AI w małej firmie: 1 osoba i 2 dokumenty zamiast etatu (i jak to ogarnąć bez działu compliance)

Gdy pytamy właścicieli firm zatrudniających 15-40 osób, kto u nich odpowiada za AI, słyszymy zwykle jedną z trzech odpowiedzi: "nikt konkretnie", "chyba IT, jak coś się psuje" albo "no ja, ale nie mam na to czasu". Żadna z nich nie jest zła sama w sobie. Problem pojawia się, gdy próbujemy nałożyć na te firmy model governance skopiowany z korporacji: rady nadzorcze AI, rejestry ryzyka, cykliczne audyty zewnętrzne. To wygląda dobrze w prezentacji, ale w praktyce nikt tego nie prowadzi dłużej niż do pierwszego urlopu osoby odpowiedzialnej.

Z naszych wdrożeń wynika coś prostszego i mniej efektownego: firmy, które faktycznie panują nad swoimi automatyzacjami i agentami AI, mają nie system, tylko nawyk. Jedna osoba wie, jakie narzędzia AI działają w firmie, co mają uprawnienia robić, i gdzie sprawdzić, dlaczego agent wysłał taką a nie inną odpowiedź klientowi. To wszystko. Cała reszta tego artykułu to rozwinięcie tego jednego zdania.

Dlaczego pełny AI governance w małej firmie to fikcja

Ramy governance projektowane dla korporacji zakładają rzeczy, których mała firma po prostu nie ma: osobny dział prawny, budżet na regularne audyty, kilku ludzi, którzy mogą się wymieniać rolami, i czas na dokumentowanie każdej decyzji. W firmie, gdzie właściciel sam jeszcze jeździ do klientów albo gdzie cały zespół IT to jedna osoba obsługująca też helpdesk, wdrożenie takiego modelu kończy się jednym z dwóch scenariuszy. Albo dokumentacja powstaje raz, na potrzeby jakiegoś przetargu czy audytu, i nigdy nie jest aktualizowana. Albo nie powstaje w ogóle, bo nikt nie ma na to 20 godzin miesięcznie.

Co gorsza, taki ciężki model odstrasza od samego wdrażania AI. Widzieliśmy firmy, które rezygnowały z automatyzacji obsługi zgłoszeń albo generowania ofert, bo ktoś przeczytał, że "trzeba mieć politykę AI" i uznał, że to zbyt duży koszt organizacyjny. To błąd w drugą stronę: brak governance nie jest bezpieczniejszy niż jego przerost, po prostu przenosi ryzyko z papieru na realne błędy, które wychodzą dopiero przy reklamacji klienta albo kontroli.

Właściciel, IT czy zewnętrzny partner: kto naprawdę powinien to trzymać

W praktyce widzimy trzy modele własności tematu AI w małej firmie i każdy ma swoje sensowne zastosowanie, ale też wyraźną granicę, za którą zaczyna szkodzić.

Właściciel jako osoba odpowiedzialna sprawdza się, gdy firma ma mało procesów zautomatyzowanych AI (jeden, dwa agenci) i decyzje biznesowe są i tak podejmowane przez właściciela na bieżąco. Problem zaczyna się, gdy firma rośnie do 4-5 różnych automatyzacji: właściciel przestaje mieć czas, żeby faktycznie wiedzieć, co każdy agent robi, i governance zamienia się w iluzję nadzoru, bo formalnie "ktoś odpowiada", a realnie nikt nie sprawdza logów.

IT wewnętrzne (jedna osoba lub mały zespół) dobrze radzi sobie z częścią techniczną: uprawnienia, integracje, dostępy do API. Gorzej z częścią biznesową i prawną: ocena, czy dany proces kwalifikuje się jako wyższe ryzyko, czy dane osobowe są przetwarzane zgodnie z zasadą minimalizacji, czy trzeba coś zgłosić klientowi. To nie jest wina konkretnych osób, tylko naturalne, że administrator systemów nie jest jednocześnie specjalistą od ochrony danych i regulacji AI.

Zewnętrzny partner (firma wdrożeniowa albo doradca) ma sens tam, gdzie potrzebna jest wiedza, której w firmie po prostu nie ma i nie opłaca się jej budować na stałe: ocena ryzyka nowego wdrożenia, ustawienie pierwszej checklisty, przegląd logów raz na kwartał. Ryzyko tego modelu jest odwrotne: jeśli partner robi wszystko za firmę i nikt wewnątrz nie rozumie, co się dzieje, to w dniu, gdy trzeba szybko odpowiedzieć na pytanie klienta albo kontrolującego, nikt na miejscu nie zna odpowiedzi.

Najlepszy model, jaki widzieliśmy w praktyce, to hybryda: jedna osoba w firmie (nie musi być z IT, może to być osoba operacyjna albo sam właściciel) formalnie odpowiada i prowadzi log, a partner zewnętrzny pomaga ustawić checklistę na starcie i wraca raz na kwartał albo pół roku, żeby sprawdzić, czy coś się nie rozjechało. To rozwiązuje problem kompetencji bez tworzenia zależności, w której firma nie rozumie własnych narzędzi.

Minimalny model AI governance, który faktycznie ktoś wdroży

Ten model składa się z trzech elementów. Nie z siedmiu, nie z jedenastu procedur. Trzy, bo tyle firma jest w stanie utrzymać bez dodatkowego etatu.

1. Jedna osoba z realną decyzyjnością

Nie chodzi o tytuł na wizytówce, tylko o odpowiedź na pytanie: kto może powiedzieć "wyłączamy tego agenta, coś jest nie tak" i zostanie to zrobione tego samego dnia. W firmie 15-osobowej to zwykle właściciel albo osoba zarządzająca operacyjnie, która ma dostęp do wszystkich narzędzi AI używanych w firmie i wie, jak je zatrzymać. Ta osoba nie musi rozumieć modeli językowych od strony technicznej. Musi rozumieć, co dany proces robi z danymi i jakie ma konsekwencje błąd.

2. Checklista przed włączeniem nowego narzędzia

Krótka, na jednej stronie, sprawdzana zanim jakiś agent czy automatyzacja trafi do produkcji. W praktyce sprawdzają się pytania typu: jakie dane wejściowe przetwarza (czy są wśród nich dane osobowe albo finansowe), co się stanie, jeśli wygeneruje błędną odpowiedź (czy klient dostanie złą fakturę, czy tylko źle sformatowaną wiadomość), kto dostaje powiadomienie przy błędzie, i czy jest prosty sposób na wyłączenie tego procesu ręcznie. To nie jest analiza ryzyka na 20 stron. To pięć pytań, które zajmują 15 minut i zapobiegają większości wpadek, jakie widzieliśmy: agentowi wysyłającemu automatyczne odpowiedzi bez możliwości ich zatrzymania albo procesowi księgowemu, który nikogo nie informował o odchyleniach.

3. Log decyzji agentów

To element, który najczęściej pomijają małe firmy, a najbardziej ratuje w razie problemu. Nie chodzi o pełny audit trail klasy enterprise, tylko o prosty zapis: co agent zrobił, na jakiej podstawie, i czy człowiek to zatwierdził czy działanie było w pełni automatyczne. Przy automatyzacji faktur czy księgowości to może być zwykły arkusz albo log w systemie, który pokazuje, które dokumenty zostały przetworzone automatycznie, a które trafiły do ręcznej weryfikacji i dlaczego. Przy automatyzacji obsługi klienta to zapis rozmów z oznaczeniem, w których agent odpowiedział samodzielnie, a w których przekazał sprawę do człowieka.

Ten log ma dwie funkcje. Po pierwsze, pozwala szybko znaleźć źródło błędu, gdy klient się poskarży, zamiast przeszukiwać całą historię ręcznie. Po drugie, jest właśnie tym, o co pyta AI Act w kontekście nadzoru ludzkiego: możliwością wykazania, że ktoś monitoruje działanie systemu, a nie że system działa całkowicie bez kontroli. Firmy, które wdrażają np. automatyzację faktur, zwykle zaczynają właśnie od tego punktu, bo tam błąd kosztuje realne pieniądze i najszybciej widać, czy warunek "człowiek zatwierdza wyjątki" jest przestrzegany.

Co faktycznie mówi prawo o osobie odpowiedzialnej za AI

AI Act wprowadza wymóg tzw. ludzkiego nadzoru (human oversight) nad systemami sztucznej inteligencji uznanymi za wysokiego ryzyka: chodzi o to, żeby podmiot stosujący taki system wyznaczył osoby z odpowiednimi kompetencjami i uprawnieniami do monitorowania jego działania i reagowania na nieprawidłowości. Większość obowiązków dla systemów wysokiego ryzyka zaczyna w pełni obowiązywać od sierpnia 2026, część zakazanych praktyk (m.in. pewne formy scoringu społecznego czy manipulacyjnego profilowania) obowiązuje już od lutego 2025. Większość narzędzi używanych przez małe firmy, np. asystenci obsługi klienta czy automatyzacja dokumentów, nie kwalifikuje się jako wysokie ryzyko, ale warto to sprawdzić przy każdym nowym wdrożeniu, a nie założyć z góry.

Niezależnie od kwalifikacji ryzyka, jeśli automatyzacja przetwarza dane osobowe, w grę wchodzi RODO i rekomendacje UODO: minimalizacja danych, ocena skutków dla ochrony danych przy bardziej inwazyjnych wdrożeniach oraz jasność co do tego, kto w firmie odpowiada za pytania klientów dotyczące przetwarzania ich danych przez systemy AI. W praktyce sprowadza się to do tego samego wniosku, co doświadczenie wdrożeniowe: potrzebna jest jedna zidentyfikowana osoba i ślad decyzji, a nie rozbudowana procedura, której nikt nie przeczyta.

Nie ma tu jednego uniwersalnego przepisu, który powie "w Twojej firmie wystarczy jedna osoba, a nie komitet". Ale duch regulacji, zarówno AI Act, jak i podejścia UODO, jest spójny: liczy się rzeczywista możliwość nadzoru i reakcji, nie rozmiar dokumentacji. Firma 20-osobowa z jedną kompetentną osobą i prowadzonym logiem jest w lepszej sytuacji niż firma z 40-stronicową polityką AI, której nikt nie stosuje.

Kiedy naprawdę warto wziąć zewnętrznego partnera

Nie polecamy outsourcingu całego tematu AI, bo to rozmywa odpowiedzialność. Polecamy konkretne, ograniczone w czasie wsparcie w trzech momentach. Pierwszy: przy uruchamianiu pierwszej większej automatyzacji, żeby checklista i log powstały poprawnie od razu, a nie po fakcie, gdy trzeba je przerabiać. Drugi: gdy firma zaczyna przetwarzać dane wrażliwe albo finansowe przez AI, np. wdrażając automatyzację w biurze rachunkowym, gdzie błąd ma bezpośrednie konsekwencje podatkowe. Trzeci: przy okresowym przeglądzie, raz na pół roku albo rok, żeby sprawdzić, czy model się nie rozjechał wraz z rozwojem firmy, bo to, co wystarczało przy dwóch automatyzacjach, może być za wąskie przy siedmiu.

Poza tymi momentami, codzienne prowadzenie logu i sprawdzanie checklisty przed nowym wdrożeniem powinno zostać wewnątrz firmy. To nie jest praca wymagająca certyfikatu, tylko konsekwencji.