Streszczenie: Artykuł analizuje fundamentalne zmiany, jakie unijne rozporządzenie AI Act wprowadza w funkcjonowaniu przedsiębiorstw, przekształcając sztuczną inteligencję z oprogramowania wspierającego efektywność w ściśle regulowany element władzy organizacyjnej. Autorka podkreśla, że europejski ustawodawca kategoryzuje systemy AI na podstawie generowanego ryzyka, przy czym szczególne znaczenie dla biznesu mają systemy wysokiego ryzyka, stosowane między innymi w rekrutacji, ocenie zdolności kredytowej czy polityce cenowej. Wdrożenie nowych przepisów oznacza koniec wygodnego tłumaczenia, że za dany wynik odpowiada wyłącznie algorytm, ponieważ organizacja ponosi pełną odpowiedzialność za decyzje współpodejmowane przez maszynę. Jednym z największych zagrożeń dla współczesnych zarządów staje się zjawisko „shadow AI”, polegające na oddolnym i niekontrolowanym wykorzystywaniu inteligentnych narzędzi przez pracowników, co w świetle nowego prawa może zostać potraktowane jako dowód braku skutecznego nadzoru instytucjonalnego. Ponadto regulacja wymusza zapewnienie rzeczywistej, a nie tylko proceduralnej kontroli człowieka nad zautomatyzowanymi procesami decyzyjnymi (tzw. human oversight). Wymaga to od firm dogłębnego zmapowania obszarów wykorzystania technologii, przypisania biznesowych właścicieli, stworzenia wewnętrznych zasad bezpieczeństwa (tzw. BHP dla AI) oraz budowy kompetencji pozwalających na pełne zrozumienie i ewentualne kwestionowanie wyników generowanych przez algorytmy.
Dlaczego sztuczna inteligencja przestaje być narzędziem do zwiększania produktywności, a staje się elementem infrastruktury decyzyjnej organizacji.
Przez ostatnie lata debata o sztucznej inteligencji koncentrowała się przede wszystkim na produktywności, automatyzacji i wzroście efektywności. AI miała przyspieszać procesy, wspierać analitykę, obniżać koszty i zwiększać konkurencyjność przedsiębiorstw. W praktyce zaczęto ją postrzegać jako „idealnego stażystę” – niezwykle wydajnego, dostępnego przez całą dobę i pozornie neutralnego wobec procesu podejmowania decyzji. To podejście odchodzi jednak w przeszłość wraz z wejściem w życie AI Act.
Europejski ustawodawca po raz pierwszy potraktował sztuczną inteligencję nie jako zwykłe oprogramowanie, lecz jako system mogący wpływać na prawa podstawowe, sytuację ekonomiczną jednostki oraz sposób podejmowania decyzji w organizacjach. Jak wskazano w preambule AI Act, celem regulacji jest stworzenie „jednolitych ram prawnych promujących zaufanie do zorientowanej na człowieka sztucznej inteligencji, przy jednoczesnym zapewnieniu wysokiej ochrony interesów publicznych”. To pozornie techniczne przesunięcie ma jednak fundamentalne znaczenie. AI przestaje być wyłącznie narzędziem operacyjnym, a staje się regulowanym elementem procesu decyzyjnego. Oznacza to, że przedmiotem regulacji nie jest już sama technologia, lecz sposób podejmowania decyzji z jej udziałem. Dlatego AI Act nie jest projektem technologicznym. To regulacja dotycząca ładu organizacyjnego, odpowiedzialności i zarządzania ryzykiem.
Koniec złudzenia neutralnego narzędzia
Jednym z najczęstszych błędów popełnianych dziś przez organizacje jest przekonanie, że dopóki człowiek formalnie zatwierdza decyzje, odpowiedzialność pozostaje wyłącznie po jego stronie. AI Act podważa ten sposób myślenia. Rozporządzenie koncentruje się bowiem nie na samej technologii, lecz na skutkach jej wykorzystania. Wprowadza podział systemów AI na cztery kategorie: systemy minimalnego ryzyka, systemy ograniczonego ryzyka, systemy wysokiego ryzyka oraz systemy zakazane, uznane za niedopuszczalne z perspektywy ochrony praw podstawowych i bezpieczeństwa obywateli.
Z punktu widzenia biznesu największe znaczenie mają systemy wysokiego ryzyka. Należą do nich rozwiązania wykorzystywane między innymi w rekrutacji, sektorze finansowym, ocenie zdolności kredytowej, scoringu, ustalaniu cen oraz wszędzie tam, gdzie mogą wpływać na sytuację ekonomiczną człowieka. Kluczowe staje się zatem pytanie, czy system AI wpływa na sytuację jednostki lub wynik decyzji biznesowej.
Jeżeli ogranicza pulę dostępnych możliwości, ustala priorytety, rekomenduje określone działania, selekcjonuje kandydatów, wpływa na politykę cenową, scoring, dostęp do finansowania lub ocenę ryzyka, to przestaje pełnić wyłącznie funkcję analityczną. Zaczyna współkształtować decyzję.
Właśnie tutaj przebiega rzeczywista granica wyznaczona przez AI Act. Nie między prostym a zaawansowanym algorytmem, lecz między technologią wspierającą analizę a technologią wpływającą na wynik decyzji. W praktyce oznacza to, że organizacja odpowiada za decyzję podjętą z udziałem AI tak samo, jak za decyzję podjętą bezpośrednio przez człowieka. To fundamentalna zmiana w podejściu do odpowiedzialności zarządczej.
Równocześnie rosną wymagania dotyczące transparentności. Kandydat, klient czy użytkownik coraz częściej będzie miał prawo do uzyskania informacji, że decyzja została podjęta przez system AI lub współpodjęta z jego wykorzystaniem, a także będzie mógł dowiedzieć się, jakie czynniki wpłynęły na jej wynik. Oznacza to koniec wygodnego dla wielu organizacji modelu odpowiedzialności sprowadzającego się do stwierdzenia: „Tak zdecydował algorytm”. AI Act zakłada bowiem, że organizacja nie może korzystać z systemu, którego działania nie potrafi wyjaśnić, nadzorować ani – w razie potrzeby – zakwestionować.
AI Act jako regulacja zaufania instytucjonalnego
Wbrew popularnym narracjom AI Act nie jest wyłącznie próbą ograniczenia ryzyka technologicznego. W istocie ma przywrócić instytucjonalną kontrolę nad procesami decyzyjnymi, które coraz częściej wymykają się tradycyjnym mechanizmom nadzoru. Szczególnie wyraźnie widać to w przypadku systemów wysokiego ryzyka. Do tej kategorii AI Act zalicza między innymi rozwiązania wykorzystywane w procesie rekrutacji, zarządzaniu pracownikami, ocenie zdolności kredytowej, sektorze finansowym, ubezpieczeniach oraz wszędzie tam, gdzie działanie systemu może wpływać na sytuację ekonomiczną jednostki.
To istotne rozróżnienie, ponieważ wiele organizacji nadal utożsamia systemy wysokiego ryzyka z technologiami rodem z futurystycznych scenariuszy, takimi jak rozpoznawanie twarzy, systemy autonomiczne czy zaawansowana biometria. Tymczasem największe konsekwencje tych regulacji będą dotyczyć przede wszystkim codziennych procesów biznesowych i operacyjnych. W tym kontekście ujawnia się jedno z najważniejszych wyzwań współczesnego zarządzania: sztuczna inteligencja rozwija się szybciej niż zdolność organizacji do kontrolowania decyzji podejmowanych z jej udziałem.
Coraz częściej zwraca się uwagę, że firmy nauczyły się mówić o AI językiem odpowiedzialności i etyki, jednocześnie nadal zarządzając nią głównie przez pryzmat efektywności i produktywności. Deklarują odpowiedzialne wykorzystanie sztucznej inteligencji, ale w praktyce nadal premiują przede wszystkim szybkość wdrożeń, skalę automatyzacji i wzrost efektywności operacyjnej. To właśnie tę rozbieżność AI Act próbuje dziś ograniczyć.
Shadow AI – największe ryzyko, którego zarządy nie dostrzegają
Najbardziej niebezpieczne zastosowania AI w organizacjach często nie są wdrażane centralnie. Pojawiają się oddolnie – poza formalnymi strukturami governance, poza działem compliance, a nierzadko także poza świadomością zarządu.
Działy HR korzystają z narzędzi wspierających analizę CV. Marketing wykorzystuje modele do dynamicznego ustalania cen. Sprzedaż posługuje się generatywną AI do segmentacji klientów. Pracownicy używają bezpłatnych modeli i wtyczek, przekazując im dane klientów, informacje poufne oraz dane biznesowe. W efekcie wiele organizacji już dziś korzysta ze sztucznej inteligencji na dużą skalę, choć formalnie uważa, że „jeszcze nie wdrożyło AI”.
W jednej z międzynarodowych firm, dla której opracowywałam strategię, dział HR wprowadził narzędzie AI wspierające preselekcję kandydatów. System miał jedynie usprawniać analizę CV, z czasem jednak rekruterzy zaczęli opierać się niemal wyłącznie na rekomendacjach generowanych przez model. Problem ujawnił się dopiero wtedy, gdy firma próbowała wyjaśnić, dlaczego systematycznie odrzucano określone grupy kandydatów już na początkowym etapie rekrutacji. Choć formalnie decyzję nadal zatwierdzał człowiek, organizacja nie była już w stanie wykazać, jakie kryteria rzeczywiście wpłynęły na rekomendacje systemu, czy rekruterzy analizowali pełną pulę kandydatów ani czy nadzór człowieka miał charakter rzeczywisty, a nie jedynie proceduralny.
Tego rodzaju sytuacje pokazują, że największym ryzykiem związanym z AI często nie jest pojedynczy błąd algorytmu, lecz stopniowa utrata kontroli nad własnym procesem decyzyjnym. W wielu przypadkach organizacje nie mają nawet pełnej świadomości, gdzie i w jakim zakresie sztuczna inteligencja wpływa już na podejmowane decyzje. Zjawisko określane mianem shadow AI staje się jednym z najpoważniejszych wyzwań regulacyjnych najbliższych lat.
AI Act nie przewiduje bowiem „klauzuli niewiedzy”. Brak świadomości po stronie zarządu nie zwalnia z odpowiedzialności. Przeciwnie – może to zostać uznane za dowód braku skutecznego nadzoru i kontroli nad procesami zachodzącymi w organizacji. Największym zagrożeniem przestaje być sama technologia. Staje się nim utrata świadomości tego, w jaki sposób AI wpływa na decyzje podejmowane wewnątrz firmy.
To fundamentalna zmiana perspektywy. Przez lata organizacje koncentrowały się na kontroli infrastruktury IT. W erze AI kluczowe staje się jednak nie tylko zarządzanie technologią, lecz także rozumienie sposobu, w jaki systemy wpływają na procesy decyzyjne. Najbardziej ryzykowna jest sytuacja, w której organizacja traci kontrolę nad procesem decyzyjnym, przestaje rozumieć wpływ AI na swoje działania, a jednocześnie nadal ponosi pełną odpowiedzialność prawną i reputacyjną za skutki podejmowanych decyzji.
Human oversight – człowiek musi istnieć naprawdę
Jednym z kluczowych pojęć w AI Act jest human oversight, czyli nadzór człowieka nad systemem AI. W praktyce wiele organizacji interpretuje ten obowiązek powierzchownie, zakładając, że wystarczy formalna obecność człowieka w procesie decyzyjnym – osoby, która zatwierdza rekomendację wygenerowaną przez system. Z perspektywy regulatora może to jednak okazać się niewystarczające. AI Act wymaga bowiem realnej możliwości zrozumienia działania systemu, zakwestionowania jego rekomendacji, zmiany decyzji oraz poniesienia odpowiedzialności za interwencję człowieka. To zasadnicza różnica. Człowiek nie może pełnić funkcji „ostatniego kliknięcia” w zautomatyzowanym procesie decyzyjnym. Musi zachować rzeczywistą zdolność do sprawowania kontroli. W przeciwnym razie organizacja wpada w pułapkę pozornego nadzoru. A właśnie ten problem staje się dziś jednym z najpoważniejszych wyzwań współczesnego AI governance.
Compliance nie oznacza kontroli
Wiele organizacji odpowiada dziś na AI Act szybkim tworzeniem polityk, list kontrolnych i dokumentacji compliance. To konieczne, ale niewystarczające. Największy problem nie polega bowiem na braku polityki dotyczącej AI, lecz na braku wiedzy o tym, gdzie sztuczna inteligencja jest wykorzystywana, jak wpływa na decyzje, kto odpowiada za jej działanie oraz czy organizacja nadal rozumie własne procesy decyzyjne. Dlatego pierwszy etap przygotowań do wdrożenia wymogów AI Act powinien mieć charakter operacyjny, a nie wyłącznie formalny.
Organizacja musi zmapować wszystkie obszary wykorzystania AI, zidentyfikować procesy współkształtowane przez systemy algorytmiczne, określić poziomy ryzyka, przypisać właścicieli biznesowych odpowiedzialnych za nadzór nad poszczególnymi rozwiązaniami, wdrożyć procedury human oversight oraz stworzyć zdolność do wyjaśniania decyzji podejmowanych z udziałem sztucznej inteligencji.
W tym miejscu pojawia się potrzeba stworzenia swoistego „BHP dla AI” – zestawu jednoznacznych zasad określających, kto może korzystać z narzędzi, w jakim zakresie, na jakich danych, przy użyciu jakich rozwiązań oraz kto odpowiada za nadzór nad całym procesem.
Coraz większego znaczenia będzie nabierać także mapowanie procesów decyzyjnych. Zarządy muszą identyfikować nie tylko formalnie wdrożone systemy AI, lecz również wszystkie miejsca, w których algorytmy wpływają na decyzje biznesowe – nawet jeśli są ukryte w pozornie prostych narzędziach analitycznych, systemach scoringowych, rozwiązaniach automatyzujących przepływ pracy (workflow automation) czy systemach finansowo-księgowych.
Kluczowe znaczenie będzie miała również zasada human in the loop. Problem polega na tym, że w wielu organizacjach człowiek formalnie uczestniczy w procesie, lecz w praktyce przestaje kontrolować decyzje. Z perspektywy regulatora sama obecność człowieka nie wystarczy, jeśli organizacja nie będzie w stanie wykazać, że pracownik rozumiał rekomendację systemu, miał możliwość jej zakwestionowania oraz realnie wpływał na ostateczną decyzję.
To fundamentalna zmiana w podejściu do ładu organizacyjnego. AI governance coraz bardziej przypomina klasyczne zarządzanie ryzykiem korporacyjnym. Sztuczna inteligencja staje się bowiem nie tylko narzędziem zwiększającym produktywność, lecz także elementem infrastruktury decyzyjnej organizacji.
Start-upy i innowacje pod nadzorem
AI Act nie ma wyłącznie charakteru restrykcyjnego. Regulacja tworzy również warunki do bezpiecznego rozwoju innowacji. Temu służą tzw. piaskownice regulacyjne (regulatory sandboxes), czyli kontrolowane środowiska umożliwiające testowanie nowych rozwiązań opartych na AI pod nadzorem regulatorów. To szczególnie istotne dla start-upów i organizacji rozwijających nowe modele biznesowe wykorzystujące sztuczną inteligencję.
Przez ostatnie lata rynek funkcjonował w dużej mierze zgodnie z zasadą move fast and break things. AI Act wyraźnie odchodzi od tej logiki.
Nowym standardem staje się projektowanie systemów AI z uwzględnieniem ryzyka, dokumentowanie procesów, zapewnienie możliwości wyjaśnienia sposobu działania systemu oraz zdolność organizacji do kontrolowania skutków wdrożenia technologii. W praktyce oznacza to, że przewagę konkurencyjną będą zdobywać nie tylko firmy dysponujące najlepszymi modelami AI, lecz przede wszystkim te, które potrafią połączyć innowacyjność z dojrzałym ładem organizacyjnym i skutecznym zarządzaniem odpowiedzialnością.
AI jako nowa warstwa władzy organizacyjnej
Najważniejsza zmiana związana z rozwojem sztucznej inteligencji nie ma charakteru technologicznego. Ma charakter instytucjonalny.
Przez dekady organizacje budowały przewagę konkurencyjną dzięki optymalizacji procesów i automatyzacji pracy. AI radykalnie wzmacnia tę tendencję. Jednocześnie może prowadzić do sytuacji, w której decyzje przestają być realnie kontrolowane, a są jedynie formalnie zatwierdzane. Dlatego sztuczna inteligencja coraz częściej przestaje być wyłącznie technologią. Staje się elementem władzy organizacyjnej. Wpływa bowiem na to, kto otrzyma pracę, kto uzyska finansowanie, jakie ceny zobaczy klient, jakie ryzyko zostanie zaakceptowane oraz które decyzje organizacja uzna za racjonalne. Skoro AI zaczyna współkształtować sposób sprawowania tej władzy, AI Act w istocie reguluje odpowiedzialność w tym zakresie.
Dlatego największym wyzwaniem dla liderów w najbliższych latach nie będzie samo wdrożenie sztucznej inteligencji. Znacznie trudniejsze okaże się utrzymanie realnej kontroli nad decyzjami, które organizacje coraz częściej współpodejmują wraz ze swoimi systemami AI. Prawdziwe pytanie nie brzmi już: „Czy organizacja korzysta z AI?”. Brzmi ono raczej: „Czy organizacja nadal rozumie decyzje, które zaczyna współpodejmować jej własna sztuczna inteligencja?”. •
