# AI Act Triage Pl > Szybki triage systemu pod AI Act (rozporządzenie (UE) 2024/1689) - 20-40 minut w łańcuchu ośmiu pytań: czy to w ogóle "system AI" (art. 3 pkt 1), czy praktyka nie jest zakazana (art. 5), czy to wysokie ryzyko (art. 6 + załączniki I i III), czy w grę wchodzi GPAI (rozdział V), jakie obowiązki przejrzystości (art. 50), jaka rola podmiotu (dostawca / podmiot stosujący / importer / dystrybutor plus rekwalifikacja z art. 25), jaka mapa obowiązków i terminów. Na końcu karta triage: klasyfikacja + rola + zastosowalne rozdziały + luki + następne kroki + tagi pewności. Wynik zasila matematic-konstytucja-ai i rejestr systemów AI organizacji. To triage, nie pełna ocena zgodności. Używaj gdy: "czy to podpada pod AI Act", "klasyfikacja systemu AI", "wysokie ryzyko załącznik III", "jaka jest nasza rola pod AI Act", "triage AI Act", "czy nasz chatbot ma obowiązki". - Skill: `matematicsolutions/ai-act-triage-pl` (Agent Skill, multi-file: 7 files) - Install (CLI): `npx skillmds@latest add matematicsolutions/ai-act-triage-pl` - Raw SKILL.md: https://api.skillmd.com/api/skills/matematicsolutions/ai-act-triage-pl/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - License: Apache-2.0 - Author: matematicsolutions (https://skillmd.com/u/matematicsolutions) - Updated: 2026-09-17 - Page: https://skillmd.com/skills/matematicsolutions/ai-act-triage-pl --- # AI Act Triage PL - szybka klasyfikacja systemu pod rozporządzenie (UE) 2024/1689 ## Filozofia **Zanim organizacja zamówi pełny audyt zgodności, powinna wiedzieć, czy w ogóle ma problem - i jak duży.** Większość pytań "czy AI Act nas dotyczy" nie wymaga stu stron analizy. Wymaga uporządkowanego łańcucha rozstrzygnięć, w którym każde pytanie zamyka albo otwiera kolejne: definicja -> zakazy -> wysokie ryzyko -> GPAI -> przejrzystość -> rola -> mapa obowiązków -> raport. Po 20-40 minutach organizacja ma kartę triage: wie, w którym koszyku siedzi system, kim jest w łańcuchu wartości i co z tego wynika. Karta nie jest opinią prawną. Jest ustrukturyzowanym punktem wyjścia: wejściem do Konstytucji AI (`matematic-konstytucja-ai`), wpisem do rejestru systemów AI organizacji i decyzją, czy sprawa idzie do człowieka i pełnej analizy. ## Kiedy używać - Organizacja wdraża lub kupuje narzędzie z komponentem AI i pyta "czy to podpada pod AI Act". - Inwentaryzacja: trzeba przejść listę systemów i każdy wstępnie zaklasyfikować. - Dostawca softu pyta, czy jego produkt to system wysokiego ryzyka albo GPAI. - Kancelaria buduje rejestr systemów AI klienta albo własny. - Przed warsztatem Konstytucji AI - karta triage per system to materiał wejściowy. ## Czego NIE robi - **Nie zastępuje pełnej oceny zgodności ani conformity assessment.** Karta mówi "to wygląda na wysokie ryzyko z zał. III pkt X", nie "spełniacie art. 8-15". - **Nie wydaje opinii prawnej.** Wynik to projekt klasyfikacji do zatwierdzenia przez uprawnionego człowieka. - **Przy wyniku wysokie ryzyko, GPAI albo podejrzeniu praktyki zakazanej kieruje do człowieka i pełnej analizy.** Triage się wtedy kończy, nie pogłębia. - Nie ocenia zgodności z RODO - styk sygnalizuje i odsyła do `rodo-dpia-pl`. - Nie wykonuje FRIA - tylko sygnalizuje, że jest wymagana (krok 7). ## Workflow 8 kroków (plus bramka wejściowa) ### Krok 0 - weryfikacja przepisu (obowiązkowy, przed każdym cytowaniem) Żaden numer artykułu ani treść przepisu nie wchodzi do karty z pamięci modelu. Przed wpisaniem podstawy prawnej pobierz aktualny tekst rozporządzenia (UE) 2024/1689 z EUR-Lex (CELEX 32024R1689) albo przez konektor `mcp-eu-compliance` i porównaj brzmienie. Zanotuj w karcie datę pobrania i źródło. Przepis, którego nie dało się zweryfikować w sesji, dostaje tag `[sprawdź w EUR-Lex]` i nie może być podstawą rozstrzygnięcia "NIE dotyczy". ### Krok 1 - czy to "system AI" (art. 3 pkt 1) Sprawdź elementy definicji, każdy osobno: - system maszynowy, - zaprojektowany do działania z różnym poziomem autonomii, - może wykazywać zdolność adaptacji po wdrożeniu, - z otrzymanych danych wejściowych wnioskuje, jak generować wyniki (predykcje, treści, zalecenia, decyzje), - wyniki mogą wpływać na środowisko fizyczne lub wirtualne. Pomocniczo: wytyczne Komisji Europejskiej w sprawie definicji systemu AI (numer dokumentu [DO SPRAWDZENIA] - zweryfikuj w EUR-Lex przed cytowaniem). Kontrprzykłady poza definicją: klasyczny software czysto regułowy bez warstwy wnioskowania, prosta automatyzacja, arkusz z formułami. Wynik: TAK / NIE / GRANICZNE. Przy NIE - koniec triage, ale uzasadnienie i wpis do rejestru zostają (za rok ktoś zapyta, czemu uznaliście, że to nie system AI). ### Krok 2 - praktyki zakazane (art. 5) - checklist Odhacz każdą literę, nie "ogólne wrażenie": - [ ] techniki podprogowe lub celowo manipulacyjne prowadzące do poważnej szkody - [ ] wykorzystywanie słabości osób (wiek, niepełnosprawność, sytuacja społeczna lub ekonomiczna) - [ ] scoring społeczny prowadzący do nieuzasadnionego niekorzystnego traktowania - [ ] ocena ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania lub cech osobowości - [ ] nieukierunkowane scrapowanie wizerunków twarzy z internetu lub monitoringu do budowy baz rozpoznawania twarzy - [ ] rozpoznawanie emocji w miejscu pracy i w edukacji (poza wyjątkami medycznymi i bezpieczeństwa) - [ ] kategoryzacja biometryczna wnioskująca cechy wrażliwe (rasa, poglądy, przynależność związkowa, religia, życie seksualne, orientacja) - [ ] zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do celów ścigania (wąskie wyjątki) Pomocniczo: wytyczne KE w sprawie praktyk zakazanych (numer dokumentu [DO SPRAWDZENIA]). Zakazy obowiązują od 2.2.2025 - to stan prawny, nie prognoza. PODEJRZENIE choćby jednej litery = STOP, natychmiast bramka człowieka. ### Krok 3 - wysokie ryzyko (art. 6 + załącznik I + załącznik III) Dwie ścieżki kwalifikacji: - **Ścieżka A (art. 6 ust. 1, zał. I):** system jest produktem albo związanym z bezpieczeństwem elementem produktu objętego unijnym prawodawstwem harmonizacyjnym z zał. I i podlega ocenie zgodności strony trzeciej (maszyny, wyroby medyczne, zabawki, dźwigi, lotnictwo, pojazdy itd.). - **Ścieżka B (art. 6 ust. 2, zał. III):** use-case z obszarów: biometria; infrastruktura krytyczna; edukacja i szkolenie zawodowe; zatrudnienie i zarządzanie pracownikami; dostęp do usług zasadniczych (m.in. scoring kredytowy, wycena ubezpieczeń na życie i zdrowotnych, dysponowanie służbami ratunkowymi, świadczenia publiczne); egzekwowanie prawa; migracja, azyl i granice; wymiar sprawiedliwości i procesy demokratyczne. **Filtr art. 6 ust. 3:** system z zał. III nie jest wysokiego ryzyka, gdy nie stwarza znaczącego ryzyka szkody, bo wykonuje wyłącznie: wąskie zadanie proceduralne / poprawia wynik zakończonej czynności człowieka / wykrywa wzorce lub odchylenia bez zastępowania oceny człowieka / zadanie przygotowawcze. Wyjątek od wyjątku: profilowanie osób fizycznych = zawsze wysokie ryzyko. Skorzystanie z filtra wymaga udokumentowania oceny i rejestracji systemu (art. 6 ust. 4 i art. 49 ust. 2 [DO SPRAWDZENIA] - zweryfikuj oba numery). ### Krok 4 - GPAI (rozdział V) - Czy podmiot dostarcza model AI ogólnego przeznaczenia (definicja w art. 3, pkt [DO SPRAWDZENIA]) albo integruje cudzy model we własnym systemie? - Obowiązki dostawców modeli GPAI: dokumentacja techniczna, informacje dla dostawców niższego szczebla, polityka prawnoautorska, streszczenie danych treningowych (art. 53). Częściowe wyłączenie dla modeli open-source - nie obejmuje modeli z ryzykiem systemowym. - **Próg ryzyka systemowego (art. 51):** domniemanie, gdy łączna moc obliczeniowa treningu przekracza 10^25 FLOP; wtedy dodatkowe obowiązki z art. 55 (ewaluacje modelu, testy kontradyktoryjne, raportowanie incydentów, cyberbezpieczeństwo). - Kodeks postępowania GPAI (art. 56) - status i wersję zweryfikuj w źródle [DO SPRAWDZENIA]. Typowy wynik dla kancelarii i MŚP: podmiot stosujący system zbudowany na GPAI, nie dostawca modelu. Ale patrz krok 6 - rekwalifikacja. ### Krok 5 - obowiązki przejrzystości (art. 50) - Interakcja z człowiekiem (chatbot): poinformuj, że rozmawia z AI, chyba że to oczywiste z kontekstu. - Treść syntetyczna (audio, obraz, wideo, tekst): oznaczanie w formacie nadającym się do odczytu maszynowego po stronie dostawcy. - Rozpoznawanie emocji / kategoryzacja biometryczna: poinformuj osoby, których to dotyczy. - Deepfake: ujawnij, że treść została sztucznie wygenerowana lub zmanipulowana. - Tekst publikowany w celu informowania o sprawach interesu publicznego: ujawnij udział AI, chyba że treść przeszła kontrolę redakcyjną człowieka. Te obowiązki wchodzą ze stosowaniem zasadniczego korpusu (termin z art. 113 - krok 7). Numery ustępów art. 50 przypisz do wierszy karty po weryfikacji w kroku 0. ### Krok 6 - rola podmiotu (+ rekwalifikacja z art. 25) Ustal rolę: **dostawca** (provider) / **podmiot stosujący** (deployer) / **importer** / **dystrybutor** / upoważniony przedstawiciel. Definicje w art. 3. Test rekwalifikacji (art. 25) - stajesz się dostawcą systemu wysokiego ryzyka, gdy: 1. firmujesz system własną nazwą lub znakiem towarowym, 2. dokonujesz istotnej zmiany systemu wysokiego ryzyka, 3. zmieniasz przeznaczenie systemu tak, że staje się systemem wysokiego ryzyka. Typowa pułapka: "nasz chatbot" na cudzym modelu, z logo organizacji na froncie. Rola determinuje większość mapy obowiązków, więc ten krok rozstrzygnij zanim powiesz cokolwiek o obowiązkach. ### Krok 7 - mapa obowiązków, harmonogram, sygnalizacja FRIA Stan prawny względem daty triage (terminy z art. 113 - zweryfikuj w kroku 0): - od 2.2.2025: zakazy (art. 5) i kompetencje w zakresie AI (art. 4) - OBOWIĄZUJĄ, - od 2.8.2025: GPAI, governance, kary - OBOWIĄZUJĄ, - od 2.8.2026: zasadniczy korpus, w tym wysokie ryzyko z zał. III i art. 50 - termin wynikający z rozporządzenia, - do 2.8.2027: systemy wysokiego ryzyka ścieżki A (produkty z zał. I) - dłuższy okres z rozporządzenia. Zbuduj mapę: rola x klasyfikacja -> zastosowalne rozdziały i artykuły -> od kiedy. **Sygnalizacja FRIA (art. 27):** ocena skutków dla praw podstawowych przed wdrożeniem jest wymagana od podmiotów stosujących będących podmiotami prawa publicznego lub prywatnymi świadczącymi usługi publiczne oraz od stosujących systemy scoringu kredytowego i wyceny ubezpieczeń na życie i zdrowotnych (zał. III pkt 5, litery [DO SPRAWDZENIA]). Skill sygnalizuje wymóg i odsyła do `rodo-dpia-pl` w części pokrywającej się z DPIA - nie wykonuje FRIA. ### Krok 8 - raport: karta triage Wypełnij szablon poniżej. Karta jest wejściem do `matematic-konstytucja-ai` (sekcje boundaries i governance) i wpisem do rejestru systemów AI organizacji. ## Format wyniku - karta triage ``` ## Karta triage AI Act - Data: [rrrr-mm-dd] | Prowadzący: [osoba/agent] | Czas triage: [min] Weryfikacja przepisów: EUR-Lex CELEX 32024R1689 / mcp-eu-compliance, pobrano ### Klasyfikacja | Pytanie | Wynik | Podstawa (zweryfikowana) | Tag pewności | |--------------------------------------|---------------------------|--------------------------|--------------| | System AI (art. 3 pkt 1)? | TAK / NIE / GRANICZNE | | Zweryfikowane / [sprawdź w EUR-Lex] | | Praktyka zakazana (art. 5)? | NIE / PODEJRZENIE lit. | | ... | | Wysokie ryzyko (art. 6, zał. I/III)? | TAK zał. / NIE / wyłączony filtrem art. 6 ust. 3 | ... | ... | | GPAI (rozdział V)? | NIE / model GPAI / ryzyko systemowe | ... | ... | | Przejrzystość (art. 50)? | / brak | ... | ... | ### Rola podmiotu Rola: dostawca / podmiot stosujący / importer / dystrybutor Ryzyko rekwalifikacji (art. 25): TAK / NIE - ### Zastosowalne rozdziały i terminy (stan prawny na datę triage) - - stosuje się od - status: OBOWIĄZUJE / termin przyszły z rozporządzenia ### FRIA (art. 27) Wymagana: TAK / NIE / DO ANALIZY - ### Luki (czego nie wiemy / czego brakło w stanie faktycznym) 1. ... ### Następne kroki 1. ... [ ] Wpis do rejestru systemów AI organizacji [ ] Przekazanie karty do matematic-konstytucja-ai (boundaries / governance) [ ] Przy wysokim ryzyku / GPAI / podejrzeniu art. 5: eskalacja do człowieka i pełnej analizy ### Tagi pewności - podsumowanie Zweryfikowane: | Do sprawdzenia: | Nie używać: 0 (wymóg twardy) ``` ## Bramka człowieka Karta triage to projekt klasyfikacji, nie decyzja. Uprawniony człowiek (prawnik, compliance officer, wyznaczona rola z Konstytucji AI) sprawdza i zatwierdza kartę, zanim trafi do rejestru jako obowiązująca. Trzy wyniki eskalują obowiązkowo i natychmiast: podejrzenie praktyki zakazanej (art. 5), wysokie ryzyko, GPAI. W tych przypadkach triage kończy się skierowaniem do człowieka i pełnej analizy - skill nie próbuje jej zastąpić. ## Narzędzia deterministyczne (opcjonalne) Łańcuch ośmiu pytań prowadzi człowiek. Trzy skrypty w `scripts/` dają deterministyczne wsparcie tam, gdzie klasyfikacja i mapa obowiązków dają się policzyć maszynowo. Tylko biblioteka standardowa Pythona, praca lokalna, nic nie wychodzi na zewnątrz. Nie zastępują Kroku 0: cytaty w skryptach idą za strukturą rozporządzenia, ale przy wpisie do karty i tak weryfikuj artykuł w EUR-Lex. Każdy skrypt kończy banner "INTERPRETACJA MateMatic". - `klasyfikator_ryzyka_ai.py` - poziom ryzyka wg art. 5 / 6 / 50 + załącznik III (drzewo decyzyjne z filtrem art. 6 ust. 3 i wyjątkiem profilowania). Odpowiada krokom 2-5. - `plan_zgodnosci.py` - dla wysokiego ryzyka: wybór modułu oceny zgodności (A kontrola wewnętrzna vs H jednostka notyfikowana, art. 43) i 8-punktowa checklista dokumentacji technicznej (załącznik IV). To warstwa, której triage celowo nie robi - następny krok po klasyfikacji, gdy sprawa i tak idzie do pełnej analizy. - `tracker_obowiazkow.py` - macierz obowiązków per rola (dostawca / podmiot stosujący / importer / dystrybutor) posortowana wg terminów fazowania (art. 113). Odpowiada krokom 6-7. Uruchomienie: `python scripts/.py` (wbudowana próbka) albo z własnym plikiem JSON; `--output json` do dalszego przetwarzania. Referencje `references/` rozwijają załącznik III, artykuł po artykule oraz styk z RODO. ## Companion skills - `matematic-konstytucja-ai` - karta triage to materiał wejściowy do sekcji boundaries i governance Konstytucji AI; wpisz to w następnych krokach karty. - `legal-ai-audit-bundle` - archiwizacja karty jako artefakt record-keepingu. - `rodo-dpia-pl` - styk FRIA/DPIA i cała warstwa RODO, której ten skill nie ocenia. - Konektor `mcp-eu-compliance` - pobranie i weryfikacja tekstu przepisu w kroku 0. ## Weryfikacja źródeł Przepis pochodzi z bazy, nie z pamięci. Zasady twarde: 1. Każdy numer artykułu, ustępu, litery i punktu załącznika cytowany w karcie musi być zweryfikowany w sesji w EUR-Lex (CELEX 32024R1689) albo przez `mcp-eu-compliance` - inaczej dostaje tag `[sprawdź w EUR-Lex]`. 2. Tag `[DO SPRAWDZENIA]` w tym skillu oznacza miejsce, gdzie numer lub status dokumentu wymaga weryfikacji przed użyciem - nigdy nie cytuj go bez sprawdzenia. 3. Rozstrzygnięcie "AI Act nas nie dotyczy" nie może opierać się na niezweryfikowanym przepisie. 4. Wersja skonsolidowana ma pierwszeństwo przed pamięcią o brzmieniu pierwotnym - rozporządzenia bywają korygowane sprostowaniami.