01
Najpierw faktyczny stan użycia AI
Inwentaryzacja powinna objąć narzędzia centralne, funkcje AI w istniejących systemach, asystentów, modele wbudowane w aplikacje oraz nieformalne użycie przez pracowników. Przy każdym zastosowaniu zapisz właściciela, cel, użytkowników, dostawcę i status.
Ta sama technologia może mieć inny profil ryzyka zależnie od przeznaczenia. Tworzenie notatki ze spotkania różni się od oceny kandydata, przydzielania świadczenia albo decyzji wpływającej na bezpieczeństwo.
02
Rola firmy i klasyfikacja
Trzeba ustalić, czy organizacja jest dostawcą, podmiotem stosującym, importerem, dystrybutorem lub występuje w kilku rolach. Następnie ocenia się zastosowanie: praktyki zakazane, system wysokiego ryzyka, obowiązki przejrzystości albo inne użycie.
Nie wolno klasyfikować wyłącznie na podstawie nazwy produktu. Liczy się przeznaczenie, sposób wdrożenia, osoby objęte wpływem oraz zmiany wprowadzone przez organizację. W przypadkach granicznych potrzebna jest specjalistyczna ocena prawna.
03
Działania wspólne dla rozsądnego zarządzania
Nawet gdy zastosowanie nie jest wysokiego ryzyka, organizacja potrzebuje podstawowej kontroli.
- właściciel biznesowy i osoba zatwierdzająca;
- opis celu, danych i dozwolonych użytkowników;
- ocena dostawcy, warunków oraz zmian usługi;
- testy jakości, ograniczeń i przypadków błędnych;
- kontrola człowieka oraz sposób eskalacji;
- AI literacy dopasowane do ról;
- rejestr incydentów i cykliczny przegląd.
04
Plan na najbliższe 30 dni
W pierwszym tygodniu zbierz zastosowania i właścicieli. Następnie usuń lub zatrzymaj najbardziej ryzykowne użycie bez zgody, danych i kontroli. Dla pozostałych przygotuj krótkie karty zastosowania oraz priorytet analizy.
W trzecim i czwartym tygodniu ustal zasady, szkolenia, ścieżkę zakupu oraz minimalne wymagania dla dostawców. Harmonogram dalszych działań powinien uwzględniać aktualne wyjątki i terminy wynikające z AI Act oraz zmian prawnych.
ŹRÓDŁA
Sprawdzone materiały źródłowe
Stan informacji zweryfikowano w dniu publikacji. W sprawach prawnych zakres obowiązków zawsze należy odnieść do konkretnej organizacji i zastosowania.