Po co samodzielny audyt przed zewnętrznym
Zanim zamówisz zewnętrzny audyt czy pakiet wdrożeniowy, warto samodzielnie przejść przez podstawową checklistę. Po pierwsze, część braków da się wychwycić i naprawić bez pomocy z zewnątrz. Po drugie, świadomość własnych braków pozwala trafniej rozmawiać z dostawcą usługi zgodności, zamiast kupować “wszystko na wszelki wypadek”. Poniższa checklista nie zastępuje pełnego audytu, ale daje uczciwy, wstępny obraz sytuacji firmy w kilkanaście minut.
Każdy punkt możesz oznaczyć jako spełniony, częściowo spełniony albo niespełniony. Im więcej punktów niespełnionych, tym pilniejsza potrzeba uporządkowania tematu.
Checklista: 15 punktów
- Rejestr systemów AI istnieje i jest aktualny. Firma ma spisane, jakich narzędzi AI używa, do czego i kto za nie odpowiada. Zobacz Rejestr systemów AI.
- Przeprowadzono ankietę zespołu w kierunku shadow AI. Firma sprawdziła, czy pracownicy używają narzędzi AI nieformalnie, poza oficjalną listą. Zobacz Shadow AI w firmie.
- Chatbot na stronie jest oznaczony. Jeśli firma ma widget czatu, pierwsza wiadomość albo widoczny element jasno wskazuje na sztuczny charakter rozmówcy. Zobacz Jak oznaczyć chatbota.
- Wysłano zapytanie do dostawcy chatbota o zgodność z art. 50. Firma ma pisemne potwierdzenie albo próbę wyjaśnienia możliwości oznaczenia. Zobacz E-mail do dostawcy chatbota.
- Grafiki generowane przez AI są oznaczone. Zdjęcia produktowe, materiały reklamowe i inne grafiki syntetyczne mają widoczne oznaczenie. Zobacz Oznaczanie AI-generowanych zdjęć produktowych.
- Materiały wideo z lektorem AI albo awatarami są oznaczone. Zobacz Lektor AI i awatary w wideo.
- Istnieje pisemna polityka korzystania z AI. Zespół wie, jakie narzędzia są dozwolone i jakich danych nie wolno wprowadzać do publicznych modeli. Zobacz Polityka korzystania z AI.
- Zespół przeszedł udokumentowane szkolenie z art. 4. Lista obecności, materiały i potwierdzenie ukończenia są zebrane. Zobacz Szkolenie zespołu z art. 4.
- Nowi pracownicy przechodzą szkolenie z AI jako element wdrożenia. Nie tylko osoby zatrudnione przed wprowadzeniem polityki.
- Firma wie, czy używa systemów wysokiego ryzyka. Rekrutacja, ocena pracowników czy scoring klientów wspierane przez AI zostały ocenione pod kątem kategorii ryzyka. Zobacz Systemy wysokiego ryzyka.
- Firma ma jasność, czy jest dostawcą czy stosującym dla każdego używanego systemu. Zobacz Dostawca vs stosujący.
- Istnieje strona transparentności albo równoważna informacja publiczna. Klient może w jednym miejscu sprawdzić, jak firma korzysta z AI. Zobacz Strona transparentności /ai.
- Dokumentacja zgodności jest zebrana w jednym, uporządkowanym miejscu. Nie rozproszona między skrzynkami mailowymi i dyskami poszczególnych osób. Zobacz Teczka dowodowa.
- Wyznaczono osobę odpowiedzialną za bieżącą aktualizację dokumentacji AI. Nie “każdy po trochu”, tylko konkretna osoba z jasnym zakresem odpowiedzialności.
- Firma zna terminy kluczowych obowiązków i kontroli. Zna daty wejścia w życie kolejnych przepisów i orientacyjny termin, od którego kontrole ruszają na dobre. Zobacz Kalendarz wejścia w życie AI Act.
Jak interpretować wynik
| Liczba niespełnionych punktów | Co to oznacza |
|---|---|
| 0-2 | Firma ma solidne podstawy, warto dopiąć ostatnie szczegóły i utrzymać regularność aktualizacji |
| 3-6 | Podstawy istnieją, ale są luki, które warto uzupełnić w najbliższych tygodniach |
| 7-11 | Znacząca część obowiązków jest nieuporządkowana, warto potraktować to priorytetowo |
| 12-15 | Temat praktycznie nietknięty, potrzebne systematyczne wdrożenie od podstaw |
Najczęstszy błąd przy samodzielnym audycie: ocenianie punktów “na oko”, bez faktycznego sprawdzenia (np. otwarcia strony w trybie incognito, żeby zobaczyć, czy chatbot rzeczywiście się oznacza). Deklaratywna ocena “chyba tak” nie jest tym samym co realna weryfikacja.
Co zrobić z wynikiem checklisty
- Wypisz wszystkie punkty oznaczone jako niespełnione albo częściowo spełnione.
- Uszereguj je według pilności: obowiązki już obowiązujące (jak kompetencje z art. 4) mają wyższy priorytet niż te z odleglejszym terminem.
- Dla każdego punktu przypisz osobę odpowiedzialną i orientacyjny termin realizacji.
- Powtórz checklistę po wdrożeniu poprawek, żeby potwierdzić realny postęp, nie tylko deklarację.
Jak przeprowadzić przegląd w praktyce, krok po kroku
- Zarezerwuj sobie 30-45 minut bez przerywania, checklista wymaga chwili skupienia, nie da się jej rzetelnie zrobić między innymi zadaniami.
- Przejdź punkt po punkcie, sprawdzając realny stan rzeczy, nie polegając na pamięci czy założeniach (“chyba mamy politykę, ktoś to kiedyś pisał”). Tam gdzie to możliwe, otwórz faktyczny dokument albo stronę i zweryfikuj wprost.
- Zapisz wynik dla każdego punktu w prostej tabeli: spełniony, częściowo spełniony, niespełniony, razem z krótką notatką, co dokładnie brakuje.
- Nie poprawiaj braków w trakcie przeglądu, dokończ najpierw całą checklistę, żeby mieć pełny, uczciwy obraz sytuacji, zanim zaczniesz naprawiać pojedyncze punkty.
Kiedy warto sięgnąć po zewnętrzny audyt
Samodzielna checklista dobrze sprawdza się jako pierwszy krok, ale nie zastępuje pełnej oceny, zwłaszcza gdy firma ma więcej niż kilka punktów niespełnionych albo gdy pojawiają się wątpliwości dotyczące systemów wysokiego ryzyka. W takiej sytuacji audyt strony daje konkretną ocenę punktową i listę braków, a pełne wdrożenie poprawek, łącznie z dokumentacją, obejmuje Sprint AI Act. Ile dokładnie kosztują poszczególne kroki, rozpisuje artykuł Ile kosztuje zgodność z AI Act.
Najczęściej zadawane pytania
Czy ta checklista zastępuje pełny audyt prawny?
Nie. To narzędzie do samodzielnej, wstępnej orientacji, nie formalna ocena zgodności. Dla pełnej pewności, zwłaszcza przy bardziej złożonych sytuacjach (np. systemy wysokiego ryzyka), warto skonsultować się z radcą prawnym lub skorzystać z pełnego audytu.
Jak często powtarzać checklistę?
Raz na kwartał to rozsądny rytm dla większości firm, częściej jeśli firma dynamicznie zmienia narzędzia AI, rzadziej dla bardzo stabilnych, małych zespołów z ograniczonym użyciem AI.
Co jeśli firma nie używa żadnych narzędzi AI?
Warto to zweryfikować przez pryzmat shadow AI, zanim uzna się checklistę za nieaktualną, bo bardzo często okazuje się, że jakaś forma AI jest już w użyciu, nawet jeśli formalnie nikt tego nie zauważył. Zobacz Shadow AI w firmie.
Czy to jest porada prawna?
Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę zgodności konkretnej firmy z AI Act powinien przeprowadzić radca prawny lub adwokat.