Lista kontrolna AI Act: zgodność krok po kroku (2026)

Lista kontrolna AI Act zaczyna się od spisu wszystkich systemów AI w firmie, ustalenia roli (dostawca czy podmiot stosujący) i poziomu ryzyka każdego z nich. Potem przychodzą kolejno: wyeliminowanie zakazanych praktyk, kompetencje w zakresie AI, przejrzystość, weryfikacja dostawców i – do grudnia 2027 r. – wymogi dla systemów wysokiego ryzyka.

Najważniejsze informacje

• Trzy grupy obowiązków są już egzekwowalne: zakazane praktyki (art. 5), kompetencje w zakresie AI (art. 4) i przejrzystość (art. 50).
• Dla systemów wysokiego ryzyka z załącznika III termin to 2 grudnia 2027 r., dla AI w produktach regulowanych – 2 sierpnia 2028 r. (po zmianach rozporządzenia (UE) 2026/1744).
• W Polsce od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może prowadzić kontrole i nakładać kary, a firmy mogą prosić ją o opinie indywidualne.
• Lista poniżej jest podzielona na etapy, tak by każdy punkt miał właściciela i dowód wykonania.

Jak korzystać z tej listy kontrolnej

Lista jest przeznaczona dla firm, które przede wszystkim korzystają z gotowych narzędzi AI, a tylko czasem budują własne. Dlatego zaczyna się od obowiązków podmiotu stosującego, a wymogi dostawcy opisuje w osobnym etapie. Przy każdym punkcie warto zapisać: kto odpowiada, jaki dokument jest dowodem i kiedy nastąpi przegląd. KRiBSI w toku kontroli może żądać dokumentów i wyjaśnień, więc „zrobione, ale nie spisane” w praktyce oznacza „nie zrobione”.

Szybszą drogą jest bezpłatna ocena gotowości na AI Act: odpowiedzi na pytania w 14 krokach pokazują luki w dziesięciu obszarach i od razu dają cztery dokumenty robocze. Szersze tło – czym jest rozporządzenie i jak działa – znajdą Państwo w przewodniku po AI Act.

Etap 1: zakres i odpowiedzialność

• ☐ Wyznaczona osoba odpowiedzialna za AI governance (np. CISO, inspektor ochrony danych lub dyrektor ds. zgodności) i jej zastępca.
• ☐ Zespół roboczy: IT, bezpieczeństwo, prawo, HR, zakupy i przedstawiciel biznesu.
• ☐ Decyzja zarządu o zakresie programu i budżecie, zapisana w protokole.
• ☐ Ścieżka zatwierdzania nowych narzędzi AI – kto składa wniosek, kto ocenia, kto zatwierdza.

Etap 2: spis systemów AI, role i ryzyko

• ☐ Rejestr systemów AI obejmujący narzędzia licencjonowane, funkcje AI wbudowane w CRM, ERP i pakiet biurowy oraz narzędzia używane z prywatnych kont (tzw. shadow AI). Praktyczny opis pól rejestru znajdą Państwo w tekście o shadow AI i rejestrze systemów AI.
• ☐ Dla każdego systemu: rola firmy (dostawca, podmiot stosujący, importer, dystrybutor).
• ☐ Sprawdzenie, czy firma nie stała się dostawcą przez istotną modyfikację systemu wysokiego ryzyka albo sprzedaż go pod własną marką.
• ☐ Klasyfikacja ryzyka: zakazane / wysokie (załącznik I lub III) / przejrzystość / minimalne, z krótkim uzasadnieniem.
• ☐ Data, od której obowiązki dla danego systemu stają się wymagalne, wpisana do rejestru.

Etap 3: obowiązki, które już obowiązują

• ☐ Przegląd wszystkich zastosowań pod kątem art. 5, ze szczególną uwagą na rozpoznawanie emocji pracowników i kategoryzację biometryczną.
• ☐ Szkolenia dopasowane do ról: inne dla rekruterów, inne dla działu obsługi klienta, inne dla programistów. Zob. kompetencje w zakresie AI i szkolenia dla pracowników.
• ☐ Chatbot na stronie lub infolinii informuje, że rozmówca jest systemem AI, chyba że jest to oczywiste.
• ☐ Zasady oznaczania obrazów, nagrań i tekstów wygenerowanych przez AI – szczegóły w artykule o oznaczaniu treści AI zgodnie z art. 50.

Etap 4: polityka i zasady dla pracowników

• ☐ Spisana polityka korzystania z AI: zatwierdzone narzędzia, informacje, których nie wolno wprowadzać, weryfikacja wyników, zakazane zastosowania, zgłaszanie incydentów. Przykładowe zapisy zawiera wzór polityki korzystania z AI.
• ☐ Lista zatwierdzonych narzędzi z wersjami firmowymi (np. Microsoft 365 Copilot w ramach licencji firmowej zamiast kont prywatnych).
• ☐ Powiązanie polityki z klasyfikacją informacji i zasadami RODO.
• ☐ Jeśli AI zmienia organizację pracy lub służy do monitorowania – informacja dla pracowników i ich przedstawicieli, z uwzględnieniem przepisów Kodeksu pracy o monitoringu.

Etap 5: dostawcy i umowy

• ☐ Ankieta lub checklista weryfikacji dostawcy AI przed zakupem: rola dostawcy, dokumentacja, miejsce przetwarzania danych, wykorzystanie danych klienta do trenowania, podwykonawcy.
• ☐ Klauzule umowne: zakaz trenowania na danych firmy bez zgody, obowiązek informowania o incydentach i istotnych zmianach modelu, prawo do audytu, wyjście z umowy.
• ☐ Umowy powierzenia przetwarzania danych osobowych i ocena transferów poza EOG.
• ☐ Dla systemów wysokiego ryzyka – instrukcja obsługi od dostawcy i potwierdzenie, że system przeszedł ocenę zgodności (oznakowanie CE, wpis do bazy danych UE).

Etap 6: systemy wysokiego ryzyka (do 2 grudnia 2027 r.)

Ten etap dotyczy np. narzędzia do preselekcji CV, modelu oceny zdolności kredytowej albo systemu, który decyduje o dostępie do świadczeń.

• ☐ Podmiot stosujący (art. 26): używanie zgodnie z instrukcją, nadzór człowieka sprawowany przez osoby z odpowiednimi kompetencjami i uprawnieniami, kontrola jakości danych wejściowych, monitorowanie działania, przechowywanie logów przez co najmniej 6 miesięcy, poinformowanie pracowników przed wdrożeniem w miejscu pracy, informowanie osób, wobec których system podejmuje lub wspiera decyzje.
• ☐ Ocena skutków dla praw podstawowych (art. 27) – jeśli firma jest podmiotem publicznym, świadczy usługi publiczne albo ocenia zdolność kredytową lub ustala składki ubezpieczeń na życie i zdrowotnych. Jak ją przygotować, opisuje artykuł o FRIA.
• ☐ Dostawca: system zarządzania ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie zdarzeń, przejrzystość wobec podmiotów stosujących, projekt nadzoru człowieka, dokładność i cyberbezpieczeństwo, system zarządzania jakością, ocena zgodności, deklaracja zgodności UE, oznakowanie CE, rejestracja w bazie UE, monitorowanie po wprowadzeniu do obrotu.
• ☐ Ścieżka zgłaszania poważnych incydentów do dostawcy i organu nadzoru rynku.

Etap 7: polskie procedury i nadzór

• ☐ Znajomość kompetencji KRiBSI: kontrola co do zasady zdalna, zawiadomienie co najmniej 7 dni wcześniej, żądanie dokumentów i dostępu do systemów. Przygotowany pakiet dokumentów skraca kontrolę.
• ☐ Procedura reagowania na ostrzeżenie Komisji (21 dni na informację o wykonaniu działań).
• ☐ W sprawach wątpliwych – rozważenie wniosku o opinię indywidualną KRiBSI (opłata 150 zł, odpowiedź w 30 dni). Opis procedury zawiera artykuł o ustawie o systemach sztucznej inteligencji.
• ☐ Koordynacja z inspektorem ochrony danych: KRiBSI współpracuje z UODO, a naruszenia RODO oceniane są niezależnie.
• ☐ Sektory regulowane: banki i ubezpieczyciele – uwzględnienie roli KNF; media i platformy wideo – KRRiT.

Etap 8: utrzymanie

• ☐ Przegląd rejestru i klasyfikacji co najmniej raz na kwartał oraz przy każdym nowym narzędziu.
• ☐ Coroczna aktualizacja polityki, szkoleń i oceny dostawców.
• ☐ Śledzenie wytycznych Komisji Europejskiej, Urzędu ds. AI i KRiBSI oraz zmian w tekście rozporządzenia.
• ☐ Raport dla zarządu: postęp, otwarte luki, incydenty.

Kolejność działań i sposób oceny dojrzałości opisujemy szczegółowo w tekście zgodność z AI Act – analiza luk krok po kroku. Dokładne terminy dla każdej kategorii systemów są w artykule AI Act – kiedy wchodzi w życie.

Najczęściej zadawane pytania o listę kontrolną AI Act

Od którego punktu listy zacząć?

Od spisu systemów AI. Bez niego nie da się ustalić roli ani poziomu ryzyka, a więc i obowiązków. W większości firm spis ujawnia narzędzia, o których dział IT nie wiedział: rozszerzenia przeglądarki, transkrypcję spotkań, generatory obrazów. Dopiero na tej podstawie warto pisać politykę i planować szkolenia, bo wtedy dotyczą rzeczywistego użycia.

Czy lista kontrolna wystarczy, by wykazać zgodność z AI Act?

Sama lista nie, ale jest dobrym szkieletem. Przy kontroli liczą się dowody: rejestr, polityka, materiały szkoleniowe, dokumentacja dostawców, ocena ryzyka i protokoły decyzji. Dlatego przy każdym punkcie warto zapisać, jaki dokument potwierdza jego wykonanie i kto go zatwierdził. Zgodności nie potwierdza certyfikat ani zewnętrzna pieczątka.

Czy firmy z sektora MŚP mają łagodniejsze wymogi?

Częściowo. Obowiązki są te same, ale kary dla MŚP i start-upów liczy się według niższej z dwóch kwot, a po Digital Omnibus część ułatwień dotyczy też tzw. small mid-caps (do 750 pracowników). W Polsce udział mikro-, małych i średnich przedsiębiorców w piaskownicy regulacyjnej KRiBSI jest bezpłatny.

Jak często aktualizować listę i rejestr?

Rejestr warto przeglądać przynajmniej raz na kwartał i przy każdym nowym narzędziu lub istotnej zmianie u dostawcy. Całą listę kontrolną – raz w roku albo po zmianie przepisów. W 2026 r. zmieniło się dużo: weszło w życie rozporządzenie 2026/1744 i polska ustawa, więc listy sporządzone wcześniej wymagają aktualizacji dat.

Lista kontrolna zamieniona w gotowe dokumenty

Punkty z etapów 1–5 można przejść samodzielnie albo otrzymać ramy AI governance i politykę AI przygotowane na podstawie odpowiedzi. Bezpłatna ocena Opsio trwa około 40 minut, a po wysłaniu tworzy cztery dokumenty: ramy zarządzania AI, politykę korzystania z AI, checklistę weryfikacji dostawców AI i wzór oceny ryzyka AI. Pytania są po polsku, dokumenty – po angielsku, jako edytowalne pliki Word, które należą do Państwa.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 (EUR-Lex) oraz ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).

Więcej z naszej bazy wiedzy: Kubernetes Zwiększanie bezpieczeństwa: pełna lista kontrolna na rok 2026

Więcej z naszej bazy wiedzy: Wybór dostawcy SOC: 10-punktowa lista kontrolna oceny