Rozdział I
Wprowadzenie – AI przestała być projektem technologicznym. Stała się obszarem odpowiedzialności zarządu
Jeszcze kilka lat temu wdrożenie systemu informatycznego w przedsiębiorstwie było traktowane przede wszystkim jako projekt technologiczny lub operacyjny. Organizacje analizowały funkcjonalność rozwiązania, koszty wdrożenia, możliwości integracji z istniejącą infrastrukturą oraz przewidywane korzyści biznesowe. Odpowiedzialność za wybór i implementację systemów najczęściej spoczywała na działach IT lub poszczególnych jednostkach biznesowych.
Systemy AI nie są już wyłącznie narzędziami zwiększającymi efektywność pracy. Coraz częściej uczestniczą w procesach mających bezpośredni wpływ na funkcjonowanie przedsiębiorstwa, jego pracowników, klientów, partnerów biznesowych oraz bezpieczeństwo informacji. Sztuczna inteligencja wspiera między innymi analizę danych, obsługę klientów, automatyzację procesów, zarządzanie zasobami, rekrutację, ocenę efektywności, planowanie pracy, podejmowanie decyzji biznesowych oraz zarządzanie ryzykiem. Oznacza to fundamentalną zmianę. Decyzja o wdrożeniu systemu AI nie może być już traktowana wyłącznie jako decyzja zakupowa lub informatyczna. Staje się decyzją dotyczącą sposobu zarządzania przedsiębiorstwem, wymagającą jednoczesnej analizy technologicznej, prawnej, organizacyjnej oraz zarządczej.
Współczesne przedsiębiorstwo musi odpowiedzieć nie tylko na pytanie: Czy możemy wykorzystać sztuczną inteligencję? Ale przede wszystkim: Czy jesteśmy w stanie wykazać, że wykorzystujemy ją w sposób bezpieczny, kontrolowany i zgodny z prawem?
Największym błędem organizacji jest traktowanie AI jako kolejnego programu komputerowego. Klasyczne systemy informatyczne wykonywały przede wszystkim zaprogramowane funkcje. Systemy AI działają inaczej — analizują dane, generują rekomendacje, uczą się na podstawie dostępnych informacji i mogą wpływać na procesy decyzyjne.
Dlatego zarząd przedsiębiorstwa powinien znać odpowiedzi na podstawowe pytania:
- Gdzie w organizacji wykorzystywane są systemy AI?
- Jakie dane są przekazywane do modeli?
- Kto posiada dostęp do informacji przetwarzanych przez AI?
- Czy przedsiębiorstwo zachowuje kontrolę nad własnymi danymi?
- Czy dostawca technologii wykorzystuje dane przedsiębiorstwa do dalszego trenowania modeli?
- Czy możliwe jest odtworzenie procesu, który doprowadził do określonego wyniku?
- Kto odpowiada za nadzór nad działaniem systemu?
- Czy organizacja posiada dokumentację pozwalającą wykazać zgodność podczas audytu lub kontroli?
Wprowadzenie sztucznej inteligencji wymaga więc nie tylko wdrożenia technologii, ale stworzenia całego systemu zarządzania odpowiedzialnym wykorzystaniem AI. Tym systemem jest AI Governance, który oznacza całościowe podejście do zarządzania systemami sztucznej inteligencji w przedsiębiorstwie. Nie ogranicza się ono wyłącznie do kwestii prawnych lub technicznych. Obejmuje między innymi: identyfikację wykorzystywanych systemów AI, klasyfikację ryzyka, ocenę zgodności z regulacjami, bezpieczeństwo danych, kontrolę dostawców technologii, procedury wewnętrzne, odpowiedzialność osób zarządzających, szkolenia użytkowników, możliwość audytu, monitorowanie działania systemów w całym cyklu ich życia. W praktyce przedsiębiorstwo musi przejść od modelu: „wdrożyliśmy narzędzie AI” do modelu: „zarządzamy systemem AI i potrafimy wykazać, że robimy to odpowiedzialnie”.
Dlaczego sama technologia i samo prawo nie wystarczą?
Sztuczna inteligencja znajduje się dziś na styku dwóch światów. Pierwszy to technologia i obejmuje ona między innymi: architekturę systemów AI, modele językowe, bezpieczeństwo infrastruktury, analizę przepływu danych, jakość i stabilność modeli, kontrolę dostępu, ochronę przed wyciekiem informacji, projektowanie bezpiecznych środowisk wykorzystania AI. Tymczasem drugi świat to regulacje, które obejmują Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawiające przepisy dotyczące sztucznej inteligencji (AI Act): ochronę danych osobowych, prawo pracy, regulacje dotyczące zarządzania algorytmicznego, obowiązki compliance, odpowiedzialność przedsiębiorstwa i osób zarządzających. Żadna z tych perspektyw samodzielnie nie daje pełnej odpowiedzi. Analiza technologiczna pozwala ustalić, jak działa system i jakie ryzyka techniczne generuje. Analiza prawna pozwala ocenić, czy sposób wykorzystania AI jest zgodny z obowiązującymi regulacjami. Dopiero połączenie obu obszarów pozwala stworzyć rzeczywisty system AI Governance.
Współpraca Kancelarii Prawnej Viggen oraz Polskiego Instytutu AI
W odpowiedzi na nowe wyzwania przedsiębiorstw Kancelaria Prawna Viggen oraz Polski Instytut AI rozpoczęły współpracę mającą na celu stworzenie kompleksowego modelu bezpiecznego wdrażania i zarządzania sztuczną inteligencją w organizacjach. Połączenie kompetencji prawnych i technologicznych pozwala przeprowadzić przedsiębiorstwo przez cały proces, od identyfikacji ryzyk, poprzez audyt, klasyfikację systemów AI, przygotowanie procedur, aż po wdrożenie mechanizmów stałego nadzoru.
Polski Instytut AI wnosi perspektywę technologiczną obejmującą między innymi:
- analizę architektury systemów AI,
- bezpieczeństwo modeli językowych,
- ocenę sposobu przetwarzania danych,
- analizę ryzyk technologicznych,
- projektowanie bezpiecznych środowisk wykorzystania AI,
- budowę rozwiązań zapewniających kontrolę nad infrastrukturą i danymi przedsiębiorstwa.
Szczególne znaczenie ma podejście oparte na budowaniu bezpiecznych i suwerennych środowisk AI, w których organizacja zachowuje kontrolę nad własnymi procesami biznesowymi, informacjami oraz sposobem wykorzystania technologii Kancelaria. Prawna Viggen zapewnia natomiast perspektywę regulacyjną obejmującą:
- analizę zgodności z AI Act,
- regulacje ochrony danych osobowych,
- prawo pracy,
- zarządzanie algorytmiczne,
- obowiązki przedsiębiorców wykorzystujących systemy AI,
- odpowiedzialność zarządu,
- compliance technologiczny,
- przygotowanie dokumentacji i procedur.
Kancelaria Prawna Viggen od lat specjalizuje się w obszarach znajdujących się na styku prawa pracy, regulacji gospodarczych oraz zmian technologicznych wpływających na funkcjonowanie przedsiębiorstw. Szczególne znaczenie w kontekście obecnych zmian regulacyjnych ma działalność badawcza i ekspercka zespołu Kancelarii dotycząca wpływu cyfryzacji, zarządzania algorytmicznego oraz sztucznej inteligencji na stosunki pracy i funkcjonowanie organizacji.
Zespół Kancelarii Prawnej Viggen, reprezentowany przez:
- prof. Szkoły Głównej Mikołaja Kopernika, dr Mariusza Miąsko,
- Annę Nieć-Mrzygłód – Dyrektor Generalną Kancelarii Prawnej Viggen,
wspólnie z prof. UKEN, dr hab. Łucją Kobroń-Gąsiorowską zaprezentował wyniki wielomiesięcznych badań dotyczących zmian w prawie pracy w kontekście Dyrektywy o pracy na platformach oraz regulacji dotyczących sztucznej inteligencji podczas międzynarodowej konferencji naukowej: „Dyrektywa o pracy na platformach, cyfryzacja i AI: Ocena i wyzwania narodowe” organizowanej przez Universidad Carlos III de Madrid.
Przedmiotem analiz były między innymi:
- wpływ zarządzania algorytmicznego na klasyczne konstrukcje prawa pracy,
- ryzyko zastępowania decyzji człowieka decyzjami systemów automatycznych,
- nowe obowiązki informacyjne wobec osób wykonujących pracę,
- konsekwencje prawne wykorzystania systemów AI,
- odpowiedzialność przedsiębiorstw za decyzje podejmowane przy wykorzystaniu algorytmów.
Doświadczenie badawcze i praktyczne Kancelarii w tym obszarze stanowi istotny element budowania kompleksowego modelu AI Governance.
Przedsiębiorstwa, które wykorzystują sztuczną inteligencję, będą musiały w najbliższych latach wykazać nie tylko, że posiadają nowoczesne narzędzia, ale również, że potrafią nimi odpowiedzialnie zarządzać. Nowy standard rynkowy będzie wymagał odpowiedzi na trzy podstawowe pytania: Czy przedsiębiorstwo wie, gdzie i w jaki sposób wykorzystuje AI? Czy posiada dowody zgodności technologicznej i prawnej? Czy w przypadku kontroli, incydentu lub sporu będzie w stanie wykazać należytą staranność? Celem współpracy Kancelarii Prawnej Viggen oraz Polskiego Instytutu AI jest stworzenie praktycznego modelu wsparcia przedsiębiorstw, od audytu i analizy ryzyka, poprzez przygotowanie strategii AI Governance, aż po wdrożenie narzędzi umożliwiających bieżące monitorowanie zgodności. Technologia bez prawa może generować ryzyko. Prawo bez technologii nie pozwala właściwie ocenić rzeczywistego działania systemu. Dopiero połączenie obu perspektyw pozwala przedsiębiorstwu korzystać ze sztucznej inteligencji w sposób bezpieczny, kontrolowany i odporny na przyszłe wyzwania regulacyjne.
Rozdział II.
AI Act i klasyfikacja systemów sztucznej inteligencji – dlaczego przedsiębiorstwo musi wiedzieć, jakie AI wykorzystuje i jakie obowiązki z tego wynikają?
Jedną z najważniejszych zmian wynikających z wejścia w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act) jest całkowita zmiana sposobu postrzegania systemów sztucznej inteligencji w przedsiębiorstwie. Dotychczas wdrożenia technologiczne były oceniane przede wszystkim przez pryzmat: funkcjonalności systemu, kosztów wdrożenia, możliwości integracji z istniejącą infrastrukturą, efektywności operacyjnej, bezpieczeństwa informatycznego. AI Act wprowadza jednak nową perspektywę. Dla europejskiego regulatora kluczowe znaczenie nie ma wyłącznie sama technologia, lecz sposób jej wykorzystania oraz wpływ, jaki może ona wywierać na prawa i wolności człowieka. Oznacza to, że dwa przedsiębiorstwa korzystające z podobnego rozwiązania technologicznego mogą podlegać zupełnie innym obowiązkom prawnym, jeżeli wykorzystują system AI do różnych celów. System sztucznej inteligencji wykorzystywany do automatycznego tworzenia zestawień sprzedażowych, analizy dokumentów wewnętrznych lub wspierania pracy administracyjnej może generować ograniczone ryzyko regulacyjne. Ten sam mechanizm zastosowany do: wyboru kandydatów do pracy, oceny pracowników, ustalania warunków zatrudnienia, rekomendowania awansu lub rozwiązania współpracy, przydzielania zadań, monitorowania efektywności pracowników, może już wpływać bezpośrednio na sytuację człowieka i podlegać szczególnym wymaganiom wynikającym z AI Act. Dlatego podstawowym obowiązkiem przedsiębiorstwa nie jest samo wdrożenie AI, lecz uzyskanie odpowiedzi na pytanie: Czy organizacja wie, jakie systemy AI wykorzystuje, jakie funkcje pełnią te systemy i jakie ryzyka prawne oraz technologiczne generują? Jednym z największych błędów przedsiębiorstw jest traktowanie sztucznej inteligencji jako kolejnej kategorii oprogramowania.
W klasycznym modelu IT zakup systemu oznaczał: wybór dostawcy, konfigurację rozwiązania, szkolenie użytkowników, rozpoczęcie eksploatacji. W przypadku AI takie podejście jest niewystarczające. System sztucznej inteligencji nie jest wyłącznie narzędziem wykonującym określone polecenia. Może analizować dane, tworzyć rekomendacje, klasyfikować osoby, przewidywać określone zdarzenia lub wpływać na decyzje biznesowe. Dlatego przedsiębiorstwo powinno posiadać wiedzę dotyczącą: gdzie funkcjonują systemy AI w organizacji, jakie dane wykorzystują, kto ma dostęp do wyników generowanych przez AI, czy dostawca może wykorzystywać dane przedsiębiorstwa do trenowania modeli, czy możliwe jest odtworzenie procesu prowadzącego do określonej decyzji, kto odpowiada za nadzór nad systemem. Dopiero taka wiedza pozwala mówić o rzeczywistym AI Governance.
Systemy AI wysokiego ryzyka – kiedy technologia wymaga szczególnej kontroli?
AI Act nie zakłada, że każdy system sztucznej inteligencji jest systemem wysokiego ryzyka. Jednym z najczęściej powtarzanych uproszczeń jest stwierdzenie: „Każde AI wykorzystywane w przedsiębiorstwie jest systemem wysokiego ryzyka”. Takie podejście jest nieprawidłowe.
Decydujące znaczenie ma nie sama obecność technologii AI, lecz: przeznaczenie systemu, sposób wykorzystania, zakres wpływu na człowieka, charakter podejmowanych decyzji. AI Act wskazuje w art. 6 oraz załączniku III określone obszary zastosowania, w których ryzyko naruszenia praw podstawowych jest szczególnie wysokie. Jednym z takich obszarów jest zatrudnienie, zarządzanie pracownikami oraz dostęp do samozatrudnienia. Do systemów wymagających szczególnej analizy należą między innymi rozwiązania wykorzystywane do: rekrutacji i selekcji kandydatów, analizowania lub filtrowania podań o pracę, oceny kandydatów, podejmowania decyzji dotyczących zatrudnienia, ustalania warunków pracy, przydzielania zadań oraz monitorowania i oceny wydajności pracowników. Nie oznacza to jednak, że AI Act dotyczy wyłącznie działów HR. Podobne ryzyka mogą wystąpić także w innych obszarach przedsiębiorstwa, między innymi: obsłudze klienta, finansach, sprzedaży, zarządzaniu dostawcami, bezpieczeństwie organizacji, procesach operacyjnych.
Kluczowym kryterium pozostaje pytanie: Czy działanie systemu AI może wpływać na prawa, obowiązki lub sytuację konkretnej osoby albo podmiotu?
AI w HR jako przykład szczególnego ryzyka
Obszar zatrudnienia jest jednym z najbardziej wrażliwych zastosowań sztucznej inteligencji, ponieważ decyzje podejmowane w tym obszarze wpływają na podstawowe aspekty życia człowieka. Systemy AI wykorzystywane w HR mogą wspierać między innymi: Rekrutację
Systemy ATS (Applicant Tracking Systems) wspierane przez AI mogą:
- analizować CV,
• klasyfikować kandydatów,
• przewidywać dopasowanie do stanowiska,
• rekomendować osoby przechodzące do kolejnych etapów rekrutacji.
Zarządzanie efektywnością
Systemy Workforce Management mogą analizować:
- realizację zadań,
• czas wykonania operacji,
• wykorzystanie zasobów,
• poziom aktywności w systemach przedsiębiorstwa.
Planowanie pracy
Algorytmy mogą wspierać:
- tworzenie grafików,
• przydział zmian,
• optymalizację obsady,
• prognozowanie zapotrzebowania kadrowego.
Platformy cyfrowe
Systemy platformowe mogą wykorzystywać algorytmy do:
- przydzielania zleceń,
• ustalania kolejności realizacji pracy,
• oceny jakości usług,
• wykrywania nieprawidłowości.
Technologicznie są to rozwiązania zwiększające efektywność. Regulacyjnie są to jednak systemy, które mogą wpływać na:
- dostęp do pracy,
• wysokość wynagrodzenia,
• rozwój zawodowy,
• możliwość kontynuowania współpracy.
Jednym z największych wyzwań dla przedsiębiorstw jest fakt, że wykorzystanie AI nie podlega jednej regulacji. – AI Act, RODO i prawo pracy to trzy równoległe obszary odpowiedzialności. System sztucznej inteligencji funkcjonujący w organizacji może jednocześnie podlegać kilku reżimom prawnym.
AI Act
Reguluje między innymi:
- klasyfikację systemu,
• zarządzanie ryzykiem,
• wymagania techniczne,
• dokumentację,
• nadzór człowieka,
• monitorowanie działania systemu.
RODO
Pozostaje kluczowe w zakresie:
- legalności przetwarzania danych,
• minimalizacji danych,
• przejrzystości,
• profilowania,
• automatycznego podejmowania decyzji.
Szczególne znaczenie mają:
- art. 5 RODO – podstawowe zasady przetwarzania danych,
• art. 22 RODO – decyzje oparte wyłącznie na zautomatyzowanym przetwarzaniu,
• art. 35 RODO – ocena skutków dla ochrony danych (DPIA).
Prawo pracy
Wdrożenie AI musi pozostawać zgodne między innymi z zasadami:
- równego traktowania,
• zakazu dyskryminacji,
• ochrony dóbr osobistych,
• poszanowania godności pracownika.
Znaczenie mają między innymi:
- art. 11² Kodeksu pracy,
• art. 11³ Kodeksu pracy,
• art. 94 Kodeksu pracy.
Problem „black box AI” – czy przedsiębiorstwo kontroluje decyzję systemu?
Jednym z największych wyzwań praktycznych pozostaje problem ograniczonej wyjaśnialności modeli AI. Przedsiębiorstwo może znaleźć się w sytuacji, w której:
- korzysta z zaawansowanego systemu,
• otrzymuje rekomendację wygenerowaną przez algorytm,
• jednak nie posiada wystarczającej wiedzy, dlaczego system wygenerował określony wynik.
Przykład: System AI dokonuje oceny efektywności pracownika i wpływa na decyzję dotyczącą premii. Pracownik pyta: „Dlaczego otrzymałem niższą ocenę i jakie kryteria zdecydowały o tym wyniku?” W tym momencie pojawia się konieczność pogodzenia:
- ochrony tajemnicy przedsiębiorstwa dostawcy technologii,
• interesu przedsiębiorstwa,
• prawa człowieka do informacji i ochrony przed nieuzasadnioną decyzją.
Nie oznacza to obowiązku ujawnienia kodu źródłowego. Oznacza jednak konieczność zapewnienia takiej dokumentacji, kontroli i przejrzystości, aby przedsiębiorstwo mogło wykazać, że system działa zgodnie z prawem.
Od klasyfikacji AI do systemu zarządzania zgodnością
Prawidłowa analiza systemu AI nie kończy się na pytaniu: „Czy korzystamy z AI wysokiego ryzyka?” Dojrzała organizacja powinna odpowiedzieć na szerszy zestaw pytań:
- Jakie systemy AI funkcjonują w przedsiębiorstwie?
• Kto jest właścicielem odpowiedzialności za dany system?
• Jakie dane wykorzystuje AI?
• Czy system posiada dokumentację i możliwość audytu?
• Czy istnieje mechanizm nadzoru człowieka?
• Czy umowa z dostawcą zabezpiecza interes przedsiębiorstwa?
• Czy organizacja posiada dowody zgodności technologicznej i prawnej?
Odpowiedzi na te pytania stanowią fundament dalszego procesu:
- audytu AI,
• budowy AI Governance,
• wdrożenia procedur,
• szkolenia użytkowników,
• utrzymania zgodności w czasie.
Samo posiadanie systemu AI nie oznacza jeszcze, że przedsiębiorstwo kontroluje tę technologię. Nowy standard rynkowy będzie wymagał wykazania, że organizacja nie tylko korzysta z AI, ale również rozumie jej działanie, zarządza ryzykiem i posiada mechanizmy pozwalające zachować kontrolę nad technologią.
Rozdział III
Algorytmiczny pracodawca? Dyrektywa Platformowa, AI Act i nowy model kontroli nad zarządzaniem pracą
Przez dziesięciolecia podstawowy model organizacji pracy opierał się na założeniu, że najważniejsze decyzje dotyczące wykonywania obowiązków podejmuje człowiek. Pracodawca lub osoba działająca w jego imieniu określała sposób realizacji zadań, ustalała priorytety, kontrolowała jakość pracy oraz podejmowała decyzje dotyczące dalszej współpracy. Cyfryzacja przedsiębiorstw stopniowo zmieniła ten model. Współczesne organizacje coraz częściej wykorzystują systemy algorytmiczne, które wspierają procesy zarządzania, analizują dane operacyjne i rekomendują określone działania. Algorytmy pomagają dziś nie tylko w optymalizacji procesów biznesowych, ale również w obszarach, które jeszcze niedawno pozostawały wyłącznie domeną decyzji człowieka. Systemy automatyczne mogą wspierać między innymi przydzielanie zadań, planowanie pracy, ustalanie kolejności realizacji zleceń, analizę efektywności, ocenę jakości wykonywanych czynności czy przewidywanie zapotrzebowania organizacji. W ten sposób powstało zjawisko określane jako algorithmic management/zarządzanie algorytmiczne. Nie oznacza ono koniecznie sytuacji, w której człowiek zostaje całkowicie zastąpiony przez system. Znacznie częściej mamy do czynienia z modelem hybrydowym, w którym decyzja człowieka jest poprzedzona analizą, rekomendacją lub klasyfikacją przygotowaną przez algorytm. Właśnie ten moment jest kluczowy z punktu widzenia prawa i zarządzania. Problem regulacyjny pojawia się bowiem nie dopiero wtedy, gdy maszyna samodzielnie podejmuje decyzję, lecz już wtedy, gdy system zaczyna realnie wpływać na sytuację osoby wykonującej pracę. Jeżeli algorytm decyduje o kolejności zadań, dostępie do określonych możliwości, ocenie efektywności lub rekomenduje określone działania wobec człowieka, przestaje być wyłącznie narzędziem technologicznym. Staje się elementem procesu zarządzania.
Od narzędzia wspierającego do mechanizmu organizacji pracy
Tradycyjny model zarządzania pozwalał stosunkowo łatwo wskazać osobę odpowiedzialną za określoną decyzję. Kierownik wydawał polecenie, oceniał rezultat i ponosił odpowiedzialność za sposób organizacji pracy. W modelu algorytmicznym proces ten staje się bardziej złożony. System może analizować ogromną ilość danych, identyfikować określone wzorce zachowań, ustalać priorytety lub rekomendować konkretne działania. Z perspektywy przedsiębiorstwa oznacza to większą efektywność i możliwość podejmowania decyzji na podstawie szerszego zakresu informacji. Jednocześnie pojawia się nowe pytanie: Czy przedsiębiorstwo nadal posiada pełną kontrolę nad procesem zarządzania, jeżeli część decyzji została przeniesiona do systemu algorytmicznego?
To pytanie ma znaczenie nie tylko technologiczne. Dotyczy ono odpowiedzialności organizacji, przejrzystości podejmowanych decyzji oraz możliwości wykazania, że przedsiębiorstwo rzeczywiście rozumie i kontroluje wykorzystywane rozwiązania.
Dyrektywa Platformowa i początek regulacji zarządzania algorytmicznego
W dniu 11 grudnia 2024 r. przyjęto Dyrektywę Parlamentu Europejskiego i Rady (UE) 2024/2831 w sprawie poprawy warunków pracy za pośrednictwem platform internetowych. Regulacja ta powstała przede wszystkim jako odpowiedź na rozwój gospodarki platformowej obejmującej między innymi platformy przewozowe, dostawcze, usługowe oraz cyfrowe pośrednictwo pracy. Jej znaczenie wykracza jednak daleko poza sam sektor platform. Po raz pierwszy prawodawca europejski tak wyraźnie odniósł się do sytuacji, w której organizacja pracy jest kształtowana przez systemy automatyczne. W wielu współczesnych modelach platformowych algorytm stał się centralnym mechanizmem operacyjnym przedsiębiorstwa. Może on dopasowywać wykonawcę do zadania, ustalać kolejność dostępnych zleceń, analizować jakość realizacji usług oraz wykrywać potencjalne odstępstwa od przyjętych zasad. Z biznesowego punktu widzenia takie rozwiązania są niezwykle efektywne. Pozwalają szybciej zarządzać dużą liczbą procesów i podejmować decyzje na podstawie danych. Problem pojawia się jednak wtedy, gdy osoba wykonująca pracę nie posiada wiedzy, dlaczego system podjął określone działanie. Może nie wiedzieć, dlaczego otrzymała mniej zleceń, dlaczego zmieniła się jej ocena, dlaczego została zakwalifikowana do określonej kategorii lub dlaczego ograniczono jej dostęp do określonych funkcji platformy. W takim przypadku algorytm zaczyna pełnić funkcję zbliżoną do przełożonego. Nie wydaje bezpośrednich poleceń, ale kształtuje warunki wykonywania pracy.
Koniec modelu: „system tak zdecydował”
Jednym z najważniejszych skutków nowych regulacji jest odejście od przekonania, że decyzja wygenerowana przez system informatyczny automatycznie zwalnia przedsiębiorstwo z odpowiedzialności. Stwierdzenie: „system podjął taką decyzję, ponieważ wynikało to z algorytmu” nie będzie wystarczającym wyjaśnieniem.
Organizacja korzystająca z systemów algorytmicznych musi posiadać możliwość odtworzenia podstawowego mechanizmu działania rozwiązania. Nie oznacza to konieczności ujawnienia kodu źródłowego ani technologicznych tajemnic dostawcy. Chodzi o możliwość wyjaśnienia: jakie dane były wykorzystywane, jakie czynniki wpływały na wynik, jaki był cel zastosowania systemu, kto odpowiadał za nadzór oraz w jaki sposób można zakwestionować rezultat działania algorytmu. To rozróżnienie będzie miało fundamentalne znaczenie dla przyszłych sporów. Prawo nie wymaga, aby każdy użytkownik otrzymał dostęp do konstrukcji technicznej modelu AI. Wymaga jednak, aby przedsiębiorstwo nie korzystało z technologii, której działania samo nie jest w stanie kontrolować.
Równowaga pomiędzy ochroną technologii a prawami człowieka
Jednym z najtrudniejszych zagadnień związanych z zarządzaniem algorytmicznym będzie znalezienie równowagi pomiędzy interesem dostawców technologii a prawami osób, których sytuacja jest kształtowana przez system. Dostawcy AI mają uzasadniony interes w ochronie swoich rozwiązań, obejmujący między innymi kod źródłowy, architekturę modelu, dane treningowe oraz tajemnicę przedsiębiorstwa. Jednocześnie osoba, której sytuacja zawodowa zależy od działania systemu, powinna mieć możliwość uzyskania informacji pozwalających ocenić, czy decyzja była prawidłowa, niedyskryminująca i zgodna z obowiązującymi zasadami. Rolą przedsiębiorstwa nie jest więc wybór pomiędzy technologią a prawami człowieka. Rolą przedsiębiorstwa jest stworzenie takiego modelu wykorzystania AI, w którym innowacja pozostaje możliwa, ale jednocześnie organizacja zachowuje kontrolę nad skutkami działania systemu.
AI Act i Dyrektywa Platformowa jako dwa elementy jednego systemu odpowiedzialności
AI Act oraz Dyrektywa Platformowa regulują różne aspekty wykorzystania sztucznej inteligencji, ale w praktyce przedsiębiorstwo musi traktować je jako element jednego systemu zarządzania ryzykiem. AI Act koncentruje się przede wszystkim na bezpieczeństwie systemów AI, zarządzaniu ryzykiem, wymaganiach technicznych oraz odpowiedzialności podmiotów uczestniczących w całym cyklu życia systemu. Dyrektywa Platformowa koncentruje się natomiast na ochronie osób wykonujących pracę, przejrzystości zarządzania algorytmicznego oraz możliwości kontroli decyzji podejmowanych przy wykorzystaniu systemów automatycznych. Przykładem może być przedsiębiorstwo logistyczne wykorzystujące sztuczną inteligencję do przydzielania tras kurierom. Z technologicznego punktu widzenia jest to system optymalizacji procesów. Z perspektywy AI Act przedsiębiorstwo musi zapewnić odpowiednie zarządzanie systemem, dokumentację i kontrolę ryzyka. Z perspektywy Dyrektywy Platformowej musi natomiast zapewnić przejrzystość działania rozwiązania oraz możliwość zakwestionowania decyzji wpływających na osobę wykonującą pracę.
Algorytm może wspierać zarządzanie, ale nie zastępuje odpowiedzialności przedsiębiorstwa
Era, w której organizacja mogła powiedzieć: „to była decyzja systemu informatycznego” stopniowo się kończy. Nowoczesne przedsiębiorstwo będzie oceniane nie tylko przez pryzmat tego, czy wykorzystuje zaawansowane technologie, ale przede wszystkim przez to, czy potrafi nimi odpowiedzialnie zarządzać. Zarząd powinien posiadać wiedzę: jakie systemy AI funkcjonują w organizacji, jakie procesy wspierają, jakie dane wykorzystują, kto odpowiada za ich nadzór oraz czy możliwe jest wyjaśnienie ich działania. Algorytm może zwiększać efektywność przedsiębiorstwa i wspierać procesy decyzyjne. Nie może jednak zastąpić odpowiedzialności prawnej i organizacyjnej przedsiębiorcy. Właśnie dlatego zarządzanie algorytmiczne staje się jednym z najważniejszych elementów współczesnego modelu AI Governance, czyli systemu, który pozwala przedsiębiorstwu nie tylko korzystać ze sztucznej inteligencji, ale przede wszystkim zachować nad nią kontrolę.
Rozdział IV
Od wdrożenia technologii do systemu zarządzania AI, czyli obowiązki przedsiębiorstwa wykorzystującego systemy sztucznej inteligencji
Jednym z największych błędów popełnianych przez przedsiębiorstwa wdrażające rozwiązania sztucznej inteligencji jest traktowanie AI jako kolejnego projektu informatycznego. W klasycznym modelu IT sukces wdrożenia oznacza zazwyczaj uruchomienie systemu, przeszkolenie użytkowników oraz rozpoczęcie jego wykorzystywania w działalności operacyjnej. W przypadku sztucznej inteligencji takie podejście jest niewystarczające. System AI nie jest wyłącznie narzędziem technologicznym. Może wpływać na procesy decyzyjne, sposób organizacji pracy, bezpieczeństwo informacji, relacje z klientami, pracownikami oraz kontrahentami. Dlatego odpowiedzialność przedsiębiorstwa nie kończy się w momencie zakupu lub uruchomienia rozwiązania. Nowoczesne podejście wymaga przejścia od modelu: „wdrożyliśmy system AI” do modelu: „zarządzamy systemem AI przez cały okres jego funkcjonowania”. To właśnie ta zmiana będzie jednym z najważniejszych wyzwań dla zarządów przedsiębiorstw. Organizacja musi bowiem posiadać nie tylko działającą technologię, ale również zdolność wykazania, że sposób jej wykorzystania jest kontrolowany, udokumentowany i zgodny z wymaganiami prawnymi oraz organizacyjnymi.
W praktyce oznacza to konieczność odpowiedzi na podstawowe pytania zarządcze: jakie systemy AI funkcjonują w przedsiębiorstwie, gdzie są wykorzystywane, jakie dane przetwarzają, kto odpowiada za ich działanie, jakie ryzyka generują oraz czy organizacja posiada możliwość odtworzenia procesu prowadzącego do określonego wyniku. To właśnie tutaj pojawia się koncepcja AI Governance, czyli systemowego zarządzania sztuczną inteligencją w organizacji. AI Governance nie jest pojedynczą procedurą ani dokumentem przygotowanym na potrzeby kontroli. Jest to całościowy model obejmujący technologię, prawo, bezpieczeństwo informacji, odpowiedzialność organizacyjną oraz ciągły monitoring działania systemów.
Przedsiębiorstwo jako odpowiedzialny użytkownik systemu AI
AI Act wprowadza istotną zmianę w sposobie postrzegania odpowiedzialności za sztuczną inteligencję. Przedsiębiorstwo korzystające z systemu AI nie może ograniczyć się do argumentu, że za rozwiązanie odpowiada jego dostawca. Dostawca technologii odpowiada za określone elementy związane z przygotowaniem i udostępnieniem systemu. Natomiast organizacja wykorzystująca AI odpowiada za sposób zastosowania tego systemu w konkretnym środowisku biznesowym. Ma to szczególne znaczenie w przypadku systemów wykorzystywanych w procesach mających wpływ na ludzi. Dostawca może dostarczyć rozwiązanie posiadające dokumentację techniczną i spełniające określone wymagania regulacyjne, jednak przedsiębiorstwo nadal musi zapewnić, że system jest wykorzystywany właściwie, zgodnie z przeznaczeniem oraz pod odpowiednim nadzorem. Odpowiedzialna organizacja powinna posiadać wiedzę między innymi o tym, jakie cele realizuje dany system AI, jakie dane wykorzystuje, jakie ograniczenia posiada model, jakie mechanizmy kontroli zostały zastosowane oraz jakie działania należy podjąć w przypadku wykrycia nieprawidłowości. W praktyce oznacza to konieczność stworzenia wewnętrznego systemu zarządzania AI, który łączy kompetencje działów prawnych, compliance, IT, bezpieczeństwa informacji oraz biznesu.
Audyt AI jako pierwszy etap zarządzania ryzykiem
Podstawowym elementem odpowiedzialnego wdrażania sztucznej inteligencji powinien być audyt AI. Jego celem nie jest wyłącznie sprawdzenie zgodności prawnej konkretnego rozwiązania, ale uzyskanie pełnego obrazu sposobu wykorzystania AI w organizacji. Przedsiębiorstwo powinno w pierwszej kolejności ustalić, jakie systemy sztucznej inteligencji już funkcjonują w organizacji. W praktyce wiele firm nie posiada pełnej wiedzy na temat wszystkich narzędzi wykorzystywanych przez pracowników. Część rozwiązań jest wdrażana lokalnie przez poszczególne zespoły, bez centralnej kontroli organizacji. Zjawisko określane jako Shadow AI powoduje, że przedsiębiorstwo może przetwarzać informacje przy wykorzystaniu systemów, których bezpieczeństwo, lokalizacja danych oraz sposób działania nie zostały wcześniej zweryfikowane. Profesjonalny audyt AI powinien obejmować analizę technologiczną, prawną oraz organizacyjną. Konieczne jest ustalenie klasyfikacji systemu, zakresu przetwarzanych danych, poziomu ryzyka, sposobu działania modelu, odpowiedzialności użytkowników oraz zgodności procesu z obowiązującymi regulacjami. Dopiero na podstawie takiej analizy przedsiębiorstwo może stworzyć właściwą strategię dalszego wykorzystania sztucznej inteligencji.
Dane, dokumentacja i możliwość wykazania zgodności
Jednym z kluczowych obszarów ryzyka związanego z AI pozostają dane. W wielu przypadkach problem nie wynika z samego modelu, lecz z jakości informacji, na których system pracuje. Nawet zaawansowany technologicznie system może generować błędne lub ryzykowne rezultaty, jeżeli wykorzystuje dane nieaktualne, niepełne, niewłaściwie przygotowane albo pozyskane bez odpowiedniej kontroli. Dlatego zarządzanie AI wymaga stworzenia mechanizmów kontroli nad cyklem życia danych. Organizacja powinna wiedzieć, jakie informacje trafiają do systemów AI, w jaki sposób są wykorzystywane oraz jakie zabezpieczenia chronią je przed nieuprawnionym dostępem. Równie istotna jest dokumentacja. W przypadku kontroli, sporu lub incydentu bezpieczeństwa przedsiębiorstwo będzie musiało wykazać nie tylko, że posiadało system AI, ale również że podejmowało racjonalne działania w celu ograniczenia ryzyka. Dokumentacja dotycząca AI powinna umożliwiać odtworzenie procesu decyzyjnego: jakie rozwiązanie zastosowano, jakie były jego założenia, kto odpowiadał za nadzór oraz jakie działania podjęto w przypadku pojawienia się problemów.
Człowiek pozostaje elementem systemu decyzyjnego
Jednym z najważniejszych założeń odpowiedzialnego wykorzystania AI jest zachowanie realnego nadzoru człowieka. Nie oznacza to konieczności ręcznego wykonywania wszystkich czynności, które może wspierać sztuczna inteligencja. Celem jest zapewnienie, aby decyzje wpływające na sytuację człowieka nie były wyłącznie wynikiem niekontrolowanego procesu algorytmicznego. Skuteczny nadzór wymaga, aby osoby odpowiedzialne za korzystanie z systemu posiadały odpowiednią wiedzę, rozumiały ograniczenia technologii oraz miały możliwość zakwestionowania lub zmiany rezultatu wygenerowanego przez AI.
W praktyce oznacza to konieczność określenia ról i odpowiedzialności w organizacji. Nie chodzi wyłącznie o powołanie pojedynczego stanowiska odpowiedzialnego za AI, ale o stworzenie całego systemu zarządzania obejmującego ludzi, procedury i narzędzia kontrolne.
AI Governance jako stały proces zarządzania organizacją
Odpowiedzialne wykorzystanie sztucznej inteligencji wymaga odejścia od myślenia, że zgodność można osiągnąć poprzez jednorazową analizę wykonaną przed wdrożeniem systemu. Modele AI się zmieniają. Aktualizowane są dane, dostawcy modyfikują rozwiązania, przedsiębiorstwa zmieniają sposób wykorzystania technologii. Ryzyko związane z AI nie jest więc stałe. Dlatego organizacja potrzebuje mechanizmu ciągłego monitorowania. Właśnie taki cel realizują rozwiązania wspierające AI Governance, takie jak AiTrust oraz AIEnclava Framework rozwijane przez Polski Instytut AI. Ich zadaniem jest zapewnienie przedsiębiorstwu praktycznych narzędzi do zarządzania cyklem życia systemów AI, prowadzenia rejestrów ryzyka, dokumentowania zgodności, kontroli dostawców oraz utrzymania audytowalności procesów. Dzięki temu AI przestaje być niekontrolowanym narzędziem technologicznym, a staje się elementem zarządzanego środowiska biznesowego.
Technologia, prawo i zarządzanie jako jeden model bezpieczeństwa
Przyszłość wykorzystania sztucznej inteligencji w przedsiębiorstwach będzie wymagała połączenia trzech perspektyw. Technologia musi zapewnić bezpieczeństwo, kontrolę, możliwość audytu oraz przewidywalność działania systemów. Prawo musi zapewnić zgodność z regulacjami, ochronę praw jednostki oraz odpowiedzialność organizacji. Zarządzanie musi stworzyć strukturę, w której wiadomo, kto odpowiada za decyzje, jakie procedury obowiązują oraz w jaki sposób organizacja reaguje na ryzyka. Dopiero połączenie tych elementów pozwala stworzyć rzeczywisty system odpowiedzialnego wykorzystania AI. Model współpracy Kancelarii Prawnej Viggen oraz Polskiego Instytutu AI zakłada właśnie takie kompleksowe podejście: od audytu i klasyfikacji systemów AI, przez analizę prawną i technologiczną, stworzenie procedur oraz strategii governance, aż po wdrożenie narzędzi umożliwiających utrzymanie zgodności w czasie. W erze sztucznej inteligencji przewagę uzyskają nie te organizacje, które jedynie wdrożą AI, ale te, które będą potrafiły nią odpowiedzialnie zarządzać.
Rozdział V
Odpowiedzialność zarządu, audyt AI i nowy standard należytej staranności przedsiębiorstwa
Przez wiele lat wdrażanie technologii pozostawało przede wszystkim domeną działów IT. Zarządy przedsiębiorstw koncentrowały się na efektach biznesowych, pozostawiając kwestie techniczne zespołom specjalistycznym. W przypadku sztucznej inteligencji taki model zarządzania przestaje być wystarczający. AI coraz częściej uczestniczy bowiem w procesach mających bezpośredni wpływ na funkcjonowanie organizacji oraz sytuację człowieka. Może wspierać decyzje dotyczące zatrudnienia, organizacji pracy, oceny efektywności, obsługi klientów, bezpieczeństwa informacji czy zarządzania procesami biznesowymi. Oznacza to fundamentalną zmianę: decyzja o wdrożeniu AI nie jest już wyłącznie decyzją technologiczną. Staje się decyzją dotyczącą zarządzania ryzykiem przedsiębiorstwa. Z perspektywy zarządu najważniejsze pytanie nie brzmi już: „Czy możemy wdrożyć AI?”, lecz: „Czy jesteśmy w stanie wykazać, że wdrożyliśmy AI w sposób kontrolowany, bezpieczny i zgodny z obowiązującymi wymaganiami?”. To właśnie zdolność wykazania kontroli nad technologią będzie jednym z najważniejszych elementów odpowiedzialnego zarządzania przedsiębiorstwem w kolejnych latach.
AI jako obszar odpowiedzialności korporacyjnej
AI Act wprowadza jeden z najbardziej rozbudowanych systemów regulacyjnych dotyczących sztucznej inteligencji na świecie. Skala przewidzianych sankcji pokazuje, że ustawodawca europejski traktuje AI jako technologię mogącą wpływać na prawa podstawowe człowieka, a nie jako kolejną kategorię oprogramowania. W zależności od rodzaju naruszenia AI Act przewiduje możliwość nałożenia administracyjnych kar pieniężnych sięgających nawet 35 mln euro albo 7% całkowitego światowego rocznego obrotu przedsiębiorstwa w przypadku najpoważniejszych naruszeń. Za naruszenie innych obowiązków wynikających z rozporządzenia przewidziane są kary do 15 mln euro albo 3% obrotu, natomiast za przekazanie nieprawdziwych lub wprowadzających w błąd informacji organom nadzorczym – do 7,5 mln euro albo 1% światowego obrotu. Jednak sama perspektywa sankcji finansowych nie wyczerpuje rzeczywistego ryzyka związanego z AI. Dla przedsiębiorstwa równie istotne mogą być konsekwencje organizacyjne, reputacyjne oraz prawne wynikające z niewłaściwego wykorzystania systemów sztucznej inteligencji. System AI stosowany w obszarze zatrudnienia, obsługi klienta czy zarządzania procesami biznesowymi może prowadzić do sporów dotyczących dyskryminacji, naruszenia zasad równego traktowania, niewłaściwego przetwarzania danych albo braku transparentności decyzji podejmowanych przy wykorzystaniu algorytmów. Dlatego odpowiedzialność zarządu nie powinna być rozumiana wyłącznie jako reakcja na naruszenie prawa. W nowym modelu zarządzania chodzi przede wszystkim o stworzenie organizacji, która potrafi identyfikować ryzyko, kontrolować technologię i wykazać, że podejmowała działania zgodne z zasadą należytej staranności.
Od odpowiedzialności technologicznej do odpowiedzialności zarządczej
AI Act nie oznacza automatycznej odpowiedzialności członków zarządu za każde zdarzenie związane z wykorzystaniem sztucznej inteligencji. Nie oznacza to jednak, że zarząd pozostaje poza obszarem odpowiedzialności. W przypadku kontroli, sporu lub incydentu kluczowe znaczenie będzie miało pytanie, czy przedsiębiorstwo posiadało odpowiedni system zarządzania AI. Istotne będzie nie tylko to, czy technologia działała poprawnie, ale również czy organizacja wiedziała: gdzie wykorzystywane są systemy AI, jakie dane przetwarzają, jakie ryzyka generują, kto odpowiada za ich działanie oraz jakie procedury obowiązują w przypadku wykrycia nieprawidłowości. W praktyce oznacza to konieczność odejścia od modelu, w którym odpowiedzialność za AI zostaje całkowicie przeniesiona na dział IT lub dostawcę technologii. Sztuczna inteligencja staje się elementem zarządzania przedsiębiorstwem, podobnie jak bezpieczeństwo finansowe, compliance czy ochrona informacji.
Audyt AI jako fundament odpowiedzialnego wdrożenia
W nowych realiach prawnych audyt AI nie powinien być traktowany jako dodatkowy koszt ani formalność wykonywana wyłącznie przed kontrolą. Staje się on jednym z podstawowych narzędzi zarządzania ryzykiem. Profesjonalny audyt AI musi łączyć dwie perspektywy. Pierwsza z nich to perspektywa technologiczna obejmująca analizę architektury systemu, sposobu działania modelu, bezpieczeństwa danych, stabilności rozwiązania, odporności na błędy oraz ryzyka związane z wykorzystaniem informacji przedsiębiorstwa. Druga to perspektywa prawna obejmująca klasyfikację systemu według AI Act, analizę zgodności z RODO, ocenę obowiązków informacyjnych, weryfikację dokumentacji, analizę umów z dostawcami oraz ocenę zgodności procesów organizacyjnych. Dopiero połączenie obu tych obszarów pozwala uzyskać rzeczywisty obraz ryzyka. Sam audyt prawny bez analizy technologicznej może nie wykazać problemów wynikających ze sposobu działania modelu. Sam audyt techniczny bez analizy prawnej może natomiast nie dostrzec konsekwencji regulacyjnych i organizacyjnych. Dlatego przyszłościowy model audytu AI musi być audytem prawno-inżynieryjnym.
AI Governance jako obowiązek dojrzałej organizacji
Odpowiedzialne wykorzystanie AI wymaga stworzenia w przedsiębiorstwie trwałego systemu zarządzania sztuczną inteligencją. AI Governance powinno obejmować nie tylko technologię, ale również strukturę odpowiedzialności, procedury, dokumentację, szkolenia, kontrolę dostawców oraz mechanizmy reagowania na incydenty. Dojrzała organizacja nie pyta wyłącznie: „czy mamy wdrożone AI?”. Pyta przede wszystkim: „czy mamy kontrolę nad AI?”. To właśnie kontrola staje się kluczowym elementem nowego standardu zarządzania. Przedsiębiorstwo powinno być w stanie wykazać, że zna swoje systemy AI, rozumie ich działanie, posiada procedury nadzoru oraz potrafi odpowiedzieć na pytania regulatora, klienta, pracownika lub sądu. W tym obszarze szczególnego znaczenia nabiera połączenie kompetencji technologicznych i prawnych. Model współpracy Kancelarii Prawnej Viggen oraz Polskiego Instytutu AI odpowiada na tę potrzebę poprzez kompleksowe podejście obejmujące audyt, analizę ryzyka, klasyfikację systemów AI, projektowanie zasad governance, wdrażanie bezpiecznych środowisk wykorzystania AI oraz utrzymanie zgodności w czasie. Polski Instytut AI wnosi kompetencje technologiczne obejmujące architekturę systemów, bezpieczeństwo modeli, rozwiązania suwerennej AI oraz narzędzia wspierające kontrolę i audytowalność procesów, w tym AIEnclava Framework oraz platformę AiTrust. Kancelaria Prawna Viggen zapewnia natomiast perspektywę regulacyjną obejmującą AI Act, RODO, prawo pracy, Dyrektywę Platformową, compliance technologiczny oraz odpowiedzialność organizacji za wykorzystanie systemów algorytmicznych.
Podsumowanie dla zarządów
Sztuczna inteligencja nie jest już wyłącznie narzędziem zwiększania efektywności. Stała się obszarem odpowiedzialności prawnej i zarządczej. Przedsiębiorstwa, które dziś wdrażają AI bez analizy ryzyka, mogą w przyszłości znaleźć się w sytuacji, w której technologia działa prawidłowo, ale organizacja nie jest w stanie wykazać, że korzystała z niej zgodnie z prawem, bezpiecznie i odpowiedzialnie.
Najbezpieczniejszy model działania to:
Twoje dane.
Twoja infrastruktura.
Twoja kontrola.
Twoja odpowiedzialność – zabezpieczona przez prawo i technologię.
Kancelaria Prawna Viggen oraz Polski Instytut AI zapraszają przedsiębiorstwa do przeprowadzenia kompleksowego audytu prawno-inżynieryjnego systemów sztucznej inteligencji oraz przygotowania organizacji do nowego europejskiego standardu zarządzania AI.
Andrzej Poradzisz – CEO Polski Instytut AI
Anna Nieć-Mrzygłód – Dyrektor Generalna KPV
