Rejestr systemów AI w małej firmie: od czego zacząć pod AI Act

Dlaczego spis systemów AI to pierwszy krok

Firmy zaczęły używać AI szybciej, niż spisały, na jakich zasadach. Kiedy właściciel małej firmy słyszy o AI Act, pierwszy odruch to zwykle „potrzebujemy polityki” albo „trzeba zrobić szkolenie”. Problem w tym, że polityka korzystania z AI mówi pracownikom, z czego wolno korzystać. Żeby to napisać, trzeba najpierw wiedzieć, z czego firma korzysta naprawdę. Bez tej wiedzy polityka jest ogólnikiem z internetu, a nie dokumentem tej konkretnej firmy.

Dlatego rejestr jest fundamentem, do którego odwołuje się cała reszta dokumentacji:

• Polityka dla pracowników wskazuje dozwolone narzędzia. Skąd je weźmie, jeśli nie z rejestru?
• Klauzula AI do umowy z klientem albo dostawcą wymaga wiedzy, czego firma używa i w jakiej roli.
• Ścieżka reakcji na incydent musi wskazywać właściciela narzędzia, czyli osobę z rejestru.
• Samokontrola pod kątem praktyk, których AI Act zakazuje, polega na przejrzeniu rejestru pozycja po pozycji.

Jest też powód czysto praktyczny. Godzina prawnika kosztuje. Prawnik, który dostaje spisany stan faktyczny, zaczyna od analizy. Prawnik, który dostaje „no, używamy trochę ChatGPT i czegoś w programie księgowym”, zaczyna od inwentaryzacji, a Ty za nią płacisz.

Spis wymusza pierwszą uczciwą rozmowę

Samo spisywanie rejestru ma wartość niezależną od AI Act. W wielu firmach dopiero przy tej okazji wychodzi, że handlowiec od pół roku wkleja oferty klientów do darmowego czatu, a księgowa włączyła w swoim programie moduł, o którym nikt nie wie, jak działa. Rejestr zamienia „chyba czegoś używamy” w konkretną listę z odpowiedzialnymi osobami.

Które narzędzia AI w firmie trzeba wpisać do rejestru?

Do rejestru wpisz wszystkie narzędzia AI, których firma realnie używa w pracy, także te mniej oczywiste: czat w przeglądarce, wtyczkę AI w poczcie, moduł w programie księgowym, automatyczną transkrypcję spotkań, generator grafik czy asystenta w narzędziu do rekrutacji. Liczy się faktyczne użycie w zadaniach firmowych, nie to, czy narzędzie kupiono oficjalnie.

W praktyce małej firmy „system AI” rzadko wygląda jak system. Częściej to funkcja schowana w czymś, co firma i tak ma:

• czat ogólnego przeznaczenia, z którego korzysta się w przeglądarce,
• podpowiedzi i streszczenia AI w skrzynce mailowej,
• moduł analityczny albo opisujący w programie księgowym lub magazynowym,
• transkrypcja i notatki ze spotkań online,
• narzędzia marketingowe generujące teksty i grafiki,
• filtry i oceny w narzędziach rekrutacyjnych.

Dwie zasady porządkujące. Po pierwsze, jeden wiersz na zastosowanie, nie na narzędzie: jeśli ten sam czat służy do pisania ofert i do przeglądania CV kandydatów, rozpisz to w dwóch wierszach, bo różni się waga, dane i właściciel. Po drugie, spisz również to, czego pracownicy używają na prywatnych kontach do zadań firmowych. Rejestr, który obejmuje tylko narzędzia „oficjalne”, opisuje firmę, która nie istnieje.

Osobną uwagę poświęć zastosowaniom, które dotykają decyzji o ludziach: rekrutacji, oceny pracowników, decyzji o klientach. Rejestr ich nie zakazuje i nie klasyfikuje, ale takie zastosowania oznaczysz flagą jako wymagające weryfikacji, bo tego rodzaju użycia AI Act zwykle traktuje ostrzej.

Jak zrobić rejestr systemów AI krok po kroku?

Rejestr budujesz w pięciu krokach: zbierz od zespołu listę narzędzi, rozpisz każde na zastosowania, wypełnij dla każdego zastosowania jeden wiersz tabeli, dodaj metryczkę wersji i wyznacz właściciela rejestru z terminem przeglądu. Do wypełnienia wierszy wystarczy tabela z ośmioma kolumnami, którą znajdziesz poniżej.

1. Zapytaj zespół, czego używa. Wprost, bez tonu kontroli: chodzi o spisanie stanu, nie o szukanie winnych.
2. Rozpisz narzędzia na zastosowania. Jeden wiersz na zastosowanie.
3. Wypełnij kolumny tabeli dla każdego wiersza. Czego nie wiesz, zostaw jako jawną lukę do uzupełnienia, nie zgaduj.
4. Dodaj metryczkę wersji nad tabelą.
5. Wyznacz właściciela rejestru i datę następnego przeglądu.

Jakie kolumny ma sensowny rejestr

Struktura poniżej pochodzi z metodyki, której autorstwo opisuje nota na końcu artykułu. Możesz ją przepisać do dowolnego arkusza albo dokumentu:

Krótko o kolumnach, które budzą najwięcej pytań:

• Dane: zapisz, czy w narzędziu lądują dane osobowe i czyje (pracowników, klientów, kandydatów). To pole łączy rejestr z Twoimi obowiązkami z RODO.
• Nasza rola: czy firma tylko korzysta z gotowego narzędzia, czy też sama je tworzy, istotnie modyfikuje albo sprzedaje pod swoją marką. Od roli zależy zakres obowiązków pod AI Act. Większość małych firm korzystających z gotowych czatów to podmioty stosujące, ale ostateczna kwalifikacja roli należy do prawnika, więc zapisz swoją odpowiedź jako wstępną, do weryfikacji.
• Umowa powierzenia: jeśli narzędzie przetwarza dane osobowe, odnotuj, czy z dostawcą jest umowa powierzenia. Gdy nie wiesz, wpisz „sprawdzić” i skieruj pytanie do prawnika albo inspektora ochrony danych. Nie przesądzaj w żadną stronę.
• Flaga: ta kolumna nie orzeka kategorii ryzyka i nie przypisuje wag typu „niska” czy „wysoka”. Zapisujesz w niej skutkiem, czy zastosowanie wymaga uwagi i dlaczego: „decyzje o ludziach, zwykle traktowane ostrzej, do weryfikacji” albo „zwykłe wsparcie, do potwierdzenia”. Rozstrzygnięcie zostawiasz prawnikowi.

Metryczka wersji, żeby rejestr nie umarł w szufladzie

Rejestr żyje: firma dokłada narzędzia, prawo się zmienia. Dokument bez daty i numeru wersji po roku jest bezużyteczny, bo nikt nie wie, czy jest aktualny. Nad tabelą umieść metryczkę: numer wersji, data utworzenia, właściciel rejestru, data następnego przeglądu i historia zmian. Przy każdej aktualizacji podbij numer i dopisz jedno zdanie, co się zmieniło.

Ten rejestr możesz spisać ręcznie według powyższej tabeli. Możesz też pozwolić, żeby przeprowadził Cię przez to skill Polityka AI, który zadaje te same pytania na realiach Twojej firmy i strukturyzuje odpowiedzi, ale niczego za Ciebie nie orzeka. Bezpłatny trial buduje właśnie rejestr: skille.aixperts.pl/skill/polityka-ai.

Czego rejestr sam nie załatwia

Rejestr to jedna piąta kompletu dokumentacji, o której mówi się przy AI Act w małej firmie. Warto wiedzieć, czego w nim celowo nie ma:

• Polityki dla pracowników: rejestr mówi, czego firma używa, polityka mówi, na jakich zasadach wolno.
• Klauzuli AI do umów: to zawsze szkic do domknięcia z prawnikiem, nigdy gotowy zapis do podpisu, bo dotyczy drugiej strony umowy.
• Zestawienia z praktykami zakazanymi: rejestr trzeba przejrzeć pod kątem zastosowań, których AI Act zakazuje, i oznaczyć czerwone flagi do weryfikacji.
• Ścieżki reakcji na incydent: co robić, gdy AI zawiedzie, kto zatrzymuje narzędzie, kogo się powiadamia.
• Oceny ryzyka i zgodności: rejestr strukturyzuje, nie orzeka. Porządkuje stan faktyczny i wskazuje, co sprawdzić z prawnikiem, ale nie stwierdza „jesteśmy zgodni z AI Act”. Takiego zdania nie da Ci żaden dokument spisany samodzielnie, daje je dopiero ocena osoby z odpowiedzialnością zawodową.

Jest jeszcze jedna rzecz, której nie załatwi żaden dokument: kompetencje ludzi. AI Act wymaga, żeby osoby pracujące z AI rozumiały, czego używają. Rejestr i polityka opisują zasady, ale kompetencje buduje przeszkolenie zespołu, nie kolejny plik w folderze.

Od kiedy obowiązują przepisy AI Act?

AI Act już obowiązuje, a jego wymogi wchodzą w życie etapami: różne grupy obowiązków mają różne daty rozpoczęcia stosowania, zależne między innymi od roli firmy i rodzaju systemu. Konkretnych dat nie podajemy tu z pamięci. Stan na 21 sierpnia 2026; harmonogram i aktualne brzmienie przepisów sprawdzisz na biznes.gov.pl oraz w tekście rozporządzenia.

Z perspektywy małej firmy praktyczny wniosek jest prosty: nie ma na co czekać. Spis stanu faktycznego przyda się niezależnie od tego, która data dotyczy akurat Twojej roli i Twoich zastosowań. Rejestr zrobiony dziś będzie fundamentem rozmowy z prawnikiem jutro, a bez niego każda taka rozmowa zaczyna się od zera.

Dwie rzeczy warto przy tym wiedzieć, obie do samodzielnego sprawdzenia u źródła. Po pierwsze, AI Act zawiera listę praktyk zakazanych, czyli zastosowań AI, których nie wolno stosować w ogóle; rejestr warto przejrzeć pod ich kątem, a aktualną listę znajdziesz w tekście rozporządzenia i materiałach Komisji Europejskiej. Po drugie, nadzór nad rynkiem AI sprawują organy krajowe; informacji o polskim organie nadzoru i bieżących obowiązkach szukaj na gov.pl i biznes.gov.pl, stan na 21 sierpnia 2026.

Co dalej po rejestrze

Masz strukturę: osiem kolumn, jeden wiersz na zastosowanie, metryczka wersji, flagi zamiast orzeczeń. Spisanie pierwszej wersji w małej firmie to zwykle jedno popołudnie i kilka rozmów z zespołem. To dobrze zainwestowany czas, bo każdy kolejny krok, od polityki po rozmowę z prawnikiem, opiera się na tym spisie.

Rejestr to jedna piąta kompletu. Jeśli chcesz przejść całość prowadzony pytaniami, skill Polityka AI buduje rejestr, politykę dla pracowników, klauzulę do umów, listę praktyk zakazanych i ścieżkę incydentu. Zacznij od bezpłatnego triala: podajesz e-mail, link do pliku przychodzi mailem. Szczegóły: skille.aixperts.pl/skill/polityka-ai.

Pytania i odpowiedzi