Najczęściej zadawane pytania

Audyt ekspozycji odpowiada na pytanie, czy i jak bardzo Państwa organizacja podlega Rozporządzeniu (UE) 2024/1689, poprzez klasyfikację systemów wobec art. 5 (praktyki zakazane, obowiązujące od 2 lutego 2025 roku, a od 2 grudnia 2026 roku rozszerzone o dwie nowe praktyki wprowadzone rozporządzeniem (UE) 2026/1744), art. 6 w związku z Załącznikiem III i art. 50 (obowiązki przejrzystości). Audyt gotowości odpowiada na inne pytanie: co w ogóle jest wdrożone, często poza wiedzą IT, niezależnie od tego, czy dany system podlega jakiemukolwiek obowiązkowi z Rozporządzenia. Pracujemy nad oboma pod jednym szyldem, bo w praktyce rzadko da się je rozdzielić bez utraty części obrazu.

Audyt trwa od 2 do 4 tygodni, w zależności od liczby systemów i wielkości organizacji. Na koniec otrzymują Państwo pisemny raport z klasyfikacją artykuł po artykule, pisemną opinię klasyfikacyjną obejmującą ocenę każdego systemu wobec art. 6 i Załącznika III, a tam, gdzie Państwa organizacja występuje w roli dostawcy, sporządzoną w formie wymaganej przez art. 6 ust. 4, tabelę ryzyk z priorytetami i rekomendację kolejnego kroku. To dokument roboczy, gotowy do wdrożenia od pierwszego dnia.

Nie. Bezpłatny audyt wstępny pod adresem /audyt to samoobsługowe narzędzie do wstępnej orientacji w kilka minut, bez rozmowy handlowej. Odpowiada na jedno pytanie: czy warto zagłębiać się dalej. Pełny audyt to praca doradcy prowadzona osobiście: inwentaryzacja systemów AI używanych w organizacji, klasyfikacja artykuł po artykule wobec Rozporządzenia i pisemna opinia klasyfikacyjna z tabelą ryzyk. Pierwszy krok jest zawsze bezpłatny i bez zobowiązań, drugi wyceniamy indywidualnie po rozmowie, w zależności od liczby systemów i wielkości organizacji.

Powiemy to wprost, na piśmie, i zakończymy pracę na tym etapie. Nie kreujemy problemów, których nie ma, i nie rozszerzamy zakresu sztucznie, żeby uzasadnić dłuższe zaangażowanie albo kolejny etap sprzedaży. Audyt jest kupowalny samodzielnie, z realną szansą, że pisemna opinia klasyfikacyjna brzmi: obecna ekspozycja jest niska i nic dodatkowego nie jest teraz potrzebne. Państwo otrzymują dokument, na który można się powołać wobec zarządu albo klienta, nie tylko naszą ustną ocenę.

Tak. Sprawdzamy, w jakiej roli Państwa organizacja występuje wobec konkretnego systemu: jako podmiot stosujący, czy w niektórych sytuacjach jako dostawca w rozumieniu Rozporządzenia, na przykład gdy umieszczają Państwo własną nazwę lub znak towarowy na już wdrożonym systemie wysokiego ryzyka, co Rozporządzenie traktuje jako przejęcie obowiązków dostawcy. Rozróżnienie tych ról ma znaczenie dla tego, jakie obowiązki faktycznie Państwa dotyczą, i jest częścią standardowej klasyfikacji przeprowadzanej w ramach audytu. W praktyce oznacza to inny zestaw wymaganej dokumentacji i inny poziom odpowiedzialności wobec organu nadzoru rynku.

RODO i AI Act adresują różne ryzyka. Art. 22 RODO reguluje w pełni zautomatyzowane decyzje wywołujące skutki prawne wobec osoby. Governance AI odpowiada na pytania specyficzne dla modeli: jak klasyfikować nowy system przed wdrożeniem, kto sprawuje nadzór ludzki i jak monitorować system po uruchomieniu. To pytania, których standardowa polityka RODO nie obejmuje wprost.

Zależy od wielkości firmy. Najczęściej właścicielem po wdrożeniu jest COO, Compliance Officer albo Head of Legal, z mandatem nadanym przez zarząd, a nie automatycznie przez dział IT. Art. 26 wymaga, żeby nadzór ludzki powierzyć osobom z niezbędnymi kompetencjami, przeszkoleniem, uprawnieniami i wsparciem, co w praktyce wyklucza przypisanie tej roli bez formalnej decyzji.

Governance spowalnia pierwsze wdrożenie i przyspiesza każde kolejne. Pierwszy projekt wymaga ustalenia, kto klasyfikuje system, kto ma prawo go zatrzymać i jaki dokument potwierdza tę decyzję zarządowi, co zajmuje realny czas na starcie. Art. 26 wymaga, żeby nadzór ludzki powierzyć osobom z odpowiednimi kompetencjami i uprawnieniami, a to ustalenie robi się raz. Każdy kolejny system przechodzi przez już zdefiniowane bramki i właścicieli, więc każde kolejne wdrożenie idzie szybciej niż pierwsze.

Odpowiada na to procedura zgłaszania incydentów, budowana jako część governance, nie improwizowana po fakcie. Art. 26 wymaga monitorowania działania systemu, informowania dostawcy lub organu nadzoru w razie ryzyka oraz przechowywania rejestrów zdarzeń przez minimum sześć miesięcy. Dobrze zaprojektowana procedura wskazuje z góry, kto podejmuje decyzję, w jakim terminie i jaki dokument potwierdza jej wynik.

Tak, w ograniczonym zakresie. Obowiązek kompetencji AI z art. 4 dotyczy wszystkich podmiotów stosujących systemy AI, niezależnie od poziomu ryzyka, i obowiązuje od 2 lutego 2025 roku. Po Digital Omnibusie jest to obowiązek starannego działania, czyli zapewnienia wystarczającego poziomu kompetencji AI, a nie zagwarantowania określonego poziomu wiedzy u każdej osoby. Governance na tym poziomie oznacza minimum: kto w organizacji rozumie, jak działają używane systemy, i kto odpowiada za ich nadzór, nawet jeśli żaden nie kwalifikuje się jako wysokiego ryzyka.

Na podstawie audytu gotowości i dwóch kryteriów: wykonalności technicznej i wpływu na koszt lub czas pracy. Adopcja automatyzacji procesów w Polsce jest wciąż niska (2,9% przedsiębiorstw w 2025 roku), co oznacza, że większość organizacji ma niewykorzystanych kandydatów, jeśli tylko je zmapować. Wynik audytu zestawiamy w krótką listę kandydatów z szacowanym czasem wdrożenia każdego z nich, żeby decyzja o kolejności była policzalna, a nie intuicyjna.

Budujemy sami tam, gdzie ma to sens biznesowy, korzystając z doświadczenia własnych systemów AI działających produkcyjnie. Nie sprzedajemy cudzego produktu SaaS pod naszą marką i nie mamy w tym interesu prowizyjnego, który przechyliłby rekomendację. Tam, gdzie gotowe narzędzie na rynku faktycznie rozwiązuje problem lepiej i szybciej niż budowa od zera, mówimy to wprost klientowi, zamiast budować na siłę, żeby uzasadnić większy budżet projektu. Decyzja zapada podczas audytu gotowości, przed podpisaniem umowy na wdrożenie.

Nadzór ludzki i próg eskalacji są projektowane od pierwszego dnia projektu. Zanim automatyzacja trafi do produkcji, przechodzi przez bramkę governance, która ustala, kto ma prawo zakwestionować wynik systemu i jaki jest plan reakcji na błąd, na wzór zasady nadzoru ludzkiego z art. 26 Rozporządzenia, nawet gdy dany proces nie kwalifikuje się jako system wysokiego ryzyka. To standardowy produkt prac, wliczony w zakres wdrożenia. Państwo otrzymują opisaną procedurę reakcji razem z wdrożonym rozwiązaniem, gotową do użycia od pierwszego dnia produkcji.

Od 6 do 12 tygodni dla pojedynczego, dobrze zdefiniowanego procesu, od pierwszej sesji mapującej do wdrożenia w produkcji. Dłużej, jeśli wymagana jest integracja z istniejącym systemem ERP lub CRM klienta, bo czas zależy wtedy również od dostępności zespołu IT po stronie klienta. Termin ustalamy pisemnie przed rozpoczęciem prac, na podstawie zakresu ustalonego wspólnie z właścicielem procesu, i aktualizujemy go, jeśli zakres się zmienia w trakcie projektu. Państwo dostają harmonogram z punktami kontrolnymi na każdym etapie prac.

Najczęściej to problem adopcyjny, nie technologiczny: rozwiązanie działa technicznie, ale nikt w organizacji go faktycznie nie używa po zakończeniu projektu. Dlatego każde nasze wdrożenie zawiera krótki plan adopcji (kto z tego korzysta, jak mierzymy efekt, co się dzieje, gdy system się myli) jako standardowy produkt prac od pierwszego dnia, z jednym właścicielem procesu odpowiedzialnym za jego faktyczne użycie po zamknięciu projektu.

Nie zastępujemy strategii firmy: sekwencjonujemy wyłącznie decyzje o AI w jej ramach, przyjmując istniejące cele biznesowe jako dane wejściowe. Pytanie, na które odpowiadamy, brzmi: co z AI robimy najpierw, ile to kosztuje, kto to prowadzi po naszej stronie i jak mierzymy wynik w 90 dni. Efektem jest krótki dokument sekwencjonujący decyzje o AI na najbliższy kwartał.

Nie. Nie jesteśmy kancelarią i nie świadczymy pomocy prawnej. Tam, gdzie potrzebna jest opinia prawna w konkretnej, spornej sprawie, pracujemy obok kancelarii klienta albo kierujemy do niej, zamiast improwizować wykładnię przepisów bez uprawnień. Consulting strategiczny odpowiada na inne pytania: o kolejność i sekwencję decyzji biznesowych związanych z AI oraz o priorytety i budżet.

Od krótkiej sesji sekwencjonującej, nie od razu od audytu czy automatyzacji, bo bez niej łatwo zainwestować najpierw w rozwiązanie problemu, który nie jest najważniejszy. To jedyny filar, w którym rozmowa strategiczna jest pierwszym krokiem, przed podpisaniem umowy na inny filar. Sesja kończy się krótkim, pisemnym dokumentem wskazującym, który z pozostałych trzech filarów (audyt, governance, automatyzacja) jest priorytetem w tym kwartale i dlaczego, wraz z rekomendowaną kolejnością kolejnych kroków.

Od kancelarii różnimy się tym, że budujemy systemy i automatyzacje, a nie tylko je opiniujemy. Nie jesteśmy kancelarią i nie świadczymy pomocy prawnej, choć rozmawiamy tym samym językiem regulacyjnym. Od dużych firm doradczych różnimy się tym, że prace prowadzi zespół ekspertów: doradca prowadzący, który odpowiada za zakres i podpisuje wynik od pierwszej rozmowy do ostatniego produktu prac, oraz specjaliści dziedzinowi dobierani do zaangażowania, których skład przedstawiamy Państwu na piśmie przed startem. Doradca prowadzący pozostaje Państwa stałym punktem kontaktu przez cały projekt, nie rotujący zespół.

Dowód jest operacyjny: budujemy i utrzymujemy własne systemy AI w produkcji, a nie tylko doradzamy z pozycji obserwatora. Metodyka audytowa opiera się bezpośrednio na pełnym tekście Rozporządzenia w polskiej wersji, obejmującym po Digital Omnibusie 180 motywów i 14 załączników. To połączenie: własna praktyka wdrożeniowa i praca na oryginalnym tekście, a nie wiek firmy na rynku, jest tym, co warto zweryfikować przed podpisaniem umowy.