Dowody należytej staranności przy AI. Sześć kroków przed pierwszym pytaniem

Dowody należytej staranności przy AI to zestaw dokumentów i zapisów, którymi organizacja wykazuje, że wie, gdzie używa sztucznej inteligencji, na jakich zasadach i kto za to odpowiada. Zgodność, której nie da się pokazać, w praktyce nie istnieje - liczy się to, co potrafisz wyjąć z szuflady, gdy ktoś pyta.

Poniżej sześć kroków, pytania kontrolne do każdego i lista dokumentów, które powinny zostać po tej pracy.

Dlaczego akurat teraz?

Od 28 października 2026 działa krajowy tryb składania skarg do Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Skargę może złożyć osoba fizyczna, osoba prawna albo jednostka organizacyjna - podstawą jest art. 85 AI Act i polska ustawa o systemach sztucznej inteligencji. To zmienia praktykę: pytanie o AI nie musi już przyjść z kontroli planowej, wystarczy jedno zgłoszenie od klienta, konkurenta albo byłego pracownika. Więcej o samym organie napisaliśmy w tekście o KRiBSI.

Krok 1: Kto zapyta - i o co konkretnie?

Zanim zaczniesz zbierać papiery, ustal, komu mają służyć. Każdy pytający oczekuje czegoś innego.

Pytania kontrolne: Czy wiemy, kto w organizacji odbiera takie pytanie i komu je przekazuje? Czy klienci w przetargach pytają nas już o zasady korzystania z AI? Czy dział zakupów kontrahenta przysyłał ankietę dostawcy? Czy pracownik wie, gdzie zgłosić wątpliwość co do narzędzia?

W praktyce pierwsze pytanie najczęściej przychodzi nie z urzędu, tylko z ankiety dostawcy albo z przetargu - i termin na odpowiedź bywa krótszy niż w postępowaniu.

Krok 2: Rejestr - czy wiemy, czego używamy?

Bez listy narzędzi żaden kolejny dokument nie ma do czego się odnieść. Rejestr jest fundamentem całego zestawu.

Pytania kontrolne: Czy rejestr systemów AI obejmuje też narzędzia używane nieformalnie? Czy każda pozycja ma właściciela, cel użycia i kategorie danych? Czy widać datę ostatniego przeglądu? Czy przy każdym systemie zapisaliśmy, w jakiej jesteśmy roli - dostawcy czy podmiotu stosującego?

Rejestr bez daty przeglądu dowodzi tylko tego, że kiedyś powstał.

Krok 3: Szkolenia - kto, kiedy i z jakim wynikiem?

Obowiązek kompetencji w zakresie AI z art. 4 AI Act działa od 2 lutego 2025. Dowodem nie jest sam fakt zorganizowania szkolenia, tylko imienny zapis, kto je ukończył.

Pytania kontrolne: Czy mamy listę osób z datą ukończenia i wynikiem? Czy potrafimy wskazać, kto szkolenia NIE przeszedł? Czy nowi pracownicy przechodzą je w onboardingu? Czy zakres szkolenia odpowiada rolom, a nie jest jednakowy dla wszystkich?

Ostatnie pytanie decyduje o wiarygodności zestawu: identyczne szkolenie dla księgowości i dla zespołu wdrażającego modele trudno obronić jako adekwatne.

Krok 4: Zasady i akceptacje - czy ludzie je znają?

Polityka bez potwierdzeń zapoznania jest dokumentem wewnętrznym, nie dowodem. Wartość pojawia się dopiero razem z podpisami.

Pytania kontrolne: Czy polityka korzystania z AI zawiera listę narzędzi dopuszczonych i ścieżkę zgłaszania nowych? Czy pracownicy potwierdzili zapoznanie się z nią i czy mamy to zapisane? Czy polityka ma wersję i datę? Czy ktoś przegląda ją po zmianie narzędzi?

Bez wersjonowania nie da się odpowiedzieć na pytanie, jakie zasady obowiązywały w dniu zdarzenia.

Krok 5: Decyzje - czy widać, dlaczego tak, a nie inaczej?

Najsłabsze ogniwo większości zestawów. Organizacje mają dokumenty, ale nie mają zapisu rozumowania, które za nimi stoi.

Pytania kontrolne: Czy zapisaliśmy, dlaczego dopuściliśmy dane narzędzie, a inne odrzuciliśmy? Czy przy klasyfikacji ryzyka widać uzasadnienie, a nie tylko wynik? Czy każda decyzja ma datę i osobę? Czy da się odtworzyć, co wiedzieliśmy w momencie jej podejmowania?

To właśnie ten zapis odróżnia organizację, która rozważyła ryzyko, od takiej, która go nie zauważyła - a art. 99 ust. 7 AI Act wymienia wśród okoliczności branych pod uwagę stopień odpowiedzialności operatora z uwzględnieniem wdrożonych środków technicznych i organizacyjnych.

Krok 6: Komplet i przegląd - co powinno zostać?

Po tej pracy organizacja powinna dysponować jednym miejscem, w którym leży:

• rejestr systemów AI z historią zmian i datami przeglądów;
• polityka korzystania z AI z numerem wersji i potwierdzeniami zapoznania;
• imienne dowody ukończenia szkoleń wraz z wynikami;
• decyzje o dopuszczeniu i odrzuceniu narzędzi z uzasadnieniem, datą i osobą;
• dokumentacja klasyfikacji ryzyka i ocen dostawców;
• zapis cyklicznego przeglądu całości oraz wskazanie właściciela zestawu.

Bez ostatniej pozycji zestaw zestarzeje się w ciągu kilku miesięcy, bo narzędzia zmieniają się szybciej niż dokumenty.

Czego te dowody nie załatwiają

Zebrany komplet nie jest gwarancją zgodności z AI Act ani obietnicą uniknięcia kary. Art. 99 ust. 7 wymienia wprost, co organ bierze pod uwagę: charakter i wagę naruszenia, wielkość podmiotu, stopień współpracy z organem, wdrożone środki techniczne i organizacyjne oraz działania podjęte w celu złagodzenia szkody. Dowody staranności wpływają na kilka z tych pozycji, ale ich nie zastępują - i nie przesądzają o wyniku postępowania.

Samodzielnie czy z narzędziem?

Sześć kroków powyżej da się przejść arkuszem i folderem na dysku współdzielonym. Trudność nie leży w założeniu zestawu, tylko w jego utrzymaniu: dochodzą ludzie, zmieniają się narzędzia, polityka wymaga kolejnej wersji, a potwierdzenia zapoznania trzeba zebrać od nowa.

Dokładnie ten problem rozwiązuje platforma AI TrustCERT: rejestr, polityki z akceptacjami, szkolenia z certyfikatami i dokumentowanie decyzji w jednym miejscu, z historią zmian. Jeśli chcesz najpierw sprawdzić, od czego zacząć, AI Ready Check daje wstępną diagnozę w trzy minuty, a pełny przegląd opisaliśmy w tekście o audycie zgodności z AI Act.

Podsumowanie

Dowody należytej staranności to sześć pytań: kto może zapytać, czy mamy rejestr, czy ludzie są przeszkoleni i czy to widać imiennie, czy zasady są potwierdzone podpisem, czy decyzje mają uzasadnienie i czy ktoś to wszystko przegląda.

Od 28 października 2026 skargę na system AI może złożyć każdy - osoba fizyczna, prawna albo jednostka organizacyjna. Organizacja, która ma zestaw gotowy wcześniej, odpowiada w kilka dni. Organizacja, która zaczyna go kompletować po otrzymaniu pytania, odpowiada tym, co zdąży odtworzyć.

Dokumenty nie powstają wstecz - a przynajmniej nie takie, które da się obronić.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.