SYSTEMY WYSOKIEGO RYZYKA
Większość firm używających AI nie ma systemu wysokiego ryzyka. Ale spora część tych, które mają, o tym nie wie - bo narzędzie kupił jeden dział i nikt nie sprawdził, w której kategorii firma się przez to znalazła. Tu opisujemy, jak to rozpoznać i co z tego wynika.
AI Act nie dzieli firm na branże. Dzieli zastosowania. O tym, czy system jest wysokiego ryzyka, decyduje to, do czego się go używa, a nie to, jak zaawansowana jest technologia pod spodem.
Zasady klasyfikacji opisuje art. 6 AI Act , a prowadzą do niej dwie drogi. Pierwsza to zastosowanie z listy w Załączniku III: rekrutacja, edukacja, scoring kredytowy, dostęp do usług publicznych i kilka innych obszarów. Druga to AI wbudowana w produkt, który i tak podlega osobnym unijnym przepisom o bezpieczeństwie - to Załącznik I.
Większość firm używających AI nie ma systemu wysokiego ryzyka. Problem w tym, że tego nie wiadomo, dopóki ktoś nie przejdzie przez listę zastosowań.
Nie przez wielki projekt AI. Przez narzędzie, które kupił jeden dział, bo skracało pracę o dwa dni w miesiącu.
Najczęstszy przypadek. Narzędzie, które przesiewa CV, punktuje kandydatów albo układa ranking, jest systemem wysokiego ryzyka - nawet jeśli ostateczną decyzję podejmuje człowiek. Dotyczy to też ukierunkowanego publikowania ogłoszeń o pracę. Dział HR kupuje to sam, zwykle w modelu abonamentowym, i nikt w firmie nie odnotowuje, że organizacja właśnie weszła do Załącznika III.
Systemy, które oceniają wyniki pracy, rozdzielają zadania albo monitorują pracowników. Przepis obejmuje decyzje wpływające na warunki zatrudnienia, awans i rozwiązanie umowy.
Ocena zdolności kredytowej i scoring osób fizycznych, a także ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych.
Decyzje o przyjęciu do placówki, ocena efektów uczenia się oraz wykrywanie niedozwolonych zachowań podczas testów.
Ocena kwalifikowalności osób do podstawowych świadczeń i usług publicznych, w tym opieki zdrowotnej.
Klasyfikowanie zgłoszeń alarmowych i ustalanie priorytetów wysyłania służb ratunkowych, a także zarządzanie infrastrukturą krytyczną.
Pełną listę zastosowań zawiera Załącznik III do AI Act .
Reżim wysokiego ryzyka jest wyraźnie szerszy niż obowiązki, które dotyczą dziś każdej firmy używającej AI. W skrócie, bez przepisywania rozporządzenia:
Ten obowiązek bywa upraszczany, więc warto go doprecyzować. Art. 27 AI Act nie obejmuje wszystkich podmiotów stosujących systemy wysokiego ryzyka. Dotyczy podmiotów prawa publicznego, podmiotów prywatnych świadczących usługi publiczne oraz tych, które stosują systemy oceny zdolności kredytowej i scoringu osób fizycznych albo systemy oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych.
obowiązki dla samodzielnych systemów wysokiego ryzyka, czyli tych klasyfikowanych po zastosowaniu (Załącznik III).
obowiązki dla AI wbudowanej w produkty objęte Załącznikiem I.
Oba terminy przesunęło rozporządzenie 2026/1744, Digital Omnibus on AI , które weszło w życie 27 lipca 2026. Wcześniej pierwszy z nich przypadał na sierpień 2026. Aktualny harmonogram wdrażania publikuje Komisja Europejska .
Szesnaście miesięcy brzmi jak dużo. W praktyce znaczy tyle, że rynek doradczy, audytowy i prawniczy będzie obłożony w drugiej połowie 2027, a Wy staniecie w tej samej kolejce co wszyscy.
Do tego przesunięcie nie dotyczy niczego poza reżimem wysokiego ryzyka. Obowiązek kompetencji w zakresie AI działa od lutego 2025, zakazane praktyki tak samo, obowiązki przejrzystości od sierpnia 2026, a od 28 października 2026 polski organ nadzoru może przyjąć skargę i prowadzić kontrolę. Firma z systemem wysokiego ryzyka podlega tym przepisom dziś, dokładnie tak samo jak każda inna - tylko stawka jest u niej wyższa.
Jedyna rzecz, którą warto zrobić od razu, to ustalić, czy w ogóle jesteście w tej kategorii. To da się zrobić teraz i nie wymaga czekania na cokolwiek.
Nie udajemy, że mamy dziś gotowy komplet dla reżimu wysokiego ryzyka. Zostawcie kontakt, jeśli chcecie wiedzieć pierwsi, kiedy będzie gotowy.
Niezależnie od nas, własne narzędzie klasyfikujące udostępnia też Komisja Europejska: kontroler zgodności z aktem UE w sprawie sztucznej inteligencji . Kończy się listą obowiązków. My pomagamy je wykonać.
Napiszcie do nas i podajcie nazwę organizacji oraz to, które z zastosowań z listy powyżej może Was dotyczyć. Odezwiemy się w ciągu jednego dnia roboczego. Pierwsza rozmowa jest bezpłatna i nie kończy się ofertą, jeśli okaże się, że nie jesteście w tej kategorii.
AI TrustCERT jest systemem wspierającym proces zgodności, dokumentowanie działań i budowanie dowodów należytej staranności. Nie stanowi gwarancji zgodności z AI Act, opinii prawnej ani certyfikatu urzędowego.
Niezależnie od tego, czy jesteście w kategorii wysokiego ryzyka: obowiązek kompetencji w zakresie AI dotyczy Was od lutego 2025, a obowiązki przejrzystości od sierpnia 2026. Firma z systemem wysokiego ryzyka podlega im tak samo, tylko pilniej.
Rejestr narzędzi AI, polityki i dokumentowanie działań prowadzicie w platformie AI Governance, która jest w cenie licencji szkoleniowej.
Trzeba przejść przez listę zastosowań z Załącznika III i porównać ją z tym, do czego faktycznie używacie AI. Najczęstsze wejście do tej kategorii to narzędzie rekrutacyjne kupione przez dział HR - przesiewanie CV, punktowanie kandydatów, układanie rankingu. Klasyfikację robi się dziś, niezależnie od tego, że same obowiązki wchodzą później.
Nie. Przesunięto wyłącznie obowiązki dla systemów wysokiego ryzyka. Obowiązek kompetencji w zakresie AI działa od lutego 2025, zakazane praktyki tak samo, a obowiązki przejrzystości od 2 sierpnia 2026. Firma z systemem wysokiego ryzyka podlega im dokładnie tak samo jak każda inna.
Tak, choć w węższym zakresie niż dostawcę. Podmiot stosujący system wysokiego ryzyka ma własny zestaw obowiązków z art. 26 AI Act: używanie zgodnie z instrukcją dostawcy, monitorowanie działania systemu, informowanie pracowników i przechowywanie logów. Ocena zgodności i certyfikaty zostają po stronie dostawcy.
Nie i to jest częste uproszczenie. Ocena skutków dla praw podstawowych obejmuje podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz tych, którzy stosują systemy oceny zdolności kredytowej i scoringu osób fizycznych albo systemy oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych. Zakres opisuje art. 27 AI Act.
Klasyfikację Waszych zastosowań AI, inwentaryzację narzędzi, polityki korzystania z AI, szkolenia dla zespołów i dokumentowanie obowiązków, które obowiązują już teraz. Pełne wsparcie reżimu wysokiego ryzyka - system zarządzania ryzykiem, dokumentacja techniczna, procedury nadzoru człowieka, FRIA - jest w przygotowaniu i nie udajemy, że jest gotowe.
Nie. AI Ready Check to bezpłatna diagnoza wstępna w przeglądarce, która w kilka minut pokazuje kierunek. Klasyfikacja zastosowań pod Załącznik III to praca na Waszych realnych narzędziach i procesach, którą prowadzimy razem z Wami.
Masz inne pytanie? Skontaktuj się z nami →
Sprawdź w 3 minuty, które obowiązki AI Act dotyczą Twojej organizacji. Bez zobowiązań.
