AI Act w bezpieczeństwie: lista kroków do samodzielnej oceny architektury

Stan prawny na dzień: 22 października 2026 r.

Ocenę systemu security pod kątem AI Act warto oprzeć na pięciu obszarach: danych i funkcjach systemu, czterech obszarach funkcjonalnych, cechach architektury ułatwiających nadzór, specyfice infrastruktury krytycznej oraz danych głosowych. Lista kroków zbiera pytania omówione w publikacjach z całej serii w jednym miejscu. Nasze zestawienie może posłużyć Ci do wstępnej oceny, natomiast żaden z prezentowanych punktów samodzielnie nie przesądza o statusie systemu, a lista nie zastępuje oceny prawnej ani technicznej konkretnego wdrożenia. Jest to jedynie zbiór dobrych praktyk przydatnych przy pracy z AI Act.

Krok 1 - jak ocenić system: trzy pytania diagnostyczne

Ocenę zacznij od funkcji, a nie od nazwy produktu, która może sugerować przeznaczenie systemu. Na początek zadaj trzy pytania:

• Czy system wykorzystuje dane dotyczące cech osoby, głosu lub zachowania?
• Czy analizuje informacje z przestrzeni dostępnej dla wielu osób?
• Czy jego wynik wpływa na działanie operatora albo decyzję wobec osoby?

Szczegóły: AI Act w systemach bezpieczeństwa: 3 pytania, które musisz zadać przed zakupem.

Krok 2 - co sprawdzić w czterech obszarach funkcjonalnych

Aby zachować holistyczne spojrzenie na zgodność koncepcji systemów bezpieczeństwa z obowiązującymi aktami normatywnymi, system warto podzielić na kontrolę dostępu, monitoring wideo, komunikację głosową i zarządzanie zdarzeniami. W każdym obszarze oddziel funkcje rejestrujące od funkcji, które analizują osoby lub wpływają na decyzje. Szczegóły: AI Act w systemach security: 4 obszary wymagające oceny.

Krok 3 - jakie cechy architektury ułatwiają nadzór

W przypadku systemów wysokiego ryzyka AI Act przewiduje konkretne obowiązki, m.in. dotyczące dokumentacji, rejestrowania zdarzeń i nadzoru człowieka. W pozostałych przypadkach podobne rozwiązania mogą być dobrą praktyką. Warto ocenić cztery elementy: rejestrowanie zdarzeń i wyników, realny udział człowieka, opis działania systemu oraz ocenę przed wdrożeniem. Szczegóły: AI Act w security: jak zaprojektować nadzór i rozliczalność.

Krok 4 - co sprawdzić w infrastrukturze krytycznej

W infrastrukturze krytycznej ocenę AI Act warto połączyć z wymaganiami dotyczącymi cyberbezpieczeństwa oraz zarządzania kryzysowego — do oceny trzeba dodać przepisy o krajowym systemie cyberbezpieczeństwa wdrażające NIS2 oraz przepisy o zarządzaniu kryzysowym wdrażające dyrektywę CER, a ocena obejmuje konsekwencje wyniku dla ciągłości działania. Najważniejsze są możliwość odtworzenia zdarzenia i przewidywalność systemu przy awarii. Szczegóły: Infrastruktura krytyczna i AI: co ocenić przed wdrożeniem.

Krok 5 - jak ocenić dane głosowe

Ocena systemów interkomowych bywa pomijana, mimo że mogą one analizować treść wypowiedzi, cel zgłoszenia, kontekst oraz cechy głosu. Dlatego kluczowe jest rozróżnienie między analizą treści wypowiedzi a wnioskowaniem o emocjach lub zamiarach na podstawie danych biometrycznych. Szczegóły: Komunikacja głosowa jako źródło danych - nie tylko kanał.

Pełna checklista w jednym miejscu

Przejdź przez listę dla każdego systemu lub każdej istotnej funkcji. Odpowiedź „tak" nie oznacza naruszenia - wskazuje miejsce, które warto przeanalizować dokładniej.

Dane i funkcje

• Czy system wykorzystuje specjalne przetwarzanie techniczne cech fizycznych, fizjologicznych lub behawioralnych osoby - np. twarzy, odcisku palca, głosu albo sposobu poruszania się?
• Jeśli tak: czy chodzi o weryfikację 1:1, identyfikację 1:N czy zdalną identyfikację biometryczną - czyli ustalenie tożsamości bez aktywnego udziału osoby?
• Czy system wnioskuje o emocjach lub zamiarach osoby na podstawie jej danych biometrycznych?
• Czy system dokonuje kategoryzacji biometrycznej, np. wnioskuje o cechach wrażliwych lub chronionych?
• Czy funkcje AI są włączone, a nie tylko dostępne w produkcie?

Miejsce działania

• Czy system działa w przestrzeni dostępnej dla nieokreślonej liczby osób i czy jego wynik może wpływać na osoby?
• Czy obejmuje pracowników - i czy jego dane mogą służyć do monitorowania ich zachowania lub czasu pracy?
• Czy obiekt należy do infrastruktury krytycznej albo podmiotu kluczowego lub ważnego w rozumieniu ustawy o KSC?

Rola wyniku

• Czy wynik systemu wpływa na działanie operatora (alarm, priorytet, rekomendacja)?
• Czy system sam uruchamia działania wobec osób (blokada, odmowa wejścia)?
• Czy system profiluje osoby fizyczne - i czy jest objęty załącznikiem III?

Nadzór i rozliczalność

• Czy logi pozwalają odtworzyć dane wejściowe, wynik i decyzję operatora?
• Czy uprawniona osoba może zrozumieć podstawę alarmu, odrzucić wynik albo bezpiecznie zatrzymać funkcję zgodnie z procedurą?
• Czy istnieje dokumentacja integracji: włączone funkcje, reguły, przepływy danych, odpowiedzialności?
• Czy przed wdrożeniem oceniono, czy przetwarzanie może powodować wysokie ryzyko i czy wymagana jest ocena skutków dla ochrony danych?

Infrastruktura krytyczna

• Czy wiadomo, jak system reaguje na błędne lub niepełne dane?
• Czy zachowanie przy awarii (otwarcie lub blokada przejść) jest świadomą decyzją?
• Czy system security jest uwzględniony w zarządzaniu ryzykiem cyberbezpieczeństwa i w ocenie ryzyka podmiotu krytycznego?

Komunikacja głosowa

• Czy system nagrywa, transkrybuje lub tłumaczy rozmowy - i jak długo przechowuje te dane?
• Czy klasyfikuje lub priorytetyzuje zgłoszenia - na podstawie treści czy cech głosu?
• Czy system zapewnia osobie informację, że wchodzi ona w interakcję z AI, chyba że jest to oczywiste w rozumieniu art. 50 ust. 1?

Kluczowe terminy AI Act i przepisów powiązanych

Terminy dla systemów wysokiego ryzyka zmieniło rozporządzenie (UE) 2026/1744.

Co dalej, jeśli rozpoznajesz swój system w którymś punkcie

Zaznaczony punkt nie przesądza o naruszeniu. Wskazuje obszar, który warto opisać dokładniej i poddać dalszej ocenie. W takim wypadku sugerujemy podjąć następujące działania:

1. Spisz funkcje AI faktycznie włączone w systemie i miejsca, w których działają.
2. Ustal role: kto jest dostawcą, kto integratorem, kto podmiotem stosującym system.
3. Dla funkcji oznaczonych w checkliście przygotuj krótki opis: dane wejściowe, cel analizy, zakres automatyzacji i rolę człowieka.
4. Skonsultuj kwalifikację z prawnikiem lub inspektorem ochrony danych - zwłaszcza przy biometrii, rozpoznawaniu emocji i monitorowaniu pracowników.

Możemy zrobić to razem. Rozmowa z ekspertem C&C Partners umożliwi Ci przejście od ogólnych pytań do konkretnych rozwiązań i architektury: funkcji systemu, przepływu danych, roli operatora i obszarów, które wymagają dalszej analizy przed wdrożeniem lub audytem. Rozmowa ma charakter techniczny i nie zastępuje porady prawnej. Umów rozmowę z ekspertem C&C Partners.

FAQ Najczęstsze pytania

Jak samodzielnie ocenić, czy mój system security podlega AI Act?

Warto przejść przez pięć obszarów: rodzaj danych i funkcje systemu, cztery obszary funkcjonalne, cechy architektury ułatwiające nadzór, specyfikę sektora (np. infrastruktury krytycznej) i dane głosowe, jeśli system je przetwarza. Checklista służy wstępnej orientacji, a nie ostatecznej kwalifikacji.

Czy sama checklista wystarczy do potwierdzenia zgodności z AI Act?

Nie. To narzędzie do wstępnej orientacji, a nie substytut oceny prawnej czy technicznej konkretnego wdrożenia.

Od kiedy obowiązują przepisy AI Act dla systemów wysokiego ryzyka w security?

Dla systemów kwalifikowanych na podstawie art. 6 ust. 2 i załącznika III obowiązki stosuje się od 2 grudnia 2027 r. Większość zakazów z art. 5, w tym dotyczący rozpoznawania emocji w miejscu pracy, obowiązuje od 2 lutego 2025 r.; niektóre zmienione zakazy mają późniejsze terminy.

Czy system musi informować rozmówcę, że wchodzi on w interakcję z AI?

Co do zasady tak. Od 2 sierpnia 2026 r. art. 50 ust. 1 AI Act wymaga zaprojektowania systemu tak, by osoba wiedziała, że rozmawia z AI — chyba że jest to oczywiste dla rozsądnej, dobrze poinformowanej i uważnej osoby.

Które funkcje systemów security wymagają najdokładniejszej analizy?

Zdalna identyfikacja biometryczna, rozpoznawanie emocji lub zamiarów na podstawie danych biometrycznych, kategoryzacja biometryczna, monitorowanie zachowania pracowników oraz automatyczne decyzje wobec osób.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Ocena konkretnego systemu wymaga analizy funkcji, przeznaczenia, architektury i środowiska wdrożenia.

Źródła i dalsza lektura