Czy firmowy system AI jest wysokiego ryzyka? Cel użycia rozstrzyga

13 października 2026 05:00|Autor: Redakcja QUASA|5 min czytania

Aby wstępnie ustalić, czy firmowy system AI jest wysokiego ryzyka, opisz zadanie, do którego został przeznaczony, oraz sposób, w jaki firma faktycznie go używa. Przepisy AI Act przewidują dwie ścieżki klasyfikacji: związek z bezpieczeństwem określonych produktów oraz zastosowania wymienione w załączniku III. Nazwa modelu ani dostawcy nie przesądza o wyniku.

Przykład warunkowy: ten sam model może służyć do filtrowania spamu albo do oceny kandydatów do pracy. Zanim porównasz system z kategoriami ryzyka, sporządź spis jego zastosowań: danych wejściowych, wyniku, użytkowników i decyzji, na którą wynik wpływa. Każdy odmienny proces wymaga osobnego opisu.

Ustal, czy oceniasz system AI i jakie ma przeznaczenie

Przedmiotem oceny jest rozwiązanie działające w procesie firmy, a nie sam model użyty do jego budowy. Sprawdź, czy na podstawie danych wejściowych system wnioskuje, jak wygenerować przewidywanie, treść, zalecenie lub decyzję, która może wpływać na otoczenie. Jeśli narzędzie jedynie wykonuje sztywne reguły, najpierw trzeba rozstrzygnąć, czy w ogóle mieści się w definicji systemu AI. Opis marketingowy produktu nie wystarcza do takiego ustalenia.

Następnie oddziel przeznaczenie określone przez dostawcę od firmowej praktyki. Przeznaczenie obejmuje kontekst i warunki użycia podane między innymi w instrukcji, materiałach sprzedażowych oraz dokumentacji technicznej. Zapisz, czy firma korzysta z narzędzia w tych granicach, czy zmieniła jego konfigurację lub cel. Różnica ma znaczenie zarówno dla klasyfikacji, jak i dla ustalenia, kto ponosi obowiązki dostawcy.

Opisz też miejsce wyniku w procesie. Czy system odrzuca podanie przed jego przeczytaniem, ustala kolejność kandydatów, czy pomaga uporządkować ocenę już zakończoną przez człowieka? Samo stwierdzenie, że ostateczną decyzję podejmuje pracownik, nie wyjaśnia, czy wcześniejszy wynik AI ograniczył komuś szansę na rozmowę.

Przejdź przez dwie ścieżki wysokiego ryzyka

Produkt i bezpieczeństwo. Ustal, czy system jest związanym z bezpieczeństwem elementem produktu objętego przepisami wymienionymi w załączniku I albo sam stanowi taki produkt. Sprawdź następnie, czy właściwe przepisy sektorowe wymagają oceny zgodności tego produktu przez stronę trzecią. W tej ścieżce potrzebne są oba warunki. Zanotuj funkcję bezpieczeństwa i podstawę wymaganej oceny; sama obecność AI w produkcie nie wystarcza.
Przeznaczenie z załącznika III. Porównaj czynność wykonywaną przez system z konkretnym przypadkiem wymienionym w załączniku, a nie tylko z nazwą branży. Biuletyn UODO wymienia między innymi filtrowanie podań o pracę i ocenę kandydatów, wybrane zadania edukacyjne, ocenę zdolności kredytowej osób fizycznych oraz funkcje bezpieczeństwa w określonej infrastrukturze krytycznej. Przy każdym dopasowaniu zapisz właściwy punkt załącznika i czynność systemu, która mu odpowiada.

Jeżeli żadna ścieżka nie pasuje, zanotuj dlaczego. Taki wynik dotyczy opisanego zastosowania, a nie każdej funkcji produktu ani wszystkich sposobów, w jakie firma mogłaby go później wykorzystać. Nadal trzeba ustalić, czy do tego zastosowania odnoszą się inne wymogi dotyczące AI.

Sprawdź warunki wyłączenia z załącznika III

System pasujący do przypadku z załącznika III może wyjątkowo nie zostać uznany za system wysokiego ryzyka. Musi nie stwarzać znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, w tym nie wpływać znacząco na wynik decyzji. Ponadto musi spełniać co najmniej jedną z określonych przesłanek, takich jak wykonywanie wąskiego zadania proceduralnego, poprawianie wyniku czynności zakończonej wcześniej przez człowieka albo wykonanie zadania przygotowawczego.

Liczy się działanie systemu, nie etykieta „pomocniczy”. Jeśli system objęty załącznikiem III profiluje osoby fizyczne, wyłączenie nie działa i system pozostaje w kategorii wysokiego ryzyka. Dostawca korzystający z wyłączenia dokumentuje swoją ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Firma korzystająca z kupionego narzędzia powinna ustalić, czy uzasadnienie dostawcy obejmuje jej konkretny proces.

Ustal rolę firmy i konsekwencje klasyfikacji

Podmiot stosujący używa systemu pod swoją kontrolą; dostawca rozwija go lub zleca rozwój i wprowadza do obrotu albo oddaje do użytku pod własną nazwą. Firma kupująca gotowe rozwiązanie zwykle występuje jako podmiot stosujący. Jeśli jednak umieszcza własną nazwę na systemie wysokiego ryzyka, istotnie go modyfikuje albo zmienia przeznaczenie wcześniejszego systemu tak, że staje się on systemem wysokiego ryzyka, trzeba ponownie ocenić jej rolę.

Rola wyznacza dalsze obowiązki. Dostawca systemu wysokiego ryzyka odpowiada między innymi za wymagania dotyczące zarządzania ryzykiem, dokumentacji i oceny zgodności. Według objaśnień Komisji Europejskiej podmiot stosujący korzysta z systemu zgodnie z instrukcją, powierza nadzór odpowiednio przygotowanym osobom, monitoruje działanie i reaguje na zidentyfikowane ryzyko lub poważne incydenty. Przy użyciu wpływającym na osoby fizyczne trzeba też ustalić właściwe obowiązki informacyjne.

Karta zastosowania do konsultacji lub audytu

Wypełnij osobną kartę dla każdego procesu, w którym firma używa systemu. Taki formularz pozwala odróżnić brak danych od wstępnej oceny i przekazać prawnikowi lub audytorowi informacje, od których zależy kwalifikacja:

Nazwa systemu, dostawca, wersja, właściciel procesu w firmie i moment rozpoczęcia używania.
Przeznaczenie podane przez dostawcę, warunki z instrukcji oraz rzeczywisty cel i konfiguracja firmowego zastosowania.
Dane wejściowe, rodzaj wyniku, osoby objęte działaniem systemu i decyzja, na którą wynik wpływa.
Udział człowieka: kiedy widzi wynik, czy może go zmienić oraz czy część spraw kończy się bez jego oceny.
Wynik sprawdzenia ścieżki produktowej i załącznika III, z właściwym przepisem albo uzasadnieniem braku dopasowania.
Przesłanki ewentualnego wyłączenia, informacja o profilowaniu i dostępne uzasadnienie klasyfikacji przygotowane przez dostawcę.
Rola firmy, zmiany wprowadzone do systemu, instrukcja oraz ustalenia dotyczące nadzoru, monitorowania i incydentów.

Na karcie wskaż wstępny wynik: prawdopodobne wysokie ryzyko, prawdopodobny brak tej klasyfikacji albo brak danych do oceny. Dopisz krótkie uzasadnienie i konkretne brakujące informacje, na przykład zakres wpływu wyniku na decyzję lub warunki użycia przewidziane przez dostawcę. To daje podstawę do oceny prawnej konkretnego zastosowania, bez przypisywania jednej kategorii wszystkim funkcjom systemu.

Przeczytaj także:

Udostępnij: