Co naprawdę AI Act zmienia w firmach — i dlaczego to problem prezesa?

Przez ostatnie dwa lata wiele firm traktowało sztuczną inteligencję jak idealnego stażystę: szybkiego, taniego, zawsze gotowego do pracy i — co najważniejsze — pozornie pozbawionego odpowiedzialności. Tyle że AI coraz rzadziej tylko pomaga. Coraz częściej podpowiada, ocenia, klasyfikuje, rekomenduje, wycenia, filtruje kandydatów, analizuje klientów i wpływa na decyzje, które mają realne konsekwencje dla ludzi i dla biznesu. Kolejne wymogi AI Act, unijnego rozporządzenia o sztucznej inteligencji, zderzają firmy z nową rzeczywistością: tam, gdzie zapadają decyzje o cenach, zatrudnieniu, ocenie pracownika czy klienta, pojawia się odpowiedzialność. AI Act nie pyta firmy, czy korzysta ze sztucznej inteligencji. Pyta, czy ma nad nią kontrolę.

O tym, gdzie kończy się narzędzie, a zaczyna odpowiedzialność, rozmawiamy z dr Mileną Perką — prawniczką, która na co dzień tłumaczy język unijnych przepisów na zrozumiały język zarządzania.

Koniec ery „to tylko algorytm"

Paweł Kubisiak: AI Act to przełomowe prawo. Część przepisów już obowiązuje, kolejne wejdą w życie w najbliższym czasie. Co takiego się zmienia, że zarządy firm powinny się tym w ogóle zainteresować?

Dr Milena Perka: Zmienia się jedna bardzo ważna rzecz: sztuczna inteligencja przestaje być narzędziem czysto operacyjnym, a staje się regulowanym elementem procesu decyzyjnego. Do tej pory zarządy mogły powiedzieć: „to tylko system", „to tylko algorytm wspomagający pracę". Od 2 sierpnia 2026 roku takie zdanie przestanie być akceptowalne. W momencie, w którym sztuczna inteligencja realnie wpływa na decyzję o zatrudnieniu, cenie, kredycie, ocenie klienta czy nawet segregacji danych, firma odpowiada za tę decyzję tak, jakby podjął ją człowiek.

Druga zmiana to pojawienie się obowiązku kontroli. Trzeba umieć zbudować całą mapę procesu i odpowiedzieć sobie na pytanie: gdzie w organizacji używana jest sztuczna inteligencja, w których momentach ona decyduje lub współdecyduje i jakie decyzje są przez nią współtworzone. A potem trzeba to wszystko umieć wyjaśnić i udokumentować.

Trzecia rzecz jest z perspektywy zarządu najważniejsza: brak wiedzy nie będzie dobrą linią obrony. Zarząd będzie musiał — na podstawie tej mapy decyzyjności — wskazać, gdzie sztuczna inteligencja jest w firmie używana. Czy to są rozwiązania SaaS, czy wtyczki, czy „tylko" generatywna AI. I zarządy powinny się tym przejmować nie dlatego, że wchodzi nowe prawo i nowa struktura, ale dlatego, że będą musiały odpowiedzieć na fundamentalne pytanie: gdzie sztuczna inteligencja wpływa na decyzje biznesowe? Bez tej odpowiedzi nie da się dalej budować ani operacji, ani strategii przedsiębiorstwa.

Cienka czerwona linia

Paweł Kubisiak: Na co dzień rozmawiam z zarządami i szefami firm. Wiele osób stawia tezę: „daliśmy ludziom AI, jesteśmy bardzo innowacyjni". Ale z tego, co Pani mówi, wynika pytanie: kiedy kończy się narzędzie, a zaczyna odpowiedzialność? Kiedy „Excel na sterydach" staje się w świetle prawa systemem, który nie pomaga podjąć decyzji, tylko ją współpodejmuje?

Dr Milena Perka: To jest pytanie, które widzę na co dzień przy budowaniu strategii dla zarządów — właściwie od samego początku pracy nad strategią przedsiębiorstwa uwzględniającą sztuczną inteligencję. Przekonanie, że dopóki mamy narzędzie, odpowiedzialność zostaje po stronie człowieka, nie do końca się broni.

AI Act nie operuje takim podziałem. Wprowadza cztery klasy ryzyka — od najniższego do systemów wysokiego ryzyka — i z każdą z nich wiążą się rosnące obowiązki. Inaczej buduje się strategię dla systemów o niskim ryzyku, a inaczej dla systemów o wysokim. Ale uwaga: to, że wspieramy się sztuczną inteligencją „tylko" do porządkowania danych, nie znaczy, że nie musimy nic robić. Nie zbudujemy oczywiście pełnego compliance i pełnego governance jak przy systemach wysokiego ryzyka, ale musimy mieć awareness — pełną świadomość tego, jaka sztuczna inteligencja jest u nas używana.

I jeszcze jedno: to, że dziś coś jest systemem niskiego ryzyka, nie znaczy, że jutro nie przekształci się w system o średnim ryzyku. Wtedy trzeba będzie zbudować tę strategię od nowa i dopasować wszystkie procedury do systemu, który się przeobraził.

Ta czerwona linia przebiega tam, gdzie sztuczna inteligencja wpływa na sytuację prawną, ekonomiczną lub życiową człowieka.

Bo fizycznie mówimy o danych, które sztuczna inteligencja wypuszcza na zewnątrz — a więc wychodzą poza granice firmy. Świadomość wewnątrz organizacji bezpośrednio wpływa na to, co jest pokazywane na zewnątrz.

HR: pierwszy obszar, w którym zapali się czerwona lampka

Paweł Kubisiak: Czy wykorzystanie AI w dziale HR — o czym mówi się często przy okazji rekrutacji — też podpada pod te przepisy i generuje ryzyko?

Dr Milena Perka: Nie chciałabym szufladkować wszystkich systemów używanych w HR, ale przeważnie są to systemy wysokiego ryzyka. To nie jest ocena zero-jedynkowa — dlatego pracuję z tak zwanym compliance checkerem, żeby usystematyzować i ustrukturyzować organizację od samego początku. Ale w dziewięciu przypadkach na dziesięć tak, to będą systemy wysokiego ryzyka.

Mam znakomity przykład firmy, dla której budowałam strategię, i w której pracownicy nie byli do końca świadomi, co się dzieje. Powstaje nowe stanowisko, jest ogłoszenie, spływa 200–300 aplikacji. Sztuczna inteligencja selekcjonuje top 20, a rekruter z tych dwudziestu wybiera pięć osób, do których faktycznie zadzwoni. Dla rekrutera to świetne usprawnienie — nie musi czytać 300 CV.

Tylko jak budowane są takie algorytmy? Na bazie danych historycznych. Jest jakiś powtarzalny model, który sprawdzał się w organizacji przez X lat, i na jego podstawie powiela się algorytm dla nowych stanowisk i nowych kandydatów. To jest mylące, bo doświadczony rekruter wnosi coś, czego algorytm nie ma: przeczucie, wiedzę o zespole, znajomość menedżera, do którego kandydat trafi. Czytając CV, rekruter czuje, czy to będzie odpowiednia osoba. Sztuczna inteligencja dopasowuje CV do wzorca.

Paweł Kubisiak: A kandydat, który odpadł, ma prawo zapytać dlaczego.

Dr Milena Perka: Dokładnie. I to jest drugi wymiar tej sprawy — wymiar odpowiedzialności. Wiemy, że pula stanowisk się zacieśnia, bo firmy wolą inwestować w sztuczną inteligencję niż przekształcać kompetencje pracowników. Kandydaci są w związku z tym bardziej roszczeniowi. Dziś, gdy kandydat pyta: „dlaczego nie zostałem wybrany?", można jeszcze odpowiedzieć: „tak wskazał algorytm". Po 2 sierpnia 2026 roku — z ewentualnym przesunięciem, bo w Brukseli trwają dyskusje, czy obowiązki dla systemów wysokiego ryzyka nie zostaną odroczone, żeby firmy mogły się lepiej przygotować — taka odpowiedź nie przejdzie.

To nie zmienia faktu, że jako osoby pracujące w zarządach i odpowiedzialne za organizację musimy się na te systemy wysokiego ryzyka przygotować strategicznie i operacyjnie. Przyjmijmy sobie tę linię 2 sierpnia 2026 jako punkt odniesienia. Od tego momentu, gdy kandydat zapyta, dlaczego nie został wybrany, przedsiębiorstwo będzie musiało wykazać, gdzie był czynnik kontroli ludzkiej. Czyli: dobrze, algorytm wybrał top 20, ale nakreślił mi w punktach poszczególne kandydatury i innych możliwych kandydatów, a rekruter sprawdził to od A do Z. Tak to powinno wyglądać.

To jest nasza red flag i czerwona linia: nie będziemy już mogli podpierać się brakiem świadomości i brakiem odpowiedzialności algorytmicznej — żeby to tak ładnie ująć.

Bomba z opóźnionym zapłonem: shadow AI

Paweł Kubisiak: Odpowiedzialność algorytmiczna — bardzo ciekawe określenie. Ale weźmy inny przykład. Dział marketingu wykorzystuje modele językowe do pricingu, do haseł reklamowych, do copy na social media. I często kupuje sobie licencję wyłącznie w ramach swojego działu. Prezes nic o tym nie wie, bo to jakieś ogólnodostępne narzędzie za 25 dolarów miesięcznie. HR używa taniej wtyczki do przemielenia setek CV — albo, co gorsza, robi to na prywatnym koncie, które ktoś dostał w ramach oferty od operatora komórkowego. Co wtedy? Czy zarząd może schować głowę w piasek i powiedzieć: „ja nic o tym nie wiedziałem, to odpowiedzialność pracowników"? Bo w tle są chyba gigantyczne kary.

Dr Milena Perka: Kary rosną wraz z klasyfikacją ryzyka — wracamy do tego compliance checkera. Czasem system jest jednocześnie low i medium risk, więc trzeba połączyć albo rozbudować procedury tak, żeby zmieścić się w obu reżimach.

Natomiast to, o czym Pan redaktor mówi, ja nazywam scenariuszem bomby z opóźnionym zapłonem. Zarząd może mówić „ja nie wiedziałem", ale brak wiedzy zarządu nie będzie miał żadnego znaczenia z perspektywy AI Act i szerzej — bo to jest odpowiedzialność regulacyjna. Zarządy będą musiały wiedzieć, co dzieje się w ich firmie: kto formalnie wdrożył system, czy organizacja korzysta ze sztucznej inteligencji i jakie skutki to wywołuje.

BHP dla sztucznej inteligencji

Przy budowaniu strategii bardzo zalecam, żeby zbudować coś na kształt BHP — tak jak mamy BHP na stanowisku pracy, tak trzeba stworzyć BHP korzystania ze sztucznej inteligencji. A przy systemach wysokiego ryzyka potrzebny będzie product owner danego procesu. Trochę jak z mobbingiem: mamy całą ścieżkę korporacyjną do zgłaszania nieprawidłowości, wszystkiego, co idzie nie tak po drodze operacyjno-zarządczej. Product owner odpowiada za to, czy pracownik zastosował się do naszego „BHP AI", czy wystąpiły nieprawidłowości i czy zostały prawidłowo zgłoszone.

Wydaje się to skomplikowane, ale w dłuższej perspektywie to bardzo porządkuje organizację. Kiedy dziś patrzę na firmy, widzę bałagan. W momencie, w którym wyznaczymy osobę odpowiedzialną za proces — tak jak przy systemach wysokiego ryzyka — mamy prostszą ścieżkę eskalacji, prostsze budowanie strategii i zgłaszanie nieprawidłowości. Ta sama osoba mogłaby też spokojnie prowadzić szkolenia z korzystania ze sztucznej inteligencji.

Jeśli ktoś robi zdjęcie ekranu telefonem i korzysta z prywatnie wykupionej subskrypcji, my z tym przypadkiem niewiele zrobimy — przeszkolimy, a potem wchodzi odpowiedzialność pracownicza. Ale z perspektywy zarządu największe znaczenie ma to, jak została podjęta decyzja. Jeśli zarząd powie: „nie wiedziałem, że używana jest taka wtyczka, bo HR zrobił to beze mnie" — to wyjdzie po prostu niekompetentnie. Zarząd musi mieć świadomość tego, co dzieje się w jego organizacji. Takie tłumaczenie w sierpniu już nie przejdzie.

Paweł Kubisiak: Zmienia się też rola prawnika, prawda?

Dr Milena Perka: Bardzo. Mieliśmy analogiczną sytuację przy RODO: szło się do kancelarii z prośbą „przygotujcie nam organizację na RODO". Tutaj tak nie będzie, ponieważ prawnik musi umieć przełożyć język technologiczny na prawniczy, a prawniczy — na zarządczy. U mnie w zespole jest na etacie informatyk, który analizuje systemy i robi mi całą mapę, a potem tłumaczy ją z języka informatycznego na prosty. Ja to dopasowuję prawnie, a ponieważ skończyłam także Executive MBA, przekładam to na język zarządczy — tak, żeby zbudować możliwie adekwatną strategię dla firmy.

Shadow AI do kwadratu

Paweł Kubisiak: Wspomniała Pani o BHP. BHP co do zasady jest nudne — przy całym szacunku — ale potrzebne. Mieliśmy sporo afer biznesowych i politycznych z wyciekiem danych z prywatnych skrzynek, bo ludzie używają prywatnej poczty do celów służbowych. A co, jeśli pracownik przerzuca firmowe dane do prywatnych wtyczek na smartfonie czy komputerze i okazuje się, że to dane wrażliwe, dotyczące na przykład konkurentów? To jest chyba shadow IT do kwadratu.

Dr Milena Perka: To trochę tak, jak w zakładach produkcyjnych. Weźmy firmę produkującą przekąski rybne — ktoś wnosi na teren zakładu własne łososie. Nic z tym nie zrobimy poza złapaniem tej osoby za rękę i wyciągnięciem konsekwencji.

Po to właśnie jest to BHP: żebyśmy jako organizacja i zarząd mogli wykazać, że zrobiliśmy wszystko, aby uświadomić pracownika o jego obowiązkach. Tego nie przeskoczymy — trzeba wziąć poprawkę, że pracownik może po prostu ściągnąć na siebie nieszczęście.

Natomiast bardzo ciekawy jest drugi wątek, który Pan redaktor poruszył: wkładanie danych do systemu, mówiąc kolokwialnie, „na pałę". Mam plik w Excelu, wrzucam go i proszę o analizę, a tam są dane wrażliwe pracowników. Czegoś takiego być nie powinno.

I po to jest budowanie świadomości wewnątrz zespołów i działów. Ryba psuje się od głowy — w momencie, w którym zarząd wie, co robić i jak postępować, to przesuwa się dalej na linię dyrektorską, na VP, na kierowników poszczególnych działów, na C-level i wreszcie na poszczególnych pracowników. Gdy ta świadomość jest zbudowana od góry, pojawia się jasny komunikat: musimy anonimizować dane, musimy mieć pełną świadomość tego, co wkładamy w system. Wrzucenie tam wszystkich danych pracowników jest nie do zaakceptowania regulacyjnie.

Bardzo często słyszę też w rozmowach z pracownikami: „zrobiłem to, ale nie wiedziałem" — i skopiowałem dokładnie to, co wyrzucił mi czat. To też jest nieakceptowalne. Pracownik musi przeczytać to, co wkleił mu ChatGPT, i dopiero potem podjąć decyzję, czy to jest zgodne z tym, co miał zrobić.

Mówię o tym kolokwialnie, ale chodzi mi o przekazanie obrazu pełnej odpowiedzialności. To nie będzie już „hulaj dusza, piekła nie ma", jak dzieje się obecnie. Ta sierpniowa granica będzie granicą, po której trzeba mieć zbudowaną świadomość od góry do dołu.

Czy polskie zarządy są gotowe?

Paweł Kubisiak: Współpracuje Pani z firmami. Czy z Pani obserwacji wynika, że zarządy zdają sobie sprawę, jak dużo się zmienia i ile pracy je czeka — czy raczej ignorują nadchodzące zmiany?

Dr Milena Perka: Myślę, że polskie zarządy są coraz bardziej świadome. Są natomiast trochę znużone — mieliśmy KSeF, mieliśmy kolejne obowiązki, więc pojawia się reakcja: „jak wejdzie, to wejdzie, poczekamy do ostatniej chwili".

Tutaj potrzeba więcej czasu niż ostatnia chwila. Minimum, jakie zakładam dla pojedynczego działu, to cztery tygodnie, żeby świadomie i porządnie zbudować strukturę od nowa.

Bardzo lubię takie porównanie: to trochę tak, jakbym remontowała samochód z lat 70. Muszę wyrzucić bebechy, a potem albo je odrestaurować, albo wstawić nowe elementy.

Pierwszy krok: odzyskać kontrolę nad chaosem

Paweł Kubisiak: Załóżmy, że jesteśmy w firmie, która kompletnie nie kontroluje tego, co się dzieje. Płaci jakieś abonamenty, ale poza tym pracownicy korzystają z własnej sztucznej inteligencji, publikują na jej podstawie, wrzucają wrażliwe dane. Jaki pierwszy krok powinien wykonać prezes takiej firmy, żeby odzyskać kontrolę?

Dr Milena Perka: Powinien najpierw usiąść i odpowiedzieć sobie na kilka pytań menedżerskich. Czy prezes lub prezeska faktycznie rozumieją nadchodzące zmiany? Czy potrafią odpowiedzieć na pytania kluczowe i zbudować choćby najprostszą mapę użycia sztucznej inteligencji — bo ona determinuje wszystkie dalsze kroki?

Wiadomo, że w zarządzie każdy ma inne funkcje, ale dobrze byłoby, żeby osoba na fotelu CEO umiała odpowiedzieć na te podstawy. Zdaję sobie sprawę, że nie chodzi tylko o formalnie wdrożone systemy AI, ale o poszczególne wtyczki i usprawnienia. Nawet SAP buduje dziś wtyczki oparte na sztucznej inteligencji. Czy prezes zdaje sobie sprawę, że zakres wykorzystania AI może rosnąć oddolnie?

Myślenie „ja nie wdrażam sztucznej inteligencji, więc mnie to nie dotyczy" bywa bardzo mylne i bardzo ryzykowne. Dane wskazują, że 82% organizacji myśli o sztucznej inteligencji — a to obejmuje również te małe systemy, z których korzystamy na co dzień.

Weźmy prosty system księgowy. Ile firm musiało wdrożyć KSeF? Czy robiły to, kodując w Pythonie? Raczej nie, bo mało komu chce się kodować. A jeśli informatyk kodował, to prawdopodobnie posiłkując się sztuczną inteligencją — pójdzie na skróty i wdroży element, którego sam nie napisał, z ryzykiem halucynacji i nieprawidłowych danych. Sztuczna inteligencja pojawia się więc nawet w najprostszych systemach księgowych. Poruszam ten przykład, bo małe firmy najczęściej korzystają z systemów księgowych i nie zdają sobie sprawy, że te systemy mają już silnik AI.

Kto odpowiada: my czy dostawca?

Paweł Kubisiak: To bardzo ciekawa uwaga. Bo większość firm korzysta z ChatuGPT, Gemini, narzędzi do grafiki czy wideo — i ma wrażenie, że korzysta z bezpiecznego dostawcy. Skoro dostawcą jest OpenAI, Microsoft albo Google, to wydaje się, że wszystko jest bezpieczne. A tymczasem odpowiedzialność może być rozmyta. Co, jeśli zapytamy AI, ona podpowie, my podejmiemy na tej podstawie decyzję biznesową, okaże się ona błędna i narazi klienta na stratę? Klient chce odszkodowania. Kto odpowiada — my czy dostawca?

Dr Milena Perka: Trzeba pójść od samego początku, bo AI Act wyraźnie rozdziela role. Dostawca odpowiada za system jako taki, ale to my jako użytkownicy odpowiadamy za spełnienie określonych wymogów i za sposób, w jaki tego systemu używamy.

Bardzo lubię tutaj jeden przykład. Współpracuję ze sklepem internetowym opartym na gotowym produkcie — nie chcę podawać nazw. W tym gotowym rozwiązaniu jest jeden mały przycisk: „generuj opis oferty". Ile osób fizycznie czyta ten opis, zanim trafi on do sklepu? Myślę, że dziesięć procent. Reszta idzie automatem: generuję dalej, bo chcę mieć jak najwięcej produktów. „Wow, w godzinę stworzyłem tysiąc produktów!" — a normalnie musiałbym nad tym pomyśleć. I traci się kontrolę.

Z punktu widzenia prawnego mamy oferenta i osobę, która przyjmuje ofertę, klikając „kup teraz". Jeśli nam się coś rozjechało, bo tego nie przeczytaliśmy — myślę, że Pan redaktor sam świetnie odpowie sobie na pytanie, kto ponosi odpowiedzialność. Czy sklep, który nie przeczytał opisu i nie miał human in the loop, czyli kontroli człowieka, może dziś powiedzieć: „kurczę, sypnęła mi się sztuczna inteligencja, nie odpowiadam za to, co wypluła"? Może dziś jeszcze to przejdzie. Od sierpnia zdecydowanie nie.

Więc nawet małe sklepy, które wyrzucają tysiąc ofert na marketplace'y w pięć minut i nie kontrolują, co dokładnie tam trafia — tak już nie będzie.

I jeszcze jedno: przekonanie, że jeśli kupujemy od certyfikowanego dostawcy, to dostawca bierze odpowiedzialność, gdy coś się wysypie, jest złudne. Po to właśnie jest human in the loop. W dużych organizacjach jest to bardziej ustrukturyzowane — mamy więcej osób, można rozłożyć kompetencje. Ale mała firma ze sklepem internetowym nie może przerzucić odpowiedzialności na dostawcę. Coś poszło nie tak dlatego, że nie skontrolowała tego, co wychodzi na zewnątrz.

Prawnicy też nie są zwolnieni

Paweł Kubisiak: Human in the loop to złota zasada i trzeba ją stosować na każdym kroku. Sprawdzać powinny osoby, które znają się na temacie, o który pytamy sztuczną inteligencję. Ale nie wszyscy to robią.

Dr Milena Perka: Bardzo ciekawy przykład mam z własnego podwórka. Współpracując z mecenas Parafianowicz nad strategią dla kancelarii prawnej, zderzamy się z pytaniem: czy prawnik może podejmować decyzje procesowe na podstawie tego, co wygeneruje sztuczna inteligencja? Oczywiście, że nie — bo to nie my zbudowaliśmy wtedy linię obrony klienta, tylko algorytm.

Pisałyśmy o tym niedawno z mec. Parafianowicz w „Gazecie Prawnej": jako prawnicy możemy usprawniać swoją pracę, na przykład przy obszernych aktach, streszczając je w punktach, żeby były bardziej przyswajalne. Ale zdecydowanie nie możemy opierać na tym linii obrony ani rozmowy z klientem.

Co naprawdę jest systemem wysokiego ryzyka

Paweł Kubisiak: Z perspektywy miłośnika fantastyki, kiedy słyszę „systemy wysokiego ryzyka", myślę o dronach bojowych podejmujących samodzielne decyzje albo o Skynecie z „Terminatora". A w codziennej praktyce biznesowej? Które systemy można uznać za systemy wysokiego ryzyka? To bankowość, ubezpieczenia — tam, gdzie są dane klientów i ich pieniądze?

Dr Milena Perka: Mówiąc kolokwialnie: to wszystkie systemy, w których odpowiadamy niejako za człowieka. Weźmy scoring kredytowy. Chcę uzyskać kredyt, system wystawia mi ocenę. Czy sztuczna inteligencja zrobiła ten scoring dobrze, czy źle? Jeżeli waży się na tym moje życie, bo nie mam gdzie mieszkać z rodziną, a algorytm się pomylił, to od sierpnia jest to granica nieprzekraczalna — będzie można zadać pytania kontrolne: dlaczego taki wynik?

Myślę, że 70% ludzi korzysta z kredytów, więc to będzie temat równie chwytliwy jak rekrutacja. Będzie można zadać organizacji pytanie kontrolne: dlaczego mamy taki scoring, a nie inny — i organizacja będzie musiała odpowiedzieć.

Nie chciałabym z góry klasyfikować całych kategorii, ale systemy HR, scoringi i decyzje podejmowane na podstawie AI, które odzwierciedlają się w naszym codziennym życiu, będą systemami wysokiego ryzyka. Trzeba usiąść na spokojnie i zrobić ten compliance checker — to jest pula prostych pytań, na które da się odpowiedzieć, żeby ocenić, w której klasie ryzyka jesteśmy. Niebawem taki checker będzie dostępny na mojej stronie internetowej.

Wracając więc do konkretu: to będą ubezpieczenia, scoringi, biometria, wszystkie decyzje HR-owe i wszystko, co dotyczy decyzji systemu wpływających na ludzki los.

Piaskownica regulacyjna: szansa dla startupów

Paweł Kubisiak: Rozmawialiśmy o wykorzystaniu AI w organizacjach, ale jest coraz więcej firm, które są na sztucznej inteligencji zbudowane. Jak nowe przepisy wpływają na takie startupy i na inwestycje?

Dr Milena Perka: To bardzo trudne pytanie, bo startupów powstaje 30–50 dziennie i większość jest oparta na sztucznej inteligencji. Pytanie, na ile realnie. Coraz więcej mówi się o halucynacjach — i doradzając startupom, mogę spokojnie powiedzieć, że halucynują. Jeśli ktoś buduje startup w czystym Pythonie, we własnym środowisku, to oczywiście ma to znaczenie. Ale ogólnie rzecz biorąc, w tworzeniu startupów panuje dziś chaos.

Bardzo dobrą rzeczą, która nadchodzi, jest to, co ma powstać z ramienia rządu w każdym kraju członkowskim Unii — bo pamiętajmy, że rozporządzenie AI Act obowiązuje we wszystkich państwach UE. Mowa o piaskownicy regulacyjnej.

Paweł Kubisiak: Czyli?

Dr Milena Perka: To będzie bezpieczna przestrzeń dla startupów, które chcą przetestować swój produkt w kontrolowanym, bezpiecznym środowisku. Dziś, tworząc startup, mamy wielu doradców, mamy huby, mamy programy dla „unicornów". Ale czy mamy bezpieczne środowisko testowe? Nie — musimy je sobie zorganizować sami. I czy będzie ono naprawdę bezpieczne, czy dane nie wyciekną? Wokół tego jest bałagan.

Piaskownica dopiero powstaje, więc nie jestem w stanie podać jej ram od A do Z. Ale idea jest taka: dostajemy bezpieczne środowisko, w którym możemy przetestować produkt, zanim wypuścimy go dalej, a następnie — w porozumieniu z regulatorem — zielone światło, że produkt jest bezpieczny, ma akceptowalne zastosowanie i jest zgodny z rozporządzeniem oraz z pozostałymi normami. Bo to nie jest tak, że jest tylko AI Act i cyberbezpieczeństwo. Trzeba myśleć o milionie rzeczy, także tych przyziemnych, jak RODO. I cała ta paczka wychodzi razem z produktem na zewnątrz.

Jedna rada dla zarządów

Paweł Kubisiak: Pani doktor, to trudne, ale ważne tematy. Jak krótko podsumować, co AI Act wprowadza? Z mojej perspektywy nie dotyczy on wykorzystania technologii, tylko podejmowania decyzji pod wpływem technologii. Jaka jest Pani jedna najważniejsza rada dla menedżerów wysokiego szczebla na nadchodzące miesiące?

Dr Milena Perka: Pan redaktor powiedział dokładnie to, co miałam w głowie: nie chodzi o technologię, tylko o decyzje. A gdybym miała podsumować jednym zdaniem:

Sztuczna inteligencja nie zmienia narzędzi — zmienia sposób podejmowania decyzji w organizacji.

Tym jednym zdaniem można by to wszystko podsumować. Ale to zdecydowanie temat rzeka: można go rozważać z wielu stron i podawać dużo przykładów, żeby zobrazować problematykę nadchodzących zmian i zbudować większą świadomość.

Paweł Kubisiak: Dziękuję za rozmowę. A naszych czytelników i słuchaczy chciałbym zostawić z jednym pytaniem: czy wiecie, które decyzje w Waszej firmie zapadają przy pomocy AI?

Pięć rzeczy, które zarząd powinien zrobić przed sierpniem

1. Zbudować mapę użycia AI. Nie tylko wdrożonych systemów, ale też wtyczek, SaaS-ów, funkcji AI w istniejącym oprogramowaniu (od systemu księgowego po SAP) i subskrypcji kupowanych oddolnie przez działy.

2. Wykonać compliance checker. Ocenić, w której klasie ryzyka znajduje się każdy przypadek użycia, pamiętając, że system o niskim ryzyku może z czasem awansować do wyższej klasy.

3. Wskazać product ownerów. Dla procesów opartych na systemach wysokiego ryzyka, wraz ze ścieżką zgłaszania nieprawidłowości.

4. Wprowadzić „BHP AI". Zasady korzystania ze sztucznej inteligencji, obowiązek anonimizacji danych, zakaz wklejania danych wrażliwych oraz szkolenia dla wszystkich poziomów organizacji.

5. Wdrożyć human in the loop. Tam, gdzie decyzja dotyczy człowieka — rekrutacja, scoring, wycena, ocena klienta — i udokumentować ten czynnik kontroli ludzkiej, bo to on będzie stanowił linię obrony firmy.

O rozmówczyni. Dr Milena Perka — prawniczka specjalizująca się w regulacjach dotyczących sztucznej inteligencji, doradza zarządom przy budowaniu strategii compliance i governance dla AI. Absolwentka Executive MBA.

Źródło. Rozmowa została przeprowadzona w podcaście i na kanale YouTube MIT Sloan Management Review Polska (@MITSMRpl). Materiał zredagowano i skrócono na potrzeby publikacji.