AI Act readiness
AI Act dla zarządu: plan 30 dni
To nie jest porada prawna. To memo decyzyjne o systemach, danych, ryzyku wdrożeniowym i pytaniach, które warto zabrać do zarządu, prawnika albo dostawcy.
Krótka odpowiedź
Pierwsze 30 dni gotowości AI Act nie powinny zaczynać się od długiej polityki. Zarząd powinien najpierw zobaczyć, gdzie AI działa, kto za nie odpowiada, jakie dane są dotykane, którzy dostawcy są krytyczni i gdzie system wpływa na ludzi albo decyzje.
Taki plan nie zastępuje pracy kancelarii. Przygotowuje materiał, na którym prawnik, compliance, IT i właściciel procesu mogą pracować bez zgadywania.
Kiedy to ma znaczenie
Plan 30 dni ma sens, jeśli firma używa wielu narzędzi SaaS z AI, prowadzi pilotaże, kupuje rozwiązanie AI, ma shadow AI albo zarząd nie widzi pełnej mapy systemów i dostawców.
Test decyzyjny
| Tydzień | Cel | Output dla zarządu |
|---|---|---|
| 1 | Zidentyfikować systemy i użycia AI. | Lista aktywnych, pilotażowych i planowanych użyć AI. |
| 2 | Przypisać ownerów i dostawców. | Owner biznesowy, vendor, dane, użytkownik, status. |
| 3 | Odsiać obszary pilne. | Shadow AI, dane osobowe, decyzje wobec ludzi, brak review. |
| 4 | Ustalić kolejność działań. | Risk map, pytania do kancelarii, pytania do vendorów, stop/go dla pilotów. |
Dowody do zebrania
- Lista narzędzi AI i funkcji AI w istniejących systemach SaaS.
- Właściciel biznesowy dla każdego istotnego użycia.
- Kategorie danych, użytkownicy, output i miejsce human review.
- Lista dostawców oraz instrukcji użycia lub dokumentacji vendora.
- Ekran transparentności, praktyk zakazanych i potencjalnie wysokiego ryzyka.
- Rejestr otwartych pytań do prawnika, vendora i IT.
Czerwone flagi
- Firma zaczyna od zakupu szablonu polityki, ale nie zna systemów AI.
- Zespoły używają narzędzi AI bez ownera i bez informacji o danych.
- Vendorzy opisują compliance, ale nie pokazują granic systemu.
- Zarząd zakłada, że AI Act dotyczy wyłącznie dostawców technologii.
Czego nie wyciągać jako wniosku
Plan 30 dni nie jest formalnym potwierdzeniem zgodności ani opinią prawną. Nie rozstrzyga automatycznie klasy ryzyka. Ma przygotować praktyczny materiał, dzięki któremu formalna praca nie zaczyna się od pustej tabeli.