Zarząd pytany o listę systemów AI używanych w firmie podaje trzy nazwy. Inwentaryzacja znajduje kilkanaście, a połowa z nich działa na prywatnych kontach pracowników
Zgodność z przepisami o sztucznej inteligencji nie zaczyna się od zakupu technologii ani od wizyty u prawnika. Zaczyna się od dwóch dokumentów, których dziś nie ma w większości polskich firm: rejestru używanych systemów AI oraz spisanych zasad korzystania z nich przez pracowników.
TL;DR- najważniejsze wnioski
- •Rejestr systemów AI to lista wszystkich narzędzi sztucznej inteligencji używanych w organizacji, wraz z opisem zastosowania, kategorią przetwarzanych danych, osobą odpowiedzialną i klasyfikacją poziomu ryzyka według AI Act.
- •Polityka AI to spisany zbiór zasad korzystania: co wolno wprowadzać do narzędzi, czego nie wolno, które decyzje wymagają zatwierdzenia przez człowieka oraz jak postępować w razie incydentu. Jeden dokument, kilka stron.
- •Oba dokumenty mają zastosowanie praktyczne, nie tylko formalne. Rejestr ujawnia narzędzia używane bez wiedzy zarządu, a polityka wyznacza granicę, której pracownik bez instrukcji po prostu nie zna.
- •Budowa obu zajmuje zwykle dwa do trzech tygodni. Rejestr wymaga ankiety i przeglądu narzędzi, polityka wymaga decyzji zarządu w kilku kwestiach, a całość trzeba zakomunikować zespołowi i aktualizować co kwartał.
Spotkanie w firmie usługowej zatrudniającej osiemdziesiąt osób. Pytanie do zarządu: z jakich narzędzi sztucznej inteligencji korzysta dziś firma?
Odpowiedź pada szybko i brzmi pewnie: trzy. Firmowy asystent w pakiecie biurowym, narzędzie do transkrypcji spotkań i chatbot na stronie.
Dwa tygodnie później, po anonimowej ankiecie i przeglądzie subskrypcji, lista ma czternaście pozycji. Są na niej trzy różne czaty używane na prywatnych kontach, generator grafik w marketingu, wtyczka do analizy CV w rekrutacji i narzędzie do tłumaczeń, do którego dział handlowy wkleja umowy.
Żaden z tych przypadków nie był złamaniem zasad, ponieważ zasad nie było.
Dlaczego zaczynamy od dokumentów, a nie od technologii
Rozmowa o zgodności z AI Act w większości firm zaczyna się od pytania, jakie narzędzie kupić albo jakiego prawnika zatrudnić. Obie odpowiedzi są przedwczesne.
Zgodność jest w praktyce zbiorem odpowiedzi na proste pytania: czego używamy, kto za to odpowiada, jakie dane tam trafiają, kto został przeszkolony i co robimy, gdy coś pójdzie nie tak. Bez spisanych odpowiedzi żadne narzędzie ani opinia prawna niczego nie zmienią, bo nie będzie do czego ich odnieść.
Dwa dokumenty odpowiadają na komplet tych pytań: rejestr systemów AI i polityka korzystania z AI. Razem zajmują kilkanaście stron i można je zbudować w dwa do trzech tygodni.
Rejestr systemów AI, czyli co właściwie mamy
Rejestr jest listą narzędzi z opisem. Dla każdej pozycji odnotowujemy sześć rzeczy.
Nazwa i dostawca. Kto dostarcza narzędzie i na jakich warunkach, w tym czy istnieje umowa powierzenia przetwarzania danych, jeśli narzędzie dotyka danych osobowych.
Zastosowanie. Do czego konkretnie służy w firmie. Nie „do pracy z tekstem", tylko „do przygotowywania pierwszych wersji ofert handlowych".
Kategorie danych. Czy trafiają tam dane osobowe klientów, dane pracowników, informacje objęte tajemnicą przedsiębiorstwa, czy wyłącznie treści publiczne.
Osoba odpowiedzialna. Konkretne nazwisko, nie dział. Bez tego pozycja w rejestrze nie ma właściciela, a więc nie będzie aktualizowana.
Kategoria ryzyka. Klasyfikacja według AI Act: praktyka zakazana, wysokie ryzyko, ryzyko ograniczone, ryzyko minimalne. Przytłaczająca większość zastosowań w typowej firmie mieści się w dwóch ostatnich kategoriach, co zwykle uspokaja zarząd.
Status. Zatwierdzone do użytku, w ocenie albo wycofane.
Polityka AI, czyli co wolno, a czego nie
Polityka jest krótsza, niż większość ludzi zakłada, i powinna rozstrzygać konkretne wątpliwości zamiast powtarzać ogólniki o odpowiedzialnym korzystaniu z technologii.
Pięć rzeczy, które musi rozstrzygać.
Które narzędzia są zatwierdzone. Lista dozwolonych, wraz z procedurą dodawania nowych. Bez tej procedury lista dezaktualizuje się w kwartał.
Czego nie wolno wprowadzać. Ta część jest najważniejsza operacyjnie i najczęściej pomijana. Konkretne kategorie: dane osobowe klientów, dokumenty objęte klauzulą poufności, dane kadrowe i płacowe, materiały objęte umowami o zachowaniu poufności.
Kiedy wymagana jest weryfikacja przez człowieka. Zasada, którą stosujemy w naszych wdrożeniach, brzmi: wszystko, co wychodzi na zewnątrz firmy albo wpływa na decyzję wobec konkretnej osoby, wymaga zatwierdzenia. Reszta może działać automatycznie.
Kto decyduje o nowym narzędziu. Jedna osoba lub jedna rola. W przeciwnym razie decyzję podejmuje ten, kto pierwszy wpisze numer karty firmowej.
Jak zgłasza się problem. Ścieżka na wypadek wklejenia czegoś, czego nie należało, albo błędnej decyzji systemu. Bez tej ścieżki incydenty nie są zgłaszane, tylko ukrywane.
Tabela: firma bez dokumentów i firma z uporządkowaną dokumentacją
| Sytuacja | Bez rejestru i polityki | Z rejestrem i polityką |
|---|---|---|
| Pytanie klienta o systemy AI | Odpowiedź szacunkowa, zwykle zaniżona | Lista z klasyfikacją ryzyka |
| Nowe narzędzie w firmie | Pojawia się bez wiedzy zarządu | Przechodzi przez procedurę zatwierdzenia |
| Pracownik nie wie, co wolno wkleić | Decyduje intuicyjnie | Ma jednoznaczną zasadę |
| Szkolenie z art. 4 | Ogólne, oderwane od praktyki | Dopasowane do faktycznie używanych narzędzi |
| Incydent z danymi | Nie zostaje zgłoszony | Ma ścieżkę i osobę odpowiedzialną |
| Przygotowanie do audytu | Kilka tygodni pracy od zera | Kilka dni na aktualizację |
Najczęstszy błąd: dokument, który powstaje raz
Widzimy to regularnie. Firma zamawia politykę AI, dostaje solidny dokument, wdraża go i zamyka temat. Po dwóch kwartałach dokument jest nieaktualny, ponieważ zespół dołożył cztery narzędzia, jedno zostało wycofane przez dostawcę, a przepisy się zmieniły, czego najlepszym dowodem jest majowe przesunięcie terminów dla systemów wysokiego ryzyka.
Zgodność nie jest stanem, tylko procesem. Minimalny rytm, który się sprawdza, to kwartalny przegląd rejestru oraz aktualizacja polityki przy każdej istotnej zmianie w firmie lub w przepisach. To jest kilka godzin pracy na kwartał, o ile ktoś ma to w zakresie obowiązków. Jeśli nie ma nikogo takiego, nie wydarzy się to nigdy.
Co możesz zrobić z tą wiedzą dziś
Trzy kroki, które można wykonać własnymi siłami, zanim ktokolwiek wystawi za to fakturę.
Wyślij zespołowi anonimową ankietę z jednym pytaniem: z jakich narzędzi sztucznej inteligencji korzystasz w pracy, wliczając prywatne konta. Anonimowość jest istotna, ponieważ pytanie imienne daje zaniżone wyniki. Wynik tej ankiety jest zwykle najmocniejszym argumentem na spotkaniu zarządu.
Przejrzyj faktury i subskrypcje z ostatnich sześciu miesięcy pod kątem narzędzi z komponentem AI. Do listy dopisz funkcje sztucznej inteligencji wbudowane w systemy, których używacie od lat.
Zapisz jedną kartkę zasad i roześlij ją zespołowi. Nawet niedoskonała, jednostronicowa instrukcja, co wolno wprowadzać do narzędzi zewnętrznych, a czego nie, jest nieporównanie lepsza niż brak jakiejkolwiek zasady. Pełną politykę można dopracować później.
W kolejnych artykułach z tej serii wyjaśniamy obowiązki transparentności wobec klientów oraz opisujemy, czym zajmie się polski organ nadzoru nad sztuczną inteligencją.
Jeśli chcesz, żebyśmy przeprowadzili inwentaryzację i przygotowali oba dokumenty, umów bezpłatną konsultację. Pokazujemy zakres, harmonogram i to, które elementy podlegają dofinansowaniu jako doradztwo.
Napisz: biuro@chronofy.pl lub zadzwoń: +48 792 975 094 (Dastin Adamowski).
Często zadawane pytania
Czy prowadzenie rejestru systemów AI jest obowiązkowe dla każdej firmy?
Przepisy nie nakładają na każdą firmę wprost obowiązku prowadzenia rejestru w takiej formie, w jakiej robi się to dla czynności przetwarzania danych osobowych. Nakładają jednak obowiązki, których bez rejestru nie da się wykonać ani wykazać: zapewnienie kompetencji personelu odpowiednich do używanych systemów, poinformowanie użytkowników o kontakcie ze sztuczną inteligencją, a w przyszłości pełną dokumentację dla systemów wysokiego ryzyka. Trudno udowodnić, że przeszkolono ludzi adekwatnie do narzędzi, jeśli nie wiadomo, jakich narzędzi używają. W praktyce rejestr jest więc dokumentem wykonawczym wobec obowiązków, które istnieją.
Co powinna zawierać polityka korzystania ze sztucznej inteligencji w firmie?
Dobra polityka jest krótka i rozstrzyga konkretne wątpliwości, zamiast powtarzać ogólniki o odpowiedzialnym używaniu technologii. Powinna określać, które narzędzia są zatwierdzone do użytku, jakie kategorie informacji nie mogą trafić do narzędzi zewnętrznych, w jakich sytuacjach wynik pracy AI wymaga weryfikacji przez człowieka przed wysłaniem na zewnątrz, kto podejmuje decyzję o wprowadzeniu nowego narzędzia oraz jak zgłasza się incydent. Zwykle mieści się to na trzech do pięciu stron. Dokument dłuższy niż dziesięć stron nie zostanie przeczytany przez nikogo poza jego autorem.
Jak zbudować rejestr systemów AI, jeśli nikt nie wie, czego używa zespół?
Sam spis to zwykle najciekawszy etap całego projektu. Zaczyna się od anonimowej ankiety wśród pracowników, ponieważ pytanie zadane imiennie daje zaniżone wyniki. Drugim źródłem jest przegląd faktur i subskrypcji, trzecim lista rozszerzeń przeglądarki i integracji podpiętych do firmowej poczty oraz dysku, a czwartym funkcje AI wbudowane w systemy, których firma używa od lat i o których nikt nie myśli w tych kategoriach. Po zebraniu listy przypisuje się każdemu narzędziu zastosowanie, rodzaj danych, osobę odpowiedzialną i kategorię ryzyka. Cały proces zajmuje zwykle od dwóch do trzech tygodni.
Czy potrafisz dziś wymienić wszystkie narzędzia AI, z których korzystają Twoi pracownicy?
Podczas bezpłatnej konsultacji pokażemy, jak przeprowadzić inwentaryzację systemów AI w Twojej firmie i jakie zasady korzystania warto spisać w pierwszej kolejności.
BEZPŁATNA KONSULTACJA