zgodność z AI Act Microsoft 365
AI Act wymaga od Was piętnastu rzeczy. Dlaczego tylko cztery to dokumenty?
Organizacja używająca Copilota, agentów Copilot Studio i aplikacji AI wpuszczonych zgodą OAuth jest w języku AI Act podmiotem wdrażającym. W jedenastu ramach, które ocenia 1Security, obowiązki zwijają się do 15 wspólnych wymagań - i dokładnie cztery z nich to dokumenty pisane przez człowieka: ocena skutków AI, polityka użycia, procedura incydentowa, dokumentacja ryzyka. Pozostałych jedenaście jest mierzonych na żywo z dzierżawy: inwentarz agentów z odpowiedzialnymi osobami, przechwycone instrukcje agentów, dane zastrzeżone trzymane poza zasięgiem, logi ponad sześciomiesięczny próg. Poświadcz cztery, mierz jedenaście, eksportuj datowany pakiet dowodowy.
Scenariusz
Obowiązki przyszły przed narzędziami.
AI Act wchodzi fazami: praktyki zakazane i obowiązek kompetencji AI od lutego 2025, obowiązki dla AI ogólnego przeznaczenia od sierpnia 2025, a reżim wysokiego ryzyka - po przesunięciu przez Digital Omnibus - od grudnia 2027. Ta data to nie ulga, tylko okno, w którym każdy wdrażający musi postawić nadzór nad AI, który naprawdę działa, z karami sięgającymi 35 milionów euro albo 7% światowego obrotu za praktyki zakazane i 15 milionów albo 3% za większość pozostałych naruszeń.
Obowiązki czytają się jak backlog bezpieczeństwa, nie prawny. Kto nadzoruje każdy system AI i czy jest kompetentny i umocowany? Do jakich danych każdy system sięga i czy to jest kontrolowane? Czy logi są trzymane i jak długo? Dokument polityki nie odpowiada na nic z tego; dzierżawa, właściwie odczytana, odpowiada na wszystko.
Dlatego ekran Zgodność traktuje AI Act jako jedne z jedenastu ram ocenianych z jednego zestawu 15 wymagań. Jedenaście z nich jest mierzonych ciągle z danych dzierżawy, a cztery poświadczane to dokładnie dokumenty AI, których oczekuje ustawa. Każdy artykuł przyjmuje najgorszy status cytowanych wymagań, a „niezweryfikowane" nigdy nie liczy się jako spełnione - arytmetyka jest celowo ostrożna, bo liczba trafia przed audytora. Tam, gdzie pomiar nie widzi całego obrazu - agenci na prywatnych maszynach pracowników, urządzenia zarządzane w innym narzędziu - zapisujesz własną ocenę z obowiązkową notatką, a status zmierzony zostaje widoczny obok. Napraw własność agentów raz, a AI Act, polska ustawa KRiBSI i ISO/IEC 42001 ruszą w tym samym przebiegu.
Przejście
Cztery obowiązki, odpowiedziane z dzierżawy.
Każdy krok mapuje się na rodzinę artykułów - i każdy jest ekranem, nie segregatorem.
- 01
Zinwentaryzuj każdy system AI
Ekran Agenci trzyma każdego agenta z Copilota, Copilot Studio, Azure AI Foundry, Entra Agent ID i od dostawców zewnętrznych - z pochodzeniem, szablonem, zasięgiem i aktywnością. Na ekranie Zgodność to wymaganie mierzone, nie deklaracja: instrukcje przechwycone per agent, a agenci-cienie wychwyceni właśnie dlatego, że rejestr zarejestrowanych ich nie pokaże.
- 02
Przypisz kompetentny nadzór
Każdy agent ma odpowiedzialną osobę - natywnego właściciela lub sponsora, albo osobę przypisaną w 1Security - a panel wymagania pokazuje dokładny postęp w formie „12 z 15 agentów ma odpowiedzialną osobę". To art. 26 ust. 2, nadzór osób fizycznych z kompetencjami i umocowaniem, jako mierzony werdykt zamiast załącznika ze schematem. Część agentów objęta to Zagrożone; żaden - Niespełnione.
- 03
Kontroluj ekspozycję danych
Zadeklaruj typy wrażliwe, których Twoje AI nie może dotykać - bez dostępu AI na kartach płatniczych, danych zdrowotnych, płacach - a wymaganie „zastrzeżone typy danych pozostają poza zasięgiem" mierzy każdego agenta, aplikację i użytkownika, którzy wciąż do nich sięgają, z zapisaną deklaracją. Brak deklaracji to Niezweryfikowane, nigdy Spełnione: nadzór nad danymi jako kontrola z licznikiem, nie akapit.
- 04
Trzymaj logi, eksportuj dowody
Retencja logów to osobne mierzone wymaganie względem progu 183 dni, w praktyce z trzema latami historii na standardowych licencjach. Cały dokument statusu jest zrzucany w migawkę w każdy poniedziałek i na żądanie, a widok ram eksportuje pakiet dowodowy per ramy - ten sam dokument serwuje REST API tylko do odczytu - więc „jaki był nasz status tego dnia" ma prawdziwą odpowiedź. Poświadczana procedura incydentowa też ma za sobą dokument: próba wstrzyknięcia promptu, zatruta treść odczytana przez AI, dane zastrzeżone, do których sięgnęła AI, albo eskalacja uprawnień lub źródeł wiedzy agenta otwiera się jako incydent, który alarmuje zawsze, niezależnie od ustawienia czułości - a wygenerowany z jego szuflady Rejestr incydentu, z aktywnością, wskaźnikami, podjętymi akcjami i historią przeglądu, to dokument, którego art. 26 ust. 5 oczekuje od podmiotu stosującego wobec dostawcy i organu nadzoru rynku po stwierdzeniu poważnego incydentu.
Klocki
Jedno połączenie tylko do odczytu. Cały stos Microsoft 365.
Każdy klocek to ekran, który Twój zespół otwiera pierwszego dnia. Każdy odpowiada na pytanie o własną dzierżawę, na które nic w centrach administracyjnych dziś nie odpowiada.
Lokalizacje
Skąd naprawdę pochodzi każde logowanie i każda akcja, na mapie, dla każdej dzierżawy. Naruszenia według lokalizacji, niemożliwa podróż, listy dozwolonych per osoba. Działa bez logów logowań premium.
Zobacz ekranLokalizacje
Skąd naprawdę pochodzi każde logowanie i każda akcja, na mapie, dla każdej dzierżawy. Naruszenia według lokalizacji, niemożliwa podróż, listy dozwolonych per osoba. Działa bez logów logowań premium.
Zobacz ekranCo jest potrzebne
Business Premium wystarczy. Bez agentów, bez migracji, bez E5 na start.
1Security czyta dzierżawę, na której już pracujesz, z Twoimi licencjami i Twoim modelem uprawnień, na podstawie zgody tylko do odczytu, która zajmuje minuty. Nie ma nic do zainstalowania i nic do migrowania: stoi obok Entra, Purview, Defendera i Twojego SIEM i odpowiada na pytania, które leżą pomiędzy nimi.
Historia aktywności jest przechowywana do trzech lat w cenie licencji, na każdym pakiecie, więc dochodzenie albo audyt mają za sobą zapis bez dodatku retencyjnego.
To też tańsza droga. Większość organizacji kupuje sobie potrzebne kontrole najwyższym pakietem Microsoft. Z 1Security na pakiecie standardowym dochodzą tam za około ćwierć mniej, z większą częścią pracy wykonaną, na licencji, za którą już płacą.
- Business Premium wystarczy
- Bez wymogu E5
- Zgoda tylko do odczytu
- 3 lata logów w cenie
- Około 25% taniej niż droga licencyjna
- Nasza chmura, Twoja chmura, on-premise
Co za tym stoi
Trzy części platformy za odpowiedziami.
Te same 15 wymagań ocenia wszystkie jedenaście ram - NIS2, RODO, DORA, obie polskie ustawy, SOC 2, NIST CSF 2.0, HIPAA i oba standardy ISO obok AI Act - więc jedna naprawa liczy się wszędzie, gdzie ma zastosowanie.
Monitorowanie zgodności
Gotowość per ramy mierzona z żywych danych dzierżawy, jedna lista zadań według odblokowywanych artykułów, poniedziałkowe migawki i pakiety dowodowe.
Poznaj funkcję →Inwentarz agentów AI
Każdy agent z każdego ekosystemu z właścicielami, szablonami i zasięgiem - populacja, od której zaczyna się każda odpowiedź AI Act.
Poznaj funkcję →Zastrzeganie danych przed AI
Kontrola nadzoru nad danymi: zadeklarowane zastrzeżenia z podglądem promienia rażenia, listami naruszeń i zapisaną historią.
Poznaj funkcję →
Microsoft Innovation Alley
Polecane przez program innowacji samego Microsoftu.
Microsoft Innovation Alley współpracuje z 1Security i poleca je ekosystemowi, co odpowiada na pytanie, które projekt bezpieczeństwa stawia jako pierwsze: czy dostawcy można zaufać w trybie tylko do odczytu w dzierżawie, która trzyma Twoje dane.
Weź to na spotkanie sterujące. Odpowiada na pytanie o zaufanie, zanim zostanie zadane.
FAQ
Częste pytania.
Jesteśmy dostawcą czy podmiotem wdrażającym według AI Act?
Organizacja, która używa Copilota, buduje agentów Copilot Studio na własny użytek albo wpuszcza do dzierżawy zewnętrzne aplikacje AI, jest dla tych systemów podmiotem wdrażającym. Obowiązki wdrażającego - nadzór, kontrola danych, retencja logów, przejrzystość - to dokładnie te, które opisuje ta strona. Budowanie i sprzedawanie systemu AI czyni Cię dostawcą, a to inny i cięższy zestaw.
Czy Copilot to system AI wysokiego ryzyka?
Sam w sobie prawie nigdy - klasa ryzyka idzie za użyciem, nie za marką. Pisanie maili i streszczanie spotkań leży całkiem poza załącznikiem III. Wepnij tego samego asystenta w decyzje rekrutacyjne, ocenę pracowników albo scoring kredytowy, a wdrożyłeś system wysokiego ryzyka z pełnym zestawem obowiązków. Uczciwe pytanie nie brzmi „czy Copilot jest wysokiego ryzyka", tylko „które z naszych użyć są" - a to zaczyna się od inwentarza.
Które terminy naprawdę się liczą?
Ustawa obowiązuje fazami: praktyki zakazane i kompetencje AI od lutego 2025, obowiązki dla AI ogólnego przeznaczenia od sierpnia 2025, a reżim wysokiego ryzyka z załącznika III od 2 grudnia 2027, po odroczeniu przez Digital Omnibus. Praktyczne odczytanie: fundament nadzoru, logowania i kontroli danych jest wymagalny już teraz, a data 2027 to okno, by uczynić go operacyjnym, a nie dokumentacyjnym.
Jakie cztery dokumenty wciąż musimy napisać?
Ocenę skutków AI, politykę użycia AI z rejestrem, procedurę reagowania i zgłaszania incydentów oraz dokumentację zarządzania ryzykiem. To jedyne ręczne wymagania z piętnastu - oficer zgodności zapisuje każde poświadczenie raz, z właścicielem, datą przeglądu i linkiem do dowodu, i liczy się ono w każdych ramach, które je cytują. Pozostałych jedenaście wymagań jest mierzonych; decydują dane, nie człowiek.
Czy to zastępuje prawnika?
Nie. Decyzje o zakresie - które użycia wpadają pod załącznik III, czy dane wdrożenie wymaga oceny skutków - należą do prawnika. 1Security zastępuje zbieranie dowodów pod tymi decyzjami: inwentarz, status nadzoru, listy ekspozycji i atest retencji, o które prawnik i audytor inaczej prosiliby arkuszem.
Czy potrzebujemy do tego E5 albo licencji Copilota?
Nie. Inwentarz, przypisania nadzoru, zastrzeżenia, retencja logów i pakiet dowodowy działają na standardowym połączeniu tylko do odczytu i licencjach, które już masz. Tam, gdzie konkretna kontrola Microsoftu wymaga własnej licencji, produkt mówi to wprost przy wierszu, zamiast to zakładać.
Wejdź na audyt AI Act z dzierżawą po swojej stronie.
Podłącz tylko do odczytu, a inwentarz, luki nadzoru i odpowiedzi o ekspozycji danych lądują tego samego dnia. Poświadcz cztery dokumenty, a pakiet dowodowy buduje się stamtąd sam.
Albo odpowiadaj na pytania wdrażającego z segregatora polityk.