Audyt AI Act

Nie automatycznie. Firma używająca systemu pod swoim nadzorem może być podmiotem stosującym. Dostawca to m.in. podmiot, który rozwija system lub model albo zleca jego rozwój i wprowadza go pod własną nazwą na rynek lub, w przypadku systemu, oddaje do użytku. Role oceniamy na podstawie faktycznych działań; pracownika i osobę objętą decyzją ujmujemy osobno. Obowiązki dostawcy modelu GPAI nie przechodzą automatycznie na każdego użytkownika chatbota. Dla GPAI osobno sprawdzamy dokumentację, przejrzystość, prawa autorskie i wymagania dotyczące modeli o ryzyku systemowym, jeśli mają zastosowanie.

Nie. Zakazy obejmują m.in. szkodliwą manipulację i określone formy oceny społecznej, na warunkach art. 5; ich stosowania nie legalizuje polityka firmy ani zatwierdzenie przez człowieka. Wysokie ryzyko oznacza szczególne wymagania, zależne od zastosowania i terminu. Osobno sprawdzamy przejrzystość, np. informowanie o rozmowie z AI lub oznaczanie określonych treści. Mniejsze ryzyko nie usuwa wymagań ochrony danych. Klasyfikacja dotyczy konkretnego zastosowania, nie wyłącznie modelu, branży lub pracy offline.

Źródła wiedzy, uprawnienia do indeksów, separację danych, dostęp, retencję, logi, integracje API i jakość odpowiedzi. Przegląd obejmuje uzgodnione rozwiązania, także n8n, Open WebUI, Microsoft 365 i agentów. Sprawdzamy próby wymuszenia na modelu obcych instrukcji, ujawnienie danych osobowych lub tajemnicy przedsiębiorstwa, stronnicze wyniki, rozwiązanie zapasowe i zatrzymanie procesu. W HR, scoringu i analizie alertów oceniamy także nadzór nad decyzją, ręczną korektę oraz kontrolę reakcji. Nie zakładamy, że lokalny model lub RAG sam zapewnia bezpieczeństwo.

Możemy osobno uzgodnić wdrożenie polityk, dostępów, logowania, monitoringu, wymagań dla dostawców i zasad akceptacji nowych zastosowań. Audyt ani wdrożenie nie gwarantują zgodności; firma zachowuje odpowiedzialność za decyzje, a potrzebną ocenę prawną lub formalną ocenę zgodności ustala się odrębnie. Wspólne prace dotyczące RODO, NIS2, DORA i ISO 27001 porządkujemy bez utożsamiania tych wymagań z AI Act. Certyfikat Virtline dotyczy własnego systemu zarządzania, nie audytowanego AI.