AI governance w firmach

Oto podsumowanie najważniejszych punktów:

• Brak AI governance nie jest już pomijalnym szczegółem : Regulatorzy (w UE, USA i Republice Czeskiej) aktywnie egzekwują zgodność z przepisami; firmy bez udokumentowanego governance narażają się na kary i sankcje, a w sporach sądowych mają słabszą pozycję.
• Governance obejmuje cały cykl życia : Od wyboru narzędzi, przez kontrolę danych, testowanie modeli, audyt wyników i zarządzanie incydentami, aż po stały monitoring – to nie tylko papier, ale codzienna praktyka.
• Prawnicy z kancelarii adwokackiej ARROWS pomogą Państwu stworzyć i utrzymywać struktury governance, rozwiązywać kwestie compliance oraz chronić Państwa przed problemami z regulatorami i poważnymi awariami.
• Błędy są kosztowne : Halucynacje AI, ujawnione poważne incydenty bez planu reakcji, dyskryminujące wyniki, wycieki danych, nieważne umowy – za wszystko płaci się wysokimi karami i utratą zaufania partnerów oraz klientów.

Czym jest AI governance i dlaczego nie jest już opcjonalne

AI governance to nie tylko wyznaczenie osoby, która „zajmuje się” AI. To systematyczny zestaw procesów, zasad i mechanizmów, które zapewniają, że systemy wykorzystujące sztuczną inteligencję pozostają bezpieczne, legalne, etyczne i skuteczne. Chodzi o kontrolę od pierwszego dnia – od wyboru narzędzi, przez zarządzanie danymi i monitoring wyników, aż po obsługę incydentów.

Globalne otoczenie regulacyjne zmieniło się zasadniczo. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (dalej „EU AI Act”) już działa, a obowiązki stopniowo narastają: od 2 lutego 2025 stosuje się zakazy, od 2 sierpnia 2025 obowiązki dostawców modeli AI ogólnego przeznaczenia, a przepisy dotyczące systemów wysokiego ryzyka będą stosowane od 2 grudnia 2027 (załącznik III) lub od 2 sierpnia 2028 (załącznik I). W USA poszczególne stany przyjmują własne ustawy – Teksas, Utah, Kolorado i inne.

Republika Czeska nie jest odizolowana: jako państwo członkowskie UE podlega EU AI Act, a stopniowo rozwijają się także ramy krajowe. Firmy, które czekają na „rozwiązanie federalne” lub „czeską ustawę”, są już spóźnione.

Jednocześnie rozwija się orzecznictwo. Bez jasno udokumentowanego governance nie da się już obronić słowami „nie wiedzieliśmy” albo „model zrobił to sam”. Sąd i regulator będą chcieli zobaczyć, co konkretnie Państwa firma wiedziała, jakie kroki podjęła i dlaczego uważała, że jest to bezpieczne.

Aby AI governance było skuteczne, musi stać się częścią codziennego funkcjonowania. Przy tworzeniu wewnętrznych zasad (odpowiedzialność, zatwierdzanie narzędzi, zarządzanie incydentami) w praktyce często rozwiązuje się również ramy umowne i negocjowanie zobowiązań z dostawcami, w czym może pomóc zespół ds. umów i negocjacji. Przede wszystkim oznacza to, że nie jest to wyłącznie sprawa działu IT czy zespołu prawnego – musi być obecne na posiedzeniach zarządu, w zasadach rekrutacji, w procesach zakupowych i w komunikacji z partnerami biznesowymi.

Główne elementy AI governance w praktyce

Inwentaryzacja i klasyfikacja systemów AI

Pierwszym krokiem jest wiedza, jakie systemy AI w Państwa firmie co robią. Zaskakująco często okazuje się, że wiele firm nie ma jasnego przeglądu. Jeżeli inwentaryzacja obejmuje również narzędzia i dostawców transgranicznych (np. chmura, zagraniczna spółka matka), warto skorzystać z doświadczeń opisanych w tekście Jak zorganizować czeską działalność na Islandii bez zbędnego ryzyka. Pracownicy korzystają z narzędzi AI typu ChatGPT bez zgody, poszczególne działy budują własne narzędzia AI, programiści integrują modele z aplikacjami bez zgłoszenia – to tzw. shadow AI.

Powiązane pytania dotyczące klasyfikacji systemów AI:

1. Jak ustalić, z jakiej AI korzystam, skoro pracownicy zwykle wybierają ją sami? Bez centralnej kontroli dojdzie do sytuacji, w której dane trafią do niezatwierdzonych narzędzi. Praktycznym rozwiązaniem jest połączenie technicznej widoczności (monitoring sieci, narzędzia zapobiegające utracie danych (DLP)), szkoleń pracowników, a przede wszystkim zapewnienia zatwierdzonych alternatyw. Jeśli bowiem zablokują Państwo pracownikom dostęp, nie oferując niczego użytecznego, poszukają czegoś innego.
2. Czy muszę zakazać publicznych narzędzi AI typu ChatGPT? Niekoniecznie. Zależy to od rodzaju danych i kontekstu. Musicie jednak jasno określić, do których narzędzi pracownicy mogą wprowadzać jakie dane i co się stanie, jeśli tę zasadę naruszą.
3. Co się stanie, jeśli coś przeoczę w inwentaryzacji? Jeśli regulator lub sąd później wykryje system, którego nie mieli Państwo w przeglądzie, pojawią się pytania o Państwa należytą staranność (due diligence) i systematyczność. To osłabia Państwa pozycję prawną i reputacyjną. Gdy incydent AI przeradza się w spór z dostawcą lub klientem, należy w porę zająć się strategią dowodową i kwestią odpowiedzialności, co zazwyczaj należy do obszaru sporów gospodarczych i sądowych.

Dobra praktyka obejmuje zatem: udokumentowany wykaz wszystkich systemów AI, ich cel, osobę odpowiedzialną za działanie, przetwarzane dane, związane z nimi ryzyka oraz sposób monitorowania.

Zarządzanie danymi i data governance

Systemy AI są tylko tak dobre i bezpieczne jak ich dane. Jeśli do modelu trafiają dane nieodpowiednie, błędne lub dyskryminujące, model będzie je powielał. Jeśli dane nie są odpowiednio chronione, wyciek z jednego systemu AI zamieni się w masowy wyciek informacji wrażliwych.

Data governance w kontekście AI oznacza:

• Klasyfikację: wiedzę, które dane są wrażliwe (dane osobowe, tajemnice przedsiębiorstwa, informacje o zdrowiu itp.).
• Prawa dostępu: ograniczenie dostępu wyłącznie do osób, które go rzeczywiście potrzebują.
• Minimalizację: niegromadzenie i nieprzechowywanie większej ilości danych, niż to konieczne.
• Pochodzenie i lineage: śledzenie, skąd dane pochodzą, jak są przekształcane i gdzie trafiają.

Wiele firm nie zdaje sobie sprawy, że gdy np. wprowadzają dane do narzędzi takich jak Copilot bez sprawdzenia, czy są one odpowiednio chronione, naruszają Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) i narażają się na kary. 

Prawnicy z kancelarii adwokackiej ARROWS mogą pomóc w audycie Państwa data governance i w przygotowaniu zasad zgodnych z wymogami prawnymi.

Testowanie i walidacja modeli

Regulatorzy i sądy nie pozostawiają wątpliwości: eksploatacja systemu AI bez wcześniejszego testowania i bez ciągłego monitoringu jest niedopuszczalna. Oznacza to:

• Walidację przed wdrożeniem: sprawdzenie, czy model działa bezpiecznie na rzeczywistych danych, nie generuje dyskryminujących wyników, a halucynacje mieszczą się w akceptowalnych granicach.
• Monitoring po wdrożeniu: obserwowanie, jak model zachowuje się po uruchomieniu, czy nie wystąpił drift (zmiana zachowania w czasie), czy nie spada jego dokładność, czy nie zaczął generować problematycznych treści.
• Testowanie stronniczości (Bias testing): specjalne testy, czy model nie dyskryminuje ze względu na płeć, wiek, narodowość lub inną cechę chronioną.

Prosty przykład: firma wdraża system AI do oceny wiarygodności kredytowej wnioskodawców. Nikt nie testuje go pod kątem płci wnioskodawczyń. Model generuje zniekształcone wyniki (to przypadek z praktyki).

Regulator to wykrywa. Firma musi zapłacić karę na podstawie RODO i EU AI Act oraz zmierzyć się z pozwem zbiorowym poszkodowanych kobiet.

Powiązane pytania dotyczące testowania:

1. Ile testowania wystarczy? To zależy od poziomu ryzyka systemu. Decyzje wysokiego ryzyka (zatrudnienie, kredyty, ochrona zdrowia) wymagają bardzo dokładnych testów. Decyzje niskiego ryzyka (np. klasyfikacja wiadomości na potrzeby wewnętrznej analityki) – mniej.  Prawnicy z ARROWS pomogą Państwu ustalić minimalny standard dla Państwa przypadku.
2. Kto powinien przeprowadzać testy – wewnętrznie czy zewnętrznie? Najlepiej połączenie obu. Wewnętrzne testy doświadczonego zespołu, ale zawsze gdy w grę wchodzi wysokie ryzyko, zewnętrzny audyt potwierdzi obiektywność. Systemy AI wysokiego ryzyka będą wymagały oceny zgodności przez stronę trzecią (tzw. jednostkę notyfikowaną) zgodnie z EU AI Act.
3. Jakie ryzyko wiąże się z jednorazowym testem i powrotem do zwykłej eksploatacji?
   Modele z czasem ulegają degradacji. Bez monitoringu (np. comiesięcznego) mogą Państwo dowiedzieć się o problemie dopiero wtedy, gdy regulator przyjdzie z audytem lub zwróci się do Państwa poszkodowany klient.

Zarządzanie ryzykiem i ocena skutków (impact assessment)

EU AI Act, NIST AI Risk Management Framework oraz regulacje krajowe wprost wymagają, aby firmy identyfikowały i dokumentowały ryzyka związane z ich systemami AI. Chodzi o coś więcej niż bezpieczeństwo IT – chodzi o ryzyka prawne, etyczne, operacyjne i reputacyjne.

Kluczowe jest przeprowadzanie ocen skutków AI (AI Impact Assessments), podobnych do oceny skutków dla ochrony danych (DPIA) na podstawie RODO:

• Jakiego systemu używają Państwo i co on robi?
• Na kogo wpływa (pracownicy, klienci, społeczeństwo)?
• Jak poważne mogą być ewentualne błędy (dyskryminacja, halucynacje, wycieki danych)?
• Jakie ramy prawne mają zastosowanie?
• Jakie środki zapobiegawcze i monitoring są wdrożone?
• Kto ponosi odpowiedzialność, gdy coś zawiedzie?

Bez takiego dokumentu nie mają Państwo dowodu, że podeszli do problemu poważnie. Mając go, dysponują Państwo obroną na wypadek, gdy sąd lub regulator zwróci na Państwa uwagę.

Struktura governance i odpowiedzialność

Prawnicy z kancelarii adwokackiej ARROWS widzieli spór za sporem, w których wszyscy wskazywali na siebie nawzajem: „Myśleliśmy, że zajmuje się tym IT… IT myślało, że zajmuje się tym dział prawny… dział prawny myślał, że to sprawa zarządu...” Efekt: nikt nie miał jasno przypisanej odpowiedzialności, błędy narastały i dotknęły wszystkich. To nie jest dobra sytuacja.

Prawidłowe governance musi mieć jasno określone role i obowiązki wszystkich zaangażowanych stron:

• Zarząd/Board: wyznacza strategię, zatwierdza tolerancję ryzyka, zapewnia, że AI governance jest częścią procesów przedsiębiorstwa.
• AI Governance Committee (jeśli istnieje): koordynuje pracę poszczególnych zespołów, zatwierdza wdrożenia systemów, rozpatruje eskalacje.
• Data stewards: zapewniają jakość i bezpieczeństwo danych.
• Zespół prawny: monitoruje zgodność z wymogami prawnymi, przygotowuje umowy z dostawcami.
• IT/Security: zapewnia bezpieczeństwo techniczne i monitoring.
• Business owners: ponoszą odpowiedzialność operacyjną za konkretne systemy AI w swoich obszarach.
• Human reviewers: dbają o to, aby kluczowe decyzje nie były w pełni zautomatyzowane bez udziału człowieka.

Udokumentujcie ten podział na piśmie. Najlepiej w karcie lub polityce AI governance. Bez tego, gdy coś pójdzie nie tak, wszyscy będą się kłócić.

Tabela głównych ryzyk i jak pomaga kancelaria adwokacka ARROWS

Ramy regulacyjne: skąd się to wzięło i co teraz grozi

EU AI Act – najbardziej wiążący akt prawny

Rozporządzenie EU AI Act weszło w życie 1 sierpnia 2024 i jest wdrażane stopniowo:

• Od 2 lutego 2025: zakazane praktyki (manipulacja, wykorzystywanie słabości, social scoring bez wyjątków) już obowiązują.
• Od 2 sierpnia 2025: obowiązki dostawców modeli AI ogólnego przeznaczenia (np. streszczenie danych treningowych).
• Od 2 grudnia 2027 (załącznik III) i 2 sierpnia 2028 (załącznik I): przepisy dotyczące systemów AI wysokiego ryzyka.

Co to oznacza w praktyce? Jeśli używają Państwo AI przy decyzjach dotyczących zatrudnienia, kredytów, ochrony zdrowia lub usług publicznych, mają Państwo obowiązki w zakresie dokumentacji, testowania, rejestrowania zdarzeń (logów) i zgłaszania incydentów. W razie ich naruszenia grożą kary do 35 milionów EUR lub 7 % światowego obrotu, w zależności od tego, która kwota jest wyższa.

Dla firm działających w Republice Czeskiej lub w UE nie ma ucieczki: nawet jeśli mają Państwo siedzibę poza UE, ale mają klientów lub pracowników w UE, AI Act ma do Państwa zastosowanie.

Regulacje stanowe w USA

Ustawa federalna w USA na razie nie istnieje, ale poszczególne stany nie traktują tematu lekko:

• Teksas (od stycznia 2026): zakazane są systemy przeznaczone do samookaleczeń, dyskryminacji lub nielegalnych deepfake’ów; obowiązkowa przejrzystość w przypadku AI rządowej i medycznej.
• Kolorado (od czerwca 2026): wymogi przejrzystości dla AI wysokiego ryzyka, audyt pod kątem dyskryminacji.
• Utah (już obowiązuje): obowiązek jasnego informowania, że chodzi o AI; firma odpowiada za nielegalne praktyki tak, jakby sama je stosowała.
• Kalifornia (stopniowe wdrażanie): przepisy ADMT (Automated Decision Making Tools) regulujące podejmowanie decyzji dotyczących osób, nowe prawa do danych.

Firma z czeskimi pracownikami w USA lub z amerykańskimi klientami musi liczyć się z kilkoma regulacjami jednocześnie.

Republika Czeska i elementy międzynarodowe

Czeskie regulacje dopiero się rozwijają, ale będą automatycznie opierać się na EU AI Act. Ponadto czeskie prawo (handlowe, pracy, medyczne) ma zastosowanie do wszystkich decyzji AI, które dotyczą tych obszarów – nawet jeśli AI nie jest w nim wprost wymieniona.

Jeśli mają Państwo klientów lub partnerów w innych krajach, muszą Państwo liczyć się z tym, że w każdym regionie obowiązują inne zasady. Prawnicy z kancelarii adwokackiej ARROWS zajmują się transgranicznym AI governance dzięki sieci ARROWS International – możemy pomóc w koordynacji obowiązków w wielu krajach.

Najczęstsze pytania dotyczące ram regulacyjnych i wdrażania governance:

1. Jak rozpoznać, że system AI jest „wysokiego ryzyka” według EU AI Act? Systemami wysokiego ryzyka są np. systemy do screeningu pracowników, oceny zdolności kredytowej, zarządzania ruchem, ochrony zdrowia. Niższe ryzyko niesie np. chatbot do FAQ. Nie zawsze jest to jasne. Prawnicy z ARROWS pomogą Państwu sklasyfikować konkretne systemy: konsultacja@arws.cz
2. Czy mogę po prostu wdrożyć narzędzie AI typu ChatGPT w HR do selekcji kandydatów? Teoretycznie tak, ale bez governance jest to w praktyce ryzykowne. Muszą Państwo testować pod kątem stronniczości, prowadzić rejestry audytowe, zapewnić możliwość kontroli przez człowieka i mechanizmy naprawcze. Jeśli tego nie zrobią, a dojdzie do sporu sądowego, Państwa obrona będzie słaba.
3. Kto odpowiada za compliance – dział technologiczny czy prawnicy?
   Obie strony. Technologia buduje system i monitoring, prawnicy zapewniają zgodność z przepisami. Bez jasnej współpracy sprawy się komplikują. Prawnicy z ARROWS pomogą Państwu tę współpracę zorganizować: konsultacja@arws.cz

Praktyczne ryzyka, którym przeciwdziała AI governance

Halucynacje i niepewność wyników

Generatywne modele AI czasem po prostu kłamią – z pewnością siebie generują treści, które w ogóle nie istnieją. Prawnik mógłby otrzymać „precedens”, którego nie ma w żadnej bazie danych. System HR mógłby stworzyć raport o kandydacie, który zupełnie nie odpowiada prawdzie.

Bez governance: błędy trafiają do produkcji i szkodzą klientom lub partnerom.
Z governance: mają Państwo procesy kontroli przez człowieka (human review), rejestry audytowe, potrafią wykazać, że zajęli się problemem, i mogą bez trudu powiedzieć „to był błąd AI, który właśnie naprawiliśmy” – mając na to dowód.

Dyskryminacja i stronniczość (bias)

Modele uczą się z danych. Jeśli dane historyczne odzwierciedlają dyskryminację (np. kobiety otrzymywały gorsze oceny), model się tego nauczy. Następują poważne wpadki: w USA zdarzały się przypadki, w których AI do selekcji kandydatów w istotny sposób dyskryminowała kobiety i niektóre mniejszości.

Bez governance: stają się Państwo dowodem w pozwie zbiorowym lub mierzą się z karą od regulatora. Obrona „nie wiedzieliśmy” się nie obroni.
Z governance: testują Państwo stronniczość przed wdrożeniem, mają dane o tym, co zostało przetestowane, mają plan naprawczy, a regulator postrzega Państwa jako odpowiedzialnego gracza. To znacznie lepsza pozycja.

Wycieki danych i naruszenia RODO

Pracownik wprowadza dane osobowe do narzędzia AI typu ChatGPT, aby coś streścić. Dane znajdują się teraz na serwerze dostawcy i mogą stać się częścią danych treningowych. To naruszenie RODO – kara do 20 milionów EUR lub 4 % światowego obrotu.

Bez governance: nikt nie zna jasnych zasad, każdy robi, co chce, wycieki się mnożą, a nie ma nawet planu, jak je rozwiązać.
Z governance: mają Państwo szkolenia, zatwierdzone narzędzia, zasady dotyczące danych i monitoring. Gdy pojawi się problem, dysponują Państwo dokumentacją, którą można przedstawić regulatorowi.

Naruszenie praw własności intelektualnej (IP infringement) i praw autorskich

Modele generatywne często czerpią treści ze źródeł publicznych – w tym z utworów chronionych. Jeśli mają Państwo model trenowany w ten sposób, mogą Państwo zostać wciągnięci w spór prawny lub będą musieli zapłacić sankcje. A jeśli Państwa model wygeneruje treść silnie przypominającą dzieło autora, grozi Państwu pozew.

Governance jest tu istotne: mają Państwo audyt tego, co znalazło się w danych treningowych, mają politykę, mają możliwość tego zakazać – wtedy dysponują Państwo obroną.

Vendor lock-in i ryzyko dostawcy

Firma wiąże się z jednym dostawcą AI, który zmienia politykę cenową lub przestaje utrzymywać swój model. Są Państwo w pułapce.

Z governance: mają Państwo w umowach konkretne wymogi dotyczące wydajności, klauzule wyjścia, prawa do audytu oraz plan B. Prawnicy z ARROWS mogą zadbać, aby Państwa umowy z dostawcami nie były jednostronne.

Jak wdrożyć AI governance w praktyce – szczegółowy plan

Faza 1: Przygotowanie i edukacja (1–2 miesiące)

• Ustalcie, kto w zarządzie odpowiada za AI.
• Zapoznajcie top management z ramami regulacyjnymi i realnymi ryzykami.
• Przeszkólcie kluczowe osoby z IT, działu prawnego, HR i linii biznesowych.
• Przygotujcie podstawową politykę AI governance (lub zlećcie jej przygotowanie kancelarii adwokackiej ARROWS: konsultacja@arws.cz).

Faza 2: Inwentaryzacja i klasyfikacja (2–3 miesiące)

• Zmapujcie wszystkie systemy AI w firmie – wewnętrzne, zakupione, shadow AI.
• Sklasyfikujcie je według ryzyka (wysokie, średnie, niskie) zgodnie z AI Act.
• Udokumentujcie, co robią, jakie dane przetwarzają i kto za nie odpowiada.

Faza 3: Struktura governance i odpowiedzialność (1 miesiąc)

• Powołajcie AI Governance Committee (międzydziałowy).
• Jasno określcie role: kto decyduje, kto zajmuje się danymi, kto monitoruje, kto eskaluje.
• Udokumentujcie to na piśmie.

Faza 4: Testowanie i audyt (na bieżąco)

• Poddajcie systemy AI wysokiego ryzyka niezależnemu audytowi lub ocenie zgodności.
• Testujcie pod kątem stronniczości, halucynacji i bezpieczeństwa danych.
• Wdróżcie ciągły monitoring.
• Opracujcie plan reagowania na incydenty.

Faza 5: Szkolenia i komunikacja

• Przeszkólcie wszystkich pracowników z zasad AI governance.
• Komunikujcie, co jest dozwolone, a co nie.
• Zadbajcie, aby ludzie wiedzieli, jak zgłaszać podejrzenia problemów.

Faza 6: Regularny przegląd i aktualizacja

• Co najmniej raz w roku przejrzyjcie polityki governance.
• Monitorujcie zmiany w regulacjach.
• Dostosowujcie procesy do nowych sytuacji.

Prawnicy z kancelarii adwokackiej ARROWS mogą przeprowadzić Państwa przez wszystkie te fazy – od przygotowania polityki, przez audyt compliance, aż po przygotowanie do ewentualnej kontroli regulacyjnej. Jesteśmy ubezpieczeni od odpowiedzialności zawodowej z limitem 350 000 000 CZK (ok. 14,4 mln EUR), dzięki czemu mają Państwo pewność niezawodności: konsultacja@arws.cz

Tabela typowych błędów popełnianych przez firmy – i jak ich uniknąć

Najczęstsze pytania dotyczące governance w miejscu pracy i w działalności operacyjnej

1. Jeśli zakażę narzędzia AI typu ChatGPT i polecę wszystkim pracować z zatwierdzonym narzędziem, czy to wystarczy?
   Częściowo tak, ale trzeba to połączyć z kontrolą dostępu (narzędzia DLP, monitoring), szkoleniami i jasną polityką określającą, na co uważać (nie wolno wprowadzać tajemnic przedsiębiorstwa, danych osobowych itp.). Sam zakaz bez alternatywy sprawi, że ludzie znajdą obejście.
2. Ile kosztuje prawidłowe AI governance? Czy to nie jest tylko dla dużych korporacji?
   Governance można skalować. Mniejszej firmie wystarczy prosta polityka, wykaz systemów i regularne szkolenia. W dużej korporacji to bardziej złożona struktura i narzędzia. W obu przypadkach jest to znacznie tańsze niż usuwanie skutków – wpadka spowodowana brakiem governance może kosztować miliony. Prawnicy z ARROWS pomogą Państwu stworzyć governance dostosowane do wielkości firmy: konsultacja@arws.cz
3. Jaki jest najszybszy sposób na zapewnienie podstawowej zgodności?
   Zacznijcie od polityki AI (można wykorzystać szablon), przeprowadźcie inwentaryzację tego, czego używacie, przeszkólcie ludzi i wdróżcie podstawowy monitoring. To nie jest ideał, ale lepsze to niż nic. Następnie pogłębiajcie działania.
4. Jeśli w firmie wystąpi incydent z AI (np. wyciek danych), czy powinienem zgłosić go regulatorowi?
   To zależy od charakteru incydentu. Jeśli chodzi o naruszenie ochrony danych osobowych w rozumieniu RODO, to tak – musicie to zrobić w ciągu 72 godzin od jego stwierdzenia. W innych przypadkach obowiązek zgłoszenia zależy od konkretnej sytuacji i regulacji (np. zgodnie z EU AI Act zgłasza się poważne incydenty w systemach wysokiego ryzyka). Prawnicy z ARROWS pomogą Państwu określić obowiązki i przygotują komunikację z regulatorem: konsultacja@arws.cz

Podsumowanie

AI governance nie jest ćwiczeniem na papierze ani złożonym projektem IT – to podstawowy element tego, jak nowoczesna firma eksploatuje systemy AI, aby przynosiły korzyści bez ryzyk prawnych i operacyjnych. Regulatorzy już nie czekają, a kary rosną. Spory sądowe się mnożą. Wszyscy pytają: co macie udokumentowane? Co przetestowaliście? Skąd wiecie, że wasz model nie dyskryminuje? Jak zarządzacie danymi? Kto za to odpowiada?

Firmy, które odrzucają governance, grają o wysoką stawkę. Te, które je ignorują, uważają, że nie jest potrzebne – dopóki nie zadzwoni regulator albo nie wpłynie pozew do sądu.

Prawidłowo wdrożone governance jest natomiast najlepszą inwestycją. Pozwala bez obaw sięgać po AI, znają Państwo swoje ryzyka, mają plan, jak sobie z nimi radzić, a gdy coś się wydarzy, mają czym się bronić. Regulator widzi, że są Państwo odpowiedzialnym graczem.

Jeśli nie są Państwo pewni, jak postąpić dalej, lub chcą sprawdzić governance z perspektywy prawnej, prosimy o kontakt z prawnikami z kancelarii adwokackiej ARROWS. Mamy doświadczenie z presją regulacyjną w Republice Czeskiej i w UE, znamy wyzwania operacyjne klientów i potrafimy doradzić, co jest dla Państwa minimum i jak daleko warto pójść. 

Zajmujemy się audytami, przygotowaniem polityk governance, umowami z dostawcami oraz reprezentacją przed regulatorami. Prosimy o kontakt pod adresem konsultacja@arws.cz – umówimy konsultację.

Najczęstsze pytania dotyczące AI governance w firmach

1. Czy muszę wdrożyć AI governance właśnie teraz, czy mogę poczekać?
   Im wcześniej, tym lepiej. Regulacje stale się zaostrzają, a compliance będzie droższe, jeśli będą Państwo w tyle. Ponadto jeśli AI już działa, a governance zostanie wprowadzone późno, trzeba będzie wstecznie przeprowadzać audyty i ewentualnie poprawiać rzeczy, które powinny być prawidłowe od początku. Jeśli wiedzą Państwo, że używają AI, zacznijcie teraz. Prosimy o kontakt z kancelarią adwokacką ARROWS: konsultacja@arws.cz
2. Jaka jest różnica między „AI governance” a „privacy by design” w rozumieniu RODO? Privacy by design koncentruje się na ochronie danych osobowych. AI governance jest szersze – obejmuje bezpieczeństwo danych, ale także testowanie stronniczości, ryzyka operacyjne, zgodność regulacyjną i zarządzanie incydentami. RODO jest częścią AI governance, ale tylko częścią. Oba podejścia się uzupełniają.
3. Czy mogę stworzyć governance samodzielnie, czy muszę zlecić to na zewnątrz? Mogą Państwo stworzyć je samodzielnie, jeśli mają w zespole ekspertów. Niedocenianie tego zadania jest jednak ryzykowne – drobne błędy w zasadach później się rozprzestrzeniają. Prawnicy z ARROWS mogą pomóc w weryfikacji, audycie i przygotowaniu wzorów tak, aby odpowiadały ramom prawnym: konsultacja@arws.cz
4. Co jeśli korzystam z AI zewnętrznego dostawcy – kto odpowiada za compliance, on czy ja? Odpowiadają Państwo oboje. Dostawca odpowiada za swój system; Państwo (jako podmiot stosujący) odpowiadają za to, aby system był używany prawidłowo, monitorowany, a jego wyniki kontrolowane. Jeśli dostawca zawiedzie, a Państwo mieli obowiązek uwzględnić to w ramach governance, odpowiedzialność za niepowodzenie spoczywa także na Państwu.

Prawnicy z ARROWS mogą przygotować dla zarządu prezentację na temat ryzyk regulacyjnych: konsultacja@arws.cz