Checklista rejestrowania i przechowywania

Skuteczna checklista włącza identyfikowalność do zwykłej pracy. Najpierw określ cały system AI, jego zamierzony cel, rolę firmy, klasyfikację oraz zapisy faktycznie pozostające pod jej kontrolą. Następnie zdefiniuj najmniejszy zestaw zdarzeń pozwalający wyjaśnić ważne wyniki, zmiany, działania ludzi, kontrole i incydenty. Przypisz odpowiedzialność za zapis, dostęp, przegląd, retencję i usuwanie oraz sprawdź, czy uprawniony recenzent potrafi odtworzyć przebieg zdarzeń.

W przypadku systemów AI wysokiego ryzyka art. 12 AI Act wymaga automatycznego rejestrowania zdarzeń w całym cyklu życia. Artykuły 19 i 26 wymagają od dostawców i podmiotów stosujących przechowywania automatycznych logów pod ich kontrolą przez odpowiedni okres, co do zasady co najmniej sześć miesięcy, chyba że inne prawo stanowi inaczej. Nie oznacza to zgody na bezterminowe gromadzenie wszystkiego.

1. Potwierdź zakres

• [ ] Zapisz nazwę, właściciela, cel, użytkowników, osoby objęte działaniem, wejścia, wyjścia i decyzje.
• [ ] Zmapuj modele, źródła, reguły, kroki ludzkie, integracje i dalsze działania.
• [ ] Udokumentuj rolę, analizę wysokiego ryzyka, założenia, akceptację i wyzwalacze ponownej oceny.
• [ ] Rozdziel logi kontrolowane przez firmę, klienta i dostawcę oraz wskaż reguły prywatności, bezpieczeństwa, prawa pracy, sektorowe i umowne.

2. Zdefiniuj pytania i minimalne zdarzenia

• [ ] Powiąż każde pytanie kontrolne lub dochodzeniowe z typem zdarzenia i minimalnymi polami.
• [ ] Uwzględnij wersje systemu, modelu i konfiguracji, czas oraz identyfikatory korelacji.
• [ ] Rejestruj kontrole, błędy, wyjątki, działania ludzi, zmiany, skargi i środki naprawcze.
• [ ] Wersjonuj schemat i automatycznie testuj pola obowiązkowe.

Użyteczny zapis odpowiada na pytanie. Telemetria dostępności rzadko dowodzi, która wersja wygenerowała wynik. Domyślne zapisywanie pełnych promptów, dokumentów, odpowiedzi i tożsamości może zwiększać ryzyko; gdy wystarczy, stosuj chronione odwołania, skróty, streszczenia lub ograniczone próbki.

3. Przypisz odpowiedzialność

• [ ] Wyznacz jednego odpowiedzialnego za każdy system.
• [ ] Przydziel instrumentację inżynierii, cel i zmiany produktowi, modele i oceny zespołom ML, dostęp i integralność bezpieczeństwu, minimalizację prywatności, a wymagania i testy zgodności.
• [ ] Wyraźnie udokumentuj granice klientów i dostawców.

4. Wbuduj dowody w dostarczanie produktu

• [ ] Powiąż zakres, klasyfikację, wersje i oceny z wydaniem.
• [ ] Niech wdrożenie zapisuje identyfikatory, akceptacje, stan kontroli i punkt wycofania.
• [ ] Automatycznie przechwytuj wyjątki, interwencje, skargi i incydenty; ponownie oceniaj istotne zmiany.

Dowód powinien powstawać tam, gdzie zapada decyzja. Automatyzuj rutynową kompletność, a ocenę człowieka zachowaj dla istotnych zmian i wyjątków.

5. Chroń dostęp i integralność

• [ ] Klasyfikuj zapisy, oddziel dostęp operacyjny od dochodzeniowego i stosuj minimalne uprawnienia, uwierzytelnianie, szyfrowanie oraz logi dostępu.
• [ ] Kontroluj eksport, ochronę przed zmianą, zabezpieczenie na czas incydentu i dokumentację schematu.

6. Przechowuj i usuwaj według klasy

• [ ] Ustal cel, początek okresu, datę usunięcia i właściwe minimum z art. 19 lub 26.
• [ ] Uzgodnij je z minimalizacją, regułami sektorowymi, umowami, incydentami i blokadami.
• [ ] Obejmij magazyny główne, analitykę, eksporty, repliki i kopie zapasowe; zatwierdzaj wyjątki i testuj usuwanie.

„Co najmniej sześć miesięcy” nie jest terminem uniwersalnym; dotyczy określonych automatycznych logów systemów wysokiego ryzyka pod kontrolą operatora.

7. Przeglądaj i eskaluj

• [ ] Uruchamiaj przegląd po istotnej zmianie, braku identyfikatora, błędzie kontroli, nietypowym obejściu, nieoczekiwanym działaniu lub nieuprawnionym użyciu.
• [ ] Dla każdego wyzwalacza określ adresata, wagę, czas reakcji, decydenta i dowód zamknięcia.
• [ ] Śledź naprawy, trendy i próbki oparte na ryzyku.

8. Testuj łańcuch dowodowy

• [ ] Odtwórz wydanie, jeden wynik i jeden wyjątek aż do zamknięcia.
• [ ] Sprawdź dostęp, eksport i usuwanie we wszystkich zarządzanych kopiach.
• [ ] Zapisz luki, właścicieli, terminy i ponowne testy.

Test powinien wykonać ktoś, kto nie tworzył akt. Jeśli potrzebne są prywatne wiadomości lub pamięć jednej osoby, proces nie jest powtarzalny.

Start w jednym tygodniu

Wybierz ważny proces. Zapisz zakres, rolę, klasyfikację, pytania, dostawców i luki. Uzgodnij schemat, odpowiedzialność, dostęp, retencję i wyzwalacze. Przetestuj rekonstrukcję, utwórz krótką listę napraw i zastosuj wzorzec do kolejnego ryzyka.

Po zmianie z 2026 r. reguły wysokiego ryzyka dla zastosowań z załącznika III obowiązują od 2 grudnia 2027 r., a dla systemów w produktach regulowanych z załącznika I od 2 sierpnia 2028 r.

FAQ

Jaki jest cel praktyczny?

Umożliwić uprawnionej osobie odtworzenie ważnej aktywności, kontroli, działań ludzi, zmian i dalszych kroków, a nie maksymalizować ilość danych.

Czy trzeba przechowywać wszystkie prompty i odpowiedzi?

Nie. Dobieraj pola do określonego celu i używaj zminimalizowanych metadanych, chronionych odwołań, skrótów lub ograniczonych próbek, gdy wystarczą.

Jak wykazać skuteczność?

Testami rekonstrukcji, dostępu, eksportu i usuwania, udokumentowanymi lukami oraz ponownymi testami po naprawie.

Źródła

• Rozporządzenie (UE) 2024/1689, tekst skonsolidowany z 27 lipca 2026 r., zwłaszcza art. 12, 19 i 26.
• Rozporządzenie (UE) 2026/1744 dotyczące zmienionych dat.
• Komisja Europejska, „AI Act”, aktualny harmonogram i przegląd.