28 października 2026 r. zaczynają obowiązywać kluczowe przepisy polskiej ustawy o systemach sztucznej inteligencji dotyczące kontroli, postępowań przed organem nadzoru oraz administracyjnych kar pieniężnych. Dla firm używających ChatGPT, Microsoft Copilot, Gemini, Claude, systemów HR, chatbotów, algorytmów scoringowych czy agentów AI oznacza to wejście w nowy etap regulacyjny.
Sama ustawa została uchwalona 3 lipca 2026 r., opublikowana 27 lipca i co do zasady obowiązuje od 11 sierpnia 2026 r. Ustawodawca przesunął jednak wejście w życie m.in. rozdziału 3 dotyczącego kontroli, rozdziału 4 dotyczącego postępowań oraz rozdziału 8 dotyczącego kar na 28 października 2026 r.
To ważne rozróżnienie. Unijny AI Act, czyli Rozporządzenie (UE) 2024/1689, obowiązuje bezpośrednio w Polsce. Polska ustawa tworzy krajowy system nadzoru: wskazuje organ kontrolny, procedurę kontroli, tryb postępowania, zasady nakładania kar i środki wspierające przedsiębiorców.
Centralną rolę otrzymała Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Jej przewodniczącą została Pamela Krzypkowska. Komisja jest krajowym organem nadzoru rynku systemów AI i pojedynczym punktem kontaktowym.
Dla zarządów, IT, HR, Legal, e-commerce i działów bezpieczeństwa najważniejsze pytanie brzmi więc dziś: czy organizacja potrafi pokazać regulatorowi, gdzie wykorzystuje AI, w jakim celu, na jakich danych i pod czyją odpowiedzialnością?
AI Act reguluje zastosowanie systemu AI
Najważniejsza zasada przy analizie AI Act dotyczy przeznaczenia systemu i kontekstu jego użycia.
Ten sam model językowy może wspierać kilka zupełnie różnych procesów. GPT, Claude czy Gemini używany do redagowania opisów produktów będzie zwykle należał do obszaru niskiego ryzyka. System zbudowany na tym samym modelu, który automatycznie klasyfikuje kandydatów i wpływa na decyzję rekrutacyjną, wchodzi w obszar zastosowań wskazanych w Annex III jako high-risk.
Dlatego inwentaryzacja AI nie powinna wyglądać tak:
„Firma korzysta z ChatGPT, Copilot i Gemini”.
Informacja użyteczna regulacyjnie wygląda inaczej:
„Dział HR wykorzystuje system X do preselekcji kandydatów na podstawie CV. Wynik systemu wpływa na kolejność kandydatów przekazywanych rekruterowi. System przetwarza dane osobowe kandydatów. Właścicielem procesu jest HR Director”.
To właśnie use case trzeba sklasyfikować.
Czym prawnie jest AI Act
AI Act to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. Weszło w życie 1 sierpnia 2024 r. i jest stosowane etapami. Jako rozporządzenie UE działa bezpośrednio w państwach członkowskich. Polska ustawa uzupełnia europejskie przepisy przede wszystkim o krajową architekturę nadzoru i egzekwowania prawa.
Regulacja wykorzystuje logikę znaną z europejskiego prawa produktowego. W przypadku systemów wysokiego ryzyka dostawca odpowiada m.in. za zarządzanie ryzykiem, dokumentację techniczną, rejestrowanie zdarzeń, ocenę zgodności, deklarację zgodności oraz, tam gdzie jest to wymagane, oznakowanie CE.
Dla biznesu warto zapamiętać prostą konstrukcję:
| Obszar | Co oznacza dla firmy |
|---|---|
| Zakazane praktyki | określonych zastosowań AI firma nie może używać |
| AI literacy | organizacja musi podejmować działania wspierające kompetencje osób wykorzystujących AI |
| Transparentność | w określonych sytuacjach trzeba informować człowieka o interakcji z AI lub syntetycznym charakterze treści |
| High-risk AI | rozbudowany system zarządzania ryzykiem, dokumentacji, nadzoru i kontroli |
| GPAI | osobny zestaw obowiązków przede wszystkim dla dostawców modeli ogólnego przeznaczenia |
| Nadzór krajowy | KRiBSI może kontrolować przestrzeganie AI Act i polskiej ustawy |
28 października 2026: dlaczego ta data jest ważna
Polska ustawa daje KRiBSI konkretne narzędzia kontrolne.
Zgodnie z art. 48 Komisja może prowadzić kontrole na podstawie planu kontroli, uzyskanych informacji albo w ramach monitorowania przestrzegania AI Act. Kontrola może zostać wszczęta z urzędu, na wniosek członka Komisji albo właściwego krajowego organu publicznego.
Standardowo firma otrzymuje zawiadomienie co najmniej siedem dni wcześniej. Co istotne dla organizacji cyfrowych, ustawa przewiduje prowadzenie kontroli zdalnie. Przy podejrzeniu zagrożenia dla zdrowia, bezpieczeństwa lub praw podstawowych Komisja może przeprowadzić czynności na miejscu, a w określonych przypadkach również bez zachowania siedmiodniowego terminu.
Zakres dostępu kontrolującego jest szeroki. Może on żądać materiałów, dokumentów, korespondencji elektronicznej, nośników danych, informacji znajdujących się w systemach IT oraz dostępu do chmury w zakresie, do którego dostęp ma kontrolowana organizacja. Może także żądać wyjaśnień i zabezpieczać materiał dowodowy.
To zmienia praktyczne znaczenie AI governance.
Polityka AI zapisana w PDF-ie stanowi jeden element. Podczas kontroli regulator może zestawić ją z rzeczywistym sposobem działania organizacji: konfiguracją systemu, dostępami, logami, umowami z dostawcami, procesem zatwierdzania decyzji i materiałami szkoleniowymi.
Kiedy obowiązują przepisy dla high-risk AI
W 2026 r. harmonogram AI Act został zmieniony przez Digital Omnibus on AI.
Obowiązki z rozdziału III sekcji 1-3 dla systemów high-risk z Annex III mają być stosowane od 2 grudnia 2027 r. Dotyczy to m.in. części systemów stosowanych w rekrutacji, zarządzaniu pracownikami, edukacji, dostępie do kluczowych usług czy scoringu kredytowego.
Dla systemów wysokiego ryzyka powiązanych z produktami regulowanymi z Annex I termin wynosi obecnie 2 sierpnia 2028 r.
Przesunięcie terminów high-risk nie przesuwa całego AI Act. Obowiązek AI literacy z art. 4 obowiązuje od 2 lutego 2025 r., a przepisy dotyczące transparentności z art. 50 stosuje się od 2 sierpnia 2026 r.
Organizacja posiadająca system HR kwalifikujący się do Annex III ma więc czas na dostosowanie do pełnego reżimu high-risk, ale powinna już posiadać jego inwentaryzację, właściciela biznesowego i udokumentowaną klasyfikację. Implementacja kontroli dla systemu wpływającego na ludzi zwykle wymaga zmian technologicznych, prawnych i procesowych.
Co AI Act oznacza dla e-commerce
W e-commerce zdecydowana większość zastosowań AI nie trafia do kategorii high-risk. Znaczna część ryzyka pojawia się jednocześnie w RODO, prawie konsumenckim, DSA, zasadach dotyczących reklamy oraz bezpieczeństwie informacji.
Mapa najczęstszych zastosowań AI w e-commerce
| Zastosowanie | AI Act | Główny obowiązek / ryzyko |
|---|---|---|
| Generowanie opisów produktów | Zwykle niskie ryzyko | AI literacy; kontrola halucynacji parametrów, prawa autorskie, ryzyko wprowadzania konsumenta w błąd |
| Generowane zdjęcia produktów | Zwykle niskie ryzyko; w określonych przypadkach art. 50 | zgodność produktu z prezentacją; obowiązki dotyczące deepfake, gdy spełniona jest definicja |
| Chatbot lub voicebot obsługi klienta | Transparentność | użytkownik powinien wiedzieć, że komunikuje się z systemem AI, jeśli nie jest to oczywiste |
| Rekomendacje produktów | Zwykle niskie ryzyko | profilowanie RODO, DSA dla objętych nim platform |
| Dynamiczne ceny | Zwykle niskie ryzyko | informacja o cenie spersonalizowanej; RODO; szczególna ostrożność przy wykorzystywaniu podatności konsumentów |
| Wyszukiwarka i ranking produktów | Zwykle niskie ryzyko | transparentność głównych parametrów rankingu i pozycji sponsorowanych tam, gdzie wymagają tego przepisy konsumenckie/DSA |
| Fraud scoring płatności | Zwykle poza high-risk credit scoring | RODO, szczególnie przy automatycznym blokowaniu użytkownika |
| BNPL, raty, scoring zdolności kredytowej osoby fizycznej | High-risk (Annex III 5(b)) | przygotowanie do reżimu high-risk; w odpowiednich przypadkach FRIA i RODO art. 22 |
| Moderacja i streszczanie opinii | Zwykle niskie ryzyko | rzetelność podsumowania, zakaz fałszywych opinii |
| Virtual try-on | Zależnie od funkcji | wizerunek, dane osobowe i biometria; klasyfikacja zależy od rzeczywistego sposobu analizy |
| Wirtualny influencer / deepfake w reklamie | Transparentność | art. 50, oznaczanie reklam, prawa do wizerunku |
| Agent AI kupujący w imieniu klienta | Zależnie od funkcji | transparentność interakcji, uwierzytelnianie, zgoda na transakcję, odpowiedzialność za działania agenta |
Art. 50 ma tutaj szczególne znaczenie. System przeznaczony do bezpośredniej interakcji z człowiekiem powinien informować użytkownika, że komunikuje się z AI, chyba że z okoliczności jest to oczywiste. W przypadku deepfake'ów podmiot stosujący musi ujawnić sztuczne wygenerowanie lub manipulację obrazem, audio lub wideo. AI Act przewiduje również szczególne zasady dla tekstów publikowanych w celu informowania opinii publicznej o sprawach interesu publicznego.
Nie każde zdjęcie wygenerowane przy pomocy AI automatycznie jest deepfake'em w rozumieniu AI Act. Kluczowe znaczenie ma charakter materiału i możliwość odebrania go jako autentycznego przedstawienia istniejącej osoby, obiektu, miejsca, podmiotu lub wydarzenia.
AI w biurze: największym problemem jest często shadow AI
W organizacji zatrudniającej pracowników biurowych liczba narzędzi AI rośnie bardzo szybko. Generatywne AI trafia do poczty, dokumentów, CRM, pakietów analitycznych, systemów rekrutacyjnych i przeglądarek.
| Zastosowanie | Klasa / obowiązek | Kontrola organizacyjna |
|---|---|---|
| ChatGPT, Claude, Gemini, Copilot do pisania i analiz | Zwykle niskie ryzyko + art. 4 | firmowe konta, lista zatwierdzonych narzędzi, zasady danych, szkolenia |
| Transkrypcja spotkań | Zwykle niskie ryzyko | informowanie uczestników, retencja, RODO, zasady nagrywania |
| Analiza umów | Zwykle niskie ryzyko | kontrola człowieka, poufność, DPA, weryfikacja wyników |
| Agent AI odpowiadający klientom | Transparentność w zależności od sposobu działania | jasna informacja o AI, ograniczenia uprawnień, human approval dla istotnych zobowiązań |
| Ranking CV i selekcja kandydatów | Annex III / high-risk | przygotowanie dokumentacji, danych, nadzoru i kontroli przed 2.12.2027 |
| Ocena pracownika lub przydział zadań przez AI | Annex III / high-risk | governance HR, prawo pracy, monitoring wpływu, nadzór człowieka |
| Rozpoznawanie emocji pracowników | Zasadniczo praktyka zakazana, z wąskimi wyjątkami medycznymi lub bezpieczeństwa | wyłączenie systemu lub szczegółowa analiza wyjątku |
W praktyce pierwsza kontrola powinna objąć również shadow AI: prywatne konta pracowników, dodatki do przeglądarek, narzędzia do PDF, automatyczne notatniki spotkań oraz aplikacje podłączone do firmowego Google Drive, SharePoint, CRM czy Slacka.
Rejestr zawierający wyłącznie narzędzia kupione centralnie przez IT daje niepełny obraz środowiska AI.
AI w firmie produkcyjnej: AI w procesie i AI wpływające na bezpieczeństwo to dwie różne kategorie
W firmach produkcyjnych istotne staje się rozdzielenie systemów analitycznych od AI stanowiącej element funkcji bezpieczeństwa produktu lub wpływającej na pracowników.
| Zastosowanie | Typowe podejście regulacyjne | Co sprawdzić |
|---|---|---|
| Predictive maintenance | Zwykle niskie ryzyko | jakość danych, cyberbezpieczeństwo, odpowiedzialność za decyzję serwisową |
| Computer vision do kontroli jakości | Zależnie od wpływu | wpływ błędu na bezpieczeństwo produktu i użytkownika |
| Optymalizacja planu produkcji | Zwykle niskie ryzyko | dane, monitoring modelu, możliwość ręcznej korekty |
| AI sterująca funkcją bezpieczeństwa maszyny | Potencjalnie high-risk w powiązaniu z Annex I | regulacja produktowa, ocena zgodności, dokumentacja techniczna |
| AI oceniająca produktywność pracowników | Annex III / high-risk w określonych zastosowaniach | prawo pracy, dane osobowe, kryteria oceny, human oversight |
| Analiza emocji pracowników z kamer lub głosu | Zasadniczo zakazana | konieczność usunięcia use case'u lub wykazania wąskiego wyjątku |
Dla systemów high-risk związanych z produktami regulowanymi termin stosowania odpowiednich obowiązków został przesunięty na 2 sierpnia 2028 r.
Co regulator będzie chciał zobaczyć
Dobrze przygotowana organizacja powinna być w stanie przejść od pytania regulatora do konkretnego dowodu.
| Pytanie | Dowód, którego powinna szukać organizacja |
|---|---|
| Jakich systemów AI używacie? | aktualny rejestr AI z właścicielami, zastosowaniami i datami przeglądów |
| Do czego używany jest system? | opis procesu biznesowego i intended purpose |
| Dlaczego otrzymał taką klasyfikację? | karta klasyfikacyjna wraz z uzasadnieniem i dokumentacją dostawcy |
| Jakie dane przetwarza? | data map, źródła danych, kategorie danych osobowych, retencja |
| Co robicie z ryzykiem? | rejestr ryzyk, testy, mitygacje, decyzje dotyczące ryzyka rezydualnego |
| Czy człowiek rzeczywiście nadzoruje system? | workflow decyzji, logi override, uprawnienia, procedury eskalacji |
| Czy system jest monitorowany po wdrożeniu? | logi, wyniki testów, incydenty, drift, skargi |
| Czy pracownicy posiadają odpowiednie kompetencje? | program AI literacy, role, materiały szkoleniowe i dowody realizacji |
| Czy użytkownicy są prawidłowo informowani? | komunikaty w interfejsie, klauzule, przykłady oznaczeń |
| Kto odpowiada za system? | owner, RACI, decyzje zarządu lub AI governance board |
| Co dzieje się przy zmianie modelu lub dostawcy? | change management i ponowna klasyfikacja ryzyka |
Ustawa daje kontrolującym dostęp do materiałów, dokumentów, korespondencji elektronicznej i systemów związanych z przedmiotem kontroli. Firma powinna więc zakładać, że audytowalność będzie oceniana na podstawie dowodów operacyjnych, a nie samej deklaracji zgodności.
ChatGPT, Copilot, Gemini, Claude, Grok i Mistral: co sprawdzać przed dopuszczeniem narzędzia
Ocena dostawcy powinna być przeprowadzana na poziomie konkretnego planu i konfiguracji. Nazwa modelu nie mówi wystarczająco dużo o przetwarzaniu danych.
| Narzędzie | Wersja odpowiednia do zastosowań firmowych | Główna kwestia audytowa |
|---|---|---|
| ChatGPT | Business / Enterprise / API zależnie od potrzeb | dane organizacji w produktach biznesowych domyślnie nie służą do treningu modeli; sprawdzić retencję, aplikacje, sharing, data residency oraz różnice między planami |
| Microsoft Copilot | środowisko firmowe M365 | Copilot respektuje istniejące uprawnienia. Nadmiarowe prawa do SharePoint i OneDrive stają się istotnym ryzykiem po wdrożeniu AI |
| Gemini | Google Workspace | dane Workspace objęte są ochroną środowiska organizacji; administrator powinien kontrolować dostęp do Gemini i danych Workspace |
| Claude | Team / Enterprise / API | w produktach komercyjnych Anthropic domyślnie nie wykorzystuje inputów i outputów klienta do treningu |
| Grok | rozwiązania biznesowe/API wymagają osobnej oceny | poza warunkami kontraktowymi warto uwzględnić ryzyko dostawcy i trwające postępowania regulacyjne |
| Mistral | Enterprise / rozwiązania biznesowe | europejski dostawca; zweryfikować region przetwarzania, retencję, model kontraktowy i konfigurację |
OpenAI deklaruje, że dane z ChatGPT Business, Enterprise i API domyślnie nie są wykorzystywane do trenowania modeli. Opcje lokalizacji danych zależą od produktu i konfiguracji, a w przypadku części planów istnieją dodatkowe zasady dotyczące danych wykorzystywanych do monitorowania nadużyć.
Microsoft podkreśla, że Copilot działa w ramach istniejących uprawnień użytkownika. To ważny punkt audytowy: źle skonfigurowane uprawnienia do dokumentów mogą spowodować, że AI bardzo skutecznie odnajdzie dane, do których pracownik formalnie ma dostęp, choć biznesowo nie powinien go mieć. Microsoft sam wskazuje oversharing jako obszar wymagający zabezpieczenia przed wdrożeniem Copilota.
Google deklaruje, że dane Workspace nie są wykorzystywane bez zgody do trenowania bazowych modeli generatywnych poza Workspace, a administratorzy mogą ograniczać dostęp Gemini do danych organizacji.
Anthropic deklaruje, że dane klientów korzystających z produktów komercyjnych, takich jak Claude for Work i API, domyślnie nie służą do trenowania modeli.
Warto również monitorować pozycję regulacyjną dostawców. Według aktualnej listy Komisji Europejskiej OpenAI, Anthropic, Google, Microsoft i Mistral podpisały GPAI Code of Practice. xAI podpisało część dotyczącą Safety and Security, pozostawiając obowiązki dotyczące transparentności i copyright do wykazania innymi środkami.
W styczniu 2026 r. Komisja Europejska wszczęła dodatkowo postępowanie wobec X w ramach DSA dotyczące m.in. ryzyk wynikających z funkcji Grok i generowania zmanipulowanych treści seksualnych. Z perspektywy vendor risk management takie zdarzenia powinny być elementem regularnego przeglądu dostawcy.
Warunki usług AI zmieniają się szybko. W audycie należy sprawdzać aktualny Trust Center, DPA, listę subprocessors, politykę retencji oraz ustawienia administratora dla konkretnego planu klienta.
Integracje z Wordem, PDF, przeglądarką i agentami AI
Samo zatwierdzenie modelu nie zamyka audytu. Istotne jest otoczenie technologiczne, w którym działa.
Asystent zintegrowany z pakietem biurowym może otrzymać dostęp do dokumentów użytkownika. Rozszerzenie przeglądarki może mieć uprawnienie do odczytu zawartości stron CRM, panelu bankowego albo systemu HR. Narzędzie do transkrypcji może kopiować nagranie i transkrypcję do infrastruktury kolejnego podmiotu.
Jeszcze większej kontroli wymagają agenci zdolni do wykonywania działań: wysyłania wiadomości, modyfikowania CRM, uruchamiania API, pobierania plików czy dokonywania zakupów.
OWASP klasyfikuje pośredni prompt injection jako istotne ryzyko systemów agentowych. Złośliwa instrukcja może znajdować się w stronie internetowej, dokumencie, e-mailu albo wyniku zwróconym przez zewnętrzne narzędzie i wpłynąć na zachowanie agenta. Rekomendowane mechanizmy obejmują ograniczenie uprawnień narzędzi oraz osobne zatwierdzanie operacji wysokiego ryzyka.
Dla agentów mających dostęp do płatności, danych klientów lub systemów produkcyjnych standardem powinny być: least privilege, separacja danych od instrukcji, allowlista akcji, pełne logowanie oraz human approval przed operacją o znaczących konsekwencjach.
Jak przygotować firmę do kontroli AI Act
Najbardziej praktyczny plan można zamknąć w ośmiu krokach:
- Zbuduj rejestr AI obejmujący systemy kupione centralnie, funkcje AI w SaaS, API, automatyzacje, agentów oraz shadow AI.
- Opisuj zastosowania, a nie wyłącznie dostawców. Ten sam model może występować w kilku use case'ach o różnych profilach ryzyka.
- Przeprowadź klasyfikację AI Act i udokumentuj jej uzasadnienie.
- Sprawdź nakładanie się AI Act z RODO, prawem pracy, prawem konsumenckim, DSA, cyberbezpieczeństwem i regulacją sektorową.
- Wprowadź politykę AI oraz zasady używania danych, w tym listę dozwolonych narzędzi i danych, których pracownik nie może przesyłać.
- Wdróż AI literacy według ról. Osoba tworząca tekst marketingowy, administrator systemu, rekruter i zarząd potrzebują innych kompetencji.
- Zbuduj evidence layer: wersje polityk, decyzje klasyfikacyjne, logi, konfiguracje, wyniki testów, materiały szkoleniowe, incydenty oraz decyzje o akceptacji ryzyka.
- Ustal proces zmian i przeglądów. Nowy model, integracja, nowy typ danych lub zmiana sposobu wykorzystania systemu powinny uruchamiać ponowną ocenę ryzyka.
Dzięki temu organizacja jest w stanie odpowiedzieć na kontrolę pytaniem o konkretny system, właściciela, zastosowanie i dowody, zamiast rozpoczynać poszukiwanie informacji dopiero po otrzymaniu pisma od regulatora.
Jakie kary przewiduje AI Act
AI Act przewiduje kilka poziomów sankcji.
Za naruszenie zakazanych praktyk z art. 5 maksymalna administracyjna kara pieniężna wynosi 35 mln EUR albo do 7% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego.
Za naruszenia określonych obowiązków operatorów (w tym objętych art. 50 obowiązków transparentności) maksymalna kara wynosi 15 mln EUR albo do 3% światowego obrotu.
Za przekazanie organowi lub jednostce notyfikowanej informacji nieprawidłowych, niepełnych lub wprowadzających w błąd przewidziano do 7,5 mln EUR albo 1% światowego obrotu. W odniesieniu do MŚP zastosowanie mają szczególne zasady ograniczające wysokość sankcji.
Polska ustawa stanowi, że KRiBSI nakłada administracyjne kary pieniężne w przypadkach, wysokości i na warunkach wynikających z rozdziału XII AI Act.
Ustawa przewiduje też sankcje za utrudnianie lub udaremnianie czynności kontrolnych.
Co powinna mieć gotowe firma w Polsce przed kontrolą
Minimalny zestaw dokumentów i mechanizmów można ująć w jednej tabeli.
| Obszar | Co organizacja powinna posiadać |
|---|---|
| Inwentaryzacja | rejestr systemów i zastosowań AI |
| Klasyfikacja | klasyfikacja każdego zastosowania zgodnie z AI Act |
| Odpowiedzialność | wskazany właściciel biznesowy i technologiczny |
| Dostawca | umowa, warunki przetwarzania danych, informacje o bezpieczeństwie i retencji |
| Dane | opis danych, ich źródeł, przepływów i zasad dostępu |
| Ryzyko | ocena ryzyka, zabezpieczenia, testy i decyzje |
| Kompetencje | szkolenia dostosowane do roli pracownika |
| Przejrzystość | wymagane informacje i oznaczenia |
| Nadzór człowieka | jasny zakres kontroli człowieka i możliwość zmiany decyzji systemu |
| Monitorowanie | zapisy działania, błędy, incydenty, skargi i zmiany |
| Zarządzanie | podział odpowiedzialności, procedury zatwierdzania i okresowe przeglądy |
AI compliance w 2026 r. staje się procesem operacyjnym
Polska posiada już ustawę, krajowy organ nadzoru i procedurę kontroli. 28 października 2026 r. uruchamia się kolejna istotna część tego mechanizmu.
Dla większości firm pierwszym zadaniem będzie uporządkowanie istniejącego wykorzystania AI: inwentaryzacja, klasyfikacja, vendor review, polityka AI, AI literacy, transparentność i dokumentacja dowodowa.
Najwięcej pracy pojawia się tam, gdzie system wpływa na człowieka: kandydatów, pracowników, klientów ubiegających się o kredyt, osoby poddawane profilowaniu albo użytkowników komunikujących się z autonomicznym agentem.
Dojrzałość AI governance można sprawdzić prostym testem. Wybierz dowolny system AI używany w organizacji i spróbuj w ciągu kilku minut odpowiedzieć na siedem pytań: kto go używa, w jakim celu, na jakich danych, kto jest właścicielem procesu, jak system został sklasyfikowany, jakie ma zabezpieczenia i gdzie znajdują się dowody.
Jeżeli odpowiedzi wymagają rozmowy z pięcioma działami i przeszukiwania skrzynek mailowych, organizacja ma jeszcze pracę do wykonania.
ROI & Shine wspiera organizacje w inwentaryzacji systemów AI, klasyfikacji ryzyka, przygotowaniu polityk i governance, AI literacy, analizie dostawców oraz budowie dokumentacji gotowej do audytu.