Sytuacja wyjściowa

Producent, jak 40,5% polskich przedsiębiorstw w 2024 r., ma oprogramowanie klasy ERP do zarządzania zasobami i procesami. To nie jest samo AI, tylko ogólna automatyzacja procesów biznesowych, punkt odniesienia, zanim dojdzie AI. Dane zamówienia i tak wędrują ręcznie: z zapytania klienta do arkusza, z arkusza do ERP i z ERP do potwierdzenia zamówienia wysyłanego e-mailem.

Potwierdzenie zamówienia musi powtórzyć indeks rewizji rysunku klienta, a kartoteka w ERP zostaje przy poprzednim, więc rozbieżność wychodzi dopiero przy dostawie. Reklamacje i raporty 8D dla OEM inżynier jakości składa sam z e-maili, zdjęć wadliwej partii i kart pomiarowych, pod presją terminu odpowiedzi.

Inżynierowie i zakupowcy, żeby przyspieszyć pracę, wklejają do publicznych chatbotów rysunki techniczne klienta i wewnętrzne cenniki, bez umowy, która zobowiązywałaby dostawcę narzędzia do zachowania poufności, choć rysunki klienta i cenniki są chronione jako tajemnica przedsiębiorstwa i objęte klauzulami poufności w kontraktach z klientem. Równolegle dział HR testuje narzędzie od zewnętrznego dostawcy, wspierające selekcję kandydatów do pracy produkcyjnej: skanuje CV i odpowiedzi z formularza rekrutacyjnego i przydziela kandydatom wynik, na podstawie którego rekruter decyduje, kogo zaprosić na rozmowę.

Oba obszary rozwijano w ciągu ostatniego roku, każdy przez inny dział, bez jednej osoby odpowiedzialnej za łączny obraz ekspozycji regulacyjnej firmy. Przy tej skali zatrudnienia producent mieści się w grupie średnich przedsiębiorstw, w której według badania GUS za 2025 r. z technologii AI korzysta w Polsce 15,6% podmiotów, wobec 6,1% wśród małych firm i 42,0% wśród dużych, więc pytanie o obowiązki jest tu normą skali.

Co ustalił audyt

Audyt tej kategorii dzieli systemy na dwie grupy, bo prawo traktuje je inaczej. Automatyzacje przetwarzania reklamacji, raportów 8D i dokumentów ofertowych pozostają automatyzacją operacyjną, bez przypisanej kategorii wysokiego ryzyka, ale to nie znaczy, że nie potrzebują właściciela, zasad dostępu do danych klienta i rejestru wdrożeń. Narzędzie do selekcji kandydatów mieści się natomiast w kategorii zatrudnienia z Załącznika III, punkt 4, co oznacza obowiązki dla systemów AI wysokiego ryzyka od 2 grudnia 2027 roku, po przesunięciu tego terminu z pierwotnego 2 sierpnia 2026 roku.

W audycie tej kategorii ustala się też, że jeśli wynik narzędzia rekrutacyjnego decyduje samodzielnie, bez realnej oceny rekrutera, o odrzuceniu kandydata, dochodzi już dziś prawo tej osoby do niepodlegania w pełni zautomatyzowanej decyzji z art. 22 RODO, niezależnie od terminu AI Act. Te dwa reżimy mają różne daty wejścia w życie, a audyt jasno je rozdziela, żeby dalszy termin AI Act nie stał się pretekstem do odłożenia obowiązku, który wynika z RODO.

Decyzje governance

Zarząd podejmuje decyzje w odniesieniu do narzędzia rekrutacyjnego, bo to ono niesie ekspozycję regulacyjną:

  • Po pierwsze, wprowadza dla tego narzędzia cykl przeglądu ryzyka wzorowany na art. 9, czyli proces ciągły z zaplanowanym, regularnym przeglądem, jako decyzję zarządu; sam art. 9 adresuje ten obowiązek do dostawcy systemu wysokiego ryzyka. Obowiązek własny producenta jako podmiotu stosującego wynika z art. 26 ust. 1 i 5: stosowania narzędzia zgodnie z instrukcją obsługi oraz monitorowania jego działania.
  • Po drugie, wyznacza w dziale HR osobę z udokumentowanymi kompetencjami i realnym uprawnieniem do zakwestionowania wyniku narzędzia, z obowiązkiem podejmowania ostatecznej decyzji rekrutacyjnej po własnej ocenie kandydata.
  • Po trzecie, przygotowuje obowiązek informowania pracowników przed użyciem systemu w miejscu pracy i prowadzenia rejestru zdarzeń przez minimum sześć miesięcy, tak jak wymaga tego art. 26 wobec podmiotów stosujących systemy wysokiego ryzyka.
  • Po czwarte, przygotowuje informowanie kandydatów, że w procesie rekrutacji podlegają systemowi AI wysokiego ryzyka, zgodnie z art. 26 ust. 11.

Zarząd nie czeka z pierwszymi dwiema decyzjami na formalny termin obowiązków Załącznika III, który przypada na 2 grudnia 2027 roku. Już dziś, niezależnie od tego terminu, kandydatowi ocenionemu wyłącznie przez algorytm przysługuje prawo do interwencji człowieka i zakwestionowania decyzji z art. 22 RODO, więc mandat rekrutera do zmiany wyniku i osobistej oceny musi istnieć niezależnie od kalendarza AI Act.

Co zautomatyzowano i dlaczego dopiero teraz

Dopiero po ustaleniu tych trzech elementów governance dla narzędzia rekrutacyjnego organizacja rozszerza automatyzację przetwarzania dokumentów ofertowych i reklamacyjnych na kolejny dział. Automatyzacja tych procesów nie niosła podobnej ekspozycji regulacyjnej i technicznie mogła ruszyć równolegle, ale w praktyce poczekała, aż dział odpowiedzialny za governance ustalił jeden, wspólny sposób dokumentowania każdego wdrożenia AI w firmie, tak by kolejny system nie powstał poza tym obiegiem, jak wcześniej narzędzie rekrutacyjne.

Agregacja reklamacji i raportów 8D z e-maili, zdjęć i kart pomiarowych w jeden szkic dokumentu działa na mechanizmie zbliżonym do badania na 5179 agentach obsługi klienta, gdzie dostęp do asystenta AI zwiększył liczbę rozwiązanych spraw na godzinę średnio o 14%, w tym o 34% dla nowicjuszy, przy minimalnym wpływie na doświadczonych. Szkic dokumentów ofertowych, wcześniej przepisywanych trzykrotnie między arkuszem, e-mailem i ERP, korzysta z podobnego mechanizmu: w badaniu na 444 profesjonalistach dostęp do generatywnej AI skrócił czas zadań pisarskich o 37%, podniósł jakość o 0,45 SD.

Trzeci element to zatwierdzone narzędzie AI dla inżynierów i zakupowców, z umową zawierającą zobowiązanie do poufności i zakaz trenowania modelu na wprowadzonych treściach, a tam, gdzie w dokumentach są dane osobowe, także z umową powierzenia przetwarzania z art. 28 RODO.

W skali kraju automatyzację procesów jako zastosowanie AI wskazało 23% firm już wdrażających AI, wobec 18% wśród firm planujących wdrożenie, na próbie n=802 z 12 branż o najwyższym potencjale wdrożenia AI, nie z przekroju całej gospodarki, co pokazuje, że tempo tego rozszerzenia jest zgodne z ogólnie umiarkowaną jeszcze skalą automatyzacji procesów biznesowych w Polsce.

Rezultat

Największa zmiana jest organizacyjna: firma ma teraz jasno rozdzielone dwie grupy zastosowań AI, z których tylko jedna niesie obowiązki regulacyjne, oraz osobę w HR z realnym, opisanym w dokumencie mandatem nadzoru nad narzędziem rekrutacyjnym. Gdy audyt obejmuje od razu wszystkie działy zamiast tylko tego, który zgłosił temat pierwszy, klasyfikacja wszystkich systemów AI w organizacji przebiega jako jeden wspólny przegląd, zamiast osobnych przeglądów dział po dziale, uruchamianych dopiero w miarę zgłaszania kolejnych systemów.

Czego ten scenariusz nie mówi

Ten scenariusz nie podaje, ile trwa taki audyt w tygodniach ani ile kosztuje, bo zależy to od liczby systemów AI używanych w poszczególnych działach i stanu wyjściowej dokumentacji. Nie zakłada, że klasyfikacja narzędzia rekrutacyjnego jako systemu z Załącznika III zostanie automatycznie zaakceptowana przez organ nadzoru rynku; ocena zgodności należy do regulatora, nie do doradcy.

Nie zastępuje indywidualnej opinii prawnej tam, gdzie producent ma już własną kancelarię obsługującą prawo pracy lub ochronę danych. Nie opisuje też sytuacji, w której dostawca jednego z narzędzi biurowych albo narzędzia rekrutacyjnego zmienia funkcję systemu w kolejnej aktualizacji, co wymaga powtórzenia oceny ekspozycji za każdym razem.

Nie zakłada wreszcie, że ten producent jest typowy dla całego sektora przemysłowego. Skala ekspozycji zależy od tego, ile systemów AI działa w organizacji, do jakich decyzji o osobach fizycznych są używane i czy firma ma już jakąkolwiek udokumentowaną klasyfikację sprzed tego przeglądu.

Następny krok

Metodę audytu ekspozycji i kolejność decyzji governance opisanych wyżej rozwijamy na stronach Audyty AI i AI Governance.

Dla zarządu, który chce sprawdzić, czy któryś z systemów AI używanych w firmie, także tych wdrożonych przez pojedyncze działy bez wiedzy zarządu, mieści się w kategoriach Załącznika III, punktem wejścia jest rozmowa 30-minutowa przez formularz kontaktowy, prowadzona przez Google Meet, bez gwarancji wyniku regulacyjnego z góry. Kto woli najpierw zorientować się samodzielnie, może zacząć od bezpłatnego audytu wstępnego pod adresem novus-point.pl/audyt.