Po co w ogóle rejestr

Rejestr systemów AI to jeden dokument, od którego w praktyce zaczyna się cała reszta dokumentacji zgodności. Zanim ocenisz, jakie masz obowiązki (oznaczenie, szkolenie, ocena ryzyka), musisz wiedzieć, jakich narzędzi AI Twoja firma w ogóle używa. Brzmi to jak formalność, ale w większości małych i średnich firm nikt nigdy nie spisał tego w jednym miejscu, więc pierwsza wersja rejestru jest zwykle sporym zaskoczeniem: chatbot na stronie, ChatGPT w marketingu, generator grafik w social media, narzędzie do transkrypcji spotkań, czasem system rekrutacyjny z automatyczną wstępną selekcją CV.

Bez rejestru nie da się rzetelnie przejść przez checklistę audytu AI Act ani sensownie zaplanować szkolenia zespołu z art. 4, bo nie wiadomo, czego dotyczy szkolenie.

Co dokument musi zawierać

Minimalny, praktyczny rejestr powinien mieć dla każdego systemu AI następujące pola:

Pole Co wpisać
Nazwa narzędzia Np. ChatGPT, Midjourney, widget czatu Tidio
Cel użycia Do czego faktycznie służy w firmie (np. pisanie ofert, obsługa klienta, generowanie grafik)
Dostawca Firma stojąca za narzędziem
Dział/osoba odpowiedzialna Kto w firmie korzysta i kto odpowiada za jego prawidłowe użycie
Poziom ryzyka Minimalne, ograniczone czy wysokie, wg klasyfikacji z Czterech poziomów ryzyka
Status oznaczenia Czy wymaga ujawnienia i czy zostało wdrożone
Data ostatniej weryfikacji Kiedy sprawdzano ten wpis

Przykładowy wzór w markdown

Poniższą tabelę możesz skopiować jako punkt wyjścia i uzupełnić danymi swojej firmy:

| Narzędzie | Cel użycia | Dostawca | Odpowiedzialny | Ryzyko | Oznaczenie | Ostatnia weryfikacja |
| --- | --- | --- | --- | --- | --- | --- |
| Widget czatu na stronie | Obsługa pierwszego kontaktu z klientem | Tidio | Dział obsługi klienta | Ograniczone | Wdrożone 12.05.2026 | 12.05.2026 |
| ChatGPT | Pisanie ofert i maili | OpenAI | Dział sprzedaży | Minimalne | Nie dotyczy | 03.04.2026 |
| Generator grafik | Zdjęcia produktowe do sklepu | Midjourney | Dział marketingu | Ograniczone | W trakcie wdrażania | 03.04.2026 |

Rejestr nie musi być rozbudowanym systemem informatycznym. Dla firmy do kilkudziesięciu osób w zupełności wystarczy arkusz kalkulacyjny albo prosty dokument współdzielony, o ile jest regularnie aktualizowany i dostępny dla osoby odpowiedzialnej za zgodność.

Jak zbudować pierwszą wersję krok po kroku

  1. Wypisz wszystkie narzędzia AI, o których wiesz z góry: chatbot, generatory treści, narzędzia analityczne z komponentem AI.
  2. Rozeslij krótką ankietę do zespołu z pytaniem, jakich narzędzi AI używają w codziennej pracy, nawet nieformalnie. Ten krok często ujawnia najwięcej, bo pracownicy sami instalują narzędzia bez zgłaszania tego nikomu, zjawisko opisane szerzej w artykule Shadow AI w firmie.
  3. Dla każdego zidentyfikowanego narzędzia uzupełnij pola z tabeli powyżej.
  4. Oceń poziom ryzyka każdego wpisu, korzystając z kryteriów opisanych w artykule o poziomach ryzyka.
  5. Wskaż jedną osobę odpowiedzialną za cały rejestr, nie tylko za poszczególne wpisy, żeby dokument miał właściciela.

Jak regularnie go aktualizować

Rejestr, który powstał raz i nigdy nie był aktualizowany, jest praktycznie bezużyteczny przy kontroli, bo pokazuje stan sprzed miesięcy, nie faktyczny. Praktyczne zasady utrzymania:

  • Ustal stały rytm przeglądu, na przykład raz na kwartał, niezależnie od tego, czy coś się zmieniło.
  • Dodawaj wpis od razu, gdy firma zaczyna korzystać z nowego narzędzia AI, nie czekaj do najbliższego przeglądu kwartalnego.
  • Przy każdej aktualizacji zapisuj datę, żeby rejestr sam dokumentował swoją historię.
  • Po każdej zmianie dostawcy widgetu czatu albo narzędzia do generowania treści sprawdź, czy zmieniły się warunki i sposób realizacji obowiązku ujawnienia.

Najczęstszy błąd: rejestr obejmujący tylko narzędzia zakupione formalnie przez dział IT albo zarząd, pomijający te, które zespół zaczął używać sam, bez zgłoszenia. To właśnie one najczęściej wychodzą na jaw dopiero przy kontroli.

Kto powinien mieć wgląd do rejestru

Rejestr nie musi być tajny, ale nie musi też być dostępny dla całej firmy w formie edytowalnej przez każdego. Praktyczny podział: osoba odpowiedzialna za rejestr ma pełne prawa edycji, kierownicy działów mają wgląd do fragmentów dotyczących ich zespołu (żeby móc zgłaszać zmiany), a zarząd ma dostęp do całości, choćby tylko do odczytu, żeby w każdej chwili móc zorientować się w skali wykorzystania AI w firmie. Zbyt szeroki dostęp do edycji zwiększa ryzyko przypadkowych, niekontrolowanych zmian, a zbyt wąski utrudnia bieżące zgłaszanie nowych narzędzi przez zespół.

Rejestr jako fundament reszty dokumentacji

Rejestr systemów AI to punkt wyjścia dla innych dokumentów zgodności, nie osobna, izolowana formalność. Na jego podstawie budujesz politykę korzystania z AI, planujesz zakres szkolenia zespołu i kompletujesz teczkę dowodową na wypadek kontroli. Jeśli wolisz mieć gotowy szablon rejestru dopasowany do swojej branży zamiast budować go od zera, wchodzi on w skład Pakietu Zgodności.

Najczęściej zadawane pytania

Czy rejestr systemów AI jest prawnie wymagany wprost przez AI Act?

AI Act nie nakazuje wprost prowadzenia dokumentu o tej dokładnej nazwie dla stosujących spoza kategorii wysokiego ryzyka. W praktyce jednak bez takiego zestawienia trudno wykazać, że firma w ogóle wie, jakich narzędzi AI używa, a to jest punkt wyjścia do spełnienia pozostałych obowiązków i do przygotowania się na ewentualną kontrolę.

Czy muszę wpisywać do rejestru narzędzia, z których korzysta jedna osoba sporadycznie?

Tak, jeśli narzędzie ma komponent AI i jest używane w kontekście firmowym, nawet rzadko. Sporadyczne użycie nie zwalnia z obowiązku, a często to właśnie takie pojedyncze przypadki są najtrudniejsze do wychwycenia bez rejestru.

Kto powinien prowadzić rejestr w małej firmie bez działu compliance?

Najczęściej osoba zarządzająca albo wyznaczony pracownik odpowiedzialny za IT czy administrację. Ważne, żeby była to jedna, jasno wskazana osoba, a nie “każdy po trochu”, bo wtedy dokument szybko traci aktualność.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę zgodności konkretnej dokumentacji z AI Act powinien przeprowadzić radca prawny lub adwokat.