja ocena ryzyka. Nie musisz wyceniać niczego w procentach ani używać konkretnej matrycy. Liczy się, że dokument istnieje, że jest datowany, że ktoś go podpisał i że odzwierciedla faktyczny stan systemu. Audytor sprawdza, czy firma w ogóle zastanowiła się nad ryzykiem.

Jeśli przy którymś systemie nie potrafisz odpowiedzieć na pytanie o logi albo nie wiesz, kto jest jego administratorem, to jest sygnał do ustalenia, a nie powód do pominięcia wiersza w arkuszu.

Krok 3: rejestr przypadków użycia AI

Rejestr to osobny, żywy dokument, aktualizowany przy każdym nowym wdrożeniu i przeglądany raz do roku. Zawiera:

• ID systemu: ciągła numeracja, np. AI-001, AI-002
• Cel użycia: jednozdaniowy opis procesu biznesowego, np. „wstępna selekcja CV dla stanowisk magazynowych"
• Kategoria ryzyka według EU AI Act
• Odpowiedzialny w firmie: imię, stanowisko, kontakt
• Data pierwszego wdrożenia i data ostatniego przeglądu
• Linki do dokumentacji: ocena ryzyka, umowa z dostawcą, DPIA jeśli wymagane przez RODO
• Uwagi: zmiany konfiguracji, incydenty, decyzje o wycofaniu systemu

Plik w Excelu wystarczy na start. Przy kilkunastu systemach warto przenieść go do bazy danych lub folderu na SharePoincie z historią wersji. Powodem jest prosta zasada: EU AI Act wymaga możliwości odtworzenia, kto i kiedy wprowadzał zmiany do dokumentacji.

Rejestr prowadzi jedna osoba w firmie. Najczęściej prawnik, osoba zajmująca się compliance albo ktoś z IT. W mniejszych firmach spada to na dyrektora operacyjnego. Ważne, żeby to była jedna konkretna osoba z nazwiskiem, a nie „dział IT" albo „zarząd".

Jest tutaj powiązanie z RODO, którego nie warto ignorować. Jeśli firma prowadzi już rejestr czynności przetwarzania danych, część systemów AI pojawi się w obu dokumentach. Zamiast prowadzić dwa osobne arkusze, można dodać do rejestru RODO kolumnę „czy system AI" i link do oceny ryzyka EU AI Act. Jeden przegląd rocznie zamiast dwóch.

Krok 4: polityka AI dla pracowników

To dokument wewnętrzny, który mówi pracownikom: co wolno, czego nie, jak zgłaszać nowe narzędzia i co zrobić, gdy coś pójdzie nie tak. Nie musi być długi. Cztery strony to maksimum dla firmy do dwustu osób.

Co musi się znaleźć:

• lista zatwierdzonych narzędzi AI (te z rejestru) i lista narzędzi wymagających zgody przed pierwszym użyciem
• zakaz wklejania danych osobowych klientów i pracowników do publicznych modeli AI bez wcześniejszej anonimizacji
• obowiązek weryfikacji wyniku AI przez człowieka przed wysłaniem do klienta lub użyciem w decyzji kadrowej
• procedura zgłaszania nowych narzędzi AI przez pracowników: do kogo, w jakiej formie, w jakim czasie firma odpowiada
• co zrobić, gdy AI podejmie błędną decyzję albo pracownik zauważy nieprawidłowe działanie systemu
• kontakt do osoby odpowiedzialnej za rejestr i oceny ryzyka

Politykę podpisuje zarząd. Pracownicy potwierdzają zapoznanie się z nią, najlepiej w systemie HR albo mailowo z datą otrzymania. Bez tych potwierdzeń nie ma dowodu, że firma rzeczywiście wdrożyła politykę, a nie tylko napisała dokument dla audytora.

Warto dodać jedno zdanie o tym, że firma informuje pracowników i klientów, gdy AI bierze udział w podejmowaniu decyzji, które ich dotyczą. To wynika zarówno z EU AI Act, jak i z RODO w przypadku profilowania automatycznego.

Jak lokalny serwer z modelem AI upraszcza dokumentację?

Jeśli firma używa modelu zainstalowanego na własnym serwerze i nie wysyła danych do zewnętrznego dostawcy, dokumentacja jest krótsza w jednym konkretnym miejscu: przepływ danych osobowych.

Przy zewnętrznym dostawcy chmurowym trzeba dokumentować:

• umowę powierzenia przetwarzania danych osobowych wymaganą przez RODO
• lokalizację serwerów dostawcy i to, czy dane wychodzą poza Europejski Obszar Gospodarczy
• co dostawca może zatrzymać z przetworzonych danych i jak długo
• procedurę usunięcia danych po zakończeniu umowy

Przy lokalnym modelu te punkty są proste: dane nie wychodzą z serwera firmy. Zamiast umowy powierzenia z zagranicznym dostawcą masz politykę dostępu do serwera, którą i tak już prowadzisz w ramach RODO. To realne uproszczenie, szczególnie gdy AI przetwarza dane pracowników albo wrażliwe dane finansowe.

Ocena ryzyka dla takich systemów jest też zazwyczaj niższa, bo firma kontroluje, co model widzi, kto ma dostęp i jak przechowywane są logi. Kilku klientów, którzy zaczęli od zewnętrznych usług chmurowych, po inwentaryzacji przeszło na lokalny model właśnie dlatego, że nie chcieli podpisywać kolejnych umów powierzenia z dostawcami spoza UE i wyjaśniać zarządowi, gdzie trafiają dane pracowników.

Plan na tydzień: kto to robi i w jakiej kolejności

Zakładamy jedną osobę do tego zadania przy normalnych obowiązkach w pracy.

Dzień 1 i 2: inwentaryzacja. Rozmowy z działami, zebranie nazw narzędzi i informacji o tym, do czego służą, wypełnienie arkusza. Na koniec drugiego dnia masz listę systemów AI z wstępnym oznaczeniem ryzyka przy każdym.

Dzień 3: ocena ryzyka. Dla każdego systemu oznaczonego jako wysokie ryzyko albo „do sprawdzenia" wypełniasz szablon z ośmioma pytaniami. Jeśli czegoś nie wiesz, zaznaczasz to jako brak i ustalasz z właściwą osobą przed zamknięciem dokumentu.

Dzień 4: rejestr przypadków użycia. Przeniesienie listy do tabeli z pełnymi polami, przypisanie osób odpowiedzialnych, wpisanie dat wdrożeń i linków do dokumentacji oceny ryzyka.

Dzień 5: polityka AI dla pracowników. Szkic dokumentu na podstawie listy zatwierdzonych narzędzi i najczęstszych sytuacji w firmie. Wysłanie do podpisu przez zarząd.

W kolejnym tygodniu: zebranie potwierdzeń od pracowników i zarchiwizowanie dokumentów w miejscu z datowaną historią dostępu. Folder na SharePoincie z wersjonowaniem albo każdy inny system, który pozwoli pokazać audytorowi, że dokument istniał przed datą kontroli, a nie powstał dzień po.

Dokumentacja AI governance to nie jest jednorazowy projekt. Rejestr i ocenę ryzyka przeglądasz przy każdym nowym wdrożeniu narzędzia AI i raz do roku z urzędu. Przepisy dotyczące modeli ogólnego przeznaczenia w zastosowaniach firmowych wchodzą w pełni w 2027 roku i przyniosą dodatkowe obowiązki dla użytkowników tych modeli.

Jeśli chcesz zobaczyć, jak wygląda to w praktyce u innych MŚP, sprawdź realne wdrożenia. Chętnie też omówimy konkretnie, które systemy w Twojej firmie wymagają pełnej dokumentacji: 15 minut rozmowy wystarczy, żeby wyjść z gotową listą priorytetów.