Porozmawiajmy
Zastanawiasz się, jak to wygląda w Twojej organizacji? Napisz — odpowiem osobiście.
Krótka odpowiedź
AI Act nie nakazuje prowadzenia rejestru zastosowań sztucznej inteligencji. Nakłada natomiast trzy obowiązki, przy których centralna inwentaryzacja jest praktycznym i silnym narzędziem dowodowym. Są to wspieranie kompetencji z art. 4, powstrzymanie się od praktyk zakazanych z art. 5 oraz przejrzystość z art. 50. Bez niej wykazanie zgodności jest istotnie trudniejsze i bardziej ryzykowne. Zakres rejestru wyznaczają więc te obowiązki, a nie gotowy szablon. Ten sam wykaz obsłuży obowiązki z art. 25 i art. 26, gdy zaczną wiązać w grudniu 2027 r.
Dlaczego to pytanie w ogóle powstaje
Rejestr czynności przetwarzania ma podstawę w art. 30 RODO i nikt nie pyta, czy go prowadzić. Przy sztucznej inteligencji takiego przepisu nie ma. Pytanie o rejestr wygląda więc na pytanie o dobrą praktykę. Wygląda tak do pierwszego pytania klienta albo audytora o to, gdzie w organizacji pracuje AI.
Drugi powód jest organizacyjny. Sztuczna inteligencja weszła do organizacji kilkoma drogami naraz. Część narzędzi kupiono świadomie. Część pojawiła się jako nowa funkcja w oprogramowaniu używanym od lat, a część zbudowały zespoły na modelach ogólnego przeznaczenia. Żadna z tych dróg nie kończy się wpisem do jakiegokolwiek wykazu.
Trzeci powód dotyczy dowodu. Rozporządzenie nie mówi o rejestrze. Mówi natomiast o informowaniu, o nadzorze i o ocenie. Każda z tych czynności wymaga wiedzy o tym, czego dotyczy.
Zapamiętaj
Organizacja bez wiedzy o tym, gdzie ma AI, nie wykona żadnego obowiązku z AI Actu w sposób możliwy do sprawdzenia.
Co trzeba ustalić przed decyzją
Trzy obowiązki, które już wiążą
To jest jądro odpowiedzi na pytanie o zakres. Rejestr ma zawierać dokładnie to, co pozwala wykonać obowiązki działające dziś.
Kompetencje w zakresie AI, art. 4, od 2 lutego 2025 r. Dostawcy i podmioty stosujące podejmują środki wspierające rozwój kompetencji wśród personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów w ich imieniu. Przepis dodaje wprost, że obowiązek nie oznacza zapewnienia określonego poziomu kompetencji u poszczególnych osób. Jest to więc obowiązek starannego działania, nie rezultatu.
Wykonanie tego obowiązku wymaga wiedzy o tym, kto z jakiego narzędzia korzysta i w jakiej roli. Bez tej wiedzy szkolenie trafia albo do wszystkich, albo do nikogo.
Praktyki zakazane, art. 5, od 2 lutego 2025 r. Zakaz nie zależy od kwalifikacji ryzyka ani od roli organizacji. Dotyczy tego, co system robi. Rejestr musi więc opisywać przeznaczenie i sposób użycia na tyle konkretnie, żeby dało się to zestawić z katalogiem zakazów. Dwa nowe zakazy zaczną obowiązywać 2 grudnia 2026 r.
Przejrzystość, art. 50, od 2 sierpnia 2026 r. Obowiązki rozkładają się według roli. Dostawca zapewnia, że system wchodzący w bezpośrednią interakcję z osobą informuje ją o kontakcie z AI. Odpowiada też za oznaczenie treści syntetycznych w formacie odczytywalnym maszynowo. Podmiot stosujący informuje osoby o rozpoznawaniu emocji i kategoryzacji biometrycznej oraz ujawnia treści deepfake i publikowany tekst.
W rejestrze oznacza to trzy pytania przy każdym zastosowaniu. Czy system rozmawia z ludźmi? Czy generuje treści? Czy przetwarza dane biometryczne albo rozpoznaje emocje?
Co dopisać teraz, żeby nie zakładać rejestru drugi raz
Obowiązki z art. 25 i art. 26 leżą w rozdziale III sekcja 3 i zaczną być stosowane 2 grudnia 2027 r. wobec systemów z załącznika III oraz 2 sierpnia 2028 r. wobec systemów z załącznika I. Dziś jeszcze nie wiążą.
To nie jest powód, żeby pomijać je w rejestrze. Pola, których będą wymagać, są znane już teraz. Uzupełnienie ich po fakcie kosztuje więcej niż wpisanie od razu.
Art. 25 wymaga wiedzy o trzech rzeczach. Chodzi o to, pod czyją nazwą działa system, czy był zmieniany i czy zmieniono jego przeznaczenie. Odpowiedzi na te pytania trzeba znać w momencie zmiany, a nie rok później.
Art. 26 dokłada elementy, o których warto wiedzieć wcześniej niż w grudniu 2027 r.
- Rejestry zdarzeń przechowywane co najmniej sześć miesięcy. Okres liczy się od przeznaczenia systemu i dotyczy rejestrów pozostających pod kontrolą podmiotu stosującego. Decyzja o retencji zapada przy konfiguracji narzędzia, a nie przy audycie.
- Poinformowanie pracowników przed użyciem systemu w miejscu pracy. Pracodawca informuje przedstawicieli pracowników oraz pracowników, których to dotyczy. Ten obowiązek zaskakuje najczęściej. Wygląda na sprawę z zakresu prawa pracy, a stoi w rozporządzeniu o AI.
- Nadzór człowieka powierzony imiennie. Przepis wymaga osób mających kompetencje, przeszkolenie i uprawnienia oraz niezbędne wsparcie. Wpis „nadzór sprawuje właściciel procesu” nie spełnia żadnego z tych warunków.
- Informacje od dostawcy z art. 13. Podmiot stosujący korzysta z nich przy ocenie skutków dla ochrony danych. To jest miejsce, w którym rejestr AI spina się z dokumentacją RODO.
Czego w rejestrze nie ma
Rejestr nie zastępuje oceny. Wpis „system rekrutacyjny, wysokie ryzyko” jest wnioskiem, a nie ustaleniem. Bez zapisu rozumowania nie dowodzi niczego.
Rejestr nie jest też listą narzędzi. Jednostką wpisu jest zastosowanie, czyli konkretne użycie systemu w konkretnym procesie. To samo narzędzie użyte do redagowania treści i do wstępnej selekcji kandydatów daje dwa wpisy o różnej kwalifikacji.
Nie należy do niego wreszcie wysokość kar ani ocena prawdopodobieństwa kontroli. Organem nadzoru rynku w Polsce jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ustanowiła ją ustawa o systemach sztucznej inteligencji. Obowiązki rozporządzenia wiążą niezależnie od stanu organizacyjnego tego organu.
Checklista pól rejestru
Minimalny zestaw, który obsługuje obowiązki działające dziś i przygotowuje na te z 2027 r.
- Nazwa zastosowania i proces, w którym system pracuje.
- Przeznaczenie opisane na tyle konkretnie, żeby dało się je zestawić z art. 5 i z art. 6.
- Rola organizacji wobec tego zastosowania oraz data i podstawa ustalenia.
- Dostawca narzędzia i to, czy system działa pod nazwą organizacji.
- Czy system wchodzi w interakcję z osobami, generuje treści albo rozpoznaje emocje lub kategoryzuje biometrycznie.
- Osoba sprawująca nadzór wskazana imiennie wraz z zakresem uprawnień.
- Osoby korzystające z narzędzia i przypisane im działania wspierające kompetencje.
- Dane osobowe przetwarzane w zastosowaniu oraz powiązanie z rejestrem czynności i z oceną skutków.
- Retencja rejestrów zdarzeń i miejsce ich przechowywania.
- Data przeglądu wpisu oraz osoba odpowiedzialna za jego aktualność.
Wnioski i dalsze kroki
Rejestr zastosowań AI nie jest obowiązkiem prawnym i nie warto go tak przedstawiać zarządowi. Jest warunkiem wykonania obowiązków, które już wiążą. Jest też jedynym materiałem dla odpowiedzi udzielanej klientowi i audytorowi.
Kolejność, która daje wynik najszybciej.
- Zbierz zastosowania od właścicieli procesów, a nie od działu IT. Dział IT zna narzędzia, właściciele procesów znają sposób użycia.
- Przy każdym zastosowaniu odpowiedz na trzy pytania z art. 50 — interakcja, treści syntetyczne, biometria i emocje.
- Zestaw przeznaczenie z katalogiem praktyk zakazanych. To jedyna część, która nie znosi odkładania.
- Przypisz rolę organizacji i zapisz uzasadnienie, a nie sam wynik.
- Wyznacz osobę odpowiedzialną za aktualność wpisu i termin przeglądu.
Dowodem wykonania tej pracy jest rejestr. Każdy wpis ma w nim autora, datę i uzasadnienie kwalifikacji. Rejestr bez tych trzech elementów jest spisem narzędzi, nie dokumentacją.
Materiały powiązane
- Kiedy organizacja stosująca AI staje się dostawcą systemu? — kwalifikacja roli, którą rejestr ma umożliwić.
- Kto odpowiada za obowiązki przejrzystości z AI Actu? — trzy pytania z art. 50 rozwinięte.
- Co powinien zawierać rejestr naruszeń ochrony danych? — ten sam problem w RODO. Przepis mówi o dokumentowaniu, nie o rejestrze.
- Czego wymaga obowiązek kompetencji w zakresie AI? — obowiązek, przy którym wykaz zastosowań jest punktem wyjścia.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), wersja skonsolidowana na 27 lipca 2026 r., art. 4, art. 5, art. 25, art. 26, art. 50 i art. 113 — eur-lex.europa.eu (dostęp: 01.09.2026).
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r. zmieniające rozporządzenie (UE) 2024/1689 — Dz.Urz. UE L 1744 z 24 lipca 2026 r. (dostęp: 01.09.2026).
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (dostęp: 01.09.2026).
Sprawdź, gdzie sztuczna inteligencja pracuje dziś w Twojej organizacji
Przegląd zastosowań kończy się wykazem z przypisaną rolą i kwalifikacją każdego z nich. Rozmowa diagnostyczna pozwala ustalić, ile takich zastosowań jest i od którego zacząć.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej opinii prawnej ani rekomendacji dla konkretnej organizacji. Zakres obowiązków należy ocenić z uwzględnieniem jej sytuacji.
Stan prawny: wrzesień 2026.