AI Act obowiązuje. Kto w firmie odpowiada za decyzje podejmowane z pomocą AI?

Firma może korzystać z dziesięciu narzędzi AI i nadal nie posiadać żadnego systemu zarządzania nimi. Problemem nie jest wtedy brak technologii. Problemem jest brak odpowiedzi na podstawowe pytania: kto zatwierdził zastosowanie AI, kto kontroluje wyniki, kiedy człowiek ma zatrzymać proces i kto odpowiada za błędną rekomendację?

AI Act zaczyna się od wiedzy o tym, gdzie w firmie działa AI

Największym ryzykiem nie musi być zaawansowany model wdrażany przez dział IT. Częściej jest nim narzędzie, którego nikt nie wpisał do rejestru, ponieważ zostało uruchomione przez marketing, sprzedaż, HR albo obsługę klienta bez formalnej decyzji organizacji.

AI może już uczestniczyć w:

• ocenie zapytań i potencjału klientów,
• tworzeniu ofert handlowych i odpowiedzi dla klientów,
• segmentacji odbiorców oraz personalizacji komunikacji,
• analizie CV i kandydatów,
• prognozowaniu sprzedaży, popytu albo ryzyka,
• automatycznej obsłudze korespondencji,
• przygotowywaniu raportów i rekomendacji dla zarządu.

Pierwszym krokiem nie powinno być więc tworzenie rozbudowanego regulaminu. Najpierw trzeba ustalić, gdzie sztuczna inteligencja jest faktycznie używana, z jakich danych korzysta oraz jakie decyzje może pośrednio lub bezpośrednio zmieniać.

Pomocnym punktem wyjścia może być autodiagnoza dojrzałości cyfrowej firmy. Pozwala spojrzeć na technologię jako element całego procesu, a nie oddzielną aplikację.

Odpowiedzialność prawna i odpowiedzialność operacyjna to nie to samo

W dyskusjach o AI często miesza się dwa porządki. Pierwszy dotyczy odpowiedzialności wynikającej z przepisów, umów, prawa pracy, ochrony danych, ochrony konsumenta albo odpowiedzialności za produkt. Drugi dotyczy codziennego zarządzania: kto podejmuje decyzję, kto kontroluje wynik i kto ma zareagować, zanim błąd spowoduje szkodę.

AI Act nie zastępuje innych regulacji. Jeżeli system korzysta z danych osobowych, nadal znaczenie ma RODO. Jeżeli rekomendacja wpływa na warunki zatrudnienia, zastosowanie zachowują przepisy prawa pracy. Jeżeli wygenerowana informacja wprowadza klienta w błąd, firma nie może zasłonić się tym, że jej autorem był model językowy.

Trzy modele korzystania z AI – tylko jeden powinien działać bez kontroli

Przed przypisaniem odpowiedzialności trzeba określić, jaką rolę system pełni w decyzji. W praktyce można rozróżnić trzy modele.

Wiele firm deklaruje, że korzysta z drugiego modelu, podczas gdy w praktyce działa już trzeci. Jeżeli pracownik zawsze akceptuje rekomendację, ponieważ ma zbyt wiele spraw albo nie chce sprzeciwiać się systemowi, decyzja jest faktycznie zautomatyzowana – nawet gdy formalnie występuje w niej człowiek.

Kto naprawdę odpowiada za decyzję wspieraną przez AI?

AI Act nie wskazuje jednej osoby, która automatycznie odpowiada za każdą decyzję wygenerowaną przez system. Nakłada natomiast obowiązki na określonych uczestników rynku, między innymi dostawców i podmioty stosujące AI. Wewnętrzny podział odpowiedzialności nadal musi ustalić sama organizacja.

Komisja Europejska wyjaśnia, że gdy system jest używany pod zwierzchnictwem osoby prawnej, podmiotem stosującym pozostaje firma. Pracownik nie staje się odrębnym podmiotem stosującym tylko dlatego, że wpisał polecenie lub uruchomił proces. Dotyczy to również wykonawców i freelancerów działających na rzecz firmy, pod jej kontrolą i odpowiedzialnością.

Macierz decyzji i dowodów

Przypisanie roli ma sens tylko wtedy, gdy wiadomo, jaką decyzję dana osoba podejmuje i jaki ślad po niej pozostaje. Poniższa macierz może być podstawą prostej polityki zarządzania AI.

Mapa odpowiedzialności za AI w firmie

Odpowiedzialność za AI powinna być podzielona. Nie może jednak zostać rozmyta pomiędzy zarząd, dział IT, użytkownika i dostawcę. Każda z tych stron podejmuje inny rodzaj decyzji.

Nadzór człowieka nie może być formalnością

W przypadku systemów wysokiego ryzyka AI Act wymaga odpowiednich środków nadzoru człowieka. Osoby wykonujące taki nadzór powinny posiadać potrzebne kompetencje, przeszkolenie, uprawnienia oraz wsparcie organizacji.

Samo dodanie przycisku „zatwierdź” nie oznacza jeszcze, że człowiek kontroluje decyzję. Nadzór jest realny dopiero wtedy, gdy pracownik:

• rozumie cel i ograniczenia systemu,
• ma dostęp do informacji potrzebnych do oceny wyniku,
• potrafi rozpoznać nietypową lub błędną rekomendację,
• nie jest zobowiązany do automatycznego akceptowania wskazań,
• może zatrzymać proces bez obawy o negatywne konsekwencje,
• wie, komu i w jaki sposób zgłosić incydent.

Jeżeli pracownik może kliknąć „odrzuć”, ale nie ma czasu, wiedzy albo uprawnienia, aby zakwestionować wynik AI, firma posiada człowieka w procesie, lecz nie posiada skutecznego nadzoru człowieka.

Znaczenie ma również sposób informowania klientów i odbiorców o wykorzystaniu sztucznej inteligencji. Więcej na ten temat opisujemy w materiale Przejrzystość AI w firmie.

Gdzie wyznaczyć granicę automatyzacji?

Nie każdy proces wymaga takiego samego poziomu kontroli. Nadzór powinien zależeć od wpływu decyzji na człowieka lub firmę, rodzaju danych, możliwości wykrycia błędu oraz odwrócenia jego skutków.

Najbardziej praktyczna zasada brzmi: im trudniej cofnąć skutek błędu, tym wcześniej człowiek powinien wejść do procesu.

Co powinna zawierać zasada nadzoru człowieka?

Ogólne zdanie „wyniki AI weryfikuje pracownik” jest zbyt słabe. Dobra instrukcja opisuje moment kontroli, zakres informacji, uprawnienia pracownika i sytuacje, których nie wolno rozstrzygnąć automatycznie.

Skuteczność nadzoru warto testować. Można przedstawić pracownikowi celowo nietypowy przypadek i sprawdzić, czy zauważy błąd, odrzuci rekomendację oraz poprawnie udokumentuje swoją decyzję. Taki test pokazuje więcej niż samo potwierdzenie udziału w szkoleniu.

Studium przypadku: AI rekomenduje odrzucenie ważnego klienta

Co firma zmieniła?

1. Wyznaczyła właściciela

   Dyrektor sprzedaży przejął odpowiedzialność za biznesowe zasady wykorzystania systemu.

2. Zablokowała automatyczne odrzucanie

   Niski wynik mógł zmienić kolejność obsługi, ale nie usuwał zapytania z procesu.

3. Wprowadziła kontrolę wyjątków

   Handlowiec sprawdzał przypadki, w których wynik systemu nie pasował do informacji zawartych w zapytaniu.

4. Zaczęła porównywać decyzje

   Firma analizowała rozbieżności między rekomendacją AI a oceną człowieka i aktualizowała zasady procesu.

Po zmianie zasad organizacja odzyskała kontrolę bez rezygnowania z automatyzacji. AI nadal porządkowało zapytania, ale przestało samodzielnie wyznaczać granicę zainteresowania klientem.

Co było prawdziwą przyczyną problemu?

Na pierwszy rzut oka można byłoby obwinić model scoringowy. Analiza procesu wskazała jednak kilka równoległych przyczyn:

• dane historyczne utrwalały wcześniejszy sposób sprzedaży,
• nikt nie ustalił minimalnego zakresu ręcznej kontroli,
• pracownicy uznali wynik liczbowy za bardziej obiektywny od własnej oceny,
• system nie pokazywał, które informacje najmocniej wpłynęły na rezultat,
• firma mierzyła szybkość obsługi, lecz nie analizowała utraconych szans,
• nie istniała procedura zgłaszania powtarzających się błędnych rekomendacji.

To ważna lekcja: błędna decyzja wspierana przez AI rzadko ma tylko jedną przyczynę. Najczęściej łączy niedoskonałość danych, źle zaprojektowany proces, presję czasu i brak wyznaczonej odpowiedzialności.

To przykład problemu szerzej opisanego w artykule Firmy nie przegrywają przez brak marketingu. Przegrywają przez brak decyzji. Technologia często nie zawodzi z powodu swoich możliwości, lecz dlatego, że firma nie ustaliła właściciela decyzji.

Rejestr narzędzi AI to dopiero początek

Rejestr powinien obejmować nie tylko systemy kupione przez dział IT. Należy uwzględnić także bezpłatne aplikacje, funkcje AI w CRM, narzędzia marketingowe, generatory treści oraz rozwiązania uruchamiane indywidualnie przez pracowników.

Rejestr bez właścicieli procesów stanie się kolejnym arkuszem, którego nikt nie aktualizuje. Dlatego każde zastosowanie AI powinno posiadać konkretną osobę odpowiedzialną za jego biznesowe użycie.

Jakich dowodów potrzebuje odpowiedzialna firma?

Zarządzanie AI nie powinno oznaczać produkowania dokumentacji dla samej dokumentacji. Firma powinna zachowywać te informacje, które pozwalają odtworzyć istotną decyzję, wykryć powtarzający się błąd i udowodnić, że nadzór był rzeczywisty.

• Karta zastosowania: cel, właściciel, użytkownicy, dane, odbiorcy wyniku i ograniczenia.
• Historia wersji: informacja, kiedy zmienił się model, konfiguracja, prompt systemowy lub integracja.
• Rejestr wyjątków: przypadki, w których człowiek odrzucił rekomendację albo system zachował się nietypowo.
• Rejestr incydentów: błędy, szkody, skargi, naruszenia poufności i podjęte działania korygujące.
• Wyniki kontroli jakości: próbki decyzji, wykryte rozbieżności oraz sposób ich rozwiązania.
• Potwierdzenie kompetencji: nie tylko lista obecności na szkoleniu, lecz także zakres wiedzy potrzebny przy danej roli.

Nie każda rozmowa z asystentem i nie każdy szkic musi trafiać do centralnego archiwum. Zakres zapisu powinien być proporcjonalny do ryzyka oraz uwzględniać poufność, ochronę danych i zasady retencji. Najważniejsza jest możliwość odtworzenia decyzji o istotnym wpływie.

Dostawca AI nie przejmie odpowiedzialności za Twój proces

Regulamin popularnej aplikacji, deklaracja zgodności albo oznaczenie bezpieczeństwa nie mówią jeszcze, czy system może być wykorzystany w konkretnym procesie firmy. Dostawca zna technologię, lecz zazwyczaj nie zna całego kontekstu decyzji, relacji z klientem, wewnętrznych wyjątków ani konsekwencji biznesowych.

Przed wdrożeniem warto zadać dostawcy co najmniej osiem pytań:

1. Jaką rolę prawną pełni dostawca i jak opisuje przeznaczenie systemu?
2. Czy dane firmy są wykorzystywane do trenowania lub doskonalenia modeli?
3. Gdzie dane są przechowywane i kto może uzyskać do nich dostęp?
4. Czy można odtworzyć wersję systemu używaną przy konkretnej decyzji?
5. Jak dostawca informuje o zmianach modelu, funkcji i warunków świadczenia usługi?
6. Jakie mechanizmy nadzoru, logowania i eksportu danych są dostępne?
7. Jak wygląda obsługa incydentów i zgłoszeń dotyczących błędnych wyników?
8. Co stanie się z danymi i dokumentacją po zakończeniu umowy?

Odpowiedzi powinny trafić do oceny dostawcy i karty zastosowania. Jeżeli kluczowych informacji nie da się uzyskać, firma powinna ograniczyć zakres użycia systemu lub wybrać inne rozwiązanie.

Plan działania na 30 dni

1. Tydzień pierwszy: inwentaryzacja

   Zbierz informacje o wszystkich narzędziach i funkcjach AI używanych w firmie, także tych uruchomionych bez formalnego wdrożenia.

2. Tydzień drugi: klasyfikacja

   Określ cel, dane, odbiorców wyniku, potencjalne skutki błędu oraz możliwość odwrócenia decyzji.

3. Tydzień trzeci: odpowiedzialność

   Wyznacz właścicieli procesów, osoby nadzorujące i ścieżkę eskalacji. Zapisz, czego system nie może robić samodzielnie.

4. Tydzień czwarty: test

   Sprawdź na rzeczywistych przypadkach, czy pracownik potrafi zakwestionować wynik AI i czy organizacja potrafi odtworzyć przebieg decyzji.

Pytania, które zarząd powinien zadać na najbliższym spotkaniu

Zarząd nie musi analizować każdego promptu. Powinien jednak otrzymywać informacje pozwalające ocenić, czy wykorzystanie AI pozostaje pod kontrolą.

Jeżeli odpowiedzi są rozproszone między działami albo zależą od jednej osoby, organizacja nie posiada jeszcze systemu zarządzania AI. Posiada jedynie zestaw narzędzi.

Co będzie ważne pod koniec 2026 roku i w 2027 roku?

W drugiej połowie 2026 roku firmy będą przechodziły od pojedynczych eksperymentów do zarządzania całym portfelem zastosowań AI. Coraz większe znaczenie zyskają nie tylko możliwości modeli, ale także pochodzenie danych, dokumentowanie zmian, ocena dostawców oraz mierzenie jakości decyzji.

Po zmianach przyjętych w ramach AI Omnibus wymagania dla systemów wysokiego ryzyka wykorzystywanych między innymi w zatrudnieniu, edukacji, infrastrukturze krytycznej, migracji i wybranych usługach mają być stosowane od 2 grudnia 2027 roku. Dla części systemów wbudowanych w regulowane produkty przewidziano termin 2 sierpnia 2028 roku.

Przesunięcie terminów nie powinno być traktowane jako powód do odłożenia prac. Zbudowanie rejestru, kompetencji, dokumentacji i nadzoru wymaga czasu, szczególnie gdy firma korzysta z wielu dostawców.

Praktyczna oś przygotowań

1. Sierpień–wrzesień 2026: uzyskaj widoczność

   Zakończ inwentaryzację, ustal właścicieli i usuń zastosowania, których celu, danych lub odpowiedzialności nie można wyjaśnić.

2. Październik–grudzień 2026: ujednolić kontrolę

   Wprowadź wspólny formularz oceny, minimalne wymagania dla dostawców, rejestr incydentów oraz zasady informowania o wykorzystaniu AI.

3. Pierwsza połowa 2027: testuj skuteczność

   Sprawdzaj jakość wyników, działanie eskalacji, kompetencje osób nadzorujących i możliwość odtworzenia decyzji.

4. Druga połowa 2027: przygotuj procesy wysokiego ryzyka

   Zweryfikuj dokumentację, logowanie, nadzór, umowy i gotowość organizacji przed terminem 2 grudnia 2027 roku.

Firmowe know-how nie powinno znajdować się wyłącznie w aplikacji lub głowie pojedynczego pracownika. Więcej o zabezpieczaniu wiedzy organizacyjnej piszemy w materiale Know-how w firmie 2026–2027: jak zamienić wiedzę w przewagę.

Najczęstsze pytania o odpowiedzialność za AI w firmie

Odpowiedzialna AI zaczyna się od odpowiedzialnej decyzji

AI Act nie powinien być traktowany wyłącznie jako zadanie dla prawników albo działu IT. Jest impulsem do uporządkowania sposobu, w jaki firma podejmuje decyzje, deleguje odpowiedzialność i kontroluje własne procesy.

Najważniejsze pytanie nie brzmi: „Czy korzystamy z AI?”. Brzmi ono: „Czy wiemy, kto odpowiada, kiedy rekomendacja AI wpływa na człowieka albo wynik firmy?”.

Nota: Artykuł ma charakter informacyjny i zarządczy. Nie stanowi porady prawnej ani oceny zgodności konkretnego systemu AI.