Zgodność z AI Act: analiza luk krok po kroku
Analiza luk pod kątem AI Act porównuje to, jak firma dziś buduje, kupuje i wykorzystuje AI, z obowiązkami rozporządzenia (UE) 2024/1689, które jej faktycznie dotyczą. Efektem jest rejestr systemów AI, klasyfikacja ryzyka każdego z nich, właściciel każdej luki i plan naprawczy z datami. To punkt wyjścia do świadomego AI governance, a nie jednorazowy audyt.
Najważniejsze informacje
- Dobra analiza luk ma siedem etapów: zakres i inwentaryzacja, klasyfikacja ryzyka, ustalenie roli, ocena luk dla każdego obowiązku, priorytety, plan naprawczy i dowody.
- Część obowiązków już obowiązuje: zakazane praktyki (art. 5) i kompetencje w zakresie AI (art. 4) od 2 lutego 2025 r., przejrzystość z art. 50 od 2 sierpnia 2026 r.
- Po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744 obowiązki dla systemów AI wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r., a z załącznika I od 2 sierpnia 2028 r.
- W Polsce od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) może prowadzić kontrole i nakładać kary.
- Najczęstsze luki są prozaiczne: brak rejestru AI, brak polityki korzystania z AI, shadow AI, brak weryfikacji dostawców i brak śladu po szkoleniach.
Dlaczego analiza luk właśnie teraz
AI Act obowiązuje od 1 sierpnia 2024 r. i jest stosowany etapami. W październiku 2026 r. większość organizacji ma już do spełnienia trzy grupy obowiązków. Zakaz stosowania zakazanych praktyk w zakresie AI i obowiązek dotyczący kompetencji w zakresie AI działają od lutego 2025 r. Dostawcy modeli AI ogólnego przeznaczenia mają swoje obowiązki od sierpnia 2025 r. Od 2 sierpnia 2026 r. stosuje się art. 50, czyli obowiązki w zakresie przejrzystości dla chatbot ów, deepfake’ów i treści generowanych przez AI. Digital Omnibus ich nie przesunął.
Przesunięty został reżim wysokiego ryzyka. Szczegóły zmian opisujemy w artykule co zmienił Digital Omnibus w AI Act, a pełny kalendarz w zestawieniu kiedy AI Act wchodzi w życie. Dodatkowy czas ma sens tylko wtedy, gdy zostanie wykorzystany. Analiza luk pokazuje, który termin dotyczy którego systemu i ile pracy dzieli firmę od tej daty. Jeśli potrzebne jest najpierw ogólne tło, warto zacząć od przewodnika po AI Act.
Do tego dochodzi polski nadzór. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) ustanowiła KRiBSI organem nadzoru rynku. Przepisy o kontroli, postępowaniu i karach weszły w życie 28 października 2026 r. Od tego dnia komisja może poprosić o dokumenty, a pierwszym, o co zapyta, będzie zwykle wykaz systemów AI i dowody działań. Więcej o tym w artykule o ustawie o systemach sztucznej inteligencji i KRiBSI.
Analizę można przeprowadzić w arkuszu i na warsztatach albo zacząć od ustrukturyzowanego kwestionariusza. Bezpłatna ocena AI governance i gotowości na AI Act od Opsio prowadzi przez 14 kroków (ok. 40 minut), ocenia dojrzałość organizacji w dziesięciu obszarach i daje rozsądny punkt startowy dla metody opisanej niżej.
Potrzebujecie wsparcia ekspertów w tym obszarze?
Nasi architekci chmury pomogą Wam — od strategii po wdrożenie. Zarezerwujcie bezpłatną 30-minutową konsultację bez zobowiązań.
Analiza luk, ocena gotowości czy audyt zgodności?
Te trzy pojęcia opisują to samo ćwiczenie z różnych stron:
- Analiza luk (gap analysis) skupia się na różnicy między stanem obecnym a wymaganym, obowiązek po obowiązku.
- Ocena gotowości mierzy dojrzałość: na ile zarządzanie, ludzie i procesy są przygotowane na kolejne terminy.
- Audyt zgodności (compliance AI) to zwykle sprawdzenie konkretnego systemu względem konkretnych wymagań w danym momencie.
Żadne z nich nie jest oceną zgodności w rozumieniu art. 43 AI Act. To formalna procedura, którą dostawca systemu AI wysokiego ryzyka przechodzi przed wprowadzeniem go do obrotu, czasem z udziałem jednostki notyfikowanej. Analiza luk podpowiada, czy taka ocena będzie potrzebna i co musi być gotowe, zanim się zacznie.
Metoda w siedmiu krokach
Krok 1. Zakres i inwentaryzacja systemów AI
Najpierw trzeba ustalić, które spółki, działy i rynki obejmuje analiza. AI Act sięga poza UE, więc spółka-matka spoza Unii, której wyniki AI trafiają do klientów w Polsce, też może być objęta. Potem powstaje lista wszystkich systemów AI, które firma rozwija, kupuje, osadza w produktach albo na które pozwala pracownikom. Obok oczywistych pozycji, takich jak chatbot obsługi klienta, Microsoft 365 Copilot czy moduł preselekcji CV, trzeba szukać funkcji AI włączonych domyślnie w aplikacjach SaaS, wtyczek przeglądarki i modeli wywoływanych przez API. Jak to zrobić systematycznie, opisujemy w tekście o shadow AI i rejestrze systemów AI.
Krok 2. Klasyfikacja ryzyka
Każdy wpis w rejestrze trafia do jednej z kategorii: praktyka zakazana, system AI wysokiego ryzyka, system z obowiązkami przejrzystości albo ryzyko minimalne. Najtrudniejsze decyzje zapadają na granicy wysokiego ryzyka. Narzędzie, które szereguje kandydatów do pracy, mieści się w pkt 4 załącznika III. Narzędzie, które tylko pisze treść ogłoszenia rekrutacyjnego, zwykle nie. Zapisuje się uzasadnienie, a nie tylko wynik, bo przy wyjątku z art. 6 ust. 3 dostawca musi swoją ocenę udokumentować.
Krok 3. Rola firmy przy każdym systemie
Obowiązki zależą od roli, a rola może być inna dla każdego systemu. Ta sama firma bywa podmiotem stosującym Copilota i jednocześnie dostawcą chatbota, którego jej zespół zbudował na dużym modelu językowym. Art. 25 zawiera pułapkę: podmiot stosujący, który umieszcza własną nazwę na systemie wysokiego ryzyka, istotnie go modyfikuje albo zmienia jego przeznaczenie tak, że staje się on systemem wysokiego ryzyka, jest traktowany jak dostawca.
Krok 4. Ocena luki dla każdego obowiązku
Teraz każdy system, z kategorią i rolą, porównuje się z wynikającymi z nich obowiązkami. Dla podmiotu stosującego system wysokiego ryzyka podstawą jest art. 26: korzystanie zgodnie z instrukcją dostawcy, nadzór człowieka powierzony osobom z odpowiednimi kompetencjami i uprawnieniami, adekwatne dane wejściowe, monitorowanie działania, przechowywanie logów co najmniej przez sześć miesięcy, poinformowanie pracowników i ich przedstawicieli przed użyciem systemu w miejscu pracy oraz informowanie osób, których decyzje dotyczą. Podmioty publiczne, firmy świadczące usługi publiczne, a także banki oceniające zdolność kredytową i ubezpieczyciele wyceniający ubezpieczenia na życie i zdrowotne potrzebują ponadto oceny skutków dla praw podstawowych (FRIA).
Dla każdego obowiązku warto zapisać trzy rzeczy: co istnieje dziś, czego brakuje i jaki dowód potwierdzi zamknięcie luki. „Mamy nadzór człowieka” to opis stanu. „Wyznaczona osoba z prawem zmiany decyzji, przeszkolona, z rejestrem interwencji” to stan docelowy.
Krok 5. Priorytety według terminów i ryzyka
Nie każda luka jest równie pilna. Najprościej uszeregować je według daty, od której obowiązek ma zastosowanie, i według szkody, jaką może wyrządzić zaniedbanie.
| Priorytet | Obowiązki | Stosuje się od | Dlaczego teraz |
|---|---|---|---|
| P1 – zaległe | Zakazane praktyki (art. 5), kompetencje w zakresie AI (art. 4) | 2 lutego 2025 r. | Najwyższe kary; KRiBSI może kontrolować od 28 października 2026 r. |
| P1 – zaległe | Przejrzystość: chatboty, deepfake, oznaczanie treści (art. 50) | 2 sierpnia 2026 r. | Widoczne dla klientów i łatwe do sprawdzenia przez organ |
| P2 – wkrótce | Nowe zakazy: aplikacje „rozbierające”, materiały CSAM; koniec okresu przejściowego dla znakowania maszynowego | 2 grudnia 2026 r. | Dotyczy głównie dostawców narzędzi generatywnych |
| P3 – planowane | Systemy wysokiego ryzyka z załącznika III, w tym FRIA | 2 grudnia 2027 r. | Długi czas przygotowania: umowy, logi, nadzór, szkolenia |
| P4 – planowane | Systemy wysokiego ryzyka z załącznika I (AI w produktach) | 2 sierpnia 2028 r. | Powiązane z oceną zgodności produktu |
W obrębie jednej kategorii pierwszeństwo mają systemy, które wpływają na ludzi: rekrutacja, kredyty, dostęp do usług.
Krok 6. Plan naprawczy z właścicielami
Każda luka dostaje konkretną osobę odpowiedzialną, termin i miarę zamknięcia. Typowy plan w średniej firmie zawiera: politykę korzystania z AI dla pracowników, rejestr systemów AI z procesem aktualizacji, program szkoleń zróżnicowany według ról, procedurę oceny nowych narzędzi przed zakupem, klauzule AI w umowach z dostawcami, zasady informowania klientów o chatbotach i oznaczania treści oraz procedurę zgłaszania incydentów. Gdzie AI dotyka danych osobowych, plan łączy się z RODO: rejestrem czynności przetwarzania, DPIA i umowami powierzenia.
Krok 7. Dowody
Luka jest zamknięta dopiero wtedy, gdy da się to wykazać. Dowodem jest zatwierdzona polityka z datą, lista obecności i materiały ze szkoleń, protokół z oceny dostawcy, zrzut ekranu z komunikatem „rozmawiasz z asystentem AI”, wpis w rejestrze z datą przeglądu. Polska ustawa przewiduje, że kontrola KRiBSI jest co do zasady prowadzona zdalnie, po zawiadomieniu co najmniej siedem dni wcześniej, a kontrolujący może żądać dokumentów i dostępu do systemów. Uporządkowane dowody skracają taką kontrolę z tygodni do dni.
Najczęstsze luki w polskich firmach
W praktyce, niezależnie od branży, powtarzają się te same braki:
- Brak rejestru AI. Dział IT zna licencje, ale nie wie o funkcjach AI w systemie kadrowym ani o prywatnych kontach ChatGPT.
- Brak zasad dla pracowników. Nikt nie napisał, czego nie wolno wklejać do narzędzi AI. Wzór takiego dokumentu z przykładowymi zapisami znajduje się w artykule o wzorze polityki korzystania z AI.
- Szkolenia bez śladu. Webinar się odbył, ale nie ma listy uczestników ani informacji, kogo dotyczył.
- Zakupy bez pytań o AI. Kwestionariusz bezpieczeństwa dla dostawców nie zawiera pytań o trenowanie na danych klienta, lokalizację przetwarzania ani zmiany modelu.
- Chatbot bez informacji. Sklep internetowy uruchomił asystenta, który nie mówi klientowi, że jest AI.
Żadna z tych luk nie wymaga dużego budżetu. Wymaga decyzji, kto jest właścicielem tematu AI w organizacji.
Jak wpisać analizę luk w AI governance
Analiza luk daje zdjęcie stanu na dziś. Żeby nie zestarzała się w pół roku, trzeba ją wpiąć w stałe procesy: przegląd rejestru co kwartał, ocenę każdego nowego narzędzia przed zakupem, coroczną aktualizację polityki i raport dla zarządu. Firmy, które mają już system zarządzania bezpieczeństwem informacji według ISO/IEC 27001, mogą oprzeć się na nim i rozważyć normę opisaną w artykule ISO 42001 – co to jest. Gdy potrzebna jest pomoc w zamknięciu luk, zespół Opsio prowadzi też doradztwo w zakresie AI governance.
Warto też pamiętać o polskim narzędziu, które pojawiło się wraz z ustawą: od 28 października 2026 r. można wystąpić do KRiBSI o opinię indywidualną w sprawie stosowania AI Act (opłata 150 zł, termin 30 dni, w sprawach szczególnie skomplikowanych 60 dni). Jeśli analiza luk ujawni pytanie bez jednoznacznej odpowiedzi, na przykład czy dany system to już wysokie ryzyko, opinia może dać pewność prawną.
Najczęściej zadawane pytania
Ile trwa analiza luk pod kątem AI Act?
W firmie zatrudniającej kilkaset osób, która korzysta z kilkunastu narzędzi AI, pierwsza wersja analizy zajmuje zwykle od kilku do kilkunastu tygodni. Najwięcej czasu pochłania inwentaryzacja, bo funkcje AI są rozproszone po działach i aplikacjach. Ustrukturyzowany kwestionariusz pozwala uzyskać pierwszy obraz w jeden dzień, a szczegółowa ocena systemów wysokiego ryzyka trwa dłużej.
Czy analizę luk musi przeprowadzić kancelaria lub zewnętrzny audytor?
Nie. AI Act nie wymaga zewnętrznej analizy luk. Wiele firm robi ją samodzielnie, łącząc kompetencje działu prawnego, IT, bezpieczeństwa, HR i biznesu. Wsparcie zewnętrzne przydaje się przy granicznych klasyfikacjach wysokiego ryzyka, ocenie umów z dostawcami i przygotowaniu do ewentualnej kontroli KRiBSI. Formalna ocena zgodności z art. 43 to osobna procedura dla dostawców.
Od kiedy KRiBSI może kontrolować firmy i nakładać kary?
Ustawa o systemach sztucznej inteligencji weszła w życie 11 sierpnia 2026 r., ale przepisy o kontroli, postępowaniu, układzie i karach stosuje się od 28 października 2026 r. Od tego dnia komisja może prowadzić kontrole, rozpatrywać skargi i nakładać kary w wysokościach określonych w art. 99 AI Act, przeliczanych na złote według kursu NBP.
Czy mała firma też potrzebuje analizy luk?
Tak, choć w prostszej formie. Obowiązek dotyczący kompetencji w zakresie AI i zakaz praktyk z art. 5 dotyczą każdej firmy, która korzysta z AI zawodowo, niezależnie od wielkości. Mała firma może ograniczyć się do krótkiego rejestru narzędzi, polityki dla pracowników i notatki o szkoleniach. Dla MŚP kary z art. 99 liczy się według niższej z dwóch kwot.
Czym różni się analiza luk od oceny skutków dla praw podstawowych?
Analiza luk obejmuje całą organizację i wszystkie obowiązki z AI Act. FRIA z art. 27 dotyczy jednego systemu wysokiego ryzyka i tylko wybranych podmiotów stosujących, m.in. instytucji publicznych, banków oceniających zdolność kredytową i ubezpieczycieli. Analiza luk często dopiero pokazuje, że FRIA będzie potrzebna i dla których systemów.
Pierwszy krok analizy luk w 40 minut
Najtrudniejszy jest pierwszy krok: zebranie informacji o tym, jak AI jest dziś używana i kto za nią odpowiada. Ocena AI governance od Opsio zadaje te pytania po polsku, w 14 krokach, i od razu po wysłaniu tworzy z odpowiedzi cztery dokumenty: ramy zarządzania AI, politykę korzystania z AI, checklistę weryfikacji dostawców AI i wzór oceny ryzyka AI, a do tego obraz dojrzałości w dziesięciu obszarach. Dokumenty powstają po angielsku jako edytowalne pliki Word i należą do Państwa. Ocena jest bezpłatna i do niczego nie zobowiązuje. Jeśli lepiej zacząć od listy punktów do odhaczenia, pomocna będzie checklista zgodności z AI Act, a kiedy chcą Państwo przejść od listy do dokumentów, można otrzymać gotową politykę AI i trzy dokumenty governance za darmo.
Źródła: rozporządzenie (UE) 2024/1689 na EUR-Lex, rozporządzenie (UE) 2026/1744, ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 oraz ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
O autorze
Group COO & CISO
Fredrik jest COO i CISO grupy w Opsio. Koncentruje się na doskonałości operacyjnej, ładzie korporacyjnym i bezpieczeństwie informacji, ściśle współpracując z zespołami dostawczymi i kierowniczymi w celu uzgodnienia technologii, ryzyka i wyników biznesowych w złożonych środowiskach IT. Kieruje praktyką bezpieczeństwa Opsio, obejmującą usługi SOC, testy penetracyjne i ramy zgodności.
Zasady redakcyjne: Artykuł napisał certyfikowany praktyk, a sprawdził go nasz zespół inżynierów. Aktualizujemy go, gdy zmienia się opisywana technologia lub regulacja; daty powyżej pokazują ostatnią aktualizację. Opsio zachowuje niezależność redakcyjną — rekomendujemy rozwiązania na podstawie ich wartości technicznej, a nie relacji handlowych.