Słownik zakupów AI

26 pojęć, które warto znać przed zakupem, przetargiem i wdrożeniem AI. Przy każdym haśle jest link do wpisu albo strony, na której piszemy o nim więcej

AI Act: Rozporządzenie (UE) 2024/1689, unijny akt w sprawie sztucznej inteligencji. Nakłada obowiązki między innymi na dostawców i na organizacje, które z AI korzystają, a ich zakres zależy od ryzyka systemu. Weszło w życie 1 sierpnia 2024 roku, obowiązki wchodzą etapami, a część terminów zmieniło rozporządzenie (UE) 2026/1744
Więcej: AI Act: obowiązki firmy, która korzysta z AI
Podmiot stosujący: W AI Act osoba fizyczna lub prawna, organ publiczny lub inny podmiot, który korzysta z systemu AI pod swoją kontrolą, poza osobistą działalnością pozazawodową, na przykład firma albo urząd używający kupionego narzędzia. Ma własne obowiązki, niezależne od obowiązków dostawcy, a części z nich nie spełni bez informacji od dostawcy
Więcej: AI Act: obowiązki firmy, która korzysta z AI
System AI wysokiego ryzyka: System AI, który AI Act uznaje za szczególnie ryzykowny dla zdrowia, bezpieczeństwa lub praw podstawowych, na przykład w rekrutacji i ocenie pracowników. Wymogi dla systemów z załącznika III stosuje się od 2 grudnia 2027 roku, a dla systemów z załącznika I od 2 sierpnia 2028 roku
Więcej: Terminy AI Act po zmianach: co przesuwa omnibus
Kompetencje w zakresie AI (AI literacy): Obowiązek z art. 4 AI Act, stosowany od 2 lutego 2025 roku. Po zmianie, która weszła w życie 27 lipca 2026 roku, dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji w zakresie AI wśród personelu i innych osób, które w ich imieniu obsługują systemy AI, bez obowiązku zapewnienia określonego poziomu kompetencji poszczególnych osób
Więcej: Art. 4 AI Act i AI literacy: kompetencje AI po omnibusie
Omnibus cyfrowy dotyczący AI: Rozporządzenie (UE) 2026/1744 z 8 lipca 2026 roku, które weszło w życie 27 lipca 2026 roku i upraszcza wdrażanie AI Act. Przesunęło terminy dla systemów wysokiego ryzyka i zmieniło między innymi art. 4 o kompetencjach w zakresie AI
Więcej: AI Act: obowiązki firmy, która korzysta z AI
Ocena skutków dla praw podstawowych (FRIA): Ocena wymagana przez art. 27 AI Act przed pierwszym użyciem systemu wysokiego ryzyka z załącznika III, poza infrastrukturą krytyczną, od podmiotów prawa publicznego i podmiotów prywatnych świadczących usługi publiczne, a także od każdego, kto stosuje AI do oceny zdolności kredytowej albo ryzyka i cen w ubezpieczeniach na życie i zdrowotnych. Aktualizuje się ją, gdy zmienią się jej elementy
Więcej: Ocena skutków dla praw podstawowych (FRIA) w AI Act
Ocena skutków dla ochrony danych (DPIA): Ocena z art. 35 RODO, wymagana, gdy przetwarzanie danych osobowych, zwłaszcza z użyciem nowych technologii, z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw lub wolności osób. Przeprowadza się ją przed rozpoczęciem przetwarzania, a przy AI potrzebne są do niej informacje od dostawcy, dlatego warto zapewnić je w umowie
Więcej: Ocena skutków dla ochrony danych (DPIA) przy AI
KRiBSI: Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, polski organ nadzoru nad AI powołany ustawą o systemach sztucznej inteligencji. Od 28 października 2026 roku może przeprowadzać kontrole, prowadzić postępowania, przyjmować skargi, wydawać opinie i nakładać kary
Więcej: KRiBSI, polski nadzorca AI: kontrole, skargi i kary
Ustawa o systemach sztucznej inteligencji: Polska ustawa z 3 lipca 2026 roku (Dz.U. 2026 poz. 1003) z przepisami wykonawczymi do AI Act. Organem nadzoru jest KRiBSI. Ustawa weszła w życie 11 sierpnia 2026 roku, a przepisy o opiniach indywidualnych, kontroli, postępowaniu i karach obowiązują od 28 października 2026 roku
Więcej: Ustawa o systemach sztucznej inteligencji: trzy narzędzia
Opinia indywidualna KRiBSI: Odpowiedź KRiBSI na pytanie, czy planowane użycie AI jest zgodne z AI Act i ustawą o systemach sztucznej inteligencji. Wniosek kosztuje 150 zł, a opinię wydaje się w 30 dni, w sprawach szczególnie skomplikowanych w 60 dni, więc wątpliwości można rozwiać jeszcze przed zakupem
Więcej: Ustawa o systemach sztucznej inteligencji: trzy narzędzia
ISO/IEC 42001: Międzynarodowa norma o systemie zarządzania sztuczną inteligencją. Certyfikat potwierdza, że organizacja ma ustalone zasady, role, ocenę ryzyka i nadzór nad AI i że je stosuje, ale nie potwierdza zgodności konkretnego systemu AI z AI Act
Więcej: ISO 42001: co potwierdza certyfikat dostawcy AI
Shadow AI: AI używana w organizacji poza jej kontrolą, na przykład prywatne narzędzia, z których pracownicy korzystają w pracy, choć organizacja ich nie kupiła. Sam zakaz zwykle nie działa: potrzebne są legalne narzędzia i jasne zasady korzystania z AI
Więcej: Shadow AI w urzędzie: dlaczego zakaz nie wystarczy
Vendor lock-in: Uzależnienie od jednego dostawcy, gdy zmiana technologii albo dostawcy jest zbyt droga lub zbyt trudna. W AI chronią przed nim między innymi oddzielenie aplikacji od modelu i zapisany w umowie eksport danych w otwartych formatach
Więcej: Vendor lock-in w AI: jak nie zamknąć się u dostawcy
Opis przedmiotu zamówienia (OPZ): Część dokumentów zamówienia, która opisuje, co zamawiający kupuje. Prawo zamówień publicznych wymaga opisu jednoznacznego i wyczerpującego, a wskazanie znaku towarowego lub konkretnego produktu dopuszcza tylko wtedy, gdy zamówienia nie da się opisać wystarczająco precyzyjnie, i zawsze z wyrazami „lub równoważny” (art. 99). Przy AI najlepiej opisywać zadania i oczekiwane wyniki, a nie nazwy produktów
Więcej: Opis przedmiotu zamówienia na AI i chmurę
Kryteria pozacenowe: Kryteria oceny ofert inne niż cena, na przykład jakość odpowiedzi systemu AI w teście na danych zamawiającego. Zamawiający z sektora finansów publicznych i inne państwowe jednostki organizacyjne nie mogą stosować ceny jako jedynego kryterium ani nadawać jej wagi wyższej niż 60 procent, chyba że w opisie przedmiotu zamówienia określą wymagania jakościowe co najmniej dla głównych elementów zamówienia (art. 246 Prawa zamówień publicznych). W zakupach AI kryteria jakościowe chronią przed systemem tanim, ale słabym
Więcej: Kryteria oceny ofert w przetargu na system AI
Wstępne konsultacje rynkowe: Rozmowy zamawiającego z rynkiem przed wszczęciem postępowania, przewidziane w art. 84 Prawa zamówień publicznych. Pomagają poznać dostępne rozwiązania i dobrze opisać przedmiot zamówienia, zanim powstanie ogłoszenie
Więcej: Opis przedmiotu zamówienia na AI i chmurę
Krajowa Izba Odwoławcza (KIO): Organ, który rozpatruje odwołania w postępowaniach o udzielenie zamówienia publicznego. Wyroki KIO omówione na blogu pokazują proste zasady zakupów IT: oceniać tylko to, co opisano, równo traktować produkty równoważne i dowodzić, a nie deklarować
Więcej: Cztery wyroki KIO o zakupach oprogramowania
Całkowity koszt posiadania (TCO): Pełny koszt rozwiązania w całym okresie korzystania: licencje, ludzie, dane i utrzymanie, a przy AI także koszt korzystania z modeli. W zakupach AI warto porównywać oferty według TCO, zwykle w horyzoncie trzech lat, a nie tylko według ceny licencji
Więcej: Usługi AI: dobór rozwiązań i zakup AI
Proof of Concept (PoC) i MVP: Proof of Concept (PoC) to krótka weryfikacja, czy rozwiązanie AI działa na danych i w procesach organizacji. MVP to najprostsza działająca wersja rozwiązania, sprawdzana w praktyce przed pełnym wdrożeniem. U nas oba etapy kończą się raportem z jednoznaczną rekomendacją: skalować czy nie
Więcej: Usługi AI: wdrożenie i optymalizacja
PMO (biuro projektów): Zespół, który prowadzi projekt: harmonogram, budżet, ryzyka, dokumentację i bramki decyzyjne, po stronie zamawiającego albo dostawcy. W projektach AI prowadzi też rejestr systemów i agentów AI oraz ślad audytowy decyzji
Więcej: Usługi PMO
Bramka decyzyjna: Punkt w projekcie, w którym na podstawie kryteriów i miar jakości decyduje się, czy projekt idzie dalej. W naszej ścieżce każdy krok ma kryteria wejścia i obowiązkowe rezultaty, a na bramce decyduje klient: sponsor projektu, a przy zgodności, nadzorze i odbiorze także osoba odpowiedzialna za zgodność
Więcej: Usługi PMO: ścieżka projektu
Plan naprawczy projektu: Plan wyprowadzenia projektu z trudnej sytuacji, gdy utknął, przekroczył budżet albo rozminął się z kontraktem. Powstaje po audycie realizacji i ocenie, czy kontynuacja ma sens, a gdy jej nie ma, zamiast planu naprawczego przygotowuje się plan wyjścia z kontraktu
Więcej: Usługi PMO: plan naprawczy
DORA: Rozporządzenie (UE) 2022/2554 o operacyjnej odporności cyfrowej sektora finansowego, stosowane od 17 stycznia 2025 roku. Obejmuje zarządzanie ryzykiem ICT i usługi dostawców ICT, w tym usługi AI, z których korzystają podmioty finansowe, na przykład banki i ubezpieczyciele
Więcej: Rozporządzenie DORA a AI: ryzyko ICT w finansach
NIS2 i krajowy system cyberbezpieczeństwa: NIS2 to unijna dyrektywa o cyberbezpieczeństwie. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 roku i znacznie poszerza krąg podmiotów z obowiązkami w zakresie cyberbezpieczeństwa
Więcej: Nowelizacja KSC i NIS2: co zmienia w zakupach AI
Cyber Resilience Act: Rozporządzenie (UE) 2024/2847, które obejmuje sprzęt i oprogramowanie łączące się z urządzeniem lub siecią. Obowiązki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów stosuje się od 11 września 2026 roku, a większość wymogów od 11 grudnia 2027 roku
Więcej: Cyber Resilience Act: zgłaszanie podatności w 24 godziny
Dyrektywa o odpowiedzialności za produkty wadliwe: Dyrektywa (UE) 2024/2853, która zastępuje dyrektywę z 1985 roku i obejmuje także oprogramowanie, w tym systemy AI. Państwa członkowskie mają ją wdrożyć do 9 grudnia 2026 roku, a odpowiedzialność producenta nie zależy od winy
Więcej: Dyrektywa o odpowiedzialności za produkty wadliwe a AI