AI Act w spółce — inwentaryzacja systemów sztucznej inteligencji i obowiązki podmiotu stosującego

Dla kogo: zarządy spółek, działy compliance, HR, IT, bezpieczeństwa, zakupów i właściciele procesów biznesowych.

Stan prawny: 19 sierpnia 2026 r.

AI Act w spółce — od czego zacząć?

Najkrótsza odpowiedź: od ustalenia, gdzie i w jakim celu spółka faktycznie używa systemów AI. Sama lista nazw produktów nie wystarcza. Ten sam system może służyć do redagowania tekstu, selekcji kandydatów, oceny pracownika albo obsługi klienta, a kwalifikacja prawna zależy przede wszystkim od przeznaczenia i sposobu użycia.

AI może znajdować się w osobnym narzędziu, ale także w module ATS, CRM, systemie kadrowym, pakiecie biurowym, wyszukiwarce, rozwiązaniu cyberbezpieczeństwa albo rozszerzeniu przeglądarki. Dlatego pierwszym praktycznym krokiem jest inwentaryzacja zastosowań, połączona z oceną roli spółki, kategorii ryzyka, danych oraz wpływu wyniku systemu na ludzi i decyzje biznesowe.

Ważne: AI Act nie ustanawia powszechnego, samodzielnego obowiązku prowadzenia przez każdą spółkę rejestru wszystkich narzędzi AI. Rejestr jest jednak praktycznym mechanizmem, który pozwala ustalić, jakie obowiązki rzeczywiście występują i wykazać, na jakiej podstawie dokonano kwalifikacji.

Inwentaryzacja powinna łączyć funkcję systemu, rolę spółki, dane, dostawcę, ryzyko i dowody nadzoru.

Od kiedy AI Act obowiązuje spółki?

Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 r., ale jego przepisy są stosowane etapami. Harmonogram został istotnie zmieniony przez rozporządzenie (UE) 2026/1744, czyli Digital Omnibus on AI, które weszło w życie 27 lipca 2026 r.

Nie jest więc prawidłowe stwierdzenie, że od 2 sierpnia 2026 r. wszystkie obowiązki dotyczące systemów wysokiego ryzyka są już stosowane. Spółka powinna jednak wykorzystać okres przejściowy na identyfikację takich systemów, uzupełnienie umów, zaprojektowanie nadzoru człowieka i ocenę dostępności dokumentacji oraz logów.

Jak wygląda wdrożenie AI Act w Polsce?

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) uzupełnia unijne rozporządzenie o krajową organizację nadzoru i procedury. Co do zasady weszła w życie 11 sierpnia 2026 r., jednak część przepisów, w tym art. 8–18 oraz rozdziały 3–5, 8 i 9, zacznie obowiązywać 28 października 2026 r. Na dzień niniejszego opracowania krajowy system jest więc uruchamiany etapami.

Ustawa przewiduje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako krajowy organ nadzoru. Terminy wejścia w życie krajowych przepisów nie zmieniają bezpośrednio stosowanych obowiązków wynikających z AI Act, ale mają znaczenie dla procedur, właściwości organów i egzekwowania prawa w Polsce.

Kim jest podmiot stosujący system AI?

Podmiotem stosującym, określanym w angielskiej wersji jako deployer, jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot wykorzystujący system AI, nad którym sprawuje kontrolę, z wyjątkiem użycia w ramach osobistej działalności pozazawodowej. Spółka kupująca gotowy system i używająca go w procesie biznesowym zazwyczaj występuje właśnie w tej roli.

Jedna organizacja może mieć różne role wobec różnych rozwiązań. Może być podmiotem stosującym gotowy system, dostawcą własnego rozwiązania, importerem systemu oznaczonego nazwą podmiotu spoza Unii albo dystrybutorem w unijnym łańcuchu dostaw.

Samo korzystanie z interfejsu lub API modelu ogólnego przeznaczenia nie czyni spółki dostawcą tego modelu. Należy jednak osobno ocenić system zbudowany na takim modelu i sposób, w jaki jest udostępniany.

Kiedy podmiot stosujący może zostać uznany za dostawcę?

Art. 25 AI Act reguluje przypadki przejęcia obowiązków dostawcy w odniesieniu do systemów wysokiego ryzyka. Może do tego dojść m.in. wtedy, gdy inny podmiot umieszcza własną nazwę lub znak towarowy na systemie już wprowadzonym do obrotu lub oddanym do użytku, dokonuje jego istotnej modyfikacji albo zmienia przeznaczenie systemu, który wcześniej nie był systemem wysokiego ryzyka, w taki sposób, że staje się on systemem wysokiego ryzyka.

Nie każda konfiguracja, integracja ani zmiana promptu jest automatycznie istotną modyfikacją. Ocena wymaga odniesienia do przeznaczenia określonego przez dostawcę, właściwości systemu, dokumentacji oraz skutku wprowadzonych zmian.

Jak rozpoznać system AI wysokiego ryzyka?

Nie każde narzędzie wykorzystujące AI jest systemem wysokiego ryzyka. Kwalifikacja wymaga analizy art. 6, załączników oraz rzeczywistego przeznaczenia. W działalności typowej spółki szczególną uwagę należy zwrócić na rozwiązania używane w zatrudnieniu i zarządzaniu pracownikami.

Załącznik III obejmuje m.in. systemy przeznaczone do rekrutacji lub selekcji kandydatów, w szczególności do zamieszczania ukierunkowanych ogłoszeń, analizowania i filtrowania aplikacji oraz oceny kandydatów. Obejmuje również określone systemy służące podejmowaniu decyzji wpływających na warunki stosunku pracy, awans lub rozwiązanie stosunku pracy, przydzielanie zadań na podstawie zachowania lub cech osobistych oraz monitorowanie i ocenę wyników pracy.

Nie oznacza to, że każde narzędzie HR zawierające funkcję AI jest automatycznie wysokiego ryzyka. Art. 6 przewiduje warunki i wyjątki, a znaczenie ma m.in. to, czy system stwarza istotne ryzyko szkody dla zdrowia, bezpieczeństwa lub praw podstawowych oraz czy wpływa materialnie na wynik podejmowania decyzji. System dokonujący profilowania osoby fizycznej w ramach zastosowania z załącznika III podlega szczególnej regule.

Pytanie kontrolne: czy wynik systemu tylko porządkuje informacje, czy faktycznie wpływa na dostęp osoby do zatrudnienia, usługi, świadczenia albo na inną decyzję wywołującą istotne skutki? Nazwa produktu nie rozstrzyga tej kwestii.

Jakie praktyki są już zakazane?

Zakazy z art. 5 stosuje się od 2 lutego 2025 r. Obejmują one m.in. określone systemy wykorzystujące techniki podprogowe, celowo manipulacyjne lub wprowadzające w błąd w sposób prowadzący albo mogący prowadzić do znaczącej szkody, wykorzystywanie słabości związanych z wiekiem, niepełnosprawnością lub szczególną sytuacją społeczną albo ekonomiczną, określony scoring społeczny oraz niektóre formy kategoryzacji biometrycznej.

Dla pracodawcy szczególnie istotny jest zakaz wykorzystywania systemów AI do wnioskowania o emocjach osoby w miejscu pracy, z wyjątkami dotyczącymi zastosowań z powodów medycznych lub bezpieczeństwa. Zakres zakazu należy oceniać według funkcji systemu, a nie deklaracji marketingowej dostawcy.

Jeżeli inwentaryzacja ujawni zastosowanie mogące należeć do art. 5, nie wystarczy oznaczyć go w rejestrze jako „wysokie ryzyko”. Praktyka zakazana wymaga wstrzymania użycia i odrębnej analizy prawnej.

Jakie obowiązki przejrzystości obowiązują od 2 sierpnia 2026 r.?

Art. 50 obejmuje konkretne kategorie systemów i treści. Nie ustanawia zasady, zgodnie z którą każda treść przygotowana z jakąkolwiek pomocą AI musi być oznaczona.

• Dostawcy systemów przeznaczonych do bezpośredniej interakcji z osobami mają zapewnić poinformowanie, że rozmówca wchodzi w interakcję z systemem AI, chyba że jest to oczywiste dla dostatecznie poinformowanej, uważnej i rozsądnej osoby.
• Podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej mają informować osoby poddane ich działaniu, z uwzględnieniem wyjątków przewidzianych w przepisach.
• Podmiot stosujący system generujący lub manipulujący obrazem, dźwiękiem albo wideo stanowiącym deepfake ma ujawnić sztuczne wygenerowanie lub manipulację.
• Określony tekst wygenerowany lub zmanipulowany przez AI i publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym podlega ujawnieniu. Przepis przewiduje wyjątek, gdy treść przeszła proces weryfikacji przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną ponosi oznaczona osoba fizyczna lub prawna.

Wdrożenie chatbota, generatora treści lub narzędzia do tworzenia obrazu powinno zatem obejmować osobny test art. 50, a umowa z dostawcą powinna zapewniać funkcje potrzebne do wykonania obowiązków właściwych dla danej roli.

Na czym polega obowiązek rozwijania kompetencji AI?

Po zmianie wprowadzonej przez Digital Omnibus on AI art. 4 wymaga od dostawców i podmiotów stosujących podejmowania środków wspierających rozwój kompetencji w zakresie AI personelu i innych osób zajmujących się działaniem lub używaniem systemów w ich imieniu. Nie ustanawia jednego obowiązkowego programu, częstotliwości szkolenia, certyfikatu ani konkretnego poziomu wiedzy, który każda osoba musi osiągnąć.

Środki należy dobrać do wiedzy, doświadczenia i zadań danej grupy oraz do kontekstu i ryzyk systemu. Inny zakres będzie potrzebny osobie korzystającej z generatora tekstu, inny zespołowi konfigurującemu model, a jeszcze inny osobie sprawującej nadzór nad systemem wpływającym na kandydatów lub pracowników.

Komisja Europejska wskazuje, że organizacja może zachowywać wewnętrzny zapis szkoleń i innych inicjatyw. Jest to użyteczny dowód podjętych środków, ale AI Act nie wymaga szczególnego certyfikatu ani powołania „AI Officera”.

• Podstawowy poziom powinien wyjaśniać, jakie systemy są używane, jakie mają ograniczenia oraz kiedy wynik wymaga weryfikacji.
• Szkolenia funkcjonalne powinny odpowiadać konkretnemu procesowi, np. HR, marketingowi, analizie dokumentów lub obsłudze klienta.
• Osoby sprawujące nadzór powinny umieć interpretować wynik, rozpoznawać automatyzacyjne uprzedzenie, zakwestionować rezultat i bezpiecznie zatrzymać użycie.
• Personel powinien znać zasady ochrony danych, tajemnicy przedsiębiorstwa, poufności i zgłaszania incydentów.

Jak przeprowadzić inwentaryzację systemów AI krok po kroku?

1. Zbierz informacje z kilku źródeł. Sprawdź zakupy i umowy SaaS, logowanie SSO, dodatki do przeglądarek, API, usługi chmurowe, funkcje dołączone do istniejących produktów oraz pilotaże prowadzone przez poszczególne działy.
2. Opisuj zastosowanie, nie tylko produkt. Osobno ujmij różne cele użycia tego samego narzędzia, jeżeli oddziałują na inne osoby lub procesy.
3. Sprawdź definicję systemu AI. Nie każda automatyzacja ani reguła programistyczna musi być systemem AI w rozumieniu art. 3 pkt 1.
4. Przypisz rolę spółki. Ustal, czy organizacja jest podmiotem stosującym, dostawcą, importerem lub dystrybutorem i czy rola może się zmienić po integracji.
5. Wyklucz praktyki zakazane. Ten test powinien poprzedzać zwykłą klasyfikację ryzyka.
6. Oceń wysokie ryzyko i art. 50. Zapisz podstawę kwalifikacji, zastosowane wyjątki i datę, od której odpowiednie obowiązki będą stosowane.
7. Sprawdź dane i inne przepisy. Oceń RODO, prawo pracy, tajemnicę przedsiębiorstwa, cyberbezpieczeństwo, prawa własności intelektualnej i regulacje sektorowe.
8. Przypisz właściciela i działania. Określ osobę odpowiedzialną za proces, kontrolę wyniku, przegląd zmian systemu i zgłoszenie zdarzenia.

Co powinien zawierać praktyczny rejestr narzędzi AI?

Nie ma jednej ustawowej częstotliwości aktualizacji takiego rejestru. Przegląd powinien być uruchamiany przez zmianę zastosowania, dostawcy, wersji, danych, grup osób, zakresu automatyzacji albo dokumentacji. Dodatkowy cykliczny przegląd jest dobrą praktyką organizacyjną.

Jakie obowiązki będzie miał podmiot stosujący system wysokiego ryzyka?

Po rozpoczęciu stosowania odpowiednich przepisów art. 26 podmiot stosujący będzie musiał m.in. używać systemu zgodnie z instrukcją, wdrożyć właściwe środki techniczne i organizacyjne, wyznaczyć nadzór osobom posiadającym potrzebne kompetencje i uprawnienia, zapewnić adekwatność danych wejściowych znajdujących się pod jego kontrolą oraz monitorować działanie systemu.

W przypadku podstaw do uznania, że użycie zgodne z instrukcją może prowadzić do ryzyka, konieczne jest poinformowanie dostawcy lub dystrybutora i właściwego organu oraz zawieszenie użycia. Poważny incydent wymaga odpowiedniej reakcji i zgłoszenia w przewidzianym trybie.

Automatycznie generowane logi systemu wysokiego ryzyka, znajdujące się pod kontrolą podmiotu stosującego, mają być przechowywane przez okres odpowiedni do przeznaczenia systemu, co najmniej sześć miesięcy, chyba że prawo unijne lub krajowe stanowi inaczej. Nie jest to ogólny nakaz przechowywania wszystkich promptów i odpowiedzi każdego narzędzia AI.

Przed użyciem systemu wysokiego ryzyka w miejscu pracy pracodawca ma poinformować przedstawicieli pracowników i pracowników, których system będzie dotyczył, zgodnie z właściwymi przepisami i praktyką informowania lub konsultacji.

DPIA i FRIA — czy to ten sam dokument?

Nie. Ocena skutków dla ochrony danych, czyli DPIA, wynika z art. 35 RODO i jest wymagana wtedy, gdy planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Wykorzystanie nowych technologii jest jednym z elementów tej analizy, ale nie każde użycie AI automatycznie wymaga DPIA.

Ocena wpływu na prawa podstawowe, czyli FRIA z art. 27 AI Act, dotyczy określonych podmiotów stosujących i określonych systemów wysokiego ryzyka. Nie jest powszechnym obowiązkiem każdej prywatnej spółki używającej systemu AI. Jeżeli część informacji została już zebrana w DPIA, FRIA powinna ją uzupełniać, a nie mechanicznie powielać.

Niezależnie od przyszłych terminów dla systemów wysokiego ryzyka obowiązki RODO stosuje się już teraz. Należy ocenić m.in. podstawę prawną, minimalizację danych, przejrzystość, rolę dostawcy, transfery poza EOG, bezpieczeństwo oraz art. 22 RODO, gdy dochodzi do decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu i wywołujących skutki prawne lub podobnie istotnie wpływających na osobę.

UODO opublikował 6 sierpnia 2026 r. zestawy pytań inicjalnych dla organizacji wdrażających lub wykorzystujących AI. Urząd wyraźnie zaznacza, że lista pytań nie zastępuje analizy ryzyka, DPIA ani FRIA, ale może stanowić punkt wyjścia przed uruchomieniem narzędzia.

Co sprawdzić w umowie z dostawcą AI?

• dokładne przeznaczenie systemu, jego ograniczenia i przypadki użycia wyłączone przez dostawcę;
• czy dane spółki, pracowników lub klientów są wykorzystywane do trenowania albo ulepszania modelu i na jakich zasadach;
• lokalizację danych, transfery do państw trzecich oraz listę podwykonawców;
• dostęp do instrukcji, informacji potrzebnych do klasyfikacji, wyników testów i dokumentacji właściwej dla roli dostawcy;
• możliwość zachowania i eksportu logów, gdy będzie to potrzebne;
• procedurę zgłaszania błędów, ryzyk, poważnych incydentów i zmian systemu;
• zasady aktualizacji modelu lub funkcji, które mogą zmienić przeznaczenie albo kwalifikację prawną;
• poufność, tajemnicę przedsiębiorstwa, prawa do danych wejściowych i wyników oraz odpowiedzialność stron;
• warunki wyłączenia systemu, usunięcia lub zwrotu danych i migracji do innego rozwiązania.

Zapewnienie handlowe dostawcy, że produkt jest „zgodny z AI Act”, nie zastępuje oceny sposobu użycia po stronie spółki. Dostawca może nie znać rzeczywistego procesu, danych ani znaczenia wyniku dla osoby, której dotyczy decyzja.

Jak ograniczyć niekontrolowane użycie, czyli shadow AI?

„Shadow AI” jest określeniem organizacyjnym, a nie terminem zdefiniowanym w AI Act. Oznacza używanie narzędzi bez wiedzy lub zatwierdzenia organizacji, np. prywatnych kont, darmowych generatorów, dodatków do przeglądarki albo funkcji AI aktywowanych automatycznie przez dostawcę oprogramowania.

Sama instrukcja zakazująca używania AI zwykle nie wystarcza. Potrzebne są zatwierdzone alternatywy, jasne zasady dotyczące danych, prosty kanał zgłaszania nowych zastosowań, kontrola zakupów i integracji oraz szkolenia odpowiadające rzeczywistym zadaniom personelu.

Checklista dla zarządu

1. Wyznacz właściciela procesu inwentaryzacji i zaangażuj compliance, HR, IT, bezpieczeństwo, zakupy oraz inspektora ochrony danych.
2. Zidentyfikuj zastosowania AI, w tym funkcje ukryte w istniejących systemach i narzędzia używane bez formalnego zakupu.
3. Dla każdego zastosowania zapisz cel, rolę spółki, osoby dotknięte działaniem, dane oraz wpływ wyniku na decyzję.
4. Najpierw wykonaj test praktyk zakazanych, następnie ocenę wysokiego ryzyka i obowiązków przejrzystości.
5. Oddziel obowiązki już stosowane od wymagań, które zaczną być stosowane w 2027 lub 2028 r.
6. Sprawdź RODO i regulacje sektorowe niezależnie od kwalifikacji w AI Act.
7. Uzupełnij umowy, nadzór człowieka, procedurę incydentową i zasady użycia danych.
8. Wprowadź środki wspierające kompetencje AI dopasowane do poszczególnych ról.
9. Zdefiniuj zdarzenia uruchamiające ponowną ocenę i zachowuj uzasadnienia kluczowych kwalifikacji.

Najczęściej zadawane pytania

Czy każda spółka musi prowadzić rejestr narzędzi AI?

AI Act nie ustanawia powszechnego, samodzielnego nakazu prowadzenia takiego rejestru przez każdą spółkę. Inwentaryzacja jest jednak racjonalnym narzędziem compliance, ponieważ bez niej trudno ustalić rolę organizacji, praktyki zakazane, wysokie ryzyko, obowiązki z art. 50 oraz potrzebne działania.

Czy ChatGPT lub Microsoft Copilot są automatycznie systemami wysokiego ryzyka?

Nie. Kwalifikacja zależy od konkretnego systemu, przeznaczenia i sposobu użycia. Narzędzie używane do roboczego redagowania tekstu należy ocenić inaczej niż rozwiązanie wpływające na selekcję kandydatów lub warunki zatrudnienia. Osobno trzeba sprawdzić ochronę danych, poufność i art. 50.

Czy każde narzędzie AI używane w rekrutacji jest wysokiego ryzyka?

Nie automatycznie. Załącznik III obejmuje konkretne systemy przeznaczone m.in. do rekrutacji i selekcji, ale kwalifikacja wymaga również analizy art. 6, funkcji systemu i jego wpływu na wynik decyzji. System dokonujący profilowania osoby fizycznej podlega szczególnej regule.

Czy pracownik korzystający z firmowego narzędzia jest osobnym podmiotem stosującym?

Co do zasady pracownik działający w ramach organizacji i pod jej kontrolą nie jest z tego powodu odrębnym podmiotem stosującym. Obowiązki organizacyjne wykonuje spółka, a pracownik powinien działać według ustalonych zasad i posiadać kompetencje odpowiednie do zadania.

Czy AI Act wymaga powołania AI Officera?

Nie ustanawia powszechnego obowiązku tworzenia takiego stanowiska. Organizacja powinna jednak jednoznacznie przypisać odpowiedzialność za inwentaryzację, ocenę, zatwierdzanie zastosowań, nadzór i incydenty.

Czy każdą treść przygotowaną z pomocą AI trzeba oznaczać?

Nie. Art. 50 dotyczy określonych systemów i treści. W przypadku tekstu publikowanego w celu informowania społeczeństwa o sprawach interesu publicznego znaczenie ma m.in. to, czy treść przeszła weryfikację człowieka lub kontrolę redakcyjną oraz czy wskazana osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną.

Czy DPIA zastępuje ocenę wpływu na prawa podstawowe?

Nie. Są to odrębne instrumenty o różnych podstawach i zakresach. Jeżeli część obowiązków została wykonana w DPIA, FRIA może uzupełniać tę ocenę, ale nie należy automatycznie uznawać dokumentów za tożsame.

Jak często aktualizować inwentaryzację AI?

AI Act nie wyznacza jednej częstotliwości dla dobrowolnego rejestru. Ponowna ocena jest potrzebna przede wszystkim po zmianie celu, wersji, danych, integracji, dostawcy, grup osób objętych działaniem albo znaczenia wyniku dla decyzji. Warto uzupełnić to okresowym przeglądem organizacyjnym.

Podstawa prawna i oficjalne źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 — AI Act.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 — Digital Omnibus on AI.
• Komisja Europejska — aktualny harmonogram stosowania AI Act.
• Komisja Europejska — pytania i odpowiedzi dotyczące kompetencji AI.
• Komisja Europejska — wytyczne dotyczące obowiązków przejrzystości z art. 50.
• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
• Rozporządzenie (UE) 2016/679 — RODO.
• Urząd Ochrony Danych Osobowych — pytania inicjalne przed wdrożeniem systemu AI.

Jakie ryzyko finansowe wiąże się z naruszeniem AI Act?

Rozporządzenie przewiduje maksymalne progi administracyjnych kar pieniężnych. Naruszenie zakazów z art. 5 może prowadzić do kary do 35 mln euro albo — w przypadku przedsiębiorstwa — do 7% całkowitego światowego rocznego obrotu z poprzedniego roku finansowego. W odniesieniu do innych naruszeń rozporządzenie przewiduje m.in. próg do 15 mln euro albo 3% obrotu. Przy ustalaniu kary uwzględnia się charakter, wagę, czas trwania i okoliczności naruszenia, a dla MŚP stosuje się szczególne zasady dotyczące progów.

W praktyce zarząd nie powinien rozpoczynać od kalkulowania maksymalnej kary. Najpilniejsze jest usunięcie praktyk zakazanych, uporządkowanie przejrzystości, danych i odpowiedzialności oraz przygotowanie systemów z załącznika III przed 2 grudnia 2027 r.

Podsumowanie

Skuteczne wdrożenie AI Act nie polega na przypisaniu każdemu produktowi jednej etykiety. Spółka powinna zbudować mapę rzeczywistych zastosowań, ustalić swoją rolę, oddzielić obowiązki już stosowane od przyszłych, powiązać analizę z RODO i przypisać konkretne kontrole. Dobrze prowadzona inwentaryzacja nie jest celem samym w sobie — ma prowadzić do decyzji: dopuścić, ograniczyć, uzupełnić zabezpieczenia albo wycofać dane zastosowanie.

Niniejszy materiał ma charakter informacyjny i nie stanowi porady prawnej. Ocena obowiązków wymaga analizy konkretnego systemu, jego przeznaczenia, danych oraz sposobu wykorzystania.