Rejestr narzędzi AI w firmie: jak go zrobić w godzinę

👁 121 przeczytań

Rejestr narzędzi AI to jedna tabela, w której firma spisuje, jakich narzędzi AI używa, kto za nie odpowiada i jakie dane do nich trafiają. AI Act nie wymaga go z nazwy od firmy, która używa gotowych czatów i asystentów, ale bez takiej listy trudno odpowiedzieć na pierwsze pytanie w kontroli KRiBSI: „czego używacie?”. Pokazuję 10 pól, przykładowe wpisy i plan, który zamyka pierwszą wersję w godzinę.

Po co firmie rejestr narzędzi AI

Większość firm nie wie, ilu narzędzi AI używa. Czat to tylko początek - AI siedzi też w pakiecie biurowym, CRM, narzędziu do tłumaczeń, programie do grafiki i w systemie rekrutacyjnym. Rejestr porządkuje cztery sprawy:

• Kompetencje (art. 4). Przepis każe uwzględnić kontekst, w którym systemy są używane. Bez listy narzędzi szkolenie jest ogólne. Szczegóły w tekście o art. 4 AI Act.
• Przejrzystość (art. 50). Rejestr pokazuje, które narzędzia generują obrazy, wideo i audio do publikacji oraz gdzie działa chatbot dla klientów.
• Zakazy (art. 5). Jeśli ktoś wpisze narzędzie analizujące emocje pracowników, od razu to widać.
• Wysokie ryzyko (art. 6 i zał. III). AI w rekrutacji, ocenie kredytowej czy edukacji wymaga planu na 2 grudnia 2027 - o tym w tekście o systemach wysokiego ryzyka.

10 pól rejestru

Nie wpisuj do rejestru haseł, kluczy API ani treści dokumentów klientów. Rejestr ma wskazywać, gdzie są ustalenia i kto za nie odpowiada, a nie zastępować dokumentacji dostawcy.

Plan na godzinę

Pierwsza wersja nie musi być idealna. Tak rozkładam 60 minut w firmie do kilkudziesięciu osób:

1. Zbierz listę (20 min). Wyślij działom jedno pytanie: „Z jakich narzędzi albo funkcji AI korzystasz w pracy, choćby raz w miesiącu?”. Dopisz przykłady: asystent w pakiecie biurowym, tłumacz, generator grafik, funkcje AI w CRM. Poproś o odpowiedź bez poufnych przykładów.
2. Połącz duplikaty (10 min). „ChatGPT” od pięciu osób to może być pięć różnych kont. Rozdziel wpisy według wersji: firmowa z umową czy prywatna.
3. Dane i rola (10 min). Przy każdym wpisie: jakie kategorie danych trafiają do narzędzia i czy firma tylko używa narzędzia, czy wprowadza je pod swoją nazwą.
4. Ryzyko (10 min). Zaznacz wpisy, które generują treści do publikacji (art. 50), dotyczą kandydatów lub pracowników (możliwe wysokie ryzyko) albo w ogóle nie powinny działać (art. 5).
5. Właściciele i data (5 min). Każde narzędzie ma rolę, która odpowiada za wpis.
6. Wersja (5 min). Zapisz plik z numerem wersji i datą w miejscu, do którego masz dostęp zdalnie.

Pola i otwarty szablon CSV są we wzorze rejestru narzędzi AI w moim serwisie Biegli w AI. To mój projekt - piszę o nim jako autor.

Przykładowe wpisy

Trzy fikcyjne wpisy dla małej agencji, żeby pokazać poziom szczegółu:

Najczęstsze błędy

• Tylko czaty. Pominięte funkcje AI w programach, które firma kupiła wcześniej do innego celu.
• Deklaracja zamiast sprawdzenia. To, że pracownik wpisał narzędzie, nie znaczy, że zastosowanie zostało zatwierdzone. Rejestr powinien mieć kolumnę „zatwierdzone: tak/nie”.
• Dane osobowe w rejestrze. Wpisujesz kategorię („dane kontaktowe klientów”), nie konkretne osoby.
• Brak daty przeglądu. Narzędzia zmieniają plany i funkcje co kilka miesięcy. Rejestr bez daty po pół roku jest nieaktualny.
• Rejestr w szufladzie. Lista, której nie zna zespół, nie pomaga w szkoleniu. Odeślij do niej w polityce korzystania z AI.

Rejestr w kontroli KRiBSI

Kontrola zaczyna się nie wcześniej niż 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2 ustawy), a kontrolujący może żądać dokumentów i wyjaśnień (art. 52). Z gotowym rejestrem nie zaczynasz tych 7 dni od zera: wiesz, które działy i narzędzia obejmuje zakres kontroli, i od razu widzisz, gdzie brakuje zasad albo szkolenia. Pełną checklistę dokumentów opisałem w tekście kontrola KRiBSI od 28 października. Jeśli chcesz sprawdzić, jak daleko jest firma, zrób darmowy test gotowości na kontrolę - 10 pytań.

Najczęstsze pytania

Czy rejestr narzędzi AI jest obowiązkowy?

Dla firmy, która tylko używa gotowych narzędzi, AI Act nie wymaga rejestru z nazwy. To praktyczny sposób, żeby pokazać, że firma wie, czego używa, i podjęła środki z art. 4.

Czym rejestr narzędzi różni się od unijnej bazy systemów wysokiego ryzyka?

Unijna baza z art. 49 i art. 71 AI Act dotyczy rejestracji systemów wysokiego ryzyka przez dostawców i niektóre podmioty stosujące. Wewnętrzny rejestr narzędzi to dokument firmy, prowadzony dla własnego porządku.

W jakim formacie prowadzić rejestr?

Wystarczy arkusz kalkulacyjny albo plik CSV. Ważne, żeby miał wersję, datę i był dostępny zdalnie, bo kontrola KRiBSI jest z zasady zdalna.

Jak często aktualizować rejestr?

Przy każdym nowym narzędziu i co najmniej raz na 6-12 miesięcy. Dobrym momentem jest odświeżenie szkolenia.

Kto powinien prowadzić rejestr?

Jedna osoba albo rola, np. kierownik operacyjny lub osoba od IT. Działy zgłaszają zmiany, a właściciel rejestru je zatwierdza.

To nie jest porada prawna - przy wątpliwościach, czy dane narzędzie jest systemem wysokiego ryzyka, od 28.10.2026 możesz zapytać KRiBSI o opinię indywidualną (150 zł).