Pierwszy błąd to ocenianie „AI w firmie” jako jednej całości. Według iagovernance.com i Umbrex trzeba najpierw zidentyfikować konkretny system lub use case: produkt, funkcję, narzędzie wewnętrzne albo rozwiązanie od dostawcy, a dopiero potem sprawdzać jego miejsce w klasyfikacji AI Act.
Sam akt opiera się na czterech poziomach: praktyki zakazane, systemy wysokiego ryzyka, systemy objęte obowiązkami przejrzystości oraz pozostałe zastosowania o minimalnym ryzyku. Tak samo opisują to źródła branżowe analizujące rozporządzenie UE 2024/1689, w tym iagovernance.com oraz Gazeta Prawna.
Najpierw trzeba zrobić inwentaryzację wszystkich zastosowań AI, także tych ukrytych w oprogramowaniu od dostawców. Według iagovernance.com klasyfikacji nie da się wykonać bez pełnej listy systemów, bo wtedy łatwo pominąć rozwiązanie, które uruchamia obowiązki z AI Act.
Następnie należy sprawdzić zakazane praktyki z art. 5, zanim przejdzie się do dalszej oceny. Jeśli przypadek użycia podpada pod zakaz, projekt nie powinien być wdrażany ani używany w UE; to właśnie podkreślają iagovernance.com oraz Umbrex.
Kolejny krok to weryfikacja, czy system wpada do kategorii wysokiego ryzyka z art. 6 i załącznika III. Według iagovernance.com i Gazety Prawnej chodzi o przypadki związane z obszarami wskazanymi w AI Act, a nie o dowolne narzędzie, które firma uzna za „ważne biznesowo”.
W samoocenie warto zapisać nie tylko wynik, ale też tok rozumowania. Umbrex wskazuje, że trzeba zebrać dokumentację produktu, workflow, próbki wyników, opis modelu, kontekst branżowy i założenia prawne, a potem odnotować, dlaczego system uznano za zakazany, wysokiego ryzyka, objęty przejrzystością albo minimalnego ryzyka.
Jeśli system nie jest zakazany ani wysokiego ryzyka, trzeba sprawdzić obowiązki przejrzystości. Według iagovernance.com i Gazety Prawnej dotyczy to między innymi chatbotów, treści generowanych przez AI i deepfake’ów, gdzie użytkownik powinien zostać poinformowany, że ma do czynienia z AI albo materiałem syntetycznym.
Na końcu wynik samooceny trzeba przełożyć na działania: kontrolki, dokumentację, testy, zatwierdzenia, szkolenia i monitoring. Umbrex podkreśla, że klasyfikacja ma prowadzić do konkretnych kroków operacyjnych, a nie kończyć się na etykiecie ryzyka.
W praktyce oznacza to prostą sekwencję:
Lub System pomaga firmom B2B wdrażać AI, automatyzację i rozwiązania IT kompleksowo - od strategii po wdrożenie. Zobacz nasze usługi lub skontaktuj się z nami, aby omówić Twój przypadek.
Źródło: https://iagovernance.com/en/blog/classify-ai-systems-by-risk/