AI Act i RODO w firmie: rejestr zastosowań i kontrola działań

Zakres krok po kroku

1. 01

   Nowa funkcja zmienia wcześniejszą ocenę

   Rozważmy fikcyjnego asystenta, który pomagał redagować publiczne opisy usług. Zespół dodaje połączenie z katalogiem dokumentów klientów. W rejestrze nadal widnieje poprzedni opis, a obok niego status „zatwierdzone”. Sama nazwa produktu się nie zmieniła, lecz wcześniejszy przegląd nie obejmował nowego źródła danych.

   W proponowanej aplikacji karta zastosowania zachowuje wersję celu, źródeł i uprawnień. Dodanie połączenia kieruje zmianę do przeglądu przez wskazane osoby. Poprzednia decyzja pozostaje dostępna wraz ze swoim zakresem, ale nie zatwierdza automatycznie nowej wersji. Właściciel widzi, które ustalenia wymagają sprawdzenia przed uruchomieniem funkcji.

2. 02

   Co powinno znaleźć się w karcie zastosowania

   Karta opisuje zadanie, użytkowników, dane wejściowe i sposób wykorzystania odpowiedzi. Firma wskazuje właściciela zastosowania oraz osoby zatwierdzające zmiany. Ten sam produkt może wymagać kilku opisów, jeśli różne działy używają go do odmiennych zadań.

   Przy ocenie ryzyka potrzebne są autor, uzasadnienie, data i źródła. Aplikacja może przechowywać klasę wskazaną przez uprawnioną osobę oraz stan „ocena nieukończona”. Model może przygotować roboczą listę pytań, ale nie powinien zamieniać brakujących informacji w zatwierdzoną kwalifikację. Zakres obowiązków wynikających z AI Act i RODO firma ocenia dla konkretnego zastosowania.

   Rejestr łączy ustalenia z zadaniami do uzupełnienia: kto ma dostarczyć dokument, wyjaśnić przepływ danych albo sprawdzić dostęp. Wprowadzenie pliku oznacza otrzymanie materiału. Dopiero właściwa osoba potwierdza, co ten materiał rozstrzyga. Pełna lista załączników nie jest dowodem, że wszystkie wymagania zostały spełnione.

3. 03

   Dowody zachowują swój zakres i wersję

   Deklaracja dostawcy, umowa, wynik próby dostępu i decyzja firmy nie są równoważnymi dowodami. Proponowany widok pokazuje ich rodzaj, wersję oraz zastosowanie, którego dotyczą. Gdy dokument wygasa albo zmienia się funkcja produktu, powiązane ustalenia mogą wymagać ponownego przeglądu.

   Opis przetwarzania powinien obejmować także kopie plików, wyniki i dzienniki zdarzeń. Komisja Europejska wskazuje, że dane możliwe do ponownego powiązania z osobą pozostają danymi osobowymi. Zastąpienie nazwiska identyfikatorem nie jest więc wystarczającą podstawą do oznaczenia materiału jako anonimowy.

   Firma ustala dostęp do rejestru i załączników. Osoba widząca listę zadań nie musi mieć dostępu do wszystkich dokumentów klienta. Przy projektowaniu sprawdzamy także informacje ujawniane w tytułach, wynikach wyszukiwania i powiadomieniach. Retencję oraz sposób usuwania materiałów uzgadniamy dla poszczególnych źródeł.

4. 04

   Uprawnienie sprawdzamy przy konkretnej czynności

   Karta zastosowania opisuje zatwierdzony zakres, lecz sama nie blokuje wywołania narzędzia. Jeśli agent ma czytać dokumenty albo zmieniać rekordy, potrzebny jest mechanizm sprawdzający użytkownika, zasób i żądaną czynność w miejscu wykonania. Wywołanie poza uzgodnionym zakresem powinno zostać zatrzymane i wyjaśnione w zapisie zdarzenia.

   Dokumentacja Open Policy Agent rozdziela punkt podejmowania decyzji od aplikacji, która ją egzekwuje. Silnik reguł może odpowiedzieć, czy czynność jest dozwolona, ale połączenie z właściwą aplikacją musi faktycznie zastosować tę odpowiedź. Sam zapis „odmowa” w logu nie dowodzi, że operacja została zablokowana.

   W projekcie trzeba określić zachowanie przy braku danych o uprawnieniach, niedostępności mechanizmu kontroli i zmianie roli użytkownika. Dla chronionych czynności proponujemy zatrzymanie do wyjaśnienia zamiast wykonania na niepotwierdzonym uprawnieniu. Przed odbiorem sprawdzamy również inne drogi wywołania tej samej operacji. Model nie może sam nadać sobie dostępu przez zmianę treści polecenia.

5. 05

   Co pokazują istniejące materiały

   Demonstracja rejestru systemów AI przedstawia historyczny sposób organizacji dokumentacji. Jej ograniczony zestaw źródeł prawnych wymaga odświeżenia i nie reprezentuje całego AI Act. Nie mamy na tej podstawie wyniku audytu klienta ani pomiaru jakości kwalifikacji na rzeczywistych zastosowaniach.

   Nota warstwy polityk dla agentów opisuje lokalne odpowiedniki systemów oraz ograniczenia testu. Publiczny materiał nie zawiera prywatnych logów klienta ani dowodu rotacji poświadczeń, wysokiej dostępności czy obciążenia produkcyjnego. Egzekwowanie zapisanej reguły nie potwierdza jej poprawności biznesowej lub prawnej.

   Pierwsza próba powinna obejmować zmianę celu zastosowania, brak dokumentu, zastąpienie źródła nowszą wersją i odebranie użytkownikowi dostępu. Przy kontroli działań sprawdzamy, czy zabroniona operacja rzeczywiście nie została wykonana, także po ponowieniu. Osoby oceniające wskazują oczekiwane wyniki; opis testów nie zastępuje ich przeprowadzenia.

6. 06

   Rejestr, szkolenie czy własna aplikacja

   Jeśli firma ma niewiele zastosowań, arkusz z właścicielami i kontrolowaną biblioteką dokumentów może wystarczyć. Aplikację rozważamy przy rozproszonych dowodach, różnych uprawnieniach i powtarzalnych przeglądach zmian. Kontrolę działań agentów wyceniamy dla konkretnych narzędzi, niezależnie od wyboru formy rejestru.

   Gdy główną trudnością jest przygotowanie dobrych opisów i rozpoznawanie braków, można zacząć od szkolenia AI Act i RODO, od 2 450 zł netto za dzień. Obejmuje praktykę pracy z rejestrem i danymi. Interpretacja art. 4, 26 i 50 dla działalności firmy, ocena prawna oraz zatwierdzenie zgodności wymagają właściwego zakresu specjalistycznego.

   Opisz jedno zastosowanie i zmianę, którą trudno dziś prześledzić. Ustalimy pierwszy zakres, osoby zatwierdzające i potrzebne połączenia. Cena aplikacji jest kwotą początkową kategorii z cennika; integracje i utrzymanie wyceniamy dla uzgodnionego zakresu. Obsługa prawna pozostaje osobnym zadaniem firmy.