AI Act w praktyce - jak się przygotować?

Sztuczna inteligencja na dobre weszła do biznesu. Firmy wykorzystują ją do analizy danych, automatyzacji procesów, obsługi klienta, tworzenia treści czy wspierania procesów decyzyjnych. Jednak wraz z rosnącą popularnością AI pojawiają się również nowe obowiązki regulacyjne.

Od 2025 roku organizacje działające w Unii Europejskiej muszą przygotowywać się do wymogów AI Act (UE 2024/1689). Co ważne, nie jest to już kwestia przyszłości. Część przepisów obowiązuje już dziś, a kolejne będą wdrażane etapami do 2028 roku.

Czym jest AI Act?

AI Act to pierwsze na świecie kompleksowe rozporządzenie regulujące wykorzystanie sztucznej inteligencji. Jako rozporządzenie unijne obowiązuje bezpośrednio we wszystkich państwach członkowskich, również w Polsce.

Jego celem jest zapewnienie bezpiecznego i odpowiedzialnego wykorzystania AI przy jednoczesnym wspieraniu innowacji.

Podobnie jak w przypadku RODO, organizacje muszą nie tylko stosować odpowiednie rozwiązania technologiczne, ale również wykazać, że zarządzają ryzykiem i posiadają odpowiednie procesy oraz dokumentację.

Kluczowe terminy, które warto znać

2 lutego 2025 r.

Obowiązują już:

• zakaz wybranych praktyk AI uznanych za niedopuszczalne,
• wymóg zapewnienia odpowiednich kompetencji związanych z AI (AI Literacy).

2 sierpnia 2026 r.

Wchodzą obowiązki związane z transparentnością, między innymi:

• informowanie użytkowników o kontakcie z systemem AI,
• oznaczanie deepfake'ów,
• oznaczanie wybranych treści generowanych przez AI.

2 grudnia 2027 r.

Większość obowiązków dotyczących systemów AI wysokiego ryzyka.

2 sierpnia 2028 r.

Przepisy obejmujące niektóre regulowane produkty wykorzystujące AI, m.in. część wyrobów medycznych.

AI Act to nie tylko technologia

Wiele organizacji postrzega AI Act jako zagadnienie związane wyłącznie z narzędziami sztucznej inteligencji. W praktyce nowe regulacje dotyczą przede wszystkim zarządzania.

Podobnie jak projekty związane z NIS2, UKSC czy ISO 27001, wdrożenie wymaga uporządkowania procesów, odpowiedzialności i dokumentacji.

Organizacje muszą wiedzieć:

• jakie systemy AI wykorzystują,
• jakie dane są przez nie przetwarzane,
• jakie ryzyka generują,
• kto odpowiada za nadzór nad ich działaniem,
• jak monitorowana jest zgodność z przepisami.

Jakie dokumenty warto przygotować już teraz?

Z naszego doświadczenia wynika, że większość organizacji powinna rozpocząć od uporządkowania podstawowych obszarów governance AI.

Rejestr narzędzi AI

Pierwszym krokiem powinno być stworzenie ewidencji wszystkich wykorzystywanych rozwiązań opartych na sztucznej inteligencji.

Dotyczy to zarówno rozwiązań wdrożonych centralnie, jak i aplikacji wykorzystywanych przez poszczególne działy.

Polityka korzystania z AI

Dokument określający:

• zasady używania narzędzi AI,
• zakres dopuszczalnego wykorzystania,
• wymagania dotyczące ochrony danych,
• odpowiedzialność użytkowników.

Klasyfikacja ryzyka

Nie każde rozwiązanie AI generuje takie samo ryzyko.

Dlatego organizacja powinna posiadać procedurę oceny systemów AI pod kątem:

• zgodności prawnej,
• wpływu na prywatność,
• cyberbezpieczeństwa,
• wpływu na klientów i pracowników.

Procedury AI Literacy

Pracownicy muszą rozumieć:

• możliwości AI,
• ograniczenia modeli językowych,
• ryzyka związane z danymi,
• zasady bezpiecznego korzystania z narzędzi.

Proces oceny dostawców AI

Coraz większego znaczenia nabiera także weryfikacja producentów i dostawców rozwiązań AI.

Warto oceniać m.in.:

• lokalizację przetwarzania danych,
• poziom bezpieczeństwa,
• transparentność modeli,
• zgodność z AI Act.

Jakie systemy wymagają szczególnej uwagi?

Najbardziej wymagającą kategorią są systemy AI wysokiego ryzyka.

W ich przypadku organizacje będą zobowiązane do prowadzenia m.in.:

• analizy ryzyka,
• dokumentacji technicznej,
• rejestrów działań,
• monitoringu działania systemu,
• mechanizmów nadzoru człowieka.

W praktyce oznacza to konieczność budowy formalnych procesów zarządzania AI, podobnych do tych, które funkcjonują dziś w obszarze bezpieczeństwa informacji.

AI należy połączyć z cyberbezpieczeństwem

W wielu firmach AI funkcjonuje już dziś równolegle z wymaganiami:

• NIS2,
• UKSC,
• RODO,
• DORA,
• ISO 27001.

Dlatego najlepsze efekty daje integracja zarządzania AI z istniejącym Systemem Zarządzania Bezpieczeństwem Informacji (SZBI).

Pozwala to uniknąć tworzenia osobnych procesów i wykorzystać istniejące mechanizmy analizy ryzyka, zarządzania incydentami, kontroli dostępu czy audytów.

Technologia to dopiero drugi krok

Przygotowanie organizacji do AI Act nie kończy się na dokumentacji. Równie istotny jest dobór odpowiedniej infrastruktury i rozwiązań technologicznych.

W zależności od potrzeb organizacji może to obejmować:

• bezpieczne środowiska chmurowe,
• platformy AI zgodne z wymaganiami UE,
• systemy monitorowania i logowania aktywności,
• rozwiązania wspierające zarządzanie bezpieczeństwem i zgodnością.

Od czego zacząć?

Najlepszym punktem wyjścia jest audyt obecnego wykorzystania AI w organizacji. Pozwala on określić poziom dojrzałości, zidentyfikować ryzyka oraz przygotować plan działań.

W K3System wspieramy klientów kompleksowo:

✅ analizujemy obowiązki wynikające z AI Act, NIS2 i UKSC,
✅ przygotowujemy dokumentację procesową oraz polityki AI,
✅ pomagamy budować model AI Governance,
✅ doradzamy w zakresie ISO 27001 i ISO 42001,
✅ dobieramy oraz wdrażamy odpowiednią infrastrukturę i rozwiązania bezpieczeństwa.

AI Act to nie tylko nowe obowiązki. To również szansa na uporządkowanie procesów i świadome, bezpieczne wykorzystanie sztucznej inteligencji w organizacji. Firmy, które rozpoczną przygotowania już dziś, łatwiej osiągną zgodność z regulacjami i ograniczą ryzyko związane z wdrażaniem AI.

Konsultanci procesów audytowych i dokumentacji K3System, posiadają wszelkie niezbędne kompetencje i doświadczenie potwierdzone Certyfikatami Audytorów Wiodących Systemu Zarządzania Sztuczną Inteligencją (AI) – zgodny z ISO/IEC 42001:2023, wystawione przez renomowaną firmę certyfikacyjną TUV NORD Polska.