Akt o AI UE: Wymogi dokumentacji dla systemów AI wysokiego ryzyka

Jeśli Państwa organizacja dostarcza lub wdraża system AI wysokiego ryzyka w rozumieniu Aktu o AI UE, obowiązuje nieprzekraczalny termin: 2 sierpnia 2026 r. Do tej daty każdy system AI wysokiego ryzyka objęty Załącznikiem III musi posiadać kompletną dokumentację techniczną, zakończoną ocenę zgodności oraz być zarejestrowany w bazie danych UE prowadzonej przez Komisję Europejską.

Dla wielu organizacji obowiązek dokumentacyjny jest najbardziej czasochłonną częścią procesu zapewnienia zgodności — nie dlatego, że wymagania są niejednoznaczne, lecz dlatego, że zgromadzenie tej dokumentacji wymaga wkładu zespołów inżynieryjnych, prawnych, zarządzania ryzykiem i danych, a wiele organizacji nie dysponuje wewnętrznymi materiałami wymaganymi przez Załącznik IV.

Niniejszy przewodnik wyjaśnia, które systemy są systemami wysokiego ryzyka, co każda z dziewięciu sekcji dokumentacji technicznej Załącznika IV powinna zawierać, oraz jak zorganizować dokumentację techniczną.

Które systemy są systemami wysokiego ryzyka

Załącznik III Aktu o AI UE wymienia osiem sektorów, w których systemy AI są systemami wysokiego ryzyka, gdy podejmują decyzje lub istotnie wpływają na decyzje dotyczące osób fizycznych:

1. Identyfikacja biometryczna i kategoryzacja osób fizycznych
2. Zarządzanie infrastrukturą krytyczną i jej eksploatacja (energia, woda, transport)
3. Kształcenie i szkolenie zawodowe (decyzje o przyjęciu, ocena, ewaluacja, monitorowanie)
4. Zatrudnienie i zarządzanie pracownikami (rekrutacja, selekcja, awans, zwolnienie, monitorowanie wyników)
5. Dostęp do podstawowych usług prywatnych i publicznych (scoring kredytowy, ubezpieczenia, świadczenia społeczne)
6. Ściganie przestępstw (ocena ryzyka, wykrywacze kłamstw, ocena dowodów, prognozowanie przestępczości)
7. Zarządzanie migracją, azylem i kontrolą graniczną
8. Wymiar sprawiedliwości i procesy demokratyczne

Dla większości organizacji komercyjnych najbardziej istotne kategorie to zatrudnienie (narzędzia do selekcji CV, oprogramowanie do monitorowania wyników) oraz usługi podstawowe (modele ryzyka kredytowego, silniki wyceny ubezpieczeń). Jeżeli Państwa system AI w sposób istotny wpływa na decyzje w tych obszarach, jest systemem wysokiego ryzyka.

Artykuł 6 Aktu o AI UE wprowadza regułę horyzontalną: systemy AI będące elementami bezpieczeństwa produktów regulowanych prawodawstwem harmonizacyjnym UE wymienionym w Załączniku I (wyroby medyczne, maszyny, urządzenia radiowe, pojazdy) są również systemami wysokiego ryzyka.

Dokumentacja techniczna z Załącznika IV: 9 obowiązkowych sekcji

Załącznik IV dzieli dokumentację techniczną na dziewięć obowiązkowych sekcji. Właściwe organy mogą zażądać tej dokumentacji w dowolnym momencie, dlatego musi być ona aktualna i dostępna przez cały okres eksploatacji systemu.

Sekcja 1: Ogólny opis systemu AI

Sekcja ta obejmuje tożsamość systemu i jego przeznaczenie. Należy udokumentować: nazwę, wersję i typ systemu AI; jego przeznaczenie i konkretne zadania, które wykonuje; kategorie podmiotów stosujących, dla których jest przeznaczony; sposób interakcji systemu ze sprzętem lub oprogramowaniem; oraz wersję oprogramowania lub oprogramowania układowego, na którym system się opiera. Jest to punkt wejścia dla każdego regulatora przeglądającego dokumentację — musi być jasny i kompletny, bez technicznego żargonu zasłaniającego rzeczywistą funkcję.

Sekcja 2: Szczegółowy opis komponentów i procesu opracowywania

Jest to sekcja najbardziej wymagająca technicznie. Należy udokumentować: metody i etapy zastosowane w procesie opracowywania systemu; specyfikacje projektowe, w tym ogólną logikę i kluczowe wybory projektowe; główne parametry projektu i ich uzasadnienie; architekturę systemu, w tym użyte zasoby obliczeniowe; oraz istotne decyzje podjęte podczas opracowywania, wraz z kompromisami i ich uzasadnieniem. W przypadku systemów AI wykorzystujących uczenie maszynowe obejmuje to opis podejścia do trenowania, architektury modelu i sposobu jego walidacji.

Sekcja 3: Opis monitorowania, funkcjonowania i kontroli systemu

Należy udokumentować sposób działania systemu w jego środowisku wdrożeniowym. Obejmuje to: dane wejściowe i wyjściowe systemu; interpretację wyników; działanie systemu w określonych warunkach; warunki, w których system może generować nieprawidłowe wyniki; oraz ograniczenia techniczne i znane tryby awarii.

Sekcja 4: Opis adekwatności metryk wydajności

Zgodnie z Artykułem 15 systemy AI wysokiego ryzyka muszą osiągać odpowiedni poziom dokładności, odporności i cyberbezpieczeństwa. Należy udokumentować wybrane metryki wydajności systemu oraz uzasadnić ich adekwatność do zamierzonego przeznaczenia. Należy uzasadnić wybrane poziomy progowe i wyjaśnić sposób ich ustalenia. W zakresie istotnym dla wykrywania błędów systematycznych należy uwzględnić wydajność w różnych grupach demograficznych.

Sekcja 5: Opis środków nadzoru ludzkiego

Artykuł 14 wymaga, aby systemy AI wysokiego ryzyka były zaprojektowane w sposób umożliwiający skuteczny nadzór ludzki. Należy udokumentować środki wbudowane w projekt i wdrożenie systemu: możliwość interpretacji wyników, mechanizm nadpisania lub zatrzymania systemu, sposób informowania użytkowników o ryzyku błędu automatyzacji oraz szkolenia przewidziane dla ludzkich operatorów. Należy opisać interfejs nadzoru i ścieżkę eskalacji w przypadku gdy system generuje wynik wymagający oceny przez człowieka.

Sekcja 6: Opis systemu zarządzania ryzykiem

Artykuł 9 wymaga udokumentowanego procesu zarządzania ryzykiem przez cały cykl życia systemu. Dokumentacja techniczna musi zawierać podsumowanie tego systemu: metodykę identyfikacji i szacowania ryzyka, kryteria oceny ryzyka, wdrożone środki ograniczające ryzyko oraz zaakceptowane ryzyko rezydualne. System zarządzania ryzykiem nie jest dokumentem jednorazowym — musi być aktualizowany wraz z rozwojem systemu i po zidentyfikowaniu nowych ryzyk po wdrożeniu.

Sekcja 7: Opis danych i zarządzania nimi

Artykuł 10 wymaga, aby zbiory danych służące do trenowania, walidacji i testowania spełniały kryteria jakości danych. Należy udokumentować: charakterystykę zbiorów danych, w tym pochodzenie, rozmiar i format; stosowane praktyki zarządzania danymi, w tym sposób zapewnienia jakości danych; kroki podjęte w celu identyfikacji i eliminacji błędów systematycznych w danych; oraz kryteria wyboru zbiorów danych do trenowania, walidacji i testowania. W przypadku systemów wykorzystujących wstępnie wytrenowane modele należy udokumentować pochodzenie modelu oraz to, co jest znane na temat danych, na których był trenowany.

Sekcja 8: Instrukcja użytkowania

Artykuł 13 zobowiązuje dostawców do przekazania podmiotom stosującym dokumentu instrukcji użytkowania. Dokumentacja techniczna musi zawierać kopię tego dokumentu lub do niego odsyłać. Instrukcja musi obejmować: tożsamość i wersję systemu; jego przeznaczenie i konkretne zadania, do których jest przeznaczony; jego możliwości i ograniczenia; poziom dokładności i wydajności, w tym oczekiwaną wydajność w różnych grupach; znane błędy systematyczne; oczekiwany okres eksploatacji; wymagana konserwacja; oraz środki nadzoru ludzkiego oczekiwane od podmiotu stosującego.

Sekcja 9: Deklaracja zgodności UE

Ostatnią sekcją dokumentacji technicznej jest deklaracja zgodności UE sporządzona zgodnie z Artykułem 47. Dokument ten stwierdza, że system spełnia wymogi Aktu o AI oraz wszelkich innych mających zastosowanie aktów prawnych UE, wskazuje zastosowaną procedurę oceny zgodności i jest podpisany przez upoważnionego przedstawiciela dostawcy. W przypadku gdy uczestniczyła jednostka notyfikowana, dołącza się odpowiedni certyfikat oraz numer identyfikacyjny tej jednostki.

Organizacja dokumentacji technicznej

Załącznik IV nie przewiduje określonego formatu pliku, jednak dokumentacja musi być prowadzona w formie umożliwiającej właściwym organom ocenę zgodności z Aktem. Najlepsza praktyka polega na prowadzeniu dokumentacji technicznej w kontrolowanym wersyjnie repozytorium dokumentów, z przejrzystą numeracją sekcji odpowiadającą Załącznikowi IV. Każda sekcja powinna odsyłać do źródłowych materiałów — raportów z trenowania, wyników testów, rejestrów ryzyka, diagramów architektury — tak aby dokumentacja służyła zarówno jako indeks do dowodów wspierających, jak i jako dokument autonomiczny.

Rejestracja w bazie danych AI UE (Artykuł 71)

Przed wprowadzeniem systemu AI wysokiego ryzyka do obrotu lub oddaniem go do użytku w UE dostawcy muszą zarejestrować system w bazie danych AI UE prowadzonej przez Komisję Europejską. Rejestracja wymaga podania: nazwy i danych kontaktowych dostawcy; nazwy, wersji i przeznaczenia systemu; kategorii Załącznika III, do której system jest zaklasyfikowany; krajów planowanego wdrożenia; referencji deklaracji zgodności; oraz danych kontaktowych do celów monitorowania po wprowadzeniu do obrotu. Baza danych jest publicznie dostępna dla kategorii określonych w Załączniku VIII.

Procedura oceny zgodności

W przypadku większości samodzielnych programowych systemów AI objętych Załącznikiem III ścieżką oceny zgodności jest samoocena na podstawie Załącznika VI. W przypadku systemów AI wbudowanych w produkty objęte Załącznikiem I (wyroby medyczne, maszyny) wymagana jest ocena przez zewnętrzną jednostkę notyfikowaną na podstawie Załącznika VII.

Samoocena polega na sprawdzeniu przez dostawcę systemu pod kątem wszystkich wymagań, przeprowadzeniu wewnętrznej procedury kontroli, sporządzeniu deklaracji zgodności i zarejestrowaniu się w bazie danych. Ocena powinna być udokumentowana — organ nadzorczy (UODO) może zażądać dowodów, że ocena została przeprowadzona rzetelnie, a nie jedynie że istnieje deklaracja.

Oceny przez jednostki notyfikowane są przeprowadzane przez jednostki akredytowane przez organy krajowe i wyznaczone przez Komisję Europejską. Terminarze jednostek notyfikowanych wypełniają się w miarę zbliżania się do terminu sierpniowego 2026 r. — organizacje wymagające oceny przez stronę trzecią powinny zidentyfikować jednostkę notyfikowaną i nawiązać z nią kontakt najpóźniej na początku 2026 r.

Termin sierpień 2026 r. w praktyce

2 sierpnia 2026 r. to data, do której systemy AI wysokiego ryzyka objęte Załącznikiem III muszą być w pełni zgodne z wymogami — a nie data, od której należy rozpocząć przygotowania do zapewnienia zgodności. Realistyczny harmonogram stworzenia kompletnej dokumentacji technicznej od podstaw wynosi od czterech do ośmiu miesięcy, przy założeniu że architektura systemu jest dobrze udokumentowana i dostępne są dane testowe.

Organizacje, które nie rozpoczęły jeszcze przygotowywania dokumentacji, powinny traktować tę kwestię jako pilną. Dokumentacja systemu zarządzania ryzykiem, testy wydajności i dokumentacja zarządzania danymi wymagają w szczególności czasu na właściwe opracowanie — nie można ich wytworzyć w ramach sprintu dokumentacyjnego w tygodniach poprzedzających termin.

---

Ostatnia aktualizacja: maj 2026 r.

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Przed podjęciem decyzji dotyczących zgodności należy skonsultować się z wykwalifikowanym doradcą prawnym.

Często zadawane pytania

Czy możemy wykorzystać istniejącą dokumentację produktową jako podstawę dokumentacji technicznej zgodnie z Załącznikiem IV?

W większości przypadków istniejąca dokumentacja techniczna pokrywa część, ale nie wszystkie wymagania Załącznika IV. Dokumentacja techniczna zazwyczaj obejmuje architekturę systemu, specyfikacje modelu i metryki wydajności. Zwykle brakuje w niej dokumentacji systemu zarządzania ryzykiem, sekcji dotyczącej środków nadzoru ludzkiego, opisu zarządzania danymi oraz instrukcji użytkowania w formie wymaganej przez Artykuł 13. Analiza luk w odniesieniu do wszystkich dziewięciu sekcji Załącznika IV — porównanie tego, co posiadamy, z tym, czego wymaga regulacja — stanowi najbardziej efektywny punkt wyjścia, zamiast zakładania z góry, że istniejąca dokumentacja jest niewystarczająca lub wystarczająca.

Jaka jest różnica między wymogiem dokumentacji technicznej a oceną zgodności?

Dokumentacja techniczna (Załącznik IV) stanowi całokształt dowodów wykazujących, że system spełnia wymagania Artykułów 9–15. Ocena zgodności to proces weryfikacji tej dokumentacji i systemu pod kątem wymogów Aktu, prowadzący do wniosku o zgodności i sporządzenia deklaracji zgodności UE. Dokumentacja musi istnieć przed zakończeniem oceny zgodności — stanowi ona dane wejściowe oceny, a nie jej wynik. Po ocenie deklaracja zgodności staje się sekcją 9 dokumentacji technicznej, a kompletna dokumentacja jest przechowywana przez 10 lat zgodnie z Artykułem 18.

Jak długo dokumentacja techniczna musi być przechowywana na podstawie Aktu o AI UE?

Artykuł 18 wymaga przechowywania dokumentacji technicznej przez okres 10 lat od momentu wprowadzenia systemu AI wysokiego ryzyka do obrotu lub oddania go do użytku. Dziesięcioletni okres przechowywania liczy się od daty, w której system wszedł do eksploatacji, a nie od daty ukończenia dokumentacji. W przypadku aktualizacji systemu lub wdrożenia nowej wersji dokumentacja każdej wersji musi być przechowywana przez 10 lat od daty wdrożenia tej wersji. Właściwe organy, w tym organ nadzorczy (UODO), mogą zażądać dokumentacji w dowolnym momencie w tym okresie, a nieprzedstawienie jej na żądanie samo w sobie stanowi naruszenie wymogów zgodności.

Źródła

• EUR-Lex, Rozporządzenie (UE) 2024/1689 (Akt o AI UE), Załącznik IV i Artykuły 9–18, 47, 71: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R1689
• Komisja Europejska, wdrożenie Aktu o AI UE i wytyczne dotyczące AI wysokiego ryzyka: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• ENISA, metodologia oceny ryzyka AI dla systemów AI wysokiego ryzyka: https://www.enisa.europa.eu/topics/artificial-intelligence
• Europejskie Biuro ds. AI, wytyczne dotyczące procedur oceny zgodności: https://digital-strategy.ec.europa.eu/en/policies/european-ai-office