Czy mój agent AI podlega pod AI Act?
Najkrótsza odpowiedź: wcale nie musisz od razu wiedzieć, czy Twój agent AI jest systemem wysokiego ryzyka. AI Act to pierwsza kompleksowa regulacja UE, która ujednolica zasady rozwoju, wdrażania i użytkowania sztucznej inteligencji. Najpierw sprawdź, co Twój agent robi, a dopiero potem szukaj go w klasyfikacji ryzyka.
AI Act dzieli systemy na cztery poziomy ryzyka. Systemy o niedopuszczalnym ryzyku, np. manipulujące podprogowo albo oceniające ludzi w szkołach, są całkowicie zakazane. Systemy wysokiego ryzyka, jak te stosowane w rekrutacji, wymagają szczególnej kontroli. Chatboty i voiceboty widoczne dla użytkownika to systemy ograniczonego ryzyka, które muszą ujawniać, że są AI. Twój agent AI nie jest osobną, magiczną kategorią, więc obowiązki zależą od jego roli, a nie od nazwy.
Zacznij od inwentaryzacji wszystkich użyć AI wobec klientów, pracowników, kandydatów i partnerów, także tych kupionych jako funkcja w CRM albo helpdesku. Przy każdym systemie zapisz właściciela, cel, dane, wpływ na człowieka, wymagany komunikat, logi i punkt zatrzymania do człowieka. Najpilniejsze do sprawdzenia są chatboty, treści syntetyczne, scoring osób oraz agenci AI, którzy wykonują akcje w systemach.
Jeśli Twój agent tworzy ranking, score albo rekomendację wobec człowieka, zatrzymaj automatyzację i oceń cel, dane i nadzór. Jeśli może wykonać akcję w CRM, poczcie albo ERP, ogranicz zakres i dodaj zatwierdzenie człowieka. Decyzje istotne dla klienta nie mogą być w pełni automatyczne, a odpowiedzi AI idące do klienta powinny być weryfikowane przez człowieka przed wysłaniem. To nie są opcje, tylko warunki zgodności.
Co konkretnie muszę sprawdzić przed wdrożeniem?
Zacznij od spisu wszystkich miejsc, w których AI styka się z człowiekiem. Chodzi o chatboty na stronie, narzędzia do oceny kandydatów, systemy przyznające limity albo rabaty, a także agentów, którzy sami coś wpisują w systemie. Do tego spisu włącz też funkcje kupione jako dodatek do CRM czy programu kadrowego, bo one często umykają uwadze.
Przy każdym takim systemie zapisz, kto jest za niego odpowiedzialny, do czego służy, jakie dane przetwarza i co robi z wynikiem. W tym samym miejscu odnotuj, czy użytkownik widzi, że rozmawia z maszyną, czy decyzję zatwierdza człowiek i czy masz logi, czyli zapis działań agenta. Ten zapis to twoja podstawa, gdy trzeba wykazać, co system faktycznie zrobił.
Teraz sprawdź, w której kategorii ryzyka ląduje każde narzędzie. AI Act dzieli systemy na cztery poziomy, od całkowicie zakazanych po te o minimalnym ryzyku. Jeśli system tworzy ranking, score albo rekomendację wobec człowieka, np. przy rekrutacji, warto zatrzymać się i ocenić cel, dane i nadzór, bo to może być system wysokiego ryzyka.
Dla takich systemów twórca musi przygotować szczegółową dokumentację techniczną i zadbać o jakość danych, żeby nie prowadziły do błędów czy dyskryminacji. Firma, która wdraża narzędzie, ma obowiązek monitorować jego działanie i reagować na nieprawidłowości. W praktyce oznacza to, że nie wystarczy kupić system i zapomnieć o nim, trzeba mieć proces sprawdzania, czy działa zgodnie z założeniami.
Jeśli agent wykonuje akcje w CRM, poczcie albo systemie księgowym, ogranicz zakres jego uprawnień i dodaj zatwierdzenie człowieka. Odpowiedzi idące do klientów też powinny być weryfikowane przed wysłaniem. Do czasu, kiedy zaczną obowiązywać przepisy o transparentności, warto mieć te zasady wdrożone i opisane, bo potem łatwiej będzie udowodnić zgodność z rozporządzeniem.
Jak zaklasyfikować agenta do właściwej grupy ryzyka?
Klasyfikacja agenta zaczyna się od tego, co faktycznie robi, a nie od tego, jak jest zbudowany. AI Act wprowadza czterostopniową skalę ryzyka i to ona decyduje, jakie obowiązki cię dotyczą. Jeżeli twój agent tworzy ranking, score albo rekomendację wobec człowieka, zatrzymaj się i dokładnie oceń cel, dane i nadzór, zanim pójdziesz dalej.
Najczęściej spotkasz się z trzema grupami. Systemy o niedopuszczalnym ryzyku, czyli np. manipulujące zachowaniem użytkownika, są całkowicie zakazane. Systemy wysokiego ryzyka, jak te stosowane w rekrutacji, wymagają szczególnej kontroli, dokumentacji technicznej i odpowiedniej jakości danych. Chatboty to z kolei ryzyko ograniczone, ale muszą informować, że rozmawiasz z AI.
Przy każdym systemie zapisz podstawowe informacje:
- właściciela i cel wdrożenia,
- jakie dane przetwarza,
- jaki ma wpływ na człowieka,
- czy logi działania są dostępne,
- czy istnieje punkt zatrzymania do człowieka.
Jeśli agent wykonuje akcje w systemach, np. w CRM albo poczcie, ogranicz jego zakres i dodaj zatwierdzenie człowieka. Decyzje istotne dla klienta nie mogą być w pełni automatyczne, a odpowiedzi AI idące do klienta powinny być weryfikowane przed wysłaniem. Obowiązki transparentności będą wymagać, by użytkownik wiedział, że ma do czynienia z AI, a treści typu deepfake były oznaczane przy publikacji.
Które obowiązki wchodzą w życie już 2 sierpnia 2026 roku?
2 sierpnia 2026 roku wchodzą w życie obowiązki transparentności z art. 50 AI Act. W praktyce oznacza to, że każdy, kto używa narzędzi AI w kontakcie z klientem, musi jasno powiedzieć, że rozmawia z maszyną, a nie człowiekiem. To dotyczy też materiałów typu deepfake, czyli syntetycznego głosu czy twarzy, które trzeba oznaczać przy publikacji. Najpierw zrób inwentaryzację wszystkich systemów AI, których używasz wobec klientów, pracowników i kandydatów. Nawet jeśli kupiłeś AI jako funkcję w CRM albo helpdesku, to też trzeba sprawdzić. Przy każdym systemie zapisz właściciela, cel, dane, wpływ na człowieka i wymagany komunikat. Zapisz też logi, czyli historię działania, oraz punkt zatrzymania, w którym człowiek może przejąć kontrolę. Kluczowa jest klasyfikacja ryzyka, bo od niej zależą Twoje obowiązki. Jeśli AI tworzy ranking, score albo rekomendację wobec człowieka, zatrzymaj automatyzację i oceń cel, dane i nadzór. Takie systemy wysokiego ryzyka wymagają szczególnej kontroli, jak w rekrutacji czy edukacji. Twórca musi przygotować dokumentację techniczną i zadbać o jakość danych, żeby nie prowadziły do błędów. Decyzje istotne dla klienta nie mogą być w pełni automatyczne, człowiek musi je zatwierdzać. Jeśli agent AI może wykonać akcję w CRM, poczcie albo ERP, ogranicz zakres i dodaj zatwierdzenie człowieka. Odpowiedzi AI idące do klienta powinny być weryfikowane przed wysłaniem. Systemy wprowadzone na rynek przed 2 sierpnia 2026 r. mają do 2 grudnia 2026 r. na wdrożenie maszynowego oznaczania treści.
Jak przygotować dokumentację, która obroni się przed kontrolą?
Dokumentacja, która obroni się przed kontrolą, nie powstaje z dnia na dzień. Zanim inspektor zapuka do drzwi, musisz mieć odpowiedzi na trzy pytania: co robi twój system AI, na jakich danych pracuje i kto go nadzoruje. Bez tego nawet najlepszy agent AI będzie dla urzędu czarną skrzynką, a to najgorszy możliwy scenariusz.
Zacznij od klasyfikacji ryzyka, bo to ona decyduje o zakresie obowiązków. Jeśli twój system tworzy ranking, score albo rekomendację wobec człowieka, zatrzymaj się i oceń cel, dane i nadzór. Podobnie, gdy agent AI może wykonać akcję w CRM, poczcie albo ERP, ogranicz zakres i dodaj zatwierdzenie człowieka. Decyzje istotne dla klienta nie mogą być w pełni automatyczne, człowiek musi je zatwierdzać.
Przy każdym systemie zapisz właściciela, cel, dane, wpływ na człowieka, wymagany komunikat, logi i punkt zatrzymania do człowieka. To nie jest biurokracja dla zasady, tylko mapa, która pokazuje inspektorowi, że wiesz, co robisz. Logi to twój dowód, że system działał zgodnie z założeniami, a nie tylko deklaracja w folderze.
Pamiętaj o obowiązkach informacyjnych z art. 50, które obowiązują od 2 sierpnia 2026 roku. Jeśli używasz chatbota w kontakcie z klientem, użytkownik musi wiedzieć, że rozmawia z AI. Materiały typu deepfake, czyli syntetyczny głos albo twarz, trzeba oznaczać przy publikacji. Odpowiedzi AI idące do klienta powinny być weryfikowane przez człowieka przed wysłaniem. To nie są sugestie, tylko wymogi, które sprawdzisz na własnej checklistcie zgodności.
Od czego zacząć inwentaryzację już dziś?
Zacznij od spisu wszystkich miejsc, w których AI faktycznie działa w Twojej firmie. Chodzi o każde narzędzie, które w jakikolwiek sposób podejmuje decyzje, odpowiada klientom albo analizuje dane. Wbrew pozorom, większość firm ma ich więcej, niż im się wydaje.
Uwzględnij nie tylko zaawansowane systemy, ale też proste funkcje wbudowane w narzędzia, których już używasz. Chodzi o funkcje AI w CRM, helpdesku, systemach HR czy nawet w programach księgowych. Często są one domyślnie włączone i nikt nie zwraca na nie uwagi, dopóki nie zacznie sprawdzać zgodności z przepisami.
Przy każdym systemie zapisz kilka podstawowych rzeczy. Kto jest za niego odpowiedzialny, do czego służy, jakie dane przetwarza i jaki ma wpływ na ludzi. Zapisz też, czy system komunikuje się z użytkownikiem, czy podejmuje decyzje automatycznie, oraz czy istnieje możliwość zatrzymania jego działania i przekazania sprawy człowiekowi.
Najważniejsze jest, aby nie traktować agentów AI jako osobnej, wyjątkowej kategorii. Jeśli agent AI działa w Twojej firmie, sprawdź obowiązki, które wynikają z jego konkretnej roli. To, czy jest to chatbot, system rekomendacji, czy narzędzie do analizy, determinuje zakres wymagań, które musisz spełnić.
Kluczowe jest, aby przejść przez ten proces w logicznej kolejności. Oto jak to zrobić krok po kroku:
- Sporządź listę wszystkich systemów AI, które są używane w firmie.
- Przy każdym systemie zapisz jego właściciela, cel, dane, wpływ na człowieka, wymagany komunikat, logi i punkt zatrzymania do człowieka.
- Oceń, czy system podejmuje decyzje istotne dla klienta, czy tworzy ranking, score lub rekomendację wobec człowieka. Jeśli tak, zatrzymaj automatyzację i oceń cel, dane i nadzór.
- Sprawdź, czy agent AI może wykonać akcję w CRM, poczcie, helpdesku albo ERP. Jeśli tak, ogranicz zakres i dodaj zatwierdzenie człowieka.
- Zweryfikuj, czy systemy widoczne dla użytkownika, takie jak chatboty, są odpowiednio oznaczone jako AI.
