Plan 8 tygodni do zgodności z AI Act
Dla firmy e-commerce bez dedykowanego działu prawnego. Wyznacz jedną osobę odpowiedzialną („AI Compliance Owner”), wpisz daty i prowadź postęp w rejestrze systemów AI (strukturę pliku opisujemy osobno).
Tydzień 1 - Inwentaryzacja (4-6 h)
Cel: Wiesz, jakiego AI używa Twoja firma. Wszystkiego.
- Wyznacz AI Compliance Ownera - jedną osobę z mandatem zarządu, nie komitet.
- Spisz wszystkie systemy AI: chatboty, rekomendacje, dynamic pricing, generowanie opisów, narzędzia marketingowe, fraud detection.
- Ankieta do zespołu: „jakich narzędzi AI używasz, także na prywatnych kontach?” - shadow AI to realne ryzyko RODO.
Wynik tygodnia: Wypełniony rejestr systemów AI - dokument, od którego zaczyna się każda kontrola.
Tydzień 2 - Klasyfikacja ryzyka (3-4 h)
Cel: Wiesz, które systemy wymagają działania, a które tylko odnotowania.
- Sklasyfikuj każdy system: zakazany / wysokie / ograniczone / minimalne ryzyko.
- Reguła kciuka: chatbot i treści = ograniczone (obowiązek informacyjny); rekomendacje i pricing = zwykle minimalne + RODO; scoring kredytowy, HR, biometria = konsultacja z prawnikiem.
- Sprawdź praktyki zakazane (obowiązują od lutego 2025): manipulacja, eksploatacja słabości, social scoring.
Wynik tygodnia: Każdy system ma przypisany poziom ryzyka.
Tydzień 3 - Audyt + wysyłka do dostawców (5-8 h)
Cel: Znasz braki i uruchamiasz najdłuższy proces - odpowiedzi dostawców.
- Przejdź checklistę 26 punktów i zaznacz status każdego.
- Wyślij pytania due diligence do każdego dostawcy SaaS z AI - odpowiadają 2-4 tygodnie, dlatego teraz.
- Zbierz istniejące dokumenty: DPA, polityka prywatności, regulamin.
Wynik tygodnia: Wynik audytu w procentach + wysłane zapytania.
Tydzień 4 - Transparentność - szybkie wdrożenia (3-5 h)
Cel: Obowiązki widoczne dla klienta są spełnione. Najtańszy element zgodności.
- Komunikat „rozmawiasz z AI” w chatbocie - zwykle jedna zmiana w konfiguracji, koszt 0 zł.
- Oznaczenia treści syntetycznych tam, gdzie wymagane.
- Podstrona „Jak korzystamy z AI” + aktualizacja polityki prywatności.
Wynik tygodnia: Klient widzi, że gracie fair - to też argument marketingowy.
Tydzień 5 - RODO i przypadki trudne (4-6 h)
Cel: Domknięte dane osobowe. Tu ewentualnie 2-3 h prawnika.
- Potwierdź podstawę prawną przetwarzania dla każdego systemu.
- Art. 22 RODO: w pełni automatyczne decyzje (np. fraud detection odrzucający zamówienia) wymagają ścieżki ludzkiej interwencji.
- DPIA tam, gdzie wymagana; zweryfikuj, czy dostawcy nie trenują modeli na danych klientów.
Wynik tygodnia: Zamknięte ryzyka RODO - w praktyce częściej egzekwowane niż sam AI Act.
Tydzień 6 - Nadzór ludzki i procedury (3-4 h)
Cel: Ludzie wiedzą, co robić, gdy AI się myli.
- Procedura eskalacji na jednej stronie A4: kto przejmuje rozmowę, kto wyłącza system, kto odpowiada za skargę.
- Logowanie decyzji AI włączone (min. 6 miesięcy).
- Szkolenie zespołu (1 h) + lista obecności do dokumentacji.
Wynik tygodnia: Procedura + przeszkolony zespół.
Tydzień 7 - Umowy i dokumentacja (3-5 h)
Cel: Papiery się spinają.
- Oceń odpowiedzi dostawców; brak odpowiedzi po 3 tygodniach = ponaglenie z terminem.
- Uzupełnij brakujące DPA.
- Skompletuj folder: rejestr, checklista z wynikiem, polityka AI, procedura, DPA, odpowiedzi dostawców, notatka ze szkolenia.
Wynik tygodnia: Kontrola = otwierasz folder, nie panikujesz.
Tydzień 8 - Przegląd i domknięcie (2-3 h)
Cel: Wynik ≥ 90% albo plan naprawczy z datami.
- Drugie przejście checklisty - co było „nie”, a jest „tak”?
- Pozostałe braki do planu naprawczego z osobą i terminem.
- Przegląd cykliczny: rejestr przy każdym nowym narzędziu, pełny audyt raz w roku. Notatka do zarządu.
Wynik tygodnia: Zgodność operacyjna przed 2 sierpnia + system, który ją utrzymuje.
Ścieżka awaryjna
Masz tylko 2 tygodnie? Zrób tygodnie 1, 2 i 4 (inwentaryzacja, klasyfikacja, komunikaty transparentności) oraz wyślij pytania do dostawców. To pokrywa obowiązki najbardziej widoczne dla klientów i regulatora oraz dokumentuje, że proces ruszył - co przy ewentualnej kontroli ma znaczenie.
Zacznij od tygodnia 1
Załóż rejestr systemów AI według opisanej struktury i zrób inwentaryzację - to 2 godziny pracy.
Materiały w tym dziale mają charakter organizacyjny i edukacyjny - nie stanowią porady prawnej. Korzystasz z nich na własną odpowiedzialność. Przed wdrożeniem w swojej firmie skonsultuj się z prawnikiem lub IOD - w szczególności przy klasyfikacji systemów jako wysokiego ryzyka, DPIA i umowach z dostawcami. Stan prawny: czerwiec 2026.