Rejestr AI Act z bramką zakresu przed modelem

AI Act uzależnia obowiązki od roli organizacji i statusu ryzyka systemu. Tymczasem wiedza o narzędziach AI często pozostaje w umowach, wyciągach z kart firmowych, arkuszach i głowach pracowników. Pierwszym zadaniem jest więc stworzenie rejestru z właścicielami. Dopiero potem warto automatyzować przygotowanie dokumentacji.

Kolejność: człowiek, bramka, model, człowiek

W rejestrze dokumentacji AI Act, którego sami używamy, model ma ściśle ograniczoną rolę. Wersja demonstracyjna korzysta z kontrolowanych scenariuszy bez danych klienta i nie zapisuje zmian do naszego rejestru wewnętrznego.

Operator podaje zatwierdzoną rolę i status ryzyka systemu. Na tej podstawie reguła zapisana w kodzie wybiera zamknięty zestaw artykułów, zanim model zostanie wywołany. Dopiero wtedy model przygotowuje uzasadnienia i listę luk w ściśle określonym formacie danych, z limitem kolejnych kroków i bez dostępu do narzędzi systemowych. Właścicielem inwentarza, dowodów i decyzji o zamknięciu luk pozostaje człowiek.

Artykuł spoza zatwierdzonego zbioru odrzucają trzy odrębne warstwy: typ domenowy w kodzie, lista dozwolonych wartości w formacie odpowiedzi oraz klucz obcy w bazie. Artykuł spoza zakresu trafiłby do rejestru tylko wtedy, gdyby wszystkie trzy zabezpieczenia zawiodły jednocześnie.

Minimalny zakres rejestru

Każdy system powinien mieć właściciela biznesowego i technicznego, zatwierdzoną rolę organizacji, status ryzyka, cel użycia, dostawcę, kategorie danych, użytkowników oraz stan wymaganych dowodów. Obowiązek powinien prowadzić do konkretnego dokumentu lub nazwanego braku, osoby odpowiedzialnej i terminu.

Rejestr wymaga także procesu aktualizacji. Nowy zakup, istotna zmiana modelu, nowe źródło danych albo zmiana zastosowania powinny rozpoczynać przegląd wpisu. Bez takich zdarzeń wymagających przeglądu nawet dobrze zaprojektowana baza szybko stanie się archiwum.

Zakres jako granica produktu

System obejmuje wybrane artykuły AI Act i mówi to wprost, zamiast udawać pełny katalog rozporządzenia. Nie jest opinią prawną ani certyfikatem zgodności; jest rejestrem, który utrzymuje porządek: każdy obowiązek prowadzi do dowodu, właściciela i stanu materiału albo do nazwanego braku.

Macierz dziewięciu kombinacji ról i statusów przeszła wszystkie kontrole zakresu. Osobny przebieg z modelem potwierdził, że wynik nie zawiera artykułów spoza dozwolonego zbioru. To sprawdzenie kontraktu na przygotowanych scenariuszach. Pełna ocena prawna wymaga szerszego zakresu, aktualnych źródeł oraz odpowiedzialnych specjalistów.

Jak wdrażać rejestr etapami

1. Zbierz systemy z zakupów, IT, bezpieczeństwa, finansów i rozmów z działami.
2. Wyznacz właściciela każdego wpisu i kolejkę pozycji bez właściciela.
3. Zatwierdź słownik ról, statusów i obsługiwanych obowiązków.
4. Powiąż każdy obowiązek z dowodem, brakiem, terminem i osobą.
5. Dodaj kontrolę zakresu przed generowaniem treści oraz walidację przed zapisem.
6. Ustal zdarzenia, które wymuszają ponowny przegląd wpisu.
7. Przetestuj eksport dla audytora oraz historię zmian.

Najlepszy pilotaż obejmuje kilka systemów o różnym pochodzeniu: narzędzie kupione centralnie, subskrypcję działową i rozwiązanie budowane wewnętrznie. Pozwala sprawdzić cały proces pozyskiwania danych oraz codzienną pracę z rejestrem.

Ryzyka i kompromisy

Najczęstszy błąd polega na automatycznym klasyfikowaniu systemów na podstawie niepełnego kwestionariusza. Inny problem to brak właściciela, przez który lista braków nie prowadzi do działania. Trzeba też monitorować wersje SDK i źródeł prawnych: awaria integracji lub zmiana wytycznych powinna pozostawić jawny stan, zamiast cicho używać starego wyniku.

Węższy zakres daje większą sprawdzalność i szybsze wdrożenie, lecz wymaga wyraźnego oznaczenia pozycji poza obsługą. Rozszerzanie katalogu powinno odbywać się wraz z testami macierzy, regułami migracji danych i przeglądem merytorycznym.

Jak czytać dowód i koszt

Demonstracja sprawdza 14 syntetycznych wpisów, sześć obsługiwanych artykułów oraz macierz zakresu. Zapisany koszt dotyczy pojedynczego przebiegu przygotowania roboczej treści. Nie obejmuje inwentaryzacji organizacji, oceny prawnej, uzyskania dowodów ani pracy właścicieli.

W pilotażu warto mierzyć kompletność inwentarza, udział wpisów z właścicielem, liczbę obowiązków bez dowodu, czas od wykrycia braku do jego zamknięcia oraz odsetek wpisów przeglądanych po zmianie. Te wskaźniki mówią więcej o dojrzałości procesu niż liczba wygenerowanych uzasadnień.

Własny wpis w rejestrze

Rejestr zawiera także wpis dotyczący naszego systemu wraz z ustaleniem odnoszącym się do naszej organizacji. Dzięki temu sposób działania narzędzia można ocenić na przykładzie jego dostawcy i zapisanych dowodów.

Ten sposób działania można zastosować także w innych obszarach regulowanych. Gdy zakres wynika z zatwierdzonej klasyfikacji, reguły powinny wyznaczać go przed uruchomieniem modelu. Model przygotowuje materiał w zamkniętym formacie, a człowiek zatwierdza znaczenie prawne i kompletność.

Szczegóły i pomiary znajdziecie na karcie systemu. Jeżeli inwentaryzacja systemów AI w Waszej firmie opiera się na rozmowach i arkuszach, bezpłatny przegląd procesów może być pierwszym krokiem do rejestru ze wskazanymi właścicielami.