AI Governance w MŚP: co musisz wdrożyć, żeby EU AI Act nie zaskoczył Twojej firmy?

AI Governance to zbiór wewnętrznych zasad, dokumentów i przypisanych odpowiedzialności, który pozwala firmie używać systemów sztucznej inteligencji w sposób kontrolowany i możliwy do wykazania przed audytem. EU AI Act traktuje polskie firmy wdrażające AI jako "deployer-ów" i nakłada na nich konkretne obowiązki: od prowadzenia rejestru systemów AI, przez zapewnienie nadzoru człowieka nad decyzjami, aż po wewnętrzną procedurę obsługi incydentów. Dla większości firm z przedziału 25–500 pracowników całość da się zamknąć w kilku dokumentach i kilku czytelnie przypisanych rolach, bez zatrudniania prawnika na pełny etat.

Deployer, nie dostawca: kogo EU AI Act dotyczy naprawdę?

To jest punkt, który najczęściej zaskakuje. Wiele firm zakłada, że EU AI Act to sprawa dla tych, którzy AI budują: dla OpenAI, Google, polskich startupów tworzących modele. Nie dla firmy transportowej w Rzeszowie ani producenta mebli w Poznaniu.

Rozporządzenie rozróżnia dwa typy podmiotów. Provider to firma, która opracowuje i wprowadza na rynek system AI. Deployer to firma, która używa tego systemu do własnych celów operacyjnych. Jeśli kupiłeś subskrypcję asystenta AI, wdrożyłeś chatbota do obsługi klienta albo podłączyłeś AI do swojego ERP, jesteś deployer-em. I masz obowiązki.

Obowiązki deployer-a są mniejsze niż provider-a, ale nie są zerowe. Musisz zapewnić, że pracownicy mający kontakt z systemem AI przeszli odpowiednie przeszkolenie. Musisz prowadzić wewnętrzny rejestr systemów AI, zwłaszcza tych wysokiego ryzyka. Musisz wdrożyć nadzór człowieka w procesach, gdzie AI wpływa na decyzje dotyczące ludzi. Wreszcie: musisz móc pokazać, kto, kiedy i jak użył systemu do konkretnej decyzji.

Które systemy AI w firmie wymagają pełnej dokumentacji, a które nie?

Zanim zaczniesz budować rejestr, musisz wiedzieć, co do niego wpisać i z jakim priorytetem. EU AI Act definiuje systemy wysokiego ryzyka jako te, które wpływają na decyzje dotyczące zatrudnienia i zarządzania pracownikami: rekrutacja, ocena wydajności, ustalanie grafiku. Ale też na dostęp do usług finansowych czy bezpieczeństwo infrastruktury.

Typowa firma logistyczna czy produkcyjna z 50–200 pracownikami najczęściej ma do czynienia z systemami z kategorii minimalnego lub ograniczonego ryzyka. Chatbot na stronie odpowiadający na pytania o ofertę? Minimalny risk, bez specjalnych wymagań. AI przetwarzające faktury i proponujące dekret? Ograniczone ryzyko. Narzędzie, które automatycznie ranguje CV kandydatów i decyduje, kogo zaprosić na rozmowę? Wysokie ryzyko: pełna dokumentacja, obowiązkowy nadzór człowieka, ocena wpływu na prawa podstawowe.

Praktycznie warto zacząć od listy wszystkich narzędzi AI, których firma faktycznie używa. I pytać też działy, nie tylko IT. Shadow AI, czyli narzędzia, których dział IT nie wiedział, że istnieją, to zjawisko powszechne. U jednego z naszych klientów, firmy dystrybucyjnej ze 120 pracownikami, inwentaryzacja ujawniła jedenaście narzędzi AI używanych przez handlowców poza oficjalnym stackiem.

Krok 1: polityka użycia AI, która naprawdę coś reguluje

Polityka użycia AI to dokument zarządczy, który odpowiada na pytania: jakie systemy AI firma oficjalnie stosuje i do czego, kto może zatwierdzać wdrożenie nowego narzędzia, jakie kategorie danych można przekazywać do poszczególnych systemów i co pracownik ma zrobić, gdy AI podejmie decyzję, która wydaje mu się błędna.

To jest dokument inny niż regulamin dla pracowników, choć powinien być z nim spójny. Regulamin mówi pracownikowi, jak ma się zachować. Polityka AI mówi firmie, jak zarządzać całym obszarem: od zakupu narzędzia przez jego użytkowanie aż po wycofanie.

W praktyce wygląda to tak: dokument ma od czterech do ośmiu stron. Zawiera listę zatwierdzonych narzędzi, matrycę dostępu do danych i ścieżkę decyzyjną dla nowych wdrożeń. Typowo pojawia się w nim zapis, że każde nowe narzędzie AI musi przejść przez koordynatora AI i uzyskać akceptację przed uruchomieniem produkcyjnym. Proste, ale bez tego formalizmu jeden z handlowców podłącza zewnętrzne narzędzie do danych klientów, bo tak mu wygodniej.

Krok 2: rejestr systemów AI, czyli jeden arkusz zamiast chaosu

EU AI Act wymaga prowadzenia rejestru systemów AI wysokiego ryzyka. Ale opłaca się robić go dla wszystkich systemów AI w firmie, bo daje jedno centralne miejsce z odpowiedziami na pytania audytora.

Rejestr to najczęściej arkusz kalkulacyjny lub tabela w wewnętrznym systemie dokumentacji. Minimalne kolumny, które powinien mieć:

• Nazwa systemu i dostawca,
• Konkretny cel użycia w firmie (nie "AI do obsługi klienta", ale "chatbot na podstronie kontakt, obsługuje pytania o status zamówienia i godziny pracy"),
• Kategoria ryzyka według EU AI Act,
• Jakie dane przetwarza, w tym czy są to dane osobowe,
• Właściciel procesu i koordynator techniczny,
• Data ostatniego przeglądu,
• Kolumna na incydenty i ich status.

Firma z pięcioma narzędziami AI zrobi to w jedno popołudnie. Firma z trzydziestoma narzędziami potrzebuje tygodnia na samą inwentaryzację.

Krok 3: kto za co odpowiada, bez tworzenia nowego etatu

AI Governance nie wymaga zatrudnienia Chief AI Officer-a. Wymaga czytelnego przypisania trzech ról, które można dołożyć do istniejących zakresów obowiązków.

Właściciel procesu AI: osoba odpowiedzialna za konkretny proces biznesowy, który AI wspiera. W dziale obsługi klienta to manager obsługi, w magazynie to kierownik logistyki. Jej zadaniem jest rozumieć, jak AI wpływa na decyzje w jej obszarze i sygnalizować anomalie koordynatorowi.

Koordynator AI: jeden człowiek, który prowadzi rejestr, pilnuje cyklicznych przeglądów i jest pierwszym punktem kontaktu przy incydentach. W większości MŚP to naturalny kandydat do pokrycia tej roli to administrator systemów lub osoba pełniąca funkcję Inspektora Ochrony Danych, bo obszary się nakładają.

Sponsor zarządczy: właściciel firmy lub dyrektor, który zatwierdza politykę AI, nowe systemy i ma wgląd w rejestr. Nie musi być zaangażowany operacyjnie, ale musi mieć świadomość i formalnie odpowiadać za cały obszar wobec organów nadzoru.

Krok 4: ścieżka audytu i obsługa incydentów

Ścieżka audytu to zdolność do pokazania, że konkretna decyzja z udziałem AI była nadzorowana przez człowieka. W praktyce: logowanie sesji, historia zapytań do systemu AI, zapis decyzji podjętych przez pracownika na podstawie rekomendacji systemu.

Nie trzeba nagrywać każdej interakcji. Trzeba móc powiedzieć: "ta oferta handlowa została wygenerowana przez AI w poniedziałek o 10:14, pracownik X ją przejrzał, zmienił dwa zdania i wysłał do klienta o 10:52." To wystarczy jako dowód ludzkiego nadzoru.

Procedura incydentów powinna opisywać cztery rzeczy:

• Co w ogóle jest incydentem, na przykład AI zaproponowało błędną decyzję kadrową, system zachował się niespodziewanie, dane zostały przetworzone niezgodnie z polityką,
• Kto go zgłasza i do kogo, z podanym mailem lub formularzem,
• Co się dzieje w ciągu pierwszych 24 godzin: zatrzymanie systemu, analiza, powiadomienie zarządu,
• Kiedy incydent wymaga eskalacji do zewnętrznych organów nadzoru.

EU AI Act przewiduje obowiązek raportowania poważnych incydentów dotyczących systemów wysokiego ryzyka do organów nadzorczych. Dla MŚP, które na co dzień używają systemów minimalnego ryzyka, ten obowiązek rzadko się uruchomi. Ale procedura wewnętrzna jest potrzebna niezależnie od tego.

Dlaczego wdrożenie AI na własnym serwerze upraszcza całą dokumentację

Jeden z najtrudniejszych elementów AI Governance to śledzenie, gdzie trafiają dane firmowe. Jeśli pracownicy używają kilku narzędzi AI w chmurze różnych dostawców, każde z nich wymaga osobnej weryfikacji: gdzie dane są przechowywane, kto ma do nich dostęp, jak długo są retencjonowane i co się dzieje z nimi po zakończeniu umowy.

Kiedy AI działa na serwerze zainstalowanym w firmie lub w centrum danych pod wyłączną kontrolą firmy, sytuacja jest inna. Dane nie opuszczają infrastruktury, więc odpada cały wątek przekazywania danych do podmiotów trzecich i związanej z tym dokumentacji umownej. Macie jednego dostawcę oprogramowania AI, jedną umowę powierzenia danych, jeden punkt kontaktu przy pytaniach prawnych i technicznych. Logi i historia interakcji są w Waszych rękach. Rejestr systemów AI jest prostszy: jeden wpis zamiast dziesięciu.

To nie znaczy, że chmurowe narzędzia AI są wykluczone. Ale jeśli firma przetwarza wrażliwe dane: dokumenty kontraktowe, dane kadrowe, dane klientów B2B, to własna infrastruktura radykalnie skraca listę pytań, które audytor musi zadać i dokumentów, które trzeba zebrać.

Jak to wygląda w praktyce, możesz sprawdzić w realnych wdrożeniach, które opisujemy dla polskich firm.

Od czego zacząć już w tym tygodniu

Nie trzeba robić wszystkiego naraz. Cztery pierwsze kroki, które dają konkretny efekt:

• Zbierz listę wszystkich narzędzi AI, których firma faktycznie używa. Zapytaj każdy dział osobno, nie tylko IT.
• Zaznacz, które z nich przetwarzają dane osobowe pracowników lub klientów.
• Wyznacz jedną osobę odpowiedzialną za prowadzenie rejestru i kontakt z dostawcami AI.
• Sprawdź, czy umowy z dostawcami AI zawierają zapisy o przetwarzaniu danych, retencji i postępowaniu przy incydentach.

To pierwsze cztery godziny pracy. Reszta wynika z tego, co w nich znajdziecie: które narzędzia wymagają pełnej dokumentacji, gdzie brakuje zapisów umownych, gdzie nadzór człowieka jest dziś tylko pozorny.

Jeśli chcecie przejść przez ten proces z pomocą i skończyć z gotowym zestawem dokumentów dopasowanych do Waszej skali, zapraszamy na bezpłatny audyt. Patrzymy razem na to, czego firma używa i gdzie są luki, zanim staną się problemem.