AI Act w kancelarii komorniczej: co oznacza deklaracja zgodności, a czego nie zastępuje?

Dostawca przesyła prezentację. Na jednym slajdzie widnieje hasło „zgodne z EU AI Act”. Na kolejnych – funkcje, cennik, termin wdrożenia. Nigdzie nie ma informacji, co dokładnie potwierdzono, kto to potwierdził i na jakiej podstawie. Komornik sądowy, który odpowiada za każdy element postępowania egzekucyjnego, zostaje z pytaniem: czy to wystarczy, żeby ochronić kancelarię przed ryzykiem regulacyjnym?

Taka sytuacja pozostawia kancelarię bez odpowiedzi na pytanie o rzeczywisty zakres jej odpowiedzialności i o sposób weryfikacji narzędzia przed wdrożeniem. Obawa przed konsekwencjami naruszenia przepisów jest uzasadniona – podobnie jak obawa o zaufanie wierzycieli, którzy pytają o podstawy prawne korzystania z AI. Droga do redukcji tego lęku prowadzi przez uporządkowaną weryfikację, a nie przez poszukiwanie jednego dokumentu, który „załatwi” temat.

Ten tekst rozdziela trzy warstwy, które w praktyce bywają zlewane w jedno: deklarację zgodności dostawcy, proces oceny z udziałem strony trzeciej oraz obowiązki kancelarii jako użytkownika profesjonalnego. Każda z nich odpowiada na inne pytanie – co deklaruje producent, co zweryfikował podmiot zewnętrzny i co kancelaria musi zapewnić we własnym zakresie.

Deklaracja zgodności dostawcy jako punkt wyjścia

Deklaracja zgodności to formalne oświadczenie dostawcy składane pod jego własną odpowiedzialnością. Dokument ten stwierdza, że dany system AI pozostaje w zgodzie z EU AI Act oraz innymi właściwymi przepisami Unii Europejskiej, a proces jego oceny zgodności został prawidłowo przeprowadzony. Z punktu widzenia kancelarii komorniczej kluczowe jest zrozumienie, że deklaracja nie jest „pozwoleniem” organu państwowego ani sądu – jej funkcją jest formalne związanie dostawcy odpowiedzialnością za zgodność systemu z wymaganiami rozporządzenia.

Co zawiera dobrze sporządzona deklaracja

Deklaracja zgodności musi obejmować szereg elementów, które kancelaria może i powinna sprawdzić przed wdrożeniem narzędzia. Przede wszystkim dokument zawiera jednoznaczną identyfikację systemu – nazwę, typ, odnośniki umożliwiające śledzenie konkretnej wersji oprogramowania. To istotne, bo deklaracja dotyczy konkretnej wersji systemu, a nie całej linii produktowej.

Dalej w dokumencie znajdziesz dane dostawcy i ewentualnego przedstawiciela, wyraźne oświadczenie o wyłącznej odpowiedzialności dostawcy za zgodność systemu z rozporządzeniem, a także wskazanie standardów i specyfikacji, na których oparto ocenę. Dostawca powinien wyraźnie rozróżnić, czy stosował normy zharmonizowane w całości, czy tylko w części – to ma znaczenie dla siły dowodowej całego procesu oceny.

W systemach przetwarzających dane osobowe deklaracja powinna obejmować także odniesienie do przepisów o ochronie danych. Dla kancelarii komorniczej to element kluczowy – niemal każde narzędzie operuje na danych osobowych dłużników i wierzycieli, a część tych danych ma charakter wrażliwy. Brak takiego odniesienia w deklaracji to sygnał do zadania dodatkowych pytań.

Czego deklaracja zgodności nie potwierdza

Otrzymanie deklaracji zgodności otwiera etap dalszych pytań i weryfikacji, które poprzedzają decyzję o dopuszczeniu narzędzia do użycia. Sam dokument nie potwierdza czterech rzeczy, które kancelaria musi sprawdzić we własnym zakresie.

Po pierwsze, deklaracja nie potwierdza dopasowania narzędzia do konkretnego sposobu użycia w Twojej kancelarii. System może być zgodny z przepisami, ale nieodpowiednio skonfigurowany do Twoich procedur egzekucyjnych.

Po drugie, deklaracja nie potwierdza aktualności dla najnowszej wersji systemu. Każda istotna aktualizacja oprogramowania wymaga ponownej oceny i nowej deklaracji – dokument sprzed roku może już nie mieć zastosowania.

Po trzecie, deklaracja nie potwierdza lokalizacji i sposobu przetwarzania danych w Twojej konkretnej konfiguracji. Sposób, w jaki kancelaria wdroży system, może różnić się od założeń producenta.

Po czwarte i najważniejsze – deklaracja nie zdejmuje z kancelarii obowiązku nadzoru nad wynikami generowanymi przez system. To kancelaria ponosi odpowiedzialność za sposób wykorzystania narzędzia w konkretnych sprawach, niezależnie od tego, co deklaruje dostawca.

Wersjonowanie i przechowywanie dokumentacji

Deklaracja zgodności dotyczy konkretnej wersji systemu – to kluczowa informacja dla kancelarii. Dokument należy przechowywać przez okres wymagany przepisami, wraz z oznaczeniem wersji, której dotyczy. W praktyce oznacza to, że kancelaria powinna prowadzić rejestr wdrożonych systemów AI wraz z datami wdrożenia, numerami wersji i kopiami odpowiednich deklaracji. Każda aktualizacja oprogramowania, która zmienia sposób działania mechanizmu AI, powinna skutkować żądaniem aktualnej deklaracji od dostawcy.

Proces certyfikacji i audytu zewnętrznego jako element w toku

AI Act przewiduje dwa główne tryby oceny zgodności systemów wysokiego ryzyka. Różnica między nimi ma praktyczne przełożenie na to, co kancelaria otrzymuje od dostawcy i jaką ma pewność co do zgodności narzędzia.

Ścieżka wewnętrznej kontroli

Procedura wewnętrznej kontroli opiera się na systemie zarządzania jakością dostawcy, dokumentacji technicznej, testach, analizie ryzyka i planie monitorowania po wprowadzeniu na rynek. W tym wariancie dostawca sam przeprowadza pełną ocenę zgodności, opierając się na własnych procedurach i zharmonizowanych standardach.

To ścieżka domyślna dla większości systemów wysokiego ryzyka, pod warunkiem że dostawca stosuje odpowiednie normy. Dla kancelarii oznacza to, że deklaracja zgodności opiera się wyłącznie na wewnętrznej ocenie producenta – bez niezależnej weryfikacji strony trzeciej. Siła dowodowa takiego dokumentu jest ograniczona do zaufania, jakim kancelaria darzy dostawcę.

Ścieżka z udziałem jednostki notyfikowanej

Procedura z udziałem jednostki notyfikowanej dodaje niezależną weryfikację tego samego zakresu. Jednostka notyfikowana sprawdza zarówno system zarządzania jakością dostawcy, jak i dokumentację techniczną oraz zgodność z wymaganiami AI Act. W tym przypadku deklaracja zgodności powinna dodatkowo zawierać nazwę i numer jednostki notyfikowanej, opis zastosowanej procedury oraz identyfikację wydanego certyfikatu.

Nawet gdy w ocenie uczestniczyła jednostka notyfikowana, deklarację wystawia wyłącznie dostawca. Różnica polega na tym, że treść deklaracji odwołuje się do niezależnej weryfikacji, co zwiększa jej wiarygodność. W obu przypadkach kancelaria otrzymuje informację o bieżącym statusie procesu, który zmierza dopiero do ewentualnego certyfikatu końcowego.

Praktyczne przełożenie dla kancelarii

W rozmowie z dostawcą warto ustalić, na jakim etapie oceny znajduje się system i jaki zakres dokumentacji został już zweryfikowany przez jednostkę notyfikowaną. Różnica między deklaracją a certyfikacją AI sprowadza się do tego, że deklaracja jest oświadczeniem własnym dostawcy, podczas gdy certyfikacja oznacza niezależne potwierdzenie przez podmiot zewnętrzny. Kancelaria powinna wiedzieć, z którym przypadkiem ma do czynienia, zanim podejmie decyzję o wdrożeniu.

Obowiązki kancelarii jako użytkownika profesjonalnego

Kancelaria komornicza występuje w typowym scenariuszu wyłącznie jako użytkownik profesjonalny – rola dostawcy systemu pozostaje po stronie producenta. To ustawia jej odpowiedzialność na poziomie sposobu użycia narzędzia, a nie jego projektowania. Rola dostawcy pojawia się dopiero wtedy, gdy kancelaria samodzielnie rozwinie lub istotnie zmodyfikuje system AI i wprowadzi go do użycia pod własnym oznaczeniem. W typowej konfiguracji – zakup gotowego narzędzia od producenta – kancelaria pozostaje wyłącznie użytkownikiem profesjonalnym.

Zakres odpowiedzialności kancelarii

Obowiązki kancelarii jako użytkownika systemu koncentrują się na sposobie użycia narzędzia w codziennej pracy. Przede wszystkim kancelaria musi zapewnić nadzór ludzki nad wynikami generowanymi przez system – każda decyzja wsparta przez AI musi być zweryfikowana przez komornika przed zastosowaniem w postępowaniu. To nie jest zadanie techniczne, ale merytoryczne: komornik ocenia, czy wynik wygenerowany przez system jest prawidłowy w świetle okoliczności konkretnej sprawy.

Kolejnym obowiązkiem jest monitorowanie działania narzędzia w bieżącej pracy kancelarii. System AI może zachowywać się inaczej w praktyce niż w warunkach testowych producenta – zmieniające się dane wejściowe, specyfika spraw czy błędy w konfiguracji mogą wpływać na jakość wyników. Kancelaria powinna prowadzić logi działań mechanizmu AI, które pozwalają odtworzyć, jakie decyzje podjął system i na jakiej podstawie.

Obowiązek informowania osób, których decyzja wsparta przez AI bezpośrednio dotyczy, to kolejny element odpowiedzialności kancelarii. Wierzyciele i dłużnicy mają prawo wiedzieć, że w postępowaniu wykorzystywane jest narzędzie AI i jakie ma ono znaczenie dla podejmowanych decyzji.

Korzystanie zgodnie z instrukcją i oceny skutku

Kancelaria ma obowiązek korzystania z systemu zgodnie z instrukcją użycia dostarczoną przez producenta – w tym z przeznaczeniem i ograniczeniami opisanymi w dokumentacji. Użycie narzędzia w sposób niezgodny z instrukcją może skutkować przeniesieniem odpowiedzialności na kancelarię, nawet jeśli system posiada ważną deklarację zgodności.

Przeprowadzenie odpowiednich ocen skutku dla przetwarzania danych i praw osób, których dotyczą decyzje wspierane przez AI, to kolejny element należytej staranności wymaganej od kancelarii. W praktyce oznacza to, że przed wdrożeniem narzędzia kancelaria powinna ocenić, jakie ryzyka wiążą się z jego użyciem dla danych osobowych dłużników i wierzycieli oraz dla ich praw procesowych.

Te obowiązki wynikają z roli użytkownika profesjonalnego i pozostają w mocy niezależnie od treści deklaracji dostawcy. Nawet najlepiej udokumentowany system nie zwalnia kancelarii z nadzoru nad jego działaniem w konkretnych sprawach.

Praktyczna lista pytań do dostawcy

Przed podjęciem decyzji o wdrożeniu narzędzia AI warto uzyskać odpowiedzi na konkretne pytania, które pozwalają ocenić, w jakim stopniu deklaracja dostawcy pokrywa się z rzeczywistymi potrzebami kancelarii.

Jaka jest dokładna rola narzędzia w procesie egzekucyjnym? – odpowiedź powinna precyzyjnie określać, które czynności wykonuje system, a które pozostają wyłącznie przy człowieku.
Gdzie i w jaki sposób przetwarzane są dane osobowe? – lokalizacja serwerów, sposób szyfrowania, polityka retencji danych.
Czy system prowadzi kompletny log działań AI? – możliwość odtworzenia, jakie decyzje podjął system i na jakiej podstawie.
Kto weryfikuje wynik przed jego zastosowaniem? – czy weryfikacja jest częścią procesu, czy pozostawiona uznaniu użytkownika.
Jakie decyzje pozostają wyłącznie w gestii komornika? – czy system rekomenduje, czy samodzielnie podejmuje czynności.
Jaki jest zakres i aktualność dokumentacji dostawcy, w tym identyfikacja wersji systemu? – czy deklaracja dotyczy aktualnie używanej wersji.
Czy system był przedmiotem oceny jednostki notyfikowanej? – jeśli tak, jaka jest nazwa i numer jednostki oraz zakres jej weryfikacji.
Jakie standardy i specyfikacje zastosowano w procesie oceny zgodności? – czy stosowano je w całości, czy częściowo.
Czy deklaracja zgodności zawiera odniesienie do przepisów o ochronie danych? – weryfikacja, czy kwestie RODO są uwzględnione.
Jaki jest plan monitorowania po wdrożeniu i procedura aktualizacji systemu? – jak często system jest aktualizowany i czy każda aktualizacja wymaga nowej deklaracji.

Odpowiedzi na te pytania pozwalają ocenić, w jakim stopniu deklaracja dostawcy pokrywa się z rzeczywistymi potrzebami kancelarii i gdzie kancelaria musi uzupełnić własne procedury nadzoru.

Od niepewności do konkretnych kryteriów

Deklaracja zgodności nie zastępuje audytu ani certyfikatu i nie zdejmuje z kancelarii odpowiedzialności za nadzór nad działaniem narzędzia. To dokument otwierający proces weryfikacji, a nie go zamykający. Kancelaria, która otrzymuje deklarację, powinna traktować ją jako punkt wyjścia do dalszych pytań i oceny ryzyka, a nie jako końcowe potwierdzenie gotowości narzędzia do użycia.

Rozdzielenie trzech warstw – dokumentacji dostawcy, statusu oceny zewnętrznej i własnych procedur nadzoru – daje komornikowi konkretne kryteria rozmowy z dostawcą. Zamiast ogólnego niepokoju pojawia się możliwość świadomego zarządzania ryzykiem regulacyjnym i reputacyjnym. Kancelaria wie, czego szukać w deklaracji, o co pytać dostawcę i co musi zapewnić we własnym zakresie.

Ogólny niepokój ustępuje miejsca konkretnym kryteriom, które pozwalają na bieżąco oceniać ryzyko regulacyjne i reputacyjne oraz podejmować decyzje na podstawie faktów, a nie haseł marketingowych. Zanim wdrożysz kolejne narzędzie, sprawdź, czy potrafisz oddzielić te trzy warstwy w rozmowie z dostawcą – to pierwszy test, czy dokumentacja, którą otrzymujesz, odpowiada na właściwe pytania.