Ład AI w sektorze MŚP: dlaczego zarząd nie powinien pozostawiać AI wyłącznie działowi IT

Dlaczego ład AI w sektorze MŚP staje się teraz istotny

AI dotarła do sektora MŚP. Nie zawsze jako wielki projekt transformacyjny. Często ciszej.

Zespół sprzedaży używa AI do ofert. HR do ogłoszeń o pracę. Marketing do tekstów. Controlling do analiz. Kadra kierownicza do przygotowania rozmów. Pracownicy do e-maili. IT sprawdza narzędzia. Dostawcy integrują funkcje AI z istniejącym oprogramowaniem. Nagle AI jest na miejscu, zanim przedsiębiorstwo zdecydowało, jak chce z nią postępować.

To klasyczny moment dla ładu. Nie dlatego, że wszystko jest niebezpieczne. Lecz dlatego, że nieuporządkowane korzystanie w pewnym momencie samo staje się ryzykiem.

1. AI to nie tylko temat IT

IT może technicznie sprawdzać, zabezpieczać i obsługiwać systemy AI. Ale ład AI sięga dalej.

Dotyczy zarządzania przedsiębiorstwem, prawa, ochrony danych, rady zakładowej, HR, zakupów, działów merytorycznych, compliance, bezpieczeństwa informacji, tajemnic przedsiębiorstwa, a czasem także umów z klientami.

Ład AI zaczyna się tam, gdzie przestaje się traktować AI jako kwestię narzędzia. Narzędzie może być praktyczne. Odpowiedzialność i tak pozostaje w przedsiębiorstwie.

2. Wcześnie sprawdzić role w AI Act

AI Act rozróżnia różne role. W zależności od sytuacji przedsiębiorstwo może być na przykład dostawcą, podmiotem stosującym, importerem, dystrybutorem lub podmiotem odpowiedzialnym za produkt. Role te mogą pociągać za sobą różne obowiązki.

Wiele średnich przedsiębiorstw będzie początkowo korzystać z AI jako podmiot stosujący. Nie oznacza to jednak, że rola zawsze pozostaje prosta. Kto samodzielnie tworzy systemy AI, istotnie je zmienia, udostępnia pod własną nazwą lub integruje z produktami i procesami, powinien starannie sprawdzić swoją rolę.

Najbardziej niebezpieczna rola to często ta, której w ogóle się nie sprawdziło. Kto automatycznie uważa się za zwykłego użytkownika, powinien przynajmniej wiedzieć dlaczego.

3. Inwentarz AI i przypadki użycia

Przedsiębiorstwa mogą sterować AI tylko wtedy, gdy wiedzą, gdzie AI jest używana.

Inwentarz AI nie musi być biurokratycznym potworem. Powinien jednak uwidaczniać istotne zastosowania: narzędzie, cel, dział, dane, dostawca, ryzyko, zatwierdzenie, osoba odpowiedzialna i status weryfikacji.

Czego nikt nie ujmuje, tym nikt nie może sterować. Brzmi to sucho. Ale jest to różnica między ładem a utratą kontroli w dobrym humorze.

4. Klasy ryzyka i procesy zatwierdzania

Nie każde korzystanie z AI jest jednakowo ryzykowne.

Ogólną pomoc w formułowaniu bez danych poufnych należy oceniać inaczej niż AI w rekrutacji, w ocenie wyników, w klasyfikacji klientów, w decyzjach kredytowych, w analizie umów, w procesach medycznych, technicznych lub związanych z bezpieczeństwem.

Dlatego przedsiębiorstwa powinny pracować ze stopniami ryzyka.

Dobry ład AI nie zakazuje wszystkiego. On rozróżnia. Właśnie to czyni go użytecznym w codziennej pracy.

5. Ochrona danych i dane pracownicze

Ład AI musi wcześnie włączać ochronę danych.

W zależności od korzystania mogą być przetwarzane dane osobowe, dane klientów, dane kandydatów, dane pracownicze, dane o wynikach, dane komunikacyjne, dane o stanie zdrowia lub dane o lokalizacji.

Art. 5 RODO (DSGVO) reguluje zasady przetwarzania. Art. 6 dotyczy podstaw prawnych. Art. 28 może być istotny przy powierzeniu przetwarzania. Art. 32 dotyczy bezpieczeństwa przetwarzania. Art. 35 może być istotny przy ocenie skutków dla ochrony danych. Art. 88 RODO oraz § 26 BDSG (niemiecka ustawa o ochronie danych) mogą być istotne w zakresie ochrony danych pracowniczych.

AI nie powinna otrzymywać więcej danych tylko dlatego, że potrafi więcej. Przetwarzanie danych wymaga celu, granicy i odpowiedzialności.

Źródła: RODO (DSGVO) art. 5, art. 6, art. 28, art. 32, art. 35, art. 88; § 26 BDSG

6. Rada zakładowa i współdecydowanie

Jeśli istnieje rada zakładowa, ład AI powinien wcześnie uwzględniać współdecydowanie.

§ 87 BetrVG (niemiecka ustawa o ustroju zakładu pracy) może być istotny zwłaszcza w przypadku urządzeń technicznych przeznaczonych do monitorowania zachowania lub wydajności pracowników. Również porządek zakładu, czas pracy, dane o wynikach, oprogramowanie HR lub procesy wspierane przez AI mogą w zależności od ukształtowania wywoływać kwestie współdecydowania.

Nie oznacza to, że każde korzystanie z AI automatycznie podlega współdecydowaniu. Oznacza to: konkretne korzystanie musi zostać sprawdzone.

Współdecydowanie nie jest powiadomieniem o aktualizacji. Jeśli jest istotne, należy do procesu wdrożenia. Nie do późniejszego wyjaśnienia.

Źródło: § 87 BetrVG

7. Tajemnice przedsiębiorstwa i informacje poufne

Ład AI musi wyjaśnić, które informacje nigdy lub tylko w zatwierdzonych systemach mogą być przetwarzane.

§ 2 GeschGehG (niemiecka ustawa o ochronie tajemnic przedsiębiorstwa) definiuje tajemnice przedsiębiorstwa między innymi jako informacje, które są poufne, mają wartość gospodarczą i są przedmiotem odpowiednich środków zachowania poufności.

Dla przedsiębiorstw oznacza to: reguły AI, koncepcje dostępu, zatwierdzenia narzędzi i szkolenia mogą być częścią odpowiednich środków ochrony.

Tajemnice przedsiębiorstwa rzadko znikają dramatycznie. Czasem są po prostu kopiowane do narzędzia, ponieważ ktoś chciał szybciej skończyć.

Źródło: § 2 GeschGehG

8. Weryfikacja dostawców i umowy

Ład AI wymaga rzetelnej weryfikacji dostawców.

Nie każde narzędzie AI nadaje się do użytku w przedsiębiorstwie. Decydujące są nie tylko zakres funkcji i cena, lecz także warunki dostawcy, przetwarzanie danych, wykorzystanie do treningu, powierzenie przetwarzania, miejsca przechowywania, podwykonawcy, bezpieczeństwo, prawa do korzystania, odpowiedzialność, dostępność, wsparcie i wyjście (exit).

Narzędzie AI nie jest odpowiednie dla przedsiębiorstwa tylko dlatego, że imponująco odpowiada. Odpowiednie jest dopiero wtedy, gdy umowa, dane, bezpieczeństwo i odpowiedzialność do siebie pasują.

9. AI Literacy, szkolenia i przywództwo

Art. 4 AI Act dotyczący kompetencji w zakresie AI obowiązuje według informacji Komisji Europejskiej od 2 lutego 2025 r. Dostawcy i podmioty stosujące systemy AI muszą dołożyć najlepszych starań, aby zapewnić wystarczający poziom kompetencji w zakresie AI u swojego personelu i innych osób, które w ich imieniu mają styczność z systemami AI. Komisja Europejska wskazuje, że zasady nadzoru i egzekwowania w tym zakresie obowiązują od 3 sierpnia 2026 r.

Dla przedsiębiorstw oznacza to: szkolenie nie jest jedynie tłem. Jest częścią ładu AI.

Kompetencja w zakresie AI nie oznacza, że wszyscy pracownicy stają się ekspertami technicznymi. Oznacza, że ludzie wiedzą, kiedy AI jest pomocna, kiedy się myli i kiedy nie wolno z niej korzystać.

Źródło: art. 4 AI Act, Komisja Europejska o AI Literacy

10. Kontrola, dokumentacja i weryfikacja przez człowieka

Ład AI musi określić, kiedy wyniki są sprawdzane i kto przejmuje odpowiedzialność.

AI może przygotowywać teksty, analizy, rekomendacje, oceny, podsumowania lub decyzje. Ale przedsiębiorstwo musi wyjaśnić, gdzie weryfikacja przez człowieka jest obowiązkowa.

AI może przygotowywać. Odpowiedzialności nie da się zlecić na zewnątrz tylko dlatego, że wynik jest płynnie sformułowany.

11. Obowiązki kierownictwa i ład

Dla zarządu i organów kierowniczych nie chodzi o to, czy muszą samodzielnie sprawdzać każde użycie AI. Nie muszą.

Istotne pytanie brzmi: czy stworzyli odpowiednią organizację, aby ryzyka AI były rozpoznawane, oceniane, sterowane i dokumentowane?

§ 43 GmbHG (niemiecka ustawa o sp. z o.o.) reguluje obowiązek staranności i odpowiedzialność członków zarządu spółki z o.o. § 93 AktG (niemiecka ustawa o spółkach akcyjnych) reguluje obowiązek staranności i odpowiedzialność członków zarządu spółki akcyjnej. W zależności od przedsiębiorstwa, działania i ryzyka normy te mogą być istotne jako punkty odniesienia dla odpowiedzialności organizacyjnej i dokumentowania decyzji.

Zarząd nie musi programować AI. Powinien jednak zapobiec temu, by AI w przedsiębiorstwie tak naprawdę do nikogo nie należała.

Źródła: § 43 GmbHG, § 93 AktG

12. Typowe błędy w ładzie AI w sektorze MŚP

Z punktu widzenia prawnika powtarzają się określone schematy.

Ostatni błąd jest sednem. Sam fakt, że AI funkcjonuje w przedsiębiorstwie, nie oznacza jeszcze, że jest prowadzona. Czasem jest tylko bardzo produktywnym chwastem.

Lista kontrolna dla przedsiębiorców, członków zarządu i organów kierowniczych

Najczęstsze pytania o ład AI w sektorze MŚP