Pracownicy już używają AI. Często na danych klientów. Zarząd zwykle o tym nie wie.
Audyt prowadzi Tomasz Czarnecki, członek Grupy roboczej ds. AI przy Ministerstwie Cyfryzacji.
Udział w grupie jest pro bono.
Co sprawdzamy
Zaczynamy od inwentaryzacji, bo większość firm nie wie, ile narzędzi AI już działa w działach. Potem klasyfikacja, dane i umowy.
| Obszar | Podstawa | Co sprawdzamy |
|---|---|---|
| Systemy AI w firmie | ||
| Inwentaryzacja narzędzi, także nieoficjalnych | AI Act art. 3 | kto, czego, do czego i na jakich danych |
| Rola firmy | AI Act art. 3 | dostawca czy podmiot stosujący |
| Praktyki zakazane | AI Act art. 5 | czy żadne użycie nie wchodzi w zakazy |
| Klasyfikacja ryzyka | AI Act art. 6, zał. III | np. rekrutacja, ocena pracowników, scoring |
| Obowiązki | ||
| Kompetencje w zakresie AI | AI Act art. 4 | czy ludzie wiedzą, jak używać narzędzi |
| Przejrzystość | AI Act art. 50 | czatboty i treści generowane |
| Nadzór człowieka | AI Act art. 14 i 26 | kto zatwierdza wyniki i decyzje |
| Dane i umowy | ||
| Dane osobowe w AI | RODO art. 6, 22 i 35 | podstawy, decyzje automatyczne, DPIA |
| Umowy z dostawcami AI | RODO art. 28 i 44 | trenowanie na danych firmy, transfery |
| Tajemnica przedsiębiorstwa | u.z.n.k. art. 11 | co trafia do publicznych modeli |
AI Act wchodzi w życie etapami. Zakazy i obowiązek kompetencji obowiązują od 2 lutego 2025 r., część obowiązków dla systemów wysokiego ryzyka później; UE pracuje nad zmianą części terminów. Stan prawny sprawdzamy w dniu audytu.
Jak przebiega
Krótka ankieta dla działów pokazuje, gdzie AI już pracuje. Potem rozmowy z kilkoma osobami i przegląd umów z dostawcami narzędzi.
Wynik: wiedzą Państwo, na czym stoją z AI i czego wymaga prawo.
Audyt AI
CORSSO sp. z o.o. · Poznań
Tydzień 1 · Inwentaryzacja
- Rozmowa z zarządem20 min
- Ankieta w działach3 dni
Tydzień 2 · Analiza
- Wywiady z użytkownikami2 dni
- Przegląd umów i ustawień2 dni
- Klasyfikacja według AI Act2 dni
Tydzień 3 · Wnioski
- Raport i lista obowiązków4 dni
- Prezentacja dla zarządu1 h
Rejestr AI, ryzyka, obowiązkiok. 3 tyg.
Co dostajecie
- Rejestr systemów AIKażde narzędzie z właścicielem, celem i rodzajem danych.
- Klasyfikację według AI ActRola firmy i kategoria ryzyka dla każdego zastosowania.
- Mapę ryzykDane osobowe, tajemnica przedsiębiorstwa, decyzje bez nadzoru.
- Listę obowiązków z terminamiCo trzeba zrobić teraz, a co przy kolejnych etapach AI Act.
- Rekomendację polityki AIZasady, od których zacznie się moduł Wdrożenie AI.
Kto prowadzi audyt
Audyt AI łączy prawo i technikę: Tomasz Czarnecki prowadzi część AI Act, a Inspektorzy Ochrony Danych sprawdzają dane osobowe w narzędziach.
Tomasz CzarneckiPrezes, członek GRAI przy Ministerstwie Cyfryzacji 
KarolinaDyrektor działu IOD 
MarcinIOD, audytor ISO 27001, autor Fort.One
Część większego systemu
Ten moduł to jedna szósta Compliance Governance System: Audyt RODO, Wdrożenie RODO, Audyt NIS2, Wdrożenie NIS2, Audyt AI, Wdrożenie AI. Każdy działa osobno. Wszystkie prowadzimy w Fort.One, więc na jednym pulpicie widać, na czym Państwo stoją ze wszystkimi trzema regulacjami.
Pytania o AI
Używamy tylko ChatGPT. Czy AI Act nas dotyczy?
Tak, jako podmiotu stosującego. Od 2 lutego 2025 r. obowiązuje m.in. dbanie o kompetencje w zakresie AI osób, które z niego korzystają (art. 4). Do tego dochodzą RODO i tajemnica przedsiębiorstwa.
Jakie grożą kary?
Za praktyki zakazane do 35 mln euro lub 7% światowego obrotu, za inne naruszenia do 15 mln euro lub 3%. Dla MŚP stosuje się niższą z tych kwot.
Czy zakażecie nam AI?
Nie. Celem jest bezpieczne korzystanie. Zakaz rzadko działa; ludzie i tak używają narzędzi, tylko bez zasad.
Jak to się łączy z RODO?
Dane osobowe w AI to wciąż RODO: podstawy, DPIA, umowy powierzenia, transfery. W Compliance Governance System robimy te analizy raz.
Jakich narzędzi AI używacie?
Odpowiadamy w 4 h robocze, przy naruszeniu danych kontakt w 1 h. Po 20 minutach rozmowy wiedzą Państwo, na czym stoją.
Napisz wiadomość+48 601 211 238
Poznań, ul. Unii Lubelskiej 1
Przykładowy Fort.One Status (PDF)
Outsourcing IOD od 2 000 zł/mies.