AI Act w małej firmie: 1 osoba, 5 pytań checklisty (i jak to ogarnąć bez działu IT)

Komitet ds. AI? W małej firmie to zbędny przerost formy

Gdy słyszę, że firma zatrudniająca 20 osób planuje powołać "zespół ds. AI governance", od razu wiem, że nic z tego nie wyjdzie w rozsądnym czasie. Nie dlatego, że pomysł jest zły w teorii. Dlatego, że w organizacji bez CTO i bez działu compliance taki zespół to zwykle trzy osoby, z których żadna nie ma czasu ani mandatu, żeby cokolwiek finalnie zdecydować. Ktoś czeka na kogoś, spotkania się przesuwają, a tymczasem dział sprzedaży już od miesiąca wkleja dane klientów do darmowego narzędzia AI, o którym nikt formalnie nie wie.

W praktyce, którą widzieliśmy w kilkudziesięciu małych firmach, działa jedno: jedna konkretna osoba z imienia i nazwiska, do której każdy pracownik może przyjść z pytaniem "czy mogę użyć tego narzędzia" i dostać odpowiedź w ten sam dzień. Nie zespół. Nie procedura na 20 stron. Jedna osoba i prosta checklista, którą stosuje za każdym razem tak samo.

Deployer, nie provider: co AI Act naprawdę reguluje w Twojej firmie

Zanim ktokolwiek zacznie się martwić zgodnością z AI Act, warto ustalić jedną rzecz: w zdecydowanej większości małych firm nie jesteście dostawcą systemu AI, tylko jego użytkownikiem. Rozporządzenie UE 2024/1689 rozróżnia dwie podstawowe role: providera, czyli podmiot, który tworzy system AI albo zleca jego stworzenie i wprowadza go na rynek, oraz deployera, czyli podmiot, który używa gotowego systemu w ramach swojej działalności zawodowej. Firma handlowa korzystająca z ChatGPT do obsługi maili, z Copilota do raportów albo z narzędzia AI do automatyzacji faktur jest deployerem. To zasadniczo różni jej obowiązki od obowiązków firmy, która sama buduje modele.

Dla deployera obowiązki są prostsze niż większość osób sobie wyobraża, ale realne. Chodzi m.in. o zapewnienie odpowiedniego poziomu kompetencji AI wśród pracowników korzystających z narzędzi, utrzymanie nadzoru człowieka nad decyzjami wspieranymi przez AI oraz dodatkową dokumentację i ostrożność przy systemach uznanych za wysokiego ryzyka, na przykład w rekrutacji czy ocenie zdolności kredytowej. To wystarczający powód, żeby mieć w firmie jedną osobę, która rozumie tę różnicę i potrafi ją zastosować do konkretnego narzędzia, zamiast czytać cały akt za każdym razem od nowa.

Kto w firmie 10-50 osób powinien być tą osobą

Nie musi to być programista ani ktoś, kto rozumie, jak działa sieć neuronowa. Znacznie ważniejsze są dwie inne rzeczy: dobra znajomość procesów w firmie i realny mandat decyzyjny. W praktyce sprawdzają się trzy typy osób, w zależności od wielkości i struktury firmy.

W firmach do 15-20 osób najczęściej jest to sam właściciel albo osoba zarządzająca operacyjnie, bo i tak przez jej biurko przechodzą wszystkie decyzje o nowych narzędziach. W firmach nieco większych, gdzie jest już osoba odpowiedzialna za RODO albo pełniąca funkcję zbliżoną do inspektora ochrony danych, logiczne jest rozszerzenie jej zakresu o AI, bo kompetencje się pokrywają: obie role dotyczą tego, jakie dane, gdzie trafiają i kto je widzi. W firmach z rozbudowanym działem operacyjnym dobrze sprawdza się osoba zarządzająca procesami albo szefowa biura, o ile ma realny wpływ na to, jakie narzędzia firma kupuje.

Czego ta osoba nie robi: nie wdraża sama każdej automatyzacji, nie musi znać się na konfiguracji API ani na promptach. Jej zadanie jest węższe i przez to bardziej wykonalne: pilnować, żeby przed uruchomieniem nowego narzędzia ktoś zadał sobie kilka konkretnych pytań, i mieć odwagę powiedzieć "nie" albo "jeszcze nie teraz", gdy odpowiedzi są niepokojące.

Prosta checklista decyzyjna przed wdrożeniem narzędzia AI

To, co faktycznie działa, to krótka lista pytań zadawanych zawsze w tej samej kolejności, zanim narzędzie trafi do codziennego użytku w firmie. Nie chodzi o formularz na 40 pól, tylko o coś, co da się przejść w 15 minut.

• Czy narzędzie przetwarza dane osobowe klientów lub pracowników i czy mamy do tego podstawę prawną oraz, jeśli trzeba, odpowiedni zapis w umowie z dostawcą?
• Czy to obszar wysokiego ryzyka w rozumieniu AI Act, np. rekrutacja, ocena wiarygodności, monitorowanie pracowników? Jeśli tak, wymaga dodatkowej dokumentacji i ostrożności, a nie wdrożenia "na szybko".
• Czy osoby, które będą z niego korzystać, wiedzą, czego narzędzie nie potrafi i kiedy nie wolno mu ufać bez weryfikacji człowieka?
• Czy jest ktoś, kto sprawdza wynik przed podjęciem decyzji na jego podstawie, zwłaszcza jeśli decyzja dotyczy klienta albo pracownika?
• Czy dostawca narzędzia jasno opisuje, gdzie przechowuje dane i czy wykorzystuje je do trenowania kolejnych modeli?

Jeśli odpowiedź na którekolwiek z tych pytań brzmi "nie wiem", to jest sygnał, żeby wstrzymać wdrożenie na tydzień, a nie wdrażać i sprawdzać po fakcie. W praktyce ta jedna zasada eliminuje większość realnych problemów, jakie widzieliśmy: nie wynikały one z braku wiedzy technicznej, tylko z tego, że nikt nie zadał tych pytań przed startem.

Dlaczego to odpowiedzialność, a nie technologia, decyduje o porażce

Typowy scenariusz wygląda tak: dział obsługi klienta samodzielnie wdraża chatbota do odpowiadania na maile, dział księgowości równolegle testuje inne narzędzie do opisywania faktur, a marketing korzysta z trzeciego generatora treści. Każde z tych narzędzi z osobna wydaje się rozsądnym wyborem. Problem pojawia się na poziomie całej firmy: nikt nie wie, ile w sumie narzędzi AI działa w organizacji, jakie dane do nich trafiają i czy ktokolwiek weryfikuje ich wyniki. To dokładnie ten chaos, o którym mówimy klientom przy okazji automatyzacji obsługi klienta czy automatyzacji faktur: sama automatyzacja procesu jest zwykle prostsza technicznie niż ustalenie, kto w firmie odpowiada za jej nadzór, gdy coś pójdzie nie tak.

Wyznaczenie jednej osoby rozwiązuje ten problem nie dlatego, że ta osoba zna się na wszystkim, tylko dlatego, że istnieje jeden punkt, w którym te informacje się zbiegają. Gdy dział marketingu chce wdrożyć nowe narzędzie, pyta tę osobę, zamiast decydować samodzielnie. To jedna rozmowa więcej przy każdym wdrożeniu, ale oszczędza tygodnie sprzątania po incydencie, którego nikt się nie spodziewał.

Co robić po wyznaczeniu osoby: rytm przeglądów

Wyznaczenie jednej osoby to początek, nie koniec tematu. Sensowny rytm to przegląd raz na kwartał: lista narzędzi AI faktycznie używanych w firmie, krótka weryfikacja, czy coś się zmieniło u dostawców (np. w polityce przetwarzania danych) i czy pojawiły się nowe obowiązki wynikające z kolejnych etapów wdrażania AI Act. To 60-90 minut co trzy miesiące, nie kolejny cykliczny projekt.

Warto też ustalić prosty kanał zgłaszania: jeden adres mailowy albo kanał na komunikatorze, gdzie pracownik może w 30 sekund napisać "chcę użyć tego narzędzia do tego celu, co o tym myślisz". Bez tego kanału ludzie i tak będą wdrażać AI samodzielnie, tylko bez pytania nikogo, bo presja czasu zawsze wygrywa z procedurą, której nie da się łatwo znaleźć.