Po 28 października KRiBSI przyjrzy się firmom. Możliwe kary za brak procedur AI
REKLAMA
REKLAMA
28 października 2026 r. wchodzi w życie ustawa o systemach sztucznej inteligencji, która powołuje nowy organ nadzorczy - Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Firmy bez uporządkowanych procedur korzystania z AI zapłacą za to wysoką cenę - zarówno w sądzie, jak i w bilansie spółki.
- SKRÓT:
- KRiBSI to nowy organ z realną władzą - ale to nie wszystkie nowości z ustawy o systemach sztucznej inteligencji
- Czym jest KRiBSI i jakie kary grożą za złamanie przepisów o AI?
- Shadow AI nie może być dłużej ignorowane
- Bezpieczny regulamin korzystania z AI w firmie musi zawierać te 3 elementy
- Szkolenia z AI obowiązkowe na równi ze szkoleniem BHP - pracodawcy muszą przestawić myślenie
- HR i rekrutacja, decyzja kadrowe - tam kryje się największe pole do nadużyć z wykorzystaniem AI
- Firma bez audytu technologicznego AI? Przed nową ustawą jest na to ostatni dzwonek
- Ustawa o systemach sztucznej inteligencji (AI) - najczęściej zadawane pytania (FAQ)
SKRÓT:
- 28 października wchodzi w życie ustawa powiązana z unijnym AI Act, powołująca organ nadzorczy KRiBSI.
- Nowy organ może kontrolować dokumentację, nakładać kary administracyjne i rozpatrywać skargi pracowników.
- Firmy muszą uregulować zjawisko Shadow AI - używania narzędzi AI przez pracowników bez wiedzy pracodawcy.
- Najwyższe ryzyko dotyczy systemów HR i rekrutacyjnych - to tam kontrole będą najostrzejsze.
KRiBSI to nowy organ z realną władzą - ale to nie wszystkie nowości z ustawy o systemach sztucznej inteligencji
Ustawa o systemach sztucznej inteligencji wchodzi w życie 28 października 2026 r. Pozostaje w ścisłym związku z unijnym rozporządzeniem AI Act - powołuje krajowe organy, które mają egzekwować zasady ustalone już na poziomie Unii Europejskiej.
REKLAMA
REKLAMA
Dla przedsiębiorców oznacza to koniec okresu, w którym korzystanie z AI w firmie było kwestią wewnętrznej, nieformalnej praktyki. Ustawa nakłada konkretne obowiązki:
- inwentaryzację narzędzi algorytmicznych używanych w firmie,
- dbałość o kompetencje pracowników,
- zarządzanie ryzykiem,
- zapewnienie nadzoru człowieka nad systemami wysokiego ryzyka.
Zdaniem ekspertów, firmy, które nie zrobią porządku z algorytmami już teraz, zapłacą za to w przyszłości - i to podwójnie: w postępowaniu przed organem nadzorczym oraz w wynikach finansowych spółki.
Czym jest KRiBSI i jakie kary grożą za złamanie przepisów o AI?
Kluczową rolę w nowym systemie odgrywa Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) - wyspecjalizowany organ nadzorczy powołany na mocy krajowych przepisów. KRiBSI dostał szerokie uprawnienia kontrolne i śledcze.
KRiBSI jako nowy organ może:
- żądać wglądu w dokumenty, dane i materiały objęte przedmiotem kontroli, sporządzać ich kopie i zabezpieczać dowody,
- uzyskać dostęp do urządzeń i systemów informatycznych firmy,
- nagrywać przebieg kontroli, po wcześniejszym poinformowaniu podmiotu kontrolowanego,
- rozpatrywać skargi od pracowników i klientów,
- wydawać wiążące opinie indywidualne,
- nakładać administracyjne kary pieniężne za naruszenie przepisów.
To nie jest organ, który będzie interesował się wyłącznie dokumentacją techniczną. KRiBSI może zająć się także konkretną skargą pracownika, który uzna, że system AI naruszył jego prawa - np. przy rekrutacji czy ocenie efektywności.
Shadow AI nie może być dłużej ignorowane
Jednym z największych praktycznych problemów jest zjawisko określane jako Shadow AI - korzystanie przez pracowników z narzędzi sztucznej inteligencji bez wiedzy i nadzoru przełożonych oraz działu IT. Presja czasu sprawia, że pracownicy chętnie idą na skróty, wklejając do publicznych chatbotów dane, które nigdy nie powinny opuścić firmowej infrastruktury.
REKLAMA
Eksperci przestrzegają jednak przed najprostszym rozwiązaniem, czyli całkowitym zakazem.
"Wprowadzenie całkowitego zakazu korzystania może przynieść skutki odwrotne do zamierzonych. Pracownicy i tak będą sięgać po te narzędzia, tyle że w tajemnicy, z prywatnych smartfonów. Kluczem do bezpieczeństwa jest edukacja i mądre ramy" - komentuje Marcin Mika, dyrektor serwisu w ADP Polska.
Bezpieczny regulamin korzystania z AI w firmie musi zawierać te 3 elementy
Zamiast zakazu, firmy potrzebują jasnych zasad. Marcin Mika wskazuje trzy filary, na których powinien opierać się dobrze skonstruowany regulamin korzystania z AI w firmie.
- Kategoryzacja danych:
- Dane "zielone" - dowolne narzędzie;
- Dane "żółte" (wewnętrzne notatki) - tylko autoryzowane systemy;
- Dane "czerwone" (RODO, kody źródłowe, finanse) - bezwzględny zakaz opuszczania infrastruktury firmy.
- Lista dozwolonych narzędzi: Dostęp do komercyjnych wersji programów, z gwarancją umowną, że wpisywane prompty nie posłużą do trenowania modeli.
- Weryfikacja przez człowieka: Pracownik podpisuje się pod wygenerowanym dokumentem, poświadczając, że osobiście sprawdził zawarte w nim fakty.
"Sztuczna inteligencja powinna być traktowana jak stażysta, który nie ma dostępu do wewnętrznych informacji na poziomie doświadczonego pracownika, i którego efekty pracy muszą być sprawdzane przed puszczeniem ich w świat" - podsumowuje Marcin Mika, ADP Polska.
Szkolenia z AI obowiązkowe na równi ze szkoleniem BHP - pracodawcy muszą przestawić myślenie
Ustawa nakłada na firmy obowiązek podnoszenia kompetencji pracowników w obszarze pracy ze sztuczną inteligencją. W praktyce oznacza to konieczność organizowania szkoleń wewnętrznych i wdrażania polityk bezpiecznego korzystania z narzędzi AI.
"Jesteśmy przyzwyczajeni do cyklicznych szkoleń BHP, odnawianych co jakiś czas certyfikatów bezpieczeństwa, krótkich przypominających kursów dotyczących np. polityki antykorupcyjnej firmy. Dlatego sens mają również cykliczne szkolenia z pracy z AI" - Marcin Mika, ADP Polska.
Na takich szkoleniach uczestnicy pracują na bezpłatnych wersjach popularnych narzędzi. Trener przeprowadza kontrolowany wyciek danych - wgrywa do chatu spreparowany dokument finansowy fikcyjnej spółki, a następnie prosi model o analizę rynku dla danej branży. Uczestnicy na własne oczy widzą, jak AI zaczyna wplatać poufne dane z wcześniej wgranego dokumentu do pozornie niezwiązanej odpowiedzi.
Drugim elementem szkoleń jest demonstracja halucynacji modeli językowych - uczestnicy proszą AI o przykłady z niszowej dziedziny, a po serii pytań naprowadzających model zaczyna podawać konkretne, ale nieprawdziwe informacje.
HR i rekrutacja, decyzja kadrowe - tam kryje się największe pole do nadużyć z wykorzystaniem AI
Najpoważniejsze konsekwencje czekają firmy korzystające z tzw. systemów wysokiego ryzyka - czyli narzędzi szczególnie wrażliwych na naruszenie danych osobowych lub praktyki dyskryminacyjne. Zalicza się do nich algorytmy rekrutacyjne, narzędzia scoringowe oraz systemy medyczne.
"Systemy sztucznej inteligencji w obszarze HR czy scoringu dają ogromne możliwości optymalizacji. Łatwo przy tym mogą stać się źródłem systemowej dyskryminacji, bo algorytmy rekrutacyjne czy oceniające efektywność pracowników szkolone są na historycznych danych, które często powielają ludzkie uprzedzenia i stereotypy" - ocenia Marcin Mika, ADP Polska.
Ryzyko jest realne: jeśli algorytm zacznie eliminować kandydatów ze względu na cechy niezwiązane z kompetencjami, a poszkodowana osoba zbierze na to dowody, dla firmy oznacza to poważne kłopoty - zarówno prawne, jak i wizerunkowe.
Firma bez audytu technologicznego AI? Przed nową ustawą jest na to ostatni dzwonek
Wejście w życie ustawy i powstanie KRiBSI to dla przedsiębiorstw ostatni moment na przeprowadzenie audytu technologicznego. Brak kontroli nad stosowaniem AI w firmie - a w szczególności nad systemami HR wysokiego ryzyka - może okazać się realnym ryzykiem finansowym i wizerunkowym.
Uwaga: kary administracyjne od KRiBSI to tylko jedna strona ryzyka. Druga to postępowania sądowe wszczynane przez pracowników lub kandydatów, którzy poczują się poszkodowani decyzją podjętą przez algorytm - i będą mieli na to dowody zebrane właśnie dzięki nowym uprawnieniom organu nadzorczego.
Ustawa o systemach sztucznej inteligencji (AI) - najczęściej zadawane pytania (FAQ)
Kiedy wchodzi w życie ustawa o systemach sztucznej inteligencji?
28 października 2026 roku. Ustawa jest powiązana z unijnym rozporządzeniem AI Act i powołuje krajowe organy nadzorcze.
Czym jest KRiBSI?
To Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji - polski organ nadzorczy z uprawnieniami kontrolnymi i śledczymi, powołany na mocy ustawy o systemach sztucznej inteligencji.
Czym jest Shadow AI?
To zjawisko korzystania przez pracowników z narzędzi sztucznej inteligencji bez wiedzy i nadzoru pracodawcy oraz działu IT - często z prywatnych urządzeń i bez kontroli nad przetwarzanymi danymi.
Czy firma może całkowicie zakazać pracownikom korzystania z AI?
Eksperci odradzają taki krok - zakaz zwykle prowadzi do korzystania z narzędzi w tajemnicy, bez żadnej kontroli. Skuteczniejsze jest wprowadzenie regulaminu z kategoryzacją danych i listą dozwolonych narzędzi.
Jakie systemy AI są uznawane za systemy wysokiego ryzyka?
Przede wszystkim algorytmy rekrutacyjne, narzędzia scoringowe oraz systemy stosowane w medycynie - czyli te, które mogą naruszać dane osobowe lub prowadzić do dyskryminacji.
Czy firmy muszą szkolić pracowników z korzystania z AI?
Tak, ustawa nakłada obowiązek podnoszenia kompetencji pracowników w zakresie pracy ze sztuczną inteligencją oraz wdrażania polityk bezpiecznego korzystania z tych narzędzi.
Co powinna zrobić firma przed 28 października?
Przeprowadzić audyt technologiczny - zinwentaryzować używane narzędzia AI, wprowadzić regulamin korzystania z nich, przeszkolić pracowników i sprawdzić, czy stosowane systemy nie należą do kategorii wysokiego ryzyka.
Źródło: ADP Polska
REKLAMA
© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.
REKLAMA
