Inwentaryzacja systemów AI: zadanie, którego omnibus nie odroczył
Digital Omnibus on AI, czyli rozporządzenie (UE) 2026/1744 z 8 lipca 2026 r., które wchodzi w życie 27 lipca, przesuwa termin cytowany na każdym posiedzeniu: systemy wysokiego ryzyka z załącznika III do AI Act (rozporządzenie (UE) 2024/1689) dostają czas do 2 grudnia 2027 r. zamiast 2 sierpnia 2026 r. Część zarządów czyta to jako pozwolenie na wolniejsze tempo. Jedno zadanie zostaje na starym zegarze: inwentaryzacja faktycznie używanych systemów AI, bo bez niej nie da się ustalić, który termin w ogóle dotyczy spółki.
Lista decyduje, które przepisy stosuje się do spółki
AI Act rozdziela obowiązki według roli i klasy ryzyka. Dostawca systemu wysokiego ryzyka niesie najcięższy pakiet, podmiot stosujący lżejszy, a firma korzystająca z chatbota odpowiada głównie za przejrzystość z art. 50. Żadnej z tych etykiet nie przypisze się abstrakcyjnie; każda przylega do konkretnego systemu, o konkretnym celu i na konkretnych danych. Wyobraźcie sobie posiedzenie, na którym pada pytanie: ile systemów AI mamy w firmie? CIO mówi, że cztery. Szefowa HR dodaje, że platforma rekrutacyjna „jakoś punktuje kandydatów”. Marketing od kwartału generuje treści w swoim pakiecie do planowania. Wreszcie ktoś otwiera zestawienie wydatków i znajduje kilkadziesiąt subskrypcji SaaS, z których spora część dodała funkcje AI w ostatnim roku bez podpisania nowej umowy. Odległość między oficjalną odpowiedzią a realną listą to faktyczna ekspozycja spółki na AI Act i to zarząd odpowiada za tę lukę, bo to on przydziela właścicieli i budżet.
Co omnibus przesunął, a czego nie ruszył
Omnibus przesuwa zgodność systemów wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., a systemów wbudowanych w produkty regulowane z załącznika I na 2 sierpnia 2028 r. Systemy wprowadzone na rynek przed 2 sierpnia 2026 r. dostają czas do 2 grudnia 2026 r. na obowiązki z art. 50. Reszta stoi, jak stała. Praktyki zakazane stosuje się od 2 lutego 2025 r. Obowiązki dla modeli AI ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 r. Systemy wprowadzane na rynek od 2 sierpnia 2026 r. muszą spełniać art. 50 od pierwszego dnia: informowanie użytkownika, że rozmawia z maszyną, maszynowo odczytywalne oznaczanie treści syntetycznych, oznaczanie deepfake’ów. Dla firmy z chatbotem obsługi klienta albo generatorem treści operacyjne terminy to kwestia dni, niezależnie od losów załącznika III.
Inwentaryzacja do zrobienia w dwa tygodnie
Tydzień pierwszy to zbieranie. Cztery źródła łapią niemal wszystko: dane zakupowe i zestawienia wydatków, rejestr zasobów IT, segregator umów SaaS oraz krótka ankieta do szefów zespołów z pytaniem, które narzędzia punktują, szeregują, generują, przewidują albo decydują. Każde trafienie zapisujcie w minimalnym rekordzie: cel, dane na wejściu i wyjściu, rola spółki (dostawca czy podmiot stosujący), dostawca rozwiązania, użytkownicy, właściciel wewnętrzny. Tydzień drugi to segregacja: podział listy na sprawdzenia pod kątem praktyk zakazanych, kandydatów z załącznika III, systemy z obowiązkami z art. 50 i resztę, plus oznaczenie narzędzi zbudowanych na modelach ogólnego przeznaczenia. Wynik to jeden rejestr i jedna strona otwartych pytań. Bez tego kroku data 2027 nic wam nie mówi, bo nadal nie wiecie, czy to wasza data.
Co rekomendujemy teraz
Wszystkie pięć kroków mieści się w oknie dwóch tygodni:
- Wyznaczcie w tym tygodniu jednego właściciela rejestru AI i dajcie mu mandat do odpytania każdego zespołu, z HR i marketingiem włącznie.
- Ściągnijcie w kilka dni cztery listy źródłowe: wydatki, zasoby IT, umowy SaaS, ankieta zespołów.
- Zapisujcie każdy system w minimalnym rekordzie; na start wystarczy arkusz.
- Zróbcie wstępną klasyfikację i oznaczcie wszystko, co dotyka art. 50: chatboty, generowanie treści, media syntetyczne, a do tego narzędzia oparte na modelach ogólnego przeznaczenia.
- Wnieście rejestr na najbliższe posiedzenie z terminem przypisanym do każdego systemu i ustalcie kwartalną aktualizację.
Źródła: Rozporządzenie (UE) 2026/1744 (EUR-Lex) · Komisja Europejska: ramy regulacyjne dla AI