Akt o sztucznej inteligencji (AI Act) a KIFF Cloud

1. Czym jest ta strona

To mapowanie konkretnych funkcji KIFF Cloud na konkretne artykuły aktu o sztucznej inteligencji. Każda sekcja o funkcjach podaje, co KIFF Cloud zapewnia dzisiaj, oraz to, czego nie zapewniamy, aby mapowania nie dało się odczytać jako gwarancji zgodności po stronie klienta.

Tam, gdzie ta strona odwołuje się do aktu o sztucznej inteligencji, tekst kanoniczny publikuje Unia Europejska w EUR-Lex. W razie rozbieżności rozstrzyga EUR-Lex.

2. Dla kogo jest ta strona

Dla dostawców i podmiotów stosujących systemy AI wysokiego ryzyka w rozumieniu artykułu 6 i załącznika III aktu o sztucznej inteligencji, do których obowiązków należą identyfikowalne rejestrowanie zdarzeń (artykuł 12) i skuteczny nadzór ze strony człowieka (artykuł 14). KIFF Cloud zaprojektowano tak, aby pomagał spełnić właśnie te dwa obowiązki; za pozostałe obowiązki wynikające z aktu o sztucznej inteligencji nadal odpowiada klient.

3. Artykuł 12, Rejestrowanie zdarzeń

Artykuł 12 aktu o sztucznej inteligencji wymaga, aby systemy AI wysokiego ryzyka umożliwiały automatyczne rejestrowanie zdarzeń („rejestry zdarzeń”) w całym cyklu życia danego systemu w stopniu wystarczającym do identyfikowania sytuacji powodujących ryzyko, do zapewnienia identyfikowalności i do monitorowania po wprowadzeniu do obrotu.

Co zapewnia KIFF Cloud

• Automatyczne rejestrowanie zdarzeń dla każdej kontrolowanej akcji, event_ingested, state_changed, decision_recorded, action_validated, action_executed, approval_required, approval_granted, approval_denied, action_blocked.
• Przypisanie w każdym rekordzie: każde zdarzenie zawiera identyfikator aktora, znacznik czasu i identyfikator śladu, które wiążą je z jego łańcuchem przyczynowym.
• Łańcuch audytowy tylko do dopisywania na poziomie frameworka; odtworzenie jest deterministyczne.
• Zbiorcze skróty (hashe) ujawniające każdą manipulację, publikowane w publicznym weryfikowalnym śladzie (gdy wdrożenie włącza tryb weryfikowalnego śladu).
• Podpisane Potwierdzenia dla każdej kontrolowanej akcji, których można użyć jako dowodu poza własną bazą danych KIFF Cloud.

Czego KIFF Cloud nie zapewnia

• Decyzji o tym, co rejestrować. O tym, które zdarzenia są emitowane, decydują konfiguracja domeny klienta i kontrakty akcji.
• Okresów przechowywania. Domyślnie dane są przechowywane przez cały okres istnienia tenanta klienta; to polityka klienta rozstrzyga, czy spełnia to przewidziany w art. 26 ust. 6 wymóg okresu „stosownego ze względu na przeznaczenie” (co najmniej sześć miesięcy).
• Automatycznego raportowania do organów nadzorczych na podstawie artykułu 73. Za wszelkie raportowanie na zewnątrz odpowiada klient.
• Ustalenia, czy system klienta kwalifikuje się jako system wysokiego ryzyka na podstawie załącznika III. Ta klasyfikacja należy do klienta.

4. Artykuł 14, Nadzór ze strony człowieka

Artykuł 14 aktu o sztucznej inteligencji wymaga, aby systemy AI wysokiego ryzyka były projektowane i rozwijane w taki sposób, aby w okresie ich wykorzystywania mogły być skutecznie nadzorowane przez osoby fizyczne. Obejmuje to możliwość interpretowania wyników, ingerowania w działanie systemu i w razie potrzeby przerwania tego działania przez wyznaczoną osobę nadzorującą.

Co zapewnia KIFF Cloud

• Wymóg zatwierdzenia dla każdej akcji. Każdy ActionContract deklaruje swój wymóg zatwierdzenia (Required, OptionalIfHigh lub None). Wymagane zatwierdzenia blokują wykonanie, dopóki wyznaczony człowiek nie przejrzy propozycji.
• Miejsce przeglądu zatwierdzeń. Panel i API pokazują oczekujące zatwierdzenia z pełnym kontekstem przyczynowym: zdarzeniami źródłowymi, bieżącym stanem, proponowaną akcją i jej parametrami oraz regułą, która spowodowała oczekiwanie.
• Przypisanie do osoby przeglądającej. Każdy rekord approval_granted lub approval_denied zawiera identyfikator osoby przeglądającej, znacznik czasu i pole na uzasadnienie wpisywane dowolnym tekstem.
• Odmowa jest ostateczna. Odmowa zatwierdzenia blokuje późniejsze wykonanie tej samej propozycji w tym samym kontekście. Klient nie może przypadkiem obejść decyzji nadzorczej, ponawiając próbę.
• Pola Potwierdzenia. Potwierdzenie akcji wymagającej zatwierdzenia zapisuje, kto ją przejrzał, dzięki czemu nadzór jest widoczny dla późniejszych audytorów i regulatorów.

Czego KIFF Cloud nie zapewnia

• Szkolenia osoby przeglądającej. Art. 26 ust. 2 wymaga, aby osoby, którym powierzono nadzór, miały „niezbędne kompetencje, przeszkolenie i uprawnienia”; te kompetencje zapewnia klient.
• Określenia, które akcje wymagają nadzoru. Wymogi zatwierdzenia ustala konfiguracja domeny klienta; KIFF Cloud egzekwuje to, co deklaruje konfiguracja.
• Polityki organizacyjnej. Art. 14 ust. 2 i 3 nakładają obowiązki nadzoru na organizację podmiotu stosującego; KIFF Cloud nie może tych obowiązków zastąpić.
• „Przycisku stop” na poziomie systemu AI. KIFF Cloud działa na poziomie akcji; zatrzymanie całego systemu wymaga własnych mechanizmów kontrolnych klienta.

5. Inne istotne artykuły

Poza artykułami 12 i 14 KIFF Cloud dotyka, w mniejszym stopniu, kilku innych obowiązków. Każda z poniższych uwag podaje artykuł i granicę naszego wkładu.

Artykuł 9, Zarządzanie ryzykiem

Pole risk_score w Potwierdzeniu jest zarezerwowane na dane o wcześniejszych przypadkach z wielu tenantów. W wersji v0.1 ma wartość null, ponieważ ten zbiór danych jeszcze nie powstał. Klienci nie mogą dziś polegać na tym polu.

Artykuł 10, Dane i zarządzanie danymi

Poza zakresem. Za dane treningowe, walidacyjne i testowe klienta odpowiada klient.

Artykuł 13, Przejrzystość wobec podmiotów stosujących

Format Potwierdzenia daje dalszym odbiorcom ustrukturyzowany zapis decyzji, który mogą odczytać i poddać audytowi; niektóre podmioty stosujące uznają to, zależnie od swojego scenariusza, za wystarczający dowód przejrzystości wobec użytkowników końcowych.

Artykuł 15, Dokładność, solidność, cyberbezpieczeństwo

Stan cyberbezpieczeństwa samego KIFF Cloud jest opisany na stronie /security. Za dokładność i solidność systemu AI klienta odpowiada klient; KIFF Cloud jest warstwą kontroli, a nie modelem.

Artykuł 17, Zarządzanie jakością

Poza zakresem. Za system zarządzania jakością klienta odpowiada klient.

Artykuł 26, Obowiązki podmiotów stosujących

Wiele obowiązków podmiotów stosujących wymaga dowodów monitorowania i nadzoru. Łańcuch audytowy i Potwierdzenia KIFF Cloud zaprojektowano tak, aby były takim dowodem.

6. Czego nie ma na tej liście

KIFF Cloud to warstwa kontroli akcji podejmowanych przez systemy AI. Nie obejmuje obowiązków wynikających z samego modelu (pochodzenie danych treningowych, testy stronniczości, dokumentacja modelu), z polityk organizacyjnych podmiotu stosującego (procedury zgłaszania incydentów, rejestracja podmiotu stosującego) ani infrastruktury monitorowania po wprowadzeniu do obrotu, która wykracza poza rejestrowane zdarzenia.

Jeśli Twoja ocena zgodności wskaże obowiązki, których ta strona nie obejmuje, KIFF Cloud nie jest do nich właściwym narzędziem. Powiemy to wprost w rozmowie handlowej, zamiast sugerować coś innego.

7. Potwierdzenie jako dowód

Jedno Potwierdzenie KIFF zbiera, dla jednej kontrolowanej akcji:

• łańcuch przyczynowy: zdarzenia, stan, decyzję i walidację akcji, które doprowadziły do wyniku (dowód rejestrowania zdarzeń z artykułu 12);
• przypisanie do osoby przeglądającej, gdy wymagane było zatwierdzenie przez człowieka (dowód nadzoru z artykułu 14);
• wersję polityki, według której podjęto decyzję (identyfikowalność w cyklu życia na podstawie art. 12 ust. 2 lit. b);
• kryptograficzne poświadczenie całego łańcucha, weryfikowalne niezależnie od bazy danych chmury (integralność na podstawie artykułu 15).

Gdy regulator bada jedną akcję, przedstawia się jedno Potwierdzenie; gdy bada system na przestrzeni czasu, przedstawia się zbiór potwierdzeń. Stały kształt JSON Potwierdzenia ma sprawić, że ta wymiana będzie mechaniczna, a nie opisowa.

8. Ograniczenia

Nie jesteśmy jednostką notyfikowaną, akredytowanym podmiotem oceniającym zgodność ani upoważnionym przedstawicielem w rozumieniu aktu o sztucznej inteligencji. Nie certyfikujemy systemów klientów. Za ocenę zgodności na podstawie artykułu 43 aktu o sztucznej inteligencji nadal odpowiada klient. Rolą KIFF Cloud jest dostarczanie dowodów, na których ocena zgodności klienta może się oprzeć.

Gdy zmieniają się przepisy wykonawcze do aktu o sztucznej inteligencji (akty delegowane, akty wykonawcze, normy zharmonizowane), to mapowanie może być opóźnione. Aktualizujemy tę stronę w miarę zmian tekstu przepisów i odpowiednich wytycznych Komisji.

9. Wersjonowanie

To mapowanie jest wersjonowane. Wersja v0.1 odzwierciedla skonsolidowany tekst aktu o sztucznej inteligencji opublikowany w Dz.U. L z 12 lipca 2024 oraz wytyczne Komisji dostępne w dniu podanym w nagłówku.

10. Kontakt

Pytania o zgodność: legal@kiff.dev. Pytania o prywatność: privacy@kiff.dev. Zgłoszenia dotyczące bezpieczeństwa: security@kiff.dev.

Wersja dokumentu: v0.1.
Ostatnia aktualizacja: 24 maja 2026.