Strategia zgodności regulacyjnej (AI Act)

15 czerwca 2026

W ramach systemu zarządzania jakością AI Act wymaga od nas strategii compliance. Jak ją przygotować i wpleść w nasze procesy?

AI Act, pomimo swoich wad, ma także wiele zalet. Te zalety dostrzeżemy jedynie wtedy, gdy zrozumiemy, że wymogi prawne w nim zawarte można przekuć na biznesową przewagę. I dać sobie nieco większe poczucie bezpieczeństwa. Dzisiaj zajmiemy się ważnym zagadnieniem – budowaniem naszej STRATEGII NA RZECZ ZGODNOŚCI REGULACYJNEJ, czyli wymogu, który znajdziemy w art. 17 ust. 1 pkt 1 AI Act. Uzupełnimy to także o najnowszy projekt wytycznych w sprawie klasyfikacji systemów AI wysokiego ryzyka, bo to kwestie mocno ze sobą skorelowane.

Taką strategię zobowiązani są posiada DOSTAWCY systemów AI wysokiego ryzyka, ale jeżeli podchodzimy poważnie do kwestii budowania AI Governance, to potraktujemy to jako nasz stały obowiązek.

Sama strategia jest częścią czegoś co AI Act określa mianem systemu zarządzania jakością (QMS), który zasadniczo (w większości) zbieżny jest z normą ISO 42001, które celem jest stworzenie warunków do efektywnego, skutecznego i bezpiecznego projektowania, rozwijania, wdrażania i stosowania AI w naszej organizacji. Co istotne, taki system QMS:

❶ powinien uwzględniać kontekst biznesowy, modele i profile ryzyka, które w organizacji przyjmujemy oraz

❷ wspierać cele biznesowe, a więc nie stanowić dla nich przeszkody, ale wręcz duże wzmocnienie.

No dobrze, ale czym jest taka strategia?

Zasadniczo jest to sposób w jaki ciągle zapewniamy zgodność naszych projektów AI z AI Act oraz towarzyszącym mu regulacjom czy standardom, np. wytycznymi, które publikuje Komisja (UE) w zakresie czy to definicji systemu AI czy wspomnianej klasyfikacji systemów wysokiego ryzyka. I tutaj uwaga.

Choć sam przepis odnosi się tutaj do procedur oceny zgodności (a więc konstrukcji wskazane w art. 43), która jest jasno opisana w przepisach (kontrola wewnętrzna lub procedura z udziałem jednostki notyfikowanej), to tak naprawdę istotny jest tutaj też tzw. ComplianceOps – proces, który zapewni, że będziemy łapać przypadki podlegające AI Act (a szerzej patrząc, np. RODO).

Przygotowane w oparciu o materiały własne i model Opus 4.8.

Sama strategia powinna być elementem naszego podejścia do zapewnienia zgodności, które w wielu dojrzałych organizacjach będzie opisane np. w polityce compliance i regulacjach wewnętrznych departamentu prawnego. To może rodzić też KONFLIKTY w zakresie odpowiedzialności i kompetencji, które powinniśmy uwzględnić projektując naszą strategię.

Uważam też, że nie musi być to odrębny dokument, tak długo jak zapewniamy sam proces.

Co to oznacza w praktyce? Jednym z elementów QMS jest odpowiedni proces zarządzania naszymi zasobami, który wymaga od nas:

• posiadania inwentarza zasobów IT,

• zmapowania go na obszar AI,

• ustalenia procesu, który zapewni ciągłą aktualizację informacji.

W niektórych organizacjach to po prostu dodatkowy excel, ale warto pomyśleć o jakieś bardziej rozbudowanej opcji, jeżeli rzeczywiście chcemy mieć na tym kontrolę. I jest to powiązane z drugą częścią obowiązku – zarządzania zmianą. Coś co jest dobrze znane w obszarze IT.

Ważna uwaga - taki proces powinien być elementem ML/AIops, czyli naszego procesu monitorowania działania systemu po wdrożeniu!

Wymaga to od nas ustalenia procesu, który będzie „wychwytywał” istotne zmiany (także w rozumieniu AI Act – a to często pomijany aspekt) i aktywował konkretne działania. Ja w swoim frameworku AI Governance proponuję po prostu wprowadzenie dodatkowych „punktów kontrolnych” na mapie inicjatyw AI, które powinny być uwzględniane w całym cyklu życia rozwiązania AI.

Niestety, będzie to często wymagało aktywizacji dodatkowych jednostek, które będą musiały np. pomóc w ocenie:

• czy nowa funkcjonalność (także ta dodana przez dostawcę!) nie jest przypadkiem systemem sztucznej inteligencji w rozumieniu AI,

• jeżeli tak, to czy można sklasyfikować taki system pod kątem ryzyk wskazanych w AI Act,

• i dalej – co trzeba będzie zapewnić, aby była zgodność.

Przygotowane w oparciu o materiały własne i model Opus 4.8.

Do tego przydaje się narzędzie, które w sposób półautomatyczny pomoże nam w realizacji zadania, np. lista kontrolna, którą właściciel biznesowy / IT musi wypełnić przy każdej istotnej zmianie. Oczywiście będzie wymagać to od nas także przemyślenia jak definiować samą istotną zmianę i choć możemy posiłkować się tym co w AI Act, to jednak na koniec dnia musi to odpowiadać naszej specyfice. Dla porządku definicja ze słowniczka:

„istotna zmiana” oznacza modyfikację w systemie AI po jego wprowadzeniu do obrotu lub oddaniu do użytku, która nie została przewidziana lub zaplanowana przy początkowej ocenie zgodności przeprowadzonej przez dostawcę i która ma wpływ na zgodność systemu AI z wymogami ustanowionymi w rozdziale III sekcja 2 [to ta procedura zgodności], lub która powoduje zmianę przeznaczenia, w odniesieniu do którego oceniono system AI.

I na koniec ważna rzecz. Sam AI Act wskazuje, że nasze działania powinny być proporcjonalne do wielkości organizacji. Nie oznacza to rzecz jasna rezygnacji ze wskazanego wyżej minimum, ale daje przestrzeń do większej elastyczności.

Jeżeli interesuje Was ta tematyka, to zapraszam tutaj i do kontaktu ze mną ; )