Rejestr systemów AI w firmie - jak zrobić inwentaryzację i co w niej zapisać

AI Act - Obowiązki na co dzień: kompetencje, przejrzystość, dane i umowy

Rejestr systemów AI w firmie - jak zrobić inwentaryzację i co w niej zapisać

W skrócie

Rejestr systemów AI w firmie to zwykle pierwsze zadanie po decyzji zarządu o uporządkowaniu AI. Odpowiadamy, czy AI Act wymaga takiego spisu, czym różni się on od rejestracji w bazie danych UE, skąd zebrać informacje i jakie kolumny zapisać, żeby spis wystarczył do klasyfikacji systemów i na kontrolę.

Jak to wygląda w praktyce

Grupa handlowa z Łodzi ma kilkanaście działów i dwie spółki zależne. Przed audytem klienta korporacyjnego zarząd poleca dyrektorowi IT „spisać wszystkie AI w firmie”. Dział zakupów wskazuje licencje Microsoft 365 Copilot i chatbota na stronie, ale marketing płaci kartą firmową za generator grafik, system kadrowy dostał w aktualizacji funkcję oceny CV, a analitycy budują prognozy sprzedaży na modelu dostępnym przez API. Dyrektor IT pyta, co w ogóle jest systemem AI, kto ma wpisać dane i czy gotowy spis trzeba gdzieś zgłosić.

Co mówią przepisy

AI Act nie nakłada ogólnego obowiązku prowadzenia wewnętrznego rejestru systemów AI. Rejestracja, o której mówi rozporządzenie, dotyczy bazy danych UE prowadzonej przez Komisję Europejską (art. 71). Rejestrują się w niej dostawcy systemów wysokiego ryzyka z załącznika III, z wyjątkiem infrastruktury krytycznej z pkt 2, rejestrowanej na poziomie krajowym (art. 49 ust. 1 i 5). Rejestrują się też dostawcy, którzy uznali system z załącznika III za niebędący systemem wysokiego ryzyka na podstawie art. 6 ust. 3 (art. 49 ust. 2). Podmiot stosujący rejestruje wykorzystanie systemu tylko wtedy, gdy jest organem publicznym albo instytucją, organem lub jednostką organizacyjną Unii albo działa w ich imieniu (art. 49 ust. 3, art. 26 ust. 8). Firma prywatna, która używa kupionego systemu na własne potrzeby, nie zgłasza go do bazy UE, chyba że sama staje się dostawcą (art. 25). Od kiedy w praktyce rejestruje się systemy z załącznika III, tekst nie rozstrzyga jednoznacznie. Art. 49 należy do sekcji 5 rozdziału III, stosowanej od 2 sierpnia 2026 r., a klasyfikację z art. 6 i obowiązki z art. 16 i 26 stosuje się od 2 grudnia 2027 r.

Zobacz też: Szkolenie Gotowość na AI ACT

Wewnętrzny spis jest jednak podstawą prawie każdego obowiązku. Bez niego firma nie oceni, czy narzędzie spełnia definicję systemu AI z art. 3 pkt 1, czy jego użycie nie jest praktyką zakazaną z art. 5 i czy nie trafia do załącznika III. Nie dobierze też środków z art. 4 ani nie ustali obowiązków przejrzystości z art. 50. Komisja Europejska zaznacza w wytycznych w sprawie definicji systemu AI, że nie da się automatycznie wskazać systemów objętych definicją ani sporządzić ich wyczerpującego wykazu, więc ocenę robi się dla każdego narzędzia osobno.

Spis przydaje się też w kontroli KRiBSI (Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji). Kontrolujący może żądać dokumentów związanych z przedmiotem kontroli oraz dostępu do systemów i chmury innego podmiotu, w których są dane firmy (art. 52 ust. 1 pkt 1 ustawy o systemach sztucznej inteligencji). Gdy narzędzie przetwarza dane osobowe, wpis warto powiązać z rejestrem czynności przetwarzania z art. 30 RODO (rozporządzenie (UE) 2016/679), który administrator prowadzi, jeśli nie korzysta ze zwolnienia z art. 30 ust. 5.

Co zrobić krok po kroku

1. Decyzja i właściciel spisu. Zarząd wskazuje właściciela rejestru (IT albo compliance), zakres (cała grupa czy jedna spółka) i narzędzie, w którym spis będzie prowadzony z historią zmian. Dokument: decyzja zarządu z zakresem i terminem pierwszej wersji.
2. Trzy źródła informacji. Zakupy i księgowość wyciągają faktury i subskrypcje z ostatniego roku, także płacone kartami firmowymi. IT zestawia licencje, aplikacje podłączone do logowania firmowego i klucze do interfejsów API modeli. Kierownicy działów wypełniają krótką ankietę: z jakich narzędzi AI korzysta zespół, do czego i na jakich danych.
3. Ukryte funkcje AI. IT przegląda posiadane systemy, np. CRM, system kadrowy, pakiet biurowy i helpdesk, pod kątem funkcji AI dodanych w aktualizacjach. Każdą funkcję ocenia według definicji z art. 3 pkt 1, korzystając z opisu w poście czy narzędzie to system AI w rozumieniu AI Act. Wątpliwe przypadki zostają w spisie z uzasadnieniem oceny.
4. Kolumny spisu. Dla każdego narzędzia: nazwa i wersja, dostawca, rola firmy (dostawca czy podmiot stosujący, art. 3 pkt 3 i 4), przeznaczenie i proces biznesowy, dane wejściowe z oznaczeniem danych osobowych oraz kto korzysta z wyników. Dalej kategoria (sprawdzone pod kątem art. 5, załącznik III, art. 50, pozostałe), właściciel biznesowy, umowa z dostawcą, ocena RODO (czy potrzebna ocena skutków z art. 35), działania z art. 4 i data przeglądu.
5. Wstępna klasyfikacja. Właściciel spisu z osobą od compliance przypisuje kategorię według ścieżki opisanej w poście czy system AI jest wysokiego ryzyka, a przy systemach z załącznika III zapisuje datę 2 grudnia 2027 r. jako początek obowiązków. Dokument: notatka klasyfikacyjna z uzasadnieniem dla każdego narzędzia, które może trafić do załącznika III albo podlegać art. 50.
6. Powiązanie z RODO i umowami. Inspektor ochrony danych porównuje spis z rejestrem czynności przetwarzania i z umowami powierzenia. Brak umowy albo brak wpisu w rejestrze czynności przetwarzania staje się zadaniem z terminem i osobą odpowiedzialną.
7. Utrzymanie. Polityka korzystania z AI w firmie wymaga wpisu przed uruchomieniem nowego narzędzia albo nowej funkcji. Przepis nie wymaga przeglądu w stałym rytmie, ale rekomendujemy przegląd całego spisu co najmniej raz w roku.

Jak sprawdzić, że sprawa jest załatwiona

Porównaj spis z fakturami i licencjami, z wykazem aplikacji podłączonych do logowania firmowego i z odpowiedziami z ankiety, a każdą różnicę wyjaśnij. Każdy wpis ma właściciela, kategorię, uzasadnienie klasyfikacji i datę przeglądu, a narzędzia przetwarzające dane osobowe są ujęte w dokumentacji RODO. Kontrola KRiBSI odbywa się co do zasady zdalnie (art. 49 ust. 3 ustawy), więc przygotuj w formie elektronicznej eksport spisu z historią zmian, notatki klasyfikacyjne i decyzję zarządu o prowadzeniu rejestru.

Podstawa prawna i źródła

• art. 3 pkt 1, 3 i 4, art. 6, art. 26 ust. 8, art. 49 i art. 71 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 113 AI Act (daty stosowania rozdziału III)
• art. 49 i art. 52 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• art. 30 i art. 35 rozporządzenia (UE) 2016/679 (RODO) (źródło)
• Komisja Europejska, wytyczne w sprawie definicji systemu sztucznej inteligencji, C(2025) 5053 final (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001