Rejestr wykorzystania AI w firmie — co zapisywać i jak zacząć?

1. Po co firmie rejestr wykorzystania AI?

W poniedziałek marketing tworzy posty, we wtorek księgowość prosi asystenta o wyjaśnienie formuły, a w środę kierownik sklepu analizuje raport zwrotów. Każdy używa AI, lecz nikt nie potrafi wskazać, do jakich narzędzi trafiają dane i kto sprawdza odpowiedzi. Rejestr pomaga zebrać tę wiedzę w jednym miejscu.

Rejestr wykorzystania AI to wewnętrzny wykaz zastosowań sztucznej inteligencji: opisuje proces, narzędzie, cel, dane, osobę odpowiedzialną, sposób kontroli oraz decyzję o dopuszczeniu do pracy. Możesz zacząć od arkusza Excel i krótkich kart zastosowań.

Największą wartość daje przy podejmowaniu konkretnych decyzji: czy można przesłać dokument, czy wynik nadaje się do publikacji, kto odpowiada za zmianę ustawień i kiedy trzeba ponownie ocenić zastosowanie.

Proponowany układ rejestru, statusy i częstotliwości przeglądu są praktycznym modelem organizacyjnym KemSoft. Dostosuj je do skali firmy i rzeczywistego wpływu danego procesu.

2. Co wynika z prawa, a co jest dobrą praktyką?

Nie ma ogólnego obowiązku, aby każda firma prowadziła identyczny arkusz o nazwie „Rejestr wykorzystania AI” i zapisywała w nim każde pytanie do chatbota. Zakres dokumentowania zależy od zastosowania, roli firmy, przetwarzanych danych oraz przepisów mających do niego zastosowanie.

UODO wyjaśnia, że rejestr RODO może mieć różną strukturę, ale musi zawierać wymagane elementy. Firma zatrudniająca mniej niż 250 osób również może być zobowiązana do jego prowadzenia, m.in. przy przetwarzaniu niesporadycznym lub dotyczącym szczególnych kategorii danych.

Źródło: UODO — rejestry czynności przetwarzania i wyjątki dla mniejszych organizacji.

Art. 49 AI Act przewiduje obowiązki rejestracyjne m.in. dla dostawców wskazanych systemów oraz podmiotów publicznych stosujących określone systemy wysokiego ryzyka. Nie jest to powszechny obowiązek rejestrowania wszystkich zastosowań gotowego chatbota przez prywatną firmę.

Źródło: Komisja Europejska — art. 49 AI Act.

Źródło: Komisja Europejska — aktualny harmonogram AI Act.

Art. 26 AI Act przewiduje dla podmiotów stosujących systemy wysokiego ryzyka m.in. kompetentny nadzór człowieka, monitorowanie działania i przechowywanie automatycznych logów pozostających pod ich kontrolą. Wskazane w nim minimum sześciu miesięcy jest regułą dla tych logów, z zastrzeżeniem właściwych przepisów. Nie jest uniwersalnym okresem przechowywania wszystkich promptów w firmie. Stosowanie konkretnych obowiązków oceń razem z harmonogramem i regułami przejściowymi.

Źródło: Komisja Europejska — art. 26 AI Act.

3. Jeden wpis opisuje konkretne zastosowanie

Przyjmij zasadę: jedno zastosowanie AI = jeden wpis. To samo narzędzie może mieć kilka wpisów, ponieważ pisanie reklam i analiza reklamacji wiążą się z innymi danymi oraz konsekwencjami.

Nowy wpis utwórz, gdy zmienia się cel, grupa odbiorców, rodzaj danych albo wpływ wyniku na decyzję. Zmianę wersji narzędzia czy ustawień możesz odnotować w istniejącej karcie, jeśli zakres procesu pozostaje ten sam.

Codzienne proste zadania wykonuj w granicach zatwierdzonego wpisu. Dla istotnych rezultatów, takich jak opublikowany komunikat lub rekomendacja wykorzystana w decyzji, zachowuj dodatkowy ślad weryfikacji odpowiedni do procesu.

4. Co zapisywać? Proponowane pola rejestru

Na początek zastosuj poniższe pola. W głównym arkuszu możesz trzymać najważniejsze informacje, a szczegóły umieścić w karcie powiązanej przez ID. Nie wpisuj „brak ryzyka” tylko dlatego, że narzędzie działa szybko i zwykle odpowiada poprawnie.

Nieznane informacje zapisuj jako „do ustalenia”. Dodaj osobę odpowiedzialną i termin wyjaśnienia. Pusta komórka nie pozwala rozpoznać, czy dana kwestia nie dotyczy procesu, czy została pominięta.

W polu modelu nie zgaduj wersji. Jeżeli dostawca jej nie ujawnia albo wybiera ją automatycznie, zapisz ten fakt oraz datę sprawdzenia ustawień. Rejestr powinien odzwierciedlać dostępne dowody.

5. Dane i ustawienia: jak zapisać rzeczywiste granice

RODO wymaga m.in. minimalizacji danych, ograniczenia ich przechowywania i zabezpieczenia. Samo usunięcie nazwiska nie gwarantuje anonimowości: jeśli osobę da się ponownie zidentyfikować, także dane pseudonimizowane pozostają danymi osobowymi.

Źródło: Komisja Europejska — dane osobowe, pseudonimizacja i zasady RODO.

W firmowym wpisie oddziel kategorie danych od treści dokumentów. Wystarczy opis „dane kontaktowe klientów z reklamacji” i link do oceny procesu. Nie kopiuj wszystkich reklamacji do rejestru.

Sześć pytań do oceny konkretnego narzędzia

1. Jakie dane będą przesyłane: publiczne, wewnętrzne, osobowe, szczególnych kategorii czy objęte tajemnicą firmy?
2. Czy ten zakres jest konieczny do zadania i można go ograniczyć?
3. Jaka jest rola dostawcy, właściwa podstawa przetwarzania i potrzebna dokumentacja umowna?
4. Jakie są zasady przechowywania, używania danych przez dostawcę i ewentualnych transferów poza EOG?
5. Jakie integracje, konektory i osoby mają dostęp oraz kto może zmieniać ustawienia?
6. Gdzie znajduje się aktualna ocena i jakie warunki trzeba spełnić przed uruchomieniem?

Odpowiedzi sprawdzaj dla konkretnego produktu, planu, konta i konfiguracji. Nazwa dostawcy lub wyłączenie jednego ustawienia nie wystarczają do zatwierdzenia całego procesu. W rejestrze zapisz link do aktualnych dokumentów, datę kontroli i osobę, która dokonała oceny.

Okres przechowywania rejestru, kart, wyników i materiałów kontrolnych ustal oddzielnie według celu i właściwych wymagań. Przegląd wpisu raz w miesiącu nie oznacza automatycznego usuwania dokumentacji co miesiąc.

6. Ocena ryzyka i decyzja o dopuszczeniu

Zastosuj prosty wewnętrzny podział do organizowania pracy. Nie zastępuje on kwalifikacji prawnej z AI Act. Oznaczenie „wysokie” w arkuszu może dotyczyć ryzyka biznesowego, nawet gdy proces nie jest systemem wysokiego ryzyka w rozumieniu rozporządzenia.

Komisja Europejska wymienia narzędzia rekrutacyjne wśród przykładów zastosowań wysokiego ryzyka. Samo przygotowanie ogólnego tekstu ogłoszenia nie jest tym samym procesem co ocenianie kandydatów. Kwalifikacja wymaga sprawdzenia przeznaczenia i reguł art. 6 oraz załącznika III.

Źródło: Komisja Europejska — przykłady systemów wysokiego ryzyka.

Źródło: Komisja Europejska — zasady kwalifikacji z art. 6.

Proponowane statusy do wspólnego stosowania

• Zgłoszone: zastosowanie jest opisane, ale nie ma zgody na pracę z rzeczywistymi danymi.
• W ocenie: trwa sprawdzanie zakresu i warunków.
• Pilotaż: test w określonym czasie, na dopuszczonym zbiorze.
• Dozwolone: zatwierdzony zakres pracy.
• Dozwolone warunkowo: zgoda z konkretnymi ograniczeniami.
• Wstrzymane: użycie zatrzymano do wyjaśnienia problemu.
• Wycofane: proces zakończono i zachowano historię decyzji.

Status połącz z datą, osobą zatwierdzającą, uzasadnieniem oraz warunkami. „Dozwolone warunkowo” bez opisanych warunków nie daje pracownikowi użytecznej instrukcji.

7. Przykłady wpisów: marketing, piekarnia i HR

Poniższe przykłady są fikcyjne. Pokazują sposób dokumentowania; nie stanowią zatwierdzenia konkretnego narzędzia ani dowodu, że dana firma już stosuje taki proces.

Jak sprawdzić wynik analizy sprzedaży?

Nie wystarczy stwierdzić, że odpowiedź „wygląda sensownie”. Porównaj sumę sprzedaży ze źródłem, sprawdź kompletność dni i sklepów oraz sposób ujęcia zwrotów. Następnie oceń, czy wniosek odnosi się do porównywalnych okresów. W karcie procesu wpisz tę metodę kontroli; przy istotnym raporcie zachowaj odsyłacz do wykonanej weryfikacji.

Przykład: AI zauważa spadek sprzedaży w sklepie o 18%. Analityk wykrywa, że plik nie zawiera dwóch dni. Wynik zostaje odrzucony, dane uzupełnione, a karta procesu otrzymuje dodatkowy punkt kontroli kompletności. Rejestr pomaga przenieść tę lekcję do kolejnych analiz.

8. Jak uruchomić rejestr w Excelu krok po kroku

Na start wystarczy jeden kontrolowany skoroszyt. Utwórz cztery arkusze: Zastosowania, Zmiany, Kompetencje i Problemy. Dokumenty źródłowe trzymaj w odpowiednio zabezpieczonych lokalizacjach, a w skoroszycie umieszczaj odsyłacze.

1. W arkuszu „Zastosowania” wklej poniższy wiersz nagłówków do komórki A1. Zawiera tabulatory rozdzielające kolumny.
2. Dodaj po jednym wierszu dla pierwszych zastosowań. Nadaj im trwałe ID, np. AI-001 i AI-002.
3. Zaznacz zakres i w Excelu dla Windows użyj Ctrl+T lub polecenia Wstaw → Tabela. Sprawdź zakres i zaznacz, że tabela ma nagłówki.
4. Włącz zawijanie dłuższych opisów i filtruj wpisy według statusu, działu oraz właściciela.
5. Uzgodnij wspólny słownik statusów i zapisuj daty w formacie RRRR-MM-DD.
6. Wyznacz osobę zarządzającą plikiem, osoby edytujące oraz miejsce przechowywania historii zmian.

Nagłówki do skopiowania do Excela

ID	Zastosowanie	Cel i granice	Dział	Właściciel	Narzędzie i plan	Środowisko i model	Użytkownicy	Dane wejściowe	Źródło danych	Przepływ danych	Wynik i odbiorcy	Ocena ryzyka	Nadzór człowieka	Status	Warunki użycia	Zatwierdzający	Data decyzji	Dokumentacja	Ostatni przegląd	Kolejny przegląd	Uwagi

Źródło: Microsoft — tworzenie tabeli w Excelu.

Zabezpieczenie arkusza nie zastępuje kontroli dostępu do pliku. Ustal uprawnienia w miejscu przechowywania, dostęp administratora, kopie zapasowe i sposób odebrania dostępu po zmianie roli. Jeżeli wielu użytkowników zmienia wpisy jednocześnie, rozważ centralną listę zamiast przesyłania kopii skoroszytu e-mailem.

W arkuszu „Zmiany” zapisuj ID zastosowania, datę, zakres zmiany, autora oraz decyzję o ponownej ocenie. W „Kompetencjach” łącz szkolenia z rolą i zastosowaniem. W „Problemach” zapisuj ID zgłoszenia i kontrolowany odsyłacz do dokumentacji zdarzenia.

9. Gotowa karta i prompt do uporządkowania wpisu

Uzupełnij poniższą kartę po rozmowie z właścicielem procesu i sprawdzeniu narzędzia. Nawiasy kwadratowe oznaczają pola do wypełnienia, a wskazany status jest propozycją zależną od faktycznej decyzji firmy.

Przykładowa karta zastosowania

ID: AI-001
Zastosowanie: Robocze opisy produktów
Cel: Przygotowanie szkicu na podstawie zatwierdzonej karty produktu
Granice: Bez samodzielnej publikacji i bez dopisywania faktów
Właściciel: Kierownik marketingu
Narzędzie i środowisko: [zatwierdzone narzędzie, plan, konto]
Model lub wersja: [znane oznaczenie albo informacja o braku dostępu]
Użytkownicy: Zespół marketingu
Dane: Zatwierdzone karty produktów; bez danych klientów
Przepływ danych: [odsyłacz do oceny dostawcy i konfiguracji]
Wynik: Szkic tekstu do sprawdzenia
Ocena ryzyka: Możliwa błędna informacja o produkcie
Kontrola: Porównanie każdego twierdzenia z kartą produktu
Status: Dozwolone warunkowo po zatwierdzeniu
Warunki: Tylko dopuszczone dane; obowiązkowa kontrola przed publikacją
Zatwierdzający i data: [osoba, RRRR-MM-DD]
Dokumentacja: [linki do oceny, instrukcji i szkoleń]
Następny przegląd: [RRRR-MM-DD oraz zdarzenia uruchamiające przegląd]
Historia zmian: [odsyłacz do wpisu w arkuszu Zmiany]

AI może pomóc przekształcić roboczy opis w czytelny wpis. Przekaż wyłącznie informacje dopuszczone do użycia w danym narzędziu. Wygenerowany wpis pozostaje szkicem; osoba odpowiedzialna sprawdza go i zatwierdza odpowiednie warunki.

Prompt pomocniczy

Pomóż uporządkować opis zastosowania AI do wewnętrznego rejestru.
Pracuj wyłącznie na informacjach poniżej. Nie dopowiadaj ustawień
narzędzia, podstaw prawnych, umów ani zgód. Braki oznacz „do ustalenia”.

Opis procesu: [wpisz opis bez danych osobowych i tajemnic firmy]
Cel: [wpisz]
Narzędzie i środowisko: [wpisz]
Dane wejściowe: [podaj kategorie]
Kto sprawdza wynik: [wpisz rolę]
Gdzie wynik będzie wykorzystany: [wpisz]

Przygotuj:
1. Proponowany wpis: cel, granice, dane, wynik, nadzór i dokumentacja.
2. Listę brakujących informacji i pytań do właściciela procesu.
3. Potencjalne błędy wyniku oraz proponowane sposoby ich sprawdzenia.
Nie zatwierdzaj procesu i nie stwierdzaj zgodności z prawem.
Wpis oznacz jako szkic wymagający oceny człowieka.

10. Kontrola wyników, kompetencje i problemy

Nadzór opisz jako konkretną czynność

Zamiast „wynik sprawdza człowiek” zapisz: kto, co, z czym i kiedy porównuje. Dla opisów produktów będzie to karta produktu przed publikacją. Dla wyliczeń — dane źródłowe i niezależne obliczenie. Dla kodu — sprawdzenie na kopii danych lub w środowisku testowym.

Wskaż też, kiedy użytkownik ma zatrzymać pracę i do kogo zgłosić wątpliwość. Osoba kontrolująca powinna móc odrzucić wynik, poprawić dane i wstrzymać kolejne użycie w razie problemu.

Kompetencje połącz z rzeczywistą pracą

Aktualne wyjaśnienia Komisji Europejskiej wskazują, że po zmianach art. 4 AI Act nadal wymaga działań wspierających rozwój kompetencji AI, bez gwarantowania konkretnego poziomu każdej osoby. Nie narzuca jednego formatu szkolenia ani obowiązkowego certyfikatu. Wewnętrzne zapisy szkoleń i instruktażu mogą dokumentować działania firmy.

Źródło: Komisja Europejska — aktualne pytania i odpowiedzi o AI literacy.

W proponowanej ewidencji zapisz datę, rolę uczestnika, zakres materiału, zastosowania objęte instruktażem i odsyłacz do materiałów. Sprawdź praktycznie, czy użytkownik potrafi rozpoznać zmyśloną informację, ograniczyć dane i zastosować kontrolę wyniku. Krótkie ćwiczenie z własnego procesu często daje więcej niż ogólna prezentacja.

Problemy zapisuj tak, by umożliwiały poprawę procesu

Dla błędu lub podejrzenia incydentu zapisz: ID zastosowania, datę, opis zdarzenia, możliwy wpływ, działania ograniczające skutki, osobę prowadzącą sprawę i warunki powrotu do pracy. Poufne szczegóły trzymaj w wydzielonej dokumentacji.

Uruchom właściwą procedurę bezpieczeństwa lub ochrony danych; wpis w arkuszu jej nie zastępuje. Jeżeli problem dotyczy błędnych danych wejściowych, popraw również instrukcję i metodę kontroli. Jeżeli pojawił się po zmianie integracji, wróć do oceny dostępu i przepływu danych.

11. Jak zacząć w tydzień i utrzymać aktualność

Proponowany plan porządkuje pierwsze działania. Tydzień wystarczy na utworzenie wykazu i rozpoznanie braków; nie musi wystarczyć na pełną ocenę wszystkich procesów.

Na początku proponujemy miesięczny przegląd organizacyjny oraz przegląd po istotnej zmianie. Dla procesu o większym wpływie ustal dodatkowe kontrole zgodnie z oceną. To rekomendacja sposobu zarządzania, a nie uniwersalna częstotliwość narzucona prawem.

Nie czekaj na termin w kalendarzu, jeśli zmienił się rodzaj danych, odbiorcy, dostawca, plan, integracja lub zakres automatyzacji. Nowa funkcja samodzielnego wysyłania wiadomości wymaga oceny nawet wtedy, gdy nazwa narzędzia pozostaje ta sama.

Jak wykorzystać checklistę UODO?

UODO udostępnił zestaw pytań dla MŚP korzystających z gotowych systemów AI oraz inne wersje dla odmiennych profili wdrożeń. Zastosuj właściwą listę przy ocenie danych i procesu. W rejestrze dodaj link do uzupełnionej analizy, datę i odpowiedzialną osobę. Checklista jest pomocą w rozpoznawaniu kwestii do sprawdzenia; samo jej odhaczenie nie dowodzi zgodności wdrożenia.

Źródło: UODO — listy pytań inicjalnych i praktyczna checklista RODO dla MŚP.

12. Najczęstsze błędy i krótka checklista

• Spis samych nazw narzędzi. Dopisz zastosowanie, dane i sposób użycia wyniku.
• Jedna zgoda na wszystkie funkcje. Oceń nowe integracje i automatyczne działania.
• Ocena ryzyka bez uzasadnienia. Wskaż konsekwencję błędu i zastosowane zabezpieczenie.
• Zatwierdzenie bez właściciela. Przypisz odpowiedzialność za aktualność procesu.
• Kopiowanie poufnych dokumentów do rejestru. Zapisuj kategorie i kontrolowane odsyłacze.
• Brak historii. Zachowuj zmianę zakresu, decyzję i datę.
• Traktowanie tabeli jako potwierdzenia zgodności. Powiąż ją z faktycznymi ocenami, kontrolą i dokumentacją.

Przed dopuszczeniem zastosowania sprawdź

1. Czy cel i zakres są jednoznaczne?
2. Czy wiadomo, jakie dane trafiają do jakiego środowiska?
3. Czy dokonano potrzebnej oceny dostawcy, danych i wpływu?
4. Czy właściciel procesu i osoby uprawnione są wskazani?
5. Czy metoda kontroli wyniku jest wykonalna?
6. Czy status, warunki i decyzja mają datę oraz autora?
7. Czy użytkownik zna ograniczenia i sposób zgłaszania problemów?
8. Czy dokumenty są dostępne, a kolejny przegląd został wyznaczony?

Jeśli brakuje odpowiedzi, zapisz ją jako zadanie do ustalenia. Zastosowanie o nieznanym zakresie danych nie powinno otrzymywać automatycznie statusu „Dozwolone”.

Podsumowanie: zacznij od zastosowań, danych i odpowiedzialności

Dobry rejestr pozwala szybko odpowiedzieć: do czego używamy AI, jakie dane przekazujemy, kto sprawdza wynik i na jakich warunkach pracujemy. Rozpocznij od kilku rzeczywistych zastosowań, opisz ich granice i wyznacz właścicieli.

Następnie połącz wpisy z oceną narzędzi, dokumentacją danych, instruktażem i historią zmian. Dzięki temu rejestr będzie wspierał codzienną pracę, a nowe funkcje oraz problemy nie znikną w pojedynczych rozmowach i wiadomościach.