Rejestr systemów AI – obowiązek czy dobra praktyka w firmie

Wdrożyłeś chatbota, asystenta ofertowania i narzędzie do analizy danych, a gdyby ktoś zapytał, ile dokładnie systemów sztucznej inteligencji działa dziś w Twojej firmie i kto za nie odpowiada, czy umiałbyś odpowiedzieć od ręki? Coraz częściej pojawia się pytanie o rejestr systemów AI i jego obowiązek: czy każda firma musi taki spis prowadzić, czy to formalność dla korporacji. W LogicMorrow wdrażamy automatyzacje i agentów AI dla MŚP w całej Polsce, więc temat ewidencji narzędzi AI tłumaczymy każdego dnia na konkretach. W tym przewodniku pokazujemy, czym jest rejestr systemów AI, skąd bierze się obowiązek jego prowadzenia w kontekście AI Act, kto powinien go mieć i jak go założyć, wraz z gotowym szablonem pól.

Zastrzeżenie: Ten artykuł ma charakter edukacyjny i informacyjny. Nie stanowi porady prawnej. Stan prawny opisujemy na podstawie aktów źródłowych obowiązujących w 2026 roku. W indywidualnej sprawie skonsultuj się z prawnikiem specjalizującym się w prawie nowych technologii i ochronie danych.

Czym jest rejestr systemów AI

Rejestr systemów AI to uporządkowany spis wszystkich narzędzi i funkcji opartych na sztucznej inteligencji używanych w firmie, wraz z opisem ich zastosowania, kategorii ryzyka, przetwarzanych danych i osoby odpowiedzialnej. W praktyce jest to jedna tabela albo arkusz, w którym każdy wiersz to jeden system AI, a kolumny opisują jego najważniejsze cechy z punktu widzenia zgodności z prawem.

Rejestr pełni trzy funkcje naraz. Po pierwsze, daje przejrzystość: zarząd i właściciel wreszcie wiedzą, co realnie działa w firmie, a nie tylko, co kiedyś kupiono. Po drugie, porządkuje ryzyko: pozwala szybko wskazać narzędzia wymagające szczególnej uwagi (np. te przetwarzające dane osobowe). Po trzecie, stanowi dowód należytej staranności: gdy pojawi się pytanie organu, audytora albo kontrahenta, masz gotowy dokument, zamiast odtwarzać wszystko z pamięci.

Inwentaryzacja AI w firmie nie musi być skomplikowana. Małej i średniej firmie zwykle wystarczy jeden czytelny arkusz, aktualizowany za każdym razem, gdy do użycia wchodzi nowe narzędzie. Klucz nie leży w narzędziu, którym prowadzisz rejestr, lecz w tym, że robisz to regularnie i kompletnie.

Skąd bierze się obowiązek: kontekst AI Act

Pytanie o obowiązek prowadzenia rejestru systemów AI najczęściej pada w kontekście Rozporządzenia (UE) 2024/1689 (AI Act), pierwszej kompleksowej regulacji sztucznej inteligencji w Unii Europejskiej, której przepisy stosowane są etapami od 2025 roku. Warto rozumieć dwie rzeczy.

AI Act nakłada konkretne, twarde obowiązki dokumentacyjne i rejestrowe przede wszystkim na systemy wysokiego ryzyka oraz na dostawców tych systemów: m.in. prowadzenie dokumentacji technicznej, rejestrowanie zdarzeń (logów) i, w określonych przypadkach, wpis do unijnej bazy danych. To obszar, w który typowe MŚP handlowe i produkcyjne wchodzą rzadko (np. przy systemach do selekcji kandydatów). Dla większości narzędzi w małych firmach (chatbotów, asystentów treści, narzędzi analitycznych) regulacja nie wymaga wprost prowadzenia firmowego „rejestru systemów AI” jako osobnego, sformalizowanego dokumentu.

Skąd więc obowiązek, o który tyle pytań? Płynie on z połączenia kilku wymogów, nie z jednego przepisu. AI Act wymaga m.in. odpowiednich kompetencji w zakresie AI w organizacji oraz świadomej klasyfikacji ryzyka systemów. RODO (Rozporządzenie UE 2016/679) wymaga z kolei rzetelnej dokumentacji przetwarzania danych osobowych, a wiele systemów AI takie dane przetwarza. Rejestr jest najprostszym narzędziem, które spina te wymogi w jednym miejscu i pozwala wykazać, że firma panuje nad swoimi systemami. Innymi słowy: nawet jeśli przepis nie nakazuje wprost „prowadź rejestr AI”, to prowadzenie go jest praktycznym sposobem na spełnienie obowiązków, które już Cię dotyczą.

Kto powinien prowadzić rejestr systemów AI

Krótka odpowiedź: każda firma, która używa więcej niż jednego narzędzia AI, powinna prowadzić rejestr, niezależnie od tego, czy konkretny przepis nakazuje to wprost. Rozłóżmy to na sytuacje.

• Firmy stosujące systemy wysokiego ryzyka, np. AI do rekrutacji, oceny zdolności kredytowej czy zarządzania krytycznymi systemami, działają najbliżej twardych obowiązków dokumentacyjnych AI Act. Dla nich rejestr to nie wybór, lecz fundament zgodności.
• Firmy przetwarzające dane osobowe przez AI: chatboty obsługujące klientów, narzędzia analizujące zachowania, asystenci pracujący na dokumentach z danymi kontrahentów. Tu rejestr porządkuje wymogi RODO: podstawę prawną, cel i zakres przetwarzania dla każdego systemu.
• Pozostałe MŚP używające AI: nawet jeśli przepis nie nakazuje wprost rejestru, jego prowadzenie to należyta staranność. To tani sposób, by uniknąć chaosu, „cienia AI” (narzędzi używanych przez pracowników bez wiedzy zarządu) i wycieków danych do publicznych modeli.

Jest jeszcze argument czysto biznesowy. Rejestr to mapa Twojego krajobrazu AI: pokazuje, gdzie się dublujecie, za co płacicie, co jest krytyczne, a co można odpiąć. Wielu naszych klientów odkrywa przy pierwszej inwentaryzacji narzędzia, o których zarząd nie miał pojęcia, a to samo w sobie zwraca koszt poświęconych kilku godzin.

Jak prowadzić rejestr systemów AI: krok po kroku

Założenie rejestru to praca na kilka godzin, nie na tygodnie. Poniżej kolejność, którą stosujemy na starcie wdrożeń u klientów.

1. Zinwentaryzuj wszystkie systemy AI. Spisz każde narzędzie i funkcję opartą na sztucznej inteligencji, także te „ukryte” w popularnym oprogramowaniu (CRM, pakiety biurowe, marketing, fakturowanie). Zapytaj zespoły, z czego realnie korzystają na co dzień.
2. Sklasyfikuj kategorię ryzyka. Dla każdego narzędzia przypisz kategorię wg AI Act: niedopuszczalne, wysokie, ograniczone albo minimalne. To firma stosująca system odpowiada za prawidłową klasyfikację, więc warto zrobić to świadomie.
3. Zmapuj dane osobowe. Ustal, które systemy przetwarzają dane osobowe i na jakiej podstawie prawnej z RODO (zgoda, umowa, prawnie uzasadniony interes). To najczęstsze źródło ryzyka w MŚP.
4. Przypisz właściciela. Każdy system powinien mieć jedną osobę odpowiedzialną. Bez właściciela rejestr szybko się dezaktualizuje, bo „nikt nie wie, czy to jeszcze działa”.
5. Ustal datę przeglądu. Wpisz termin kolejnej weryfikacji każdego systemu. Rejestr to żywy dokument: przegląd raz na pół roku albo rok wyłapuje narzędzia wycofane i nowe wymogi.
6. Aktualizuj na bieżąco. Wprowadź prostą zasadę: nowe narzędzie AI wchodzi do użycia dopiero po dodaniu wpisu do rejestru. To jedno zdanie w procedurze chroni przed „cieniem AI”.

Tę sekwencję da się przejść w pół dnia dla typowej firmy. Większość czasu zajmuje krok pierwszy, bo dopiero przy rzetelnej inwentaryzacji okazuje się, ile narzędzi naprawdę pracuje w organizacji.

Szablon rejestru systemów AI: lista pól

Najprostszy skuteczny rejestr to tabela, w której każdy wiersz opisuje jeden system. Poniżej zestaw pól minimalnych, od których warto zacząć: możesz prowadzić go w arkuszu kalkulacyjnym albo w dedykowanym narzędziu.

To minimum, które porządkuje 90% spraw w MŚP. W bardziej złożonych przypadkach dodaje się kolumny takie jak: lokalizacja przetwarzania danych, informacja o umowie powierzenia, sposób informowania użytkowników o kontakcie z automatem czy data ostatniej aktualizacji systemu. Zasada jest prosta: lepiej mieć krótki, ale aktualny rejestr niż rozbudowany, którego nikt nie utrzymuje.

Najczęstsze błędy przy prowadzeniu rejestru AI

Z każdego wdrożenia wyciągamy wnioski. Oto pułapki, które najczęściej psują rejestr, a których łatwo uniknąć.

• Rejestr jednorazowy. Założony raz i odłożony do szuflady traci wartość w kilka miesięcy. Bez przeglądów i bieżącej aktualizacji przestaje odzwierciedlać rzeczywistość.
• Pomijanie „ukrytej” AI. Funkcje sztucznej inteligencji wbudowane w CRM, pakiet biurowy czy narzędzia marketingowe też są systemami AI. Łatwo o nich zapomnieć przy inwentaryzacji.
• Brak właściciela. Wpis bez przypisanej osoby nikt nie aktualizuje. To najszybsza droga do martwego dokumentu.
• Mylenie rejestru z polityką. Rejestr to spis, nie zastępuje analizy prawnej, oceny ryzyka ani polityki korzystania z AI. To narzędzie porządkujące, a nie komplet dokumentacji.
• „Cień AI”. Pracownicy używają darmowych narzędzi na własną rękę, czasem wklejając do nich dane klientów. Rejestr ma sens tylko wtedy, gdy wyłapuje też te narzędzia.

Większości tych błędów unika się jedną decyzją organizacyjną: rejestr ma właściciela, stały rytm przeglądu i zasadę „nowe narzędzie najpierw do rejestru”.

Jak pomagamy: zgodność wbudowana od początku

Naszym zdaniem zgodność nie powinna być doklejana po fakcie, lecz wbudowana w projekt od początku. Dlatego wdrożenia automatyzacji i agentów AI projektujemy tak, by były zgodne z prawem od początku: z przejrzystością wobec użytkownika, minimalizacją danych i nadzorem człowieka wpisanymi w sposób działania systemu. Taki system od razu trafia do rejestru z kompletem informacji, zamiast generować pytania po latach.

Jeśli planujesz wdrożenie agenta AI do obsługi klientów lub ofertowania, pomagamy od razu opisać go pod rejestr: kategoria ryzyka, przetwarzane dane, podstawa RODO i właściciel. Pokazujemy też, jak konkretne rozwiązania automatyzujące procesy w MŚP zaprojektować tak, by były łatwe do udokumentowania i zgodne z obowiązującym prawem. Wdrażamy w 2–4 tygodnie, z bezpośrednim kontaktem przez cały projekt. Szerszy kontekst znajdziesz w naszym przewodniku automatyzacja i AI w małej firmie, a relację dwóch regulacji wyjaśniamy w artykule AI Act a RODO w firmie.

Jeśli chcesz uporządkować używane w firmie narzędzia AI i wdrażać nowe spokojnie, umów bezpłatną konsultację: przejdziemy przez Twój przypadek na konkretach i pomożemy założyć pierwszy rejestr.

Źródła i akty prawne

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act): ustanawia zharmonizowane przepisy dotyczące sztucznej inteligencji w UE; reguluje kategorie ryzyka oraz obowiązki dokumentacyjne i rejestrowe (zwłaszcza dla systemów wysokiego ryzyka i ich dostawców).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR): reguluje ochronę danych osobowych, w tym wymóg rzetelnej dokumentacji przetwarzania, który rejestr systemów AI pomaga spełnić.
• Wytyczne i komunikaty UODO (Urząd Ochrony Danych Osobowych): krajowe źródło interpretacji RODO w Polsce, w tym w kontekście narzędzi opartych na sztucznej inteligencji.

FAQ: najczęstsze pytania o rejestr systemów AI

Czy prowadzenie rejestru systemów AI jest obowiązkowe?

Twarde obowiązki dokumentacyjne i rejestrowe AI Act dotyczą przede wszystkim systemów wysokiego ryzyka i ich dostawców. Dla większości MŚP osobny rejestr AI nie jest wprost nakazany jednym przepisem, ale wynika z połączenia wymogów AI Act i RODO. W praktyce to najprostszy sposób, by wykazać należytą staranność, dlatego rekomendujemy go każdej firmie używającej AI.

Co powinien zawierać rejestr systemów AI?

Minimalny rejestr to tabela z polami: nazwa systemu, dostawca i wersja, cel zastosowania, kategoria ryzyka wg AI Act, informacja o przetwarzaniu danych osobowych, podstawa prawna RODO, właściciel oraz data przeglądu. W razie potrzeby dodaje się lokalizację danych, informację o umowie powierzenia czy sposób informowania użytkowników o kontakcie z automatem.

Kto w firmie powinien odpowiadać za rejestr AI?

Najlepiej wyznaczyć jednego właściciela całego rejestru, często jest to osoba odpowiedzialna za IT, ochronę danych lub procesy. Dodatkowo każdy pojedynczy system powinien mieć przypisanego właściciela operacyjnego. Bez jasnej odpowiedzialności rejestr szybko się dezaktualizuje i przestaje pełnić swoją funkcję.

Jak często aktualizować rejestr systemów AI?

Rejestr to żywy dokument. Aktualizuj go na bieżąco, za każdym razem, gdy do użycia wchodzi nowe narzędzie AI lub zmienia się sposób działania istniejącego. Dodatkowo warto zaplanować pełny przegląd raz na pół roku lub rok, by wyłapać narzędzia wycofane oraz nowe wymogi prawne.

Czy mała firma naprawdę potrzebuje rejestru AI?

Tak, choć nie musi być skomplikowany. Nawet kilkuosobowej firmie wystarczy jeden czytelny arkusz. Korzyść jest podwójna: porządkuje zgodność z AI Act i RODO oraz daje zarządowi realny obraz, z jakich narzędzi korzysta firma. To tani sposób na uniknięcie chaosu i cienia AI.

Czym rejestr systemów AI różni się od rejestru czynności przetwarzania RODO?

To dwa różne dokumenty, choć się uzupełniają. Rejestr czynności przetwarzania (RODO) opisuje, jak firma przetwarza dane osobowe. Rejestr systemów AI opisuje narzędzia sztucznej inteligencji, także te, które danych osobowych nie ruszają. Tam, gdzie system AI przetwarza dane, obie ewidencje powinny być spójne.

Czy rejestr AI wystarczy do zgodności z AI Act?

Nie. Rejestr to narzędzie porządkujące, a nie komplet dokumentacji zgodności. Przy systemach wysokiego ryzyka potrzebne są dodatkowe elementy: ocena ryzyka, dokumentacja techniczna czy nadzór człowieka. Rejestr jest punktem wyjścia, który ułatwia spełnienie pozostałych obowiązków, nie zastępuje analizy prawnej.