Inwentaryzacja i klasyfikacja systemów AI — arkusz do AI Act

Pierwszy krok każdego programu AI Act: spisać systemy, a potem zaklasyfikować je ścieżką decyzyjną, która sprawdza wyłączenia przed załącznikiem III. Poziom jest wyliczany z odpowiedzi, nie wpisywany.

Nie da się zaklasyfikować tego, czego się nie spisało, i nie da się zaplanować budżetu programu bez wiedzy, ile systemów trafia do której kategorii. Ten plik robi jedno i drugie, w kolejności, która pozwala uniknąć typowych błędów.

Kolejność ma znaczenie

Większość klasyfikacji idzie prosto do załącznika III i pyta „czy to jest na liście?”. Tak model wykrywania oszustw trafia do kategorii wysokiego ryzyka: wygląda jak scoring kredytowy, a wyłączenie, które go z tego wyjmuje, znajduje się w tym samym punkcie.

Ścieżka decyzyjna zadaje osiem pytań w kolejności, która prowadzi do prawidłowej odpowiedzi:

1. Czy to w ogóle jest system AI? Art. 3 pkt 1 wymaga wnioskowania. Deterministyczny silnik reguł wypada całkowicie — a liczenie go to budżet, którego nie wydacie.
2. Czy to praktyka zakazana? Art. 5, obowiązuje od lutego 2025 r. Tu zatrzymujemy się przed wszystkim innym.
3. Czy ma zastosowanie wyłączenie? Wykrywanie oszustw finansowych, weryfikacja biometryczna jeden do jednego, ocena zdolności kredytowej osób prawnych.
4. Załącznik I? Wtedy 2 sierpnia 2028 r.
5. Załącznik III? Wtedy 2 grudnia 2027 r.
6. Czy działa filtr z art. 6 ust. 3 — i czy jest nieskuteczny, bo system profiluje osoby fizyczne?
7. Czy art. 50 o przejrzystości obowiązuje niezależnie od tego?
8. Jesteście dostawcą czy podmiotem stosującym, i czy art. 25 odwraca tę rolę?

Poziom jest wyliczany, nie wpisywany

Odpowiadacie na pięć pytań tak/nie dla każdego systemu. Arkusz wylicza poziom. To waży więcej, niż brzmi: wpisana klasyfikacja jest opinią, a klasyfikacja wyprowadzona z udzielonych odpowiedzi jest ścieżką audytu. Jeśli organ nadzoru się nie zgodzi, możecie pokazać, która odpowiedź dała ten wynik.

Puste wiersze zostają puste — nie liczą się po cichu jako systemy wysokiego ryzyka. Arkusz podsumowania podaje liczby, których potrzebuje rozmowa budżetowa: systemy spisane, poza zakresem, zakazane, wysokiego ryzyka, nie wysokiego ryzyka.

Co zwykle się dzieje

Organizacje wychodzą z tego ze znacznie mniejszą liczbą systemów wysokiego ryzyka, niż się obawiały — i z jednym lub dwoma, których nie zauważyły, zwykle w obszarze HR: załącznik III pkt 4 obejmuje Was jako pracodawcę, niezależnie od branży.

Jeśli każdy system w Waszej inwentaryzacji wychodzi jako wysokiego ryzyka, klasyfikacja jest z dużym prawdopodobieństwem błędna. Plik mówi to wyraźnie i wskazuje trzy wyłączenia, które należy przeczytać ponownie.

Co obejmuje w rozporządzeniu

• Art. 3(1) — czy to system AI?
• Art. 5 — praktyki zakazane
• Załącznik I / załącznik III
• Art. 6(3) — filtr
• Art. 25 — dostawca czy podmiot stosujący