Checklista: Zgodność z AI Act dla MŚP

Ustaliłem rolę mojej firmy: dostawca (provider), wdrażający (deployer), importer czy dystrybutor systemów AI

Większość MŚP to deployer — firma, która kupuje/używa gotowego AI. Obowiązki są lżejsze niż dla dostawcy.

Zebrałem listę wszystkich systemów AI używanych w firmie

Zaliczają się: ChatGPT, Copilot, chatboty, narzędzia rekrutacyjne, systemy oceny kredytowej, e-maile pisane przez AI, generatory treści.

Sprawdziłem, czy któryś z używanych systemów AI należy do kategorii zakazanej (obowiązuje od 2 lutego 2025)

Zakazane m.in.: scoring społeczny obywateli, manipulacja podprogowa, biometria w przestrzeni publicznej bez zgody.

Zidentyfikowałem systemy AI nieakceptowalnego ryzyka i zrezygnowałem z nich

Kategoria zakazana od 2 lutego 2025.

Sprawdziłem, czy używam AI wysokiego ryzyka (Aneks III AI Act)

Dotyczy m.in.: rekrutacji i selekcji pracowników, oceny zdolności kredytowej, decyzji w opiece zdrowotnej, systemów bezpieczeństwa infrastruktury krytycznej.

Sprawdziłem systemy ograniczonego ryzyka (chatboty, generatory treści)

Wymagana transparentność wobec użytkowników — muszą wiedzieć, że rozmawiają z AI.

Potwierdziłem, że pozostałe narzędzia AI należą do kategorii minimalnego ryzyka

Np. filtry spamu, rekomendacje produktów — brak szczególnych obowiązków.

Weryfikuję, że systemy AI wysokiego ryzyka posiadają oznaczenie CE i deklarację zgodności dostawcy

Zapewniłem nadzór człowieka (human oversight) nad decyzjami podejmowanymi przez AI wysokiego ryzyka

Żadna istotna decyzja dotycząca człowieka nie może być w pełni automatyczna bez możliwości interwencji.

Wdrożyłem procedurę przechowywania logów działania systemów AI wysokiego ryzyka (minimum 6 miesięcy)

Mam procedurę zgłaszania poważnych incydentów do organu nadzorczego (w Polsce: UODO lub UKE)

Przeprowadziłem ocenę wpływu na prawa podstawowe przed wdrożeniem AI wysokiego ryzyka

Wymagane dla podmiotów publicznych i niektórych prywatnych.

Informuję klientów i użytkowników, gdy kontaktują się z chatbotem lub innym systemem AI

Wyjątek: gdy kontekst jest oczywisty (np. asystent głosowy Google). W razie wątpliwości — informuj.

Oznaczam treści generowane przez AI, jeśli mogą być mylone z ludzkimi (deepfake, syntetyczny głos)

Nie stosuję systemów AI do manipulacji podprogowej, wykorzystywania słabości psychicznych ani ukrytego profilowania

Zaktualizowałem politykę prywatności o informacje o stosowaniu AI i przetwarzaniu danych do celów AI

Zapewniłem odpowiedni poziom wiedzy o AI wszystkim pracownikom korzystającym z systemów AI

Art. 4 AI Act: obowiązek "AI literacy" obowiązuje od 2 lutego 2025. Nie wymaga certyfikatów — wystarczy udokumentowane szkolenie wewnętrzne.

Przeszkoliłem osoby odpowiedzialne za zarządzanie systemami AI wysokiego ryzyka (pełna interpretacja wymagań)

Przechowuję dokumentację szkoleń (kto, kiedy, zakres) na wypadek kontroli

Stworzyłem lub zaktualizowałem firmową politykę korzystania z AI (AI Policy)

Powinna określać: jakich narzędzi AI wolno używać, do jakich celów, jak chronić dane.

Dokumentuję przeznaczenie i sposób użycia każdego systemu AI wysokiego ryzyka (instrukcje, zakres zastosowania)

Zaktualizowałem umowy z dostawcami AI — sprawdziłem, kto odpowiada za zgodność z AI Act

Dostawca powinien dostarczyć deklarację zgodności i instrukcję użytkowania.

Sprawdziłem zgodność z RODO w kontekście AI — szczególnie przy przetwarzaniu danych osobowych przez modele AI