Jak zbudować rejestr systemów AI w firmie. Sześć kroków

Rejestr systemów AI to lista narzędzi opartych na sztucznej inteligencji, z których korzysta organizacja, wraz z informacją, kto za każde z nich odpowiada, po co jest używane i jakie dane do niego trafiają. Dla większości firm nie jest to osobny obowiązek, tylko warunek wykonania tych obowiązków, które faktycznie już obowiązują.

Poniżej sześć kroków, pytania kontrolne do każdego i wskazanie pól, które przesądzają o tym, czy rejestr do czegokolwiek się przyda.

Kiedy rejestr systemów AI ma sens?

Stan prawny na 25 sierpnia 2026. AI Act nie nakazuje typowej firmie prowadzenia rejestru jako takiego. Obowiązek rejestracji w unijnej bazie danych z art. 49 dotyczy systemów wysokiego ryzyka, a te przesunięto na 2 grudnia 2027 dla załącznika III i 2 sierpnia 2028 dla załącznika I.

Sens rejestru jest inny. Art. 4 wymaga od 2 lutego 2025 działań kompetencyjnych dopasowanych do systemów i ról. Art. 50 wymaga od 2 sierpnia 2026 informowania i oznaczania. Art. 5 zakazuje określonych praktyk. Żadnego z tych trzech nie da się wykonać na organizacji, która nie wie, czego używa.

Krok 1. Narzędzia: z czego naprawdę korzystamy?

Lista nigdy nie powstaje w dziale IT, bo IT widzi to, co samo kupiło. Zacznij od faktur i wyciągów z karty firmowej, dopiero potem pytaj ludzi. Marketing ma zwykle dwa narzędzia, o których nikt nie wie. Księgowość jedno, które działa od dwóch lat.

Pytania kontrolne: Czy sprawdziliśmy subskrypcje opłacane kartą przez pojedyncze działy? Czy uwzględniliśmy funkcje AI wbudowane w systemy używane od lat, na przykład w CRM albo w poczcie? Czy policzyliśmy narzędzia używane na kontach prywatnych do zadań służbowych? Czy ktoś zapytał wprost, zamiast rozesłać ankietę?

Bez tego kroku wszystkie następne opisują inną firmę niż ta, w której pracujesz.

Krok 2. Właściciel: kto odpowiada za każdą pozycję?

Właściciel to osoba, która decyduje o tym, jak narzędzie jest używane, a nie ta, która ma do niego hasło administratora. To rozróżnienie wygląda na formalność do momentu, w którym trzeba kogoś zapytać, czy wolno wrzucić do modelu listę klientów.

Pytania kontrolne: Czy każda pozycja ma imię i nazwisko, a nie nazwę działu? Czy właściciel wie, że nim jest? Czy przy kontach współdzielonych wiemy, kto faktycznie z nich korzysta? Czy ktoś odpowiada za narzędzia, których właściciel odszedł z firmy?

Pozycja bez właściciela nie zostanie zaktualizowana ani razu i po pół roku będzie wpisem o narzędziu, którego już nie ma.

Krok 3. Cel zastosowania: po co konkretnie tego używamy?

To jest pole, w którym najczęściej ląduje zdanie bez treści. „Wsparcie pracy zespołu" nie jest celem zastosowania. Celem jest „generowanie opisów produktów do sklepu" albo „wstępna selekcja zgłoszeń w rekrutacji". Różnica jest praktyczna: od celu zależy, czy system wpada w wysokie ryzyko, jaki zakres szkolenia potrzebuje jego użytkownik i czy trzeba cokolwiek oznaczać.

Pytania kontrolne: Czy cel opisuje czynność, a nie kategorię narzędzia? Czy da się z niego wywnioskować, kto jest odbiorcą wyniku? Czy uwzględnia zastosowania, które pojawiły się po wdrożeniu? Czy zgadza się z tym, co ludzie robią naprawdę?

Cel wpisany ogólnie zwalnia od myślenia teraz i kosztuje przy każdym kolejnym kroku.

Krok 4. Dane: co do tego narzędzia trafia?

Nie wypisuj przykładów, tylko kategorie. Dane osobowe klientów, dane pracowników, treści objęte poufnością, dane finansowe, dokumentacja techniczna. Kategoria pozwala odpowiedzieć na pytanie o ryzyko bez otwierania rozmowy o pojedynczych plikach. Tu też najczęściej ujawnia się przecięcie z ochroną danych osobowych, więc warto zrobić ten krok razem z osobą, która się tym zajmuje.

Pytania kontrolne: Czy wiemy, gdzie narzędzie przetwarza dane? Czy sprawdziliśmy, co dostawca robi z danymi wejściowymi? Czy plan, z którego korzystamy, wyłącza uczenie na naszych treściach? Czy ktoś to sprawdził, czy tylko założył?

Nieznana odpowiedź w tym polu jest informacją, nie luką. Zapisz ją i wróć.

Krok 5. Rola: jesteśmy dostawcą czy podmiotem stosującym?

Ten tekst jest pisany dla podmiotu stosującego, czyli organizacji, która używa gotowych narzędzi pod własną odpowiedzialnością. Większość firm jest w tej roli i ma węższy zestaw obowiązków niż dostawca. Rola nie jest jednak przypisana raz do całej firmy, tylko do każdego systemu osobno.

Pytania kontrolne: Czy udostępniamy któreś narzędzie klientom pod własną nazwą? Czy zmieniliśmy przeznaczenie cudzego systemu na inne niż przewidziane przez dostawcę? Czy budujemy coś na cudzym modelu i sprzedajemy to dalej? Czy ktokolwiek sprawdził to per pozycja, a nie zbiorczo?

Odpowiedź twierdząca przy którymkolwiek z tych pytań przesuwa daną pozycję do roli dostawcy razem z całym pakietem obowiązków z art. 25.

Krok 6. Przegląd: skąd będziemy wiedzieć, że rejestr jest aktualny?

Rejestr bez daty następnego przeglądu jest zdjęciem, nie dokumentem. Ustal cykl kwartalny i przypisz go do konkretnej osoby, najlepiej tej samej, która trzyma listę subskrypcji.

Po tym kroku organizacja ma cztery rzeczy, które da się pokazać: listę systemów z właścicielami i celami, przypisane kategorie danych, ustaloną rolę przy każdej pozycji oraz datę i zakres ostatniego przeglądu wraz z tym, co się od poprzedniego zmieniło. To jest komplet, na którym opiera się wszystko dalsze: dobór szkoleń, ocena ryzyka, oznaczenia i odpowiedź na pytanie klienta w ankiecie dostawcy.

Pytania, które padają najczęściej

Czy rejestr musi być w systemie informatycznym?

Nie. Arkusz wystarcza i przy kilkunastu pozycjach jest rozsądnym wyborem. Problem zaczyna się przy utrzymaniu, nie przy założeniu.

Czy trzeba wpisywać narzędzia używane raz?

Tak, jeśli trafiły do nich dane firmy. Jednorazowe użycie zostawia ten sam ślad co stałe.

Czy to samo co rejestr czynności przetwarzania z RODO?

Nie, choć oba się przecinają. Tamten opisuje przetwarzanie danych osobowych, ten opisuje systemy AI niezależnie od tego, czy przetwarzają dane osobowe.

Samodzielnie czy z narzędziem?

Pierwszą wersję rejestru zrobisz w arkuszu i tak radzimy zacząć. Koszt pojawia się później: przy przeglądach, przy pilnowaniu, kto komu odpowiedział, i przy wyciąganiu z tego zestawienia, które da się pokazać zarządowi albo klientowi. Platforma AI TrustCERT prowadzi rejestr razem z oceną ryzyka i dokumentacją działań, w cenie licencji szkoleniowej. Wspiera proces i porządkuje dowody, nie zastępuje oceny prawnej. Możesz otworzyć ją na siedem dni bez podawania karty i sprawdzić, jak wygląda na Twoich narzędziach.

Podsumowanie

Rejestr systemów AI nie jest dla większości firm osobnym obowiązkiem, tylko warunkiem wykonania obowiązków, które już obowiązują. Zaczyna się od faktur, nie od ankiety, bo faktury nie zapominają. Każda pozycja potrzebuje właściciela z imienia i nazwiska oraz celu opisanego czynnością, a nie kategorią. Kategorie danych mówią o ryzyku więcej niż lista plików. Rolę ustala się osobno przy każdym systemie, bo jedno narzędzie udostępniane klientom pod własną nazwą zmienia obowiązki całej organizacji. Ostatni krok, czyli przegląd z datą i właścicielem, decyduje o tym, czy po kwartale nadal masz dokument, czy zdjęcie sprzed kwartału. Komplet z sześciu kroków obsługuje później dobór szkoleń, ocenę ryzyka i odpowiedzi w ankietach dostawcy.

Materiał ma charakter informacyjny. Nie stanowi porady prawnej ani gwarancji zgodności z AI Act. W sprawie konkretnej organizacji warto skonsultować się z prawnikiem.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.