Stan prawny na dzień: 13 października 2026 r.
System bezpieczeństwa w kontekscie Ai Act należy ocenić patrząc na funkcje systemu, a nie jego nazwę. W kontroli dostępu, monitoringu wideo, komunikacji głosowej i zarządzaniu zdarzeniami trzeba sprawdzić, czy dana funkcja wykorzystuje AI, do czego jest przeznaczona i jak wpływa na działania wobec osób. Sama automatyzacja nie przesądza o wysokim ryzyku.Szczególnej uwagi wymagają identyfikacja biometryczna, rozpoznawanie emocji, ocena ryzyka związanego z osobami oraz automatyczna priorytetyzacja zdarzeń, ale każda z nich wymaga odrębnej oceny.
Terminy stosowania: zakazy, w tym dotyczące rozpoznawania emocji w miejscu pracy, obowiązują od 2 lutego 2025 r.; systemy wysokiego ryzyka z załącznika III — od 2 grudnia 2027 r.; systemy objęte art. 6 ust. 1 — od 2 sierpnia 2028 r. Terminy te dotyczą stosowania obowiązków, a nie samej kwalifikacji funkcji.
Kontrola dostępu: biometria, ocena uprawnień i decyzja o wejściu
AI Act wyróżnia dwa pojęcia: weryfikację i zdalną identyfikację biometryczną.
Weryfikacja potwierdza tożsamość, którą osoba sama zadeklarowała. System porównuje jej dane z jednym wzorcem, na przykład odcisk palca ze wzorcem przypisanym do jej karty. Takie porównanie jest wyłączone z kategorii wysokiego ryzyka (załącznik III pkt 1 lit. a).
Zdalna identyfikacja biometryczna polega na ustalaniu tożsamości osoby bez jej aktywnego udziału, zwykle na odległość. Systemy tego typu znajdują się w katalogu systemów wysokiego ryzyka.
Nawet jeśli weryfikacja nie podlega rygorom dla systemów wysokiego ryzyka, nadal trzeba spełniać obowiązki wynikające z RODO.
Ocena uprawnień. Standardowe reguły stosowane w kontroli dostępu czyli strefy, harmonogramy, poziomy autoryzacji zazwyczaj nie spełniają definicji systemu AI. Jeżeli jednak system sam ocenia ryzyko związane z konkretną osobą i na tej podstawie ogranicza jej dostęp, trzeba ponownie ocenić jego kwalifikację pod kątem AI Act.
Kontekst pracy. Obecnie jedną z funkcjonalności systemów kontroli dostępu jest ewidencja czasu pracy. Wdrażane i stosowane przez nas systemy rejestrują i zapisują wejścia i wyjścia pracowników w dokumentacji kadrowej, gdy tylko karta, PIN, dane biometryczne czy aplikacja posłużą do otwarcia pomieszczenia, bramki czy uruchomienia windy w budynku, który obejmuje system. Jeśli te dane służą do zwykłej ewidencji wejść i wyjść, nie oznacza to systemu AI wysokiego ryzyka. Co innego w sytuacji, gdy na taki system nałożymy AI, mogące monitorować i oceniać zachowania lub wydajność pracowników. Takie rozwiązanie, często przykrywane sloganami reklamowymi o podnoszeniu produktywności, nie tylko będzie nosiło znamiona systemu wysokiego ryzyka zgodnie z definicjami AI Act, ale również należałoby ocenić je pod kątem zgodności z RODO i Kodeksem pracy.
Przykład. Autorskie oprogramowanie iManager rozszerza systemy iProtect i VDG Sense o moduły zarządzania dostępem, awizacji, ewakuacji, depozytu kluczy i rejestracji czasu pracy. Ocenę pod kątem AI Act należy prowadzić dla konkretnych funkcji i zintegrowanych komponentów, uwzględniając przeznaczenie określone przez dostawcę oraz sposób konfiguracji i użycia. Zmiana przeznaczenia systemu AI może natomiast zmienić zakres odpowiedzialności: jeżeli użytkownik lub integrator zmieni przeznaczenie systemu dotychczas niekwalifikowanego jako wysokiego ryzyka w taki sposób, że stanie się on systemem wysokiego ryzyka, może zostać uznany za jego dostawcę na podstawie art. 25 ust. 1 lit. c.
Monitoring wideo: rejestrowanie obrazu a jego automatyczna analiza
Samo nagrywanie obrazu nie podlega AI Act. Ocenie podlega automatyczna analiza: identyfikacja osób, klasyfikacja zdarzeń lub uruchamianie reakcji na ich podstawie. Funkcje AI w kamerach dzielą się na trzy grupy:
- Poprawa jakości obrazu. Funkcja wykorzystuje system AI, jej zadaniem jest poprawa obrazu, a nie identyfikacja osób. Przykładem może być redukcja szumu lub ograniczanie rozmycia ruchu.
- Analityka zdarzeń. Przekroczenie linii, wtargnięcie do strefy, porzucony bagaż, detekcja obiektu jako osoby lub pojazdu. System wykrywa, co się dzieje, niekoniecznie kto to robi, więc sam fakt wykrycia obecności w strefie nie przesądza o kwalifikacji jako system wysokiego ryzyka (załącznik III pkt 1 i pkt 5).
- Analiza osób. Zdalna identyfikacja biometryczna, analiza zachowania lub wnioskowanie o emocjach. W zależności od funkcji i zastosowania może podlegać zakazom (art. 5) albo kwalifikacji jako system wysokiego ryzyka (załącznik III pkt 1); samo śledzenie obiektu lub weryfikacja tożsamości 1:1 nie są z tym równoznaczne i wymagają odrębnej oceny.
Funkcje dotyczące zachowania, np. wykrywanie zbyt długiego przebywania w jednym miejscu, mogą działać bez ustalania tożsamości, ale jeżeli w miejscu pracy służą do monitorowania pracowników to najlepiej sprawdzić zgodność z załącznikiem III pkt 4 lit. b.
Przykład. Kamery Siqura 5000 wykorzystują analitykę opartą na AI do funkcji takich jak wirtualne ogrodzenia, detekcja obiektów i zdarzenia strefowe. System wykrywa zdarzenia, ale nie identyfikuje osób. Jednocześnie niezależnie od tej analityki, niektóre z modeli kamer oferują tryb „always in color”, który dzięki bardzo czułej optyce zapewnia obraz kolorowy nawet przy skrajnie słabym oświetleniu i sam producent nie opisuje tego trybu jako funkcji opartej na AI, to jednak ostateczna ocena pod kątem AI Act zależy od typu włączonej analityki, wersji oprogramowania, integracji z VDG Sense lub innym systemem VMS oraz miejsca i sposobu wykorzystania kamery.
Osobnej oceny wymagają zastosowania związane z infrastrukturą krytyczną. Załącznik III pkt 2 obejmuje systemy AI pełniące funkcję komponentów bezpieczeństwa w zarządzaniu i eksploatacji takiej infrastruktury. O kwalifikacji decyduje więc nie samo miejsce instalacji, lecz przeznaczenie systemu oraz skutki jego awarii lub błędnego działania.
Komunikacja głosowa: przekaz komunikatu a analiza treści i głosu
Sam przekaz głosu między osobą a operatorem nie podlega AI Act. Ryzyko pojawia się, gdy system analizuje treść, głos lub emocje rozmówcy. Trzy poziomy:
- Przekaz. Połączenie głosowe bez analizy.
- Przetwarzanie treści. Transkrypcja, tłumaczenie, rozpoznawanie słów kluczowych, nadawanie priorytetu.
- Analiza głosu jako cechy osoby. Rozpoznawanie mówiącego , wnioskowanie o emocjach lub zamiarach na podstawie cech głosu.
To trzeci poziom wymaga szczególnej uwagi: głos może być daną biometryczną. Art. 3 pkt 39 definiuje system rozpoznawania emocji jako system wnioskujący o emocjach lub zamiarach na tej podstawie.
Wnioskowanie o emocjach w miejscu pracy i instytucjach edukacyjnych jest co do zasady zakazane (art. 5 ust. 1 lit. f), z wyjątkiem zastosowań z powodów medycznych lub bezpieczeństwa. Poza tym kontekstem system nadal wymaga oceny kwalifikacji jako wysokiego ryzyka według art. 6 oraz zgodności z pozostałymi przepisami. Analiza zamiarów wymaga odrębnej oceny tego, co dokładnie system wnioskuje i na jakiej podstawie.
Sama transkrypcja nie oznacza rozpoznawania emocji. Motyw 18 odróżnia również rozpoznawanie emocji od prostego wykrywania podniesionego głosu.
Głos bywa pomijany w analizach skupionych na obrazie i biometrii twarzy. Więcej o tym napiszemy w artykule o komunikacji głosowej jako źródle danych.
Zarządzanie zdarzeniami: rejestracja a automatyczna ocena i priorytetyzacja
W integrujących systemy bezpieczeństwa platformach PSIM (Physical Security Information Management) liczy się to, co system robi ze zdarzeniem: czy je tylko rejestruje, czy wykorzystuje AI do oceny ryzyka, ustalania priorytetów lub rekomendowania reakcji. Sama automatyzacja nie przesądza o jeszcze o kwalifikacji do systemu o wysokim ryzyku, decyduje przeznaczenie i rola funkcji.
Udział operatora w nadzorze powinien być rzeczywisty, a nie sprowadzać się do formalnego zatwierdzania wyników. Operator powinien rozumieć ograniczenia systemu, mieć dostęp do kontekstu i możliwość odrzucenia rekomendacji. Bezkrytyczne zatwierdzanie alarmów bez wymaganej weryfikacji nie zapewnia takiego nadzoru, jednocześnie nie wymuszając, aby każdy alarm był zatwierdzany ręcznie. Sposób nadzoru dostosowuje się do ryzyka i zastosowania systemu.
Skuteczny nadzór nie wyłącza automatycznie wysokiego ryzyka. Dla systemów z załącznika III zastosowanie wyjątku z art. 6 ust. 3 wymaga odrębnej oceny, którą dokumentuje dostawca; systemy profilujące osoby fizyczne nie korzystają z tego wyjątku.
Platforma zarządzania zdarzeniami jest też miejscem, w którym powstają logi i ścieżka decyzji operatora. Więcej o tym zagadnieniu napiszemy w nadchodzącym artykule o architekturze z uwzględnieniem nadzoru i rozliczalności.
Jak wykorzystać tę mapę do wstępnej oceny
Zestawienie służy wstępnej ocenie i nie stanowi klasyfikacji prawnej.
Pierwszym krokiem jest ustalenie, które funkcje faktycznie są włączone i w jakiej konfiguracji działają.
Zestawienie nie stanowi klasyfikacji prawnej.
Praktyczny sposób pracy: dla każdego obszaru warto sprawdzić, które funkcje są włączone, zaznaczyć te wymagające dalszej oceny i uwzględnić przeznaczenie wskazane w dokumentacji dostawcy, nie tylko listę aktywnych funkcji.
FAQ - Najczęstsze pytania
Czy kontrola dostępu z biometrią zawsze jest systemem wysokiego ryzyka? Nie zawsze. Weryfikacja biometryczna 1:1, potwierdzająca tożsamość przy czytniku, jest wyłączona z załącznika III pkt 1 lit. a. Decydują konkretna funkcja, sposób przetwarzania danych i kontekst wdrożenia.
Czy wykrywanie wtargnięcia do strefy oznacza wysokie ryzyko? Zwykle nie - analityka wykrywająca zdarzenia, a nie osoby, nie przesądza o kwalifikacji. Znaczenie ma miejsce instalacji, przeznaczenie systemu i rola alarmu, zwłaszcza przy infrastrukturze krytycznej.
Czy analiza głosu w interkomie może być rozpoznawaniem emocji? Tak, jeśli system wnioskuje o emocjach lub zamiarach z cech głosu. W pracy i edukacji jest to co do zasady zakazane poza wyjątkami medycznymi i bezpieczeństwa; poza tym kontekstem wymaga oceny jako wysokie ryzyko.
Źródła i dalsza lektura
Stan prawny i dostępność źródeł zweryfikowano 13 października 2026 r. Daty stosowania obowiązków uwzględniają zmiany wprowadzone pakietem upraszczającym AI Act (AI Omnibus, w mocy od 27 lipca 2026 r.).
Uwaga: artykuł ma charakter informacyjny i nie stanowi porady prawnej. Kwalifikacja systemu wymaga analizy konkretnej funkcji, celu, architektury i środowiska wdrożenia. Przy redakcji tekstu korzystaliśmy z narzędzi AI; treść została zweryfikowana przez zespół C&C Partners.
Autor
