AI governance i unijny AI Act

Nadzór nad AI w firmie oznacza cztery udokumentowane elementy: wewnętrzną politykę AI zatwierdzoną przez dział prawny, ocenę skutków dla ochrony danych tam, gdzie przetwarzane są dane osobowe, klasyfikację każdego przypadku użycia AI zgodnie z EU AI Act oraz szkolenie dostosowane do ról, aby pracownicy wiedzieli, co mogą, a czego nie mogą robić. Obowiązki dotyczące zastosowań wysokiego ryzyka wynikające z EU AI Act mają zastosowanie od 2 sierpnia 2026 roku, a RODO ma zastosowanie do wszystkich danych, które pracownik wkleja dziś do modelu. Dostarczamy te cztery dokumenty w około cztery tygodnie, jako część wdrożenia lub oddzielnie, i piszemy je tak, aby sprawdzały się podczas audytu, a nie trafiały do szuflady.

Co dostarczamy i o co zapyta audytor

Polityka AI: które narzędzia są zatwierdzone, do których systemów mogą trafiać poszczególne dane, kto zatwierdza nowe przypadki użycia i jak zgłaszane są incydenty. Napisana tak, aby Państwa dział prawny ją podpisał; jedna strona zasad, jedna strona ról.
Ocena skutków dla ochrony danych i umowy powierzenia przetwarzania danych dla warstwy AI oraz jej dalszych podmiotów przetwarzających, z mapą przetwarzania danych dla każdego komponentu: gdzie przetwarzane są prompty, pliki i logi, jak długo są przechowywane i kto ma do nich dostęp.
Klasyfikacja EU AI Act: każdy przypadek użycia sklasyfikowany według kategorii ryzyka wraz z wynikającymi z niej obowiązkami (artykuły 5, 6, 50 i załącznik III) oraz rejestr, który Państwo aktualizują; większość asystentów firmowych zalicza się do kategorii ograniczonego lub minimalnego ryzyka, natomiast decyzje HR i kredytowe nie.
Szkolenie dostosowane do ról: oparte na rzeczywistych zadaniach Państwa zespołu, z zasadami polityki pokazywanymi na ekranach używanych przez uczestników; odrębne dla finansów, sprzedaży, IT i zarządu oraz dokumentowane na potrzeby akt audytowych.
Czego nie zapewniamy: porad prawnych dotyczących Państwa umów ani certyfikacji; współpracujemy z Państwa radcą prawnym i inspektorem ochrony danych oraz wskazujemy, kiedy dana kwestia leży w ich kompetencjach.

Checklista bezpieczeństwa, według której budujemy

Przetwarzanie danych zgodnie z wybranym wariantem, w tym pełna rezydencja w UE tam, gdzie jest to wymagane.
Umowny zakaz trenowania modeli na Państwa danych.
Audyt każdego zapytania: kto, kiedy, co, za ile.
Automatyczne maskowanie danych osobowych przed wysłaniem do modelu.
Logowanie kontem firmowym i natychmiastowe cofanie dostępów.
Infrastruktura z certyfikatami ISO 27001 i SOC 2.
Umowa powierzenia przetwarzania danych (DPA) i ocena skutków dla ochrony danych (DPIA).
Wewnętrzna polityka AI i klasyfikacja zgodnie z unijnym AI Act.

Dlaczego governance idzie w parze z wdrożeniem, a nie po nim

Polityka napisana zanim powstanie warstwa AI opisuje system, z którego nikt nie korzysta; polityka napisana po fakcie opisuje system, którego nikt już nie zmieni. Piszemy politykę podczas decydowania o architekturze, aby logowanie, audyt, maskowanie i bramki akceptacji znajdowały się w systemie, a nie w dokumencie o systemie. Właśnie to umożliwia również udokumentowany exit: jak zatrzymać agentów, cofnąć uprawnienia i przywrócić procesy do obsługi ręcznej, uzgodnione przed startem.

Pytania, które otrzymujemy

Czy unijny AI Act dotyczy firmy, która tylko używa ChatGPT lub Claude?

Korzystanie z modelu ogólnego przeznaczenia w zwykłej pracy biurowej wiąże się przeważnie z niskim ryzykiem, ale obowiązki zależą od tego, do czego model jest używany. Wykorzystanie w rekrutacji, decyzjach kredytowych, procesach istotnych dla bezpieczeństwa i podobnych obszarach należy do wyższych kategorii z obowiązkami od sierpnia 2026 roku. Dlatego każde użycie klasyfikuje się osobno.

Czy DPIA jest zawsze obowiązkowa?

Nie zawsze, ale zawsze wtedy, gdy dane osobowe są przetwarzane w nowy sposób z prawdopodobnie wysokim ryzykiem dla osób, których dane dotyczą. W przypadku asystenta firmowego, który czyta dane klientów i pracowników, traktujemy ją jako obowiązkową i przygotowujemy jako część wdrożenia.

Czy możecie przeszkolić naszych ludzi?

Tak, z podziałem na role i na rzeczywistych zadaniach z waszej codziennej pracy: co finanse mogą wkleić do asystenta, jak sprzedaż wykorzystuje kontekst z CRM, co IT widzi w audycie, co akceptuje zarząd. To nie jest ogólny kurs o AI.

Mamy już politykę AI. Czy potrzebujemy nowej?

Często nie. Oceniamy ją w zestawieniu z rzeczywistym systemem: czy wymienia zatwierdzone narzędzia, zasady dotyczące danych, ścieżkę akceptacji dla nowych zastosowań i zgłaszanie incydentów, oraz czy kontrole, które opisuje, istnieją w systemie. Luki są uzupełniane, polityka nie jest pisana od nowa.

Napiszcie do nas.

30-minutowa rozmowa o Państwa scenariuszach. Rozmowa oraz pisemna ocena, którą Państwo otrzymają, są bezpłatne, niezależnie od tego, czy nawiążemy współpracę. Kolejnym krokiem, jeśli do niego dojdzie, jest sześciotygodniowy pilotaż o stałej cenie w Państwa środowisku, bez zobowiązania do kontynuacji.

Zarezerwuj 30-minutową konsultację

Lub proszę napisać do nas bezpośrednio: info@iteractive.ai · +421 905 452 325