Procesy i procedury — gotowość AI Act

Cel: kompletny rejestr systemów AI używanych w organizacji, z przypisanym właścicielem i opisem. Podstawa: AI Act UE 2024/1689 (role operatorów, transparentność).

1. Inwentaryzacja — zidentyfikuj wszystkie systemy i komponenty AI (w tym chatboty, modele wbudowane w narzędzia zewnętrzne, automatyzacje).
2. Opis systemu — przeznaczenie, dane wejściowe/wyjściowe, dostawca, wersja, środowisko.
3. Wskazanie właściciela — osoba/komórka odpowiedzialna merytorycznie i organizacyjnie.
4. Wpis do rejestru — jednolity rejestr systemów AI z identyfikatorem, datą, statusem.
5. Cykl przeglądu — ustal częstotliwość aktualizacji wpisu i wyzwalacze (nowa wersja, nowe ryzyko).

GAP, gdy: system działa „w cieniu" bez wpisu, brak przypisanego właściciela lub brak wersjonowania.

Cel: przypisanie systemu do kategorii ryzyka wg AI Act UE 2024/1689 i wybór adekwatnych obowiązków.

1. Test zakazu — sprawdź, czy zastosowanie nie należy do praktyk zakazanych (np. social scoring, manipulacja, niedozwolona identyfikacja biometryczna). Jeśli tak — STOP.
2. Test wysokiego ryzyka — czy system wpływa na decyzje wobec osób (dostęp do usług, zatrudnienie, świadczenia, egzekwowanie prawa, infrastruktura krytyczna)? → wysokiego ryzyka.
3. Test ograniczonego ryzyka — czy system wchodzi w interakcję z człowiekiem lub generuje treści (chatbot, deepfake)? → obowiązek transparentności.
4. Pozostałe — system minimalnego ryzyka: dobre praktyki dobrowolne.
5. Dokumentacja klasyfikacji — zapisz kryterium, uzasadnienie i datę; powiąż z rejestrem (proc. 1).

Kryteria: kategoria wynika z zastosowania, nie z technologii. Klasyfikacja wysokiego ryzyka uruchamia obowiązki dot. zarządzania ryzykiem, danych, logów i nadzoru człowieka.

Cel: ocena skutków dla praw i wolności osób. Podstawa: RODO art. 35 (DPIA) oraz zasada rozliczalności.

1. Test przesłanek — czy przetwarzanie może powodować wysokie ryzyko (profilowanie, ocena, dane na dużą skalę, monitoring)? Jeśli tak — DPIA wymagana.
2. Opis operacji — cel, zakres, kontekst i charakter przetwarzania, kategorie danych i osób.
3. Ocena konieczności i proporcjonalności — czy AI jest niezbędne i adekwatne do celu.
4. Identyfikacja ryzyk — błędna decyzja, dyskryminacja, brak wyjaśnialności, wyciek danych.
5. Środki minimalizujące — techniczne i organizacyjne (w tym nadzór człowieka — proc. 4).
6. Konsultacja i zatwierdzenie — udział IOD; w razie potrzeby konsultacja z organem nadzorczym.

GAP, gdy: brak DPIA dla systemu wysokiego ryzyka lub DPIA bez identyfikacji środków minimalizujących.

Cel: zapewnienie skutecznej kontroli człowieka nad systemem. Podstawa: AI Act (nadzór człowieka), KPA (ograniczenie automatyzacji rozstrzygnięć). Szerzej: /human-oversight.

1. Punkty kontroli — wyznacz momenty, w których człowiek zatwierdza, koryguje lub odrzuca wynik.
2. Bramki zatwierdzeń — żadne działanie o skutku prawnym nie następuje bez zatwierdzenia operatora.
3. Kill-switch — mechanizm natychmiastowego wstrzymania systemu i procedura jego użycia.
4. Zasada claim ≤ proof — system nie może twierdzić więcej, niż wykazuje dowodem.
5. Kompetencje operatora — przeszkolenie i uprawnienia osoby sprawującej nadzór.
6. Rejestr interwencji — log każdej akceptacji, korekty i zatrzymania (powiązanie z proc. 5).

GAP, gdy: decyzja wobec osoby zapada w pełni automatycznie bez bramki zatwierdzeń lub bez sprawnego kill-switcha.

Cel: pełna, weryfikowalna ścieżka działań systemu i operatorów. Powiązane: /audytowalnosc, /evidence-index.

1. Rejestrowanie działań — logi wejść, wyjść, decyzji modelu i interwencji człowieka.
2. Wersjonowanie — wersje modelu, danych, promptów i konfiguracji; powiązanie ze zdarzeniem.
3. Integralność — zabezpieczenie logów przed modyfikacją (niezmienialność, znaczniki czasu).
4. Retencja — okres przechowywania spójny z RODO i wymogami AI Act dla wysokiego ryzyka.
5. Indeksowanie dowodów — proof-packi powiązane z systemem w indeksie dowodów.
6. Odtwarzalność — możliwość odtworzenia, jak i na jakiej podstawie zapadł dany wynik.

GAP, gdy: brak logów, logi modyfikowalne lub brak powiązania wyniku z wersją modelu/danych.

Cel: zapewnienie osobie prawa do wyjaśnienia i ścieżki kwestionowania wyniku. Podstawa: RODO (przejrzystość, rozliczalność), KPA, AI Act (transparentność).

1. Prawo do wyjaśnienia — udostępnienie zrozumiałej informacji o roli AI w danym wyniku.
2. Kanał odwołania — jasna ścieżka zakwestionowania wyniku przez osobę, której dotyczy.
3. Weryfikacja przez człowieka — ponowna ocena z nadzorem operatora (proc. 4).
4. Ustalenie odpowiedzialności — na podstawie łańcucha dowodowego (proc. 5), bez przypisywania winy bez dowodu.
5. Rejestr spraw — ewidencja odwołań, rozstrzygnięć i wyciągniętych wniosków.
6. Pętla zwrotna — wnioski zasilają korektę systemu i aktualizację oceny ryzyka (proc. 3).

Zasada: odpowiedzialność ustala się z dowodu. Brak dowodu winy = GAP, nie domniemanie winy.