Czy nasze narzędzie to w ogóle system AI w rozumieniu AI Act

AI Act - Czy AI Act dotyczy Twojej firmy i w jakiej roli

Czy nasze narzędzie to w ogóle system AI w rozumieniu AI Act

W skrócie

Definicja systemu AI z AI Act to pierwszy filtr, zanim firma zacznie klasyfikować ryzyko, szkolić ludzi i pisać procedury. W wielu organizacjach działają makra, reguły biznesowe, roboty RPA (programy, które automatycznie powtarzają czynności w aplikacjach), prognozy statystyczne i moduły z napisem „AI” w systemach ERP i CRM. Narzędzie, które wykonuje tylko reguły zapisane przez ludzi, zwykle nie jest systemem AI, a moduł oparty na modelu uczenia maszynowego może nim być. Pokazujemy, jak rozłożyć definicję na elementy, co według wytycznych Komisji Europejskiej wypada poza nią i jak zapisać wynik oceny.

Jak to wygląda w praktyce

Hurtownia z Lublina sprawdza, co z jej oprogramowania podlega AI Act. W arkuszach działają makra, robot RPA przenosi dane z formularzy do systemu ERP według stałych reguł, a moduł CRM przypisuje klientom „scoring AI” szansy zakupu. Dział zakupów prognozuje zapotrzebowanie średnią sprzedaży z ostatnich tygodni, a nowa wersja systemu obsługi zgłoszeń podpowiada odpowiedzi na maile. Zarząd pyta, czy każde z tych narzędzi trzeba wpisać do rejestru i objąć procedurami.

Co mówią przepisy

Siedem elementów. Art. 3 pkt 1 AI Act definiuje system AI jako system maszynowy, który wnioskuje, jak generować wyniki. Definicję stosuje się od 2 lutego 2025 r., razem z rozdziałem I aktu (art. 113 lit. a)). Komisja Europejska rozkłada ją w wytycznych na siedem elementów (pkt 9):

1. system maszynowy,
2. zaprojektowany do działania z różnym poziomem autonomii,
3. może wykazywać zdolność adaptacji po wdrożeniu,
4. działa na potrzeby wyraźnych lub dorozumianych celów,
5. wnioskuje, jak generować wyniki na podstawie otrzymanych danych wejściowych,
6. wynikami są np. predykcje, treści, zalecenia lub decyzje,
7. wyniki mogą wpływać na środowisko fizyczne lub wirtualne.

Zdolność adaptacji jest fakultatywna, bo słowo „może” oznacza, że system nie musi uczyć się po wdrożeniu (wytyczne, pkt 23). Rozstrzyga wnioskowanie. Motyw 12 AI Act wyjaśnia, że pojęcie systemu AI nie powinno obejmować „systemów opartych na zasadach określonych wyłącznie przez osoby fizyczne w celu automatycznego wykonywania operacji”. Wnioskowanie umożliwiają mechanizmy uczenia maszynowego oraz podejścia oparte na logice i wiedzy. Reguła wpisana przez człowieka nie jest więc sama w sobie systemem AI, ale system ekspercki, który z bazy wiedzy wyciąga nowe wnioski silnikiem wnioskującym, może nim być (wytyczne, pkt 39).

Zobacz też: Szkolenie Gotowość na AI ACT

Co według wytycznych wypada poza definicję. Komisja wymienia systemy o ograniczonej zdolności wnioskowania, które nie wchodzą w zakres definicji (pkt 41-51):

• systemy ulepszające optymalizację matematyczną albo przyspieszające tradycyjne, ugruntowane metody optymalizacji, takie jak regresja liniowa lub logistyczna,
• podstawowe przetwarzanie danych, czyli wykonywanie z góry określonych instrukcji, np. sortowanie i filtrowanie w bazie danych albo arkusz kalkulacyjny bez funkcji AI,
• systemy służące wyłącznie do analizy opisowej, testowania hipotez i wizualizacji, np. pulpit wskaźników sprzedaży, który nie podpowiada, co zrobić,
• klasyczna heurystyka, czyli szukanie rozwiązań według z góry zdefiniowanych reguł bez uczenia się na danych,
• proste systemy prognostyczne, np. przewidywanie sprzedaży w sklepie na podstawie średniej.

Wytyczne nie mają charakteru wiążącego, a autorytatywnej wykładni dokonuje Trybunał Sprawiedliwości UE (pkt 7). Komisja zaznacza, że nie da się automatycznie ustalić, co jest systemem AI, ani sporządzić wyczerpującego wykazu takich systemów (pkt 62). Każde narzędzie ocenia się więc według jego architektury i funkcji (pkt 61).

Co zrobić krok po kroku

1. Lista kandydatów. Dział IT z właścicielami procesów spisuje narzędzia, które automatyzują decyzje albo tworzą treści: makra, roboty RPA, reguły w systemach, prognozy i moduły oznaczone przez dostawcę jako „AI”. Efekt: lista do oceny, która potem zasila rejestr systemów AI w firmie.
2. Opis działania. Właściciel narzędzia zbiera od dostawcy dokumentację i ustala, czy wyniki powstają według reguł wpisanych przez ludzi, według modelu wytrenowanego na danych, czy według bazy wiedzy z silnikiem wnioskującym. Ustala też, czy narzędzie tworzy treści lub zalecenia i jak duży jest udział człowieka. Efekt: krótki opis techniczny z odwołaniem do dokumentów dostawcy.
3. Test definicji. Osoba od compliance z architektem IT sprawdza siedem elementów, przede wszystkim wnioskowanie, i porównuje narzędzie z wyłączeniami z wytycznych. W hurtowni makra i robot RPA wykonują reguły zapisane przez ludzi, a prognoza ze średniej to prosty system prognostyczny, więc według wytycznych wypadają poza definicję. Scoring w CRM i podpowiedzi odpowiedzi trzeba sprawdzić u dostawcy, bo jeśli działają na modelu uczenia maszynowego, mogą być systemami AI.
4. Notatka klasyfikacyjna. Dla każdego narzędzia powstaje notatka: nazwa i wersja, data oceny, opis działania, ocena siedmiu elementów, wniosek i podpis osoby odpowiedzialnej. Efekt: dowód, że firma świadomie uznała narzędzie za system AI albo wyłączyła je z dalszej oceny.
5. Dalsza ocena systemów AI. Narzędzia uznane za systemy AI przechodzą ocenę zakazów z art. 5, przejrzystości z art. 50 i zastosowań z załącznika III, opisaną w poście o klasyfikacji systemów wysokiego ryzyka. Osoby, które z nich korzystają, firma obejmuje środkami wspierającymi kompetencje z art. 4. Narzędzie poza definicją nie podlega AI Act, ale przy danych osobowych nadal obowiązuje RODO (rozporządzenie (UE) 2016/679).
6. Spór o kwalifikację. Gdy ocena jest sporna, a od wyniku zależą istotne obowiązki, firma składa do KRiBSI wniosek o opinię indywidualną: opłata 150 zł, odpowiedź w 30 dni, w sprawach szczególnie skomplikowanych w 60 dni. Tryb opisuje post o opinii indywidualnej KRiBSI.
7. Przegląd przy aktualizacji. Dział zakupów dopisuje do umów z dostawcami obowiązek informowania o nowych funkcjach opartych na AI, a właściciel narzędzia powtarza ocenę po każdej większej aktualizacji. Efekt: notatka z nową datą i wersją.

Jak sprawdzić, że sprawa jest załatwiona

Każde narzędzie z listy, od makra w arkuszu po scoring w CRM, ma notatkę klasyfikacyjną z datą, wersją i uzasadnieniem odwołującym się do elementów definicji i do wytycznych Komisji, a systemy AI trafiły do rejestru i do dalszej oceny. Przy kontroli dowodem są notatki, dokumentacja dostawców, na której je oparto, i ewentualna opinia indywidualna KRiBSI. Sama deklaracja „to nie jest system AI” bez opisu działania nie wystarczy, bo wytyczne każą oceniać konkretną architekturę i funkcje systemu, a nie nazwę produktu.

Podstawa prawna i źródła

• art. 3 pkt 1, art. 113 lit. a) i motyw 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• Wytyczne Komisji w sprawie definicji systemu sztucznej inteligencji ustanowionej rozporządzeniem (UE) 2024/1689, C(2025) 5053 final z 29.07.2025 (wersja polska) (źródło)
• Komisja Europejska, strona wytycznych w sprawie definicji systemu AI (źródło)
• art. 9, 11 i 12 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001