Zgodność AI z przepisami: zarządzanie systemami AI i wykorzystanie AI w pracy nad zgodnością

Zgodność AI (AI compliance) oznacza dwie rzeczy: ciągłe działania mające zapewnić, że systemy AI, które Twoja organizacja tworzy lub wykorzystuje, spełniają obowiązujące przepisy, normy i wewnętrzne zasady, a także wykorzystywanie AI do rutynowych, masowych zadań z zakresu compliance.

Ten artykuł omawia oba znaczenia: ryzyka, którym przeciwdziała zgodność AI, główne ramy regulacyjne, sposób budowy programu zgodności, mechanizmy kontrolne dla agentów AI oraz obszary, w których AI pomaga zespołom ds. compliance. Na koniec przedstawia pytania, które warto zadać przed zakupem narzędzia do obsługi compliance.

Czym jest zgodność AI?

Zgodność AI oznacza dwie rzeczy: dostosowanie systemów AI do zasad określonych w regulacjach dotyczących AI oraz wykorzystywanie AI do realizacji zadań z zakresu compliance.

W pierwszym znaczeniu zgodność AI zapewnia, że system AI przestrzega przepisów prawa, regulacji, standardów etycznych i wewnętrznych zasad w całym cyklu życia AI – od danych treningowych po działanie i sposób użytkowania.

Na przykład Local Law 144 miasta Nowy Jork wymaga od pracodawców korzystających z automatycznego narzędzia do podejmowania decyzji o zatrudnieniu, aby w ciągu roku od jego użycia poddali je audytowi pod kątem stronniczości, upublicznili informacje o audycie i powiadomili pracowników lub kandydatów do pracy.

Zapewnianie zgodności AI z regulacjami to proces ciągły, ponieważ aplikacje AI są aktualizowane, dane, na których działają, się zmieniają, a regulacje ewoluują.

W drugim znaczeniu zespoły ds. compliance wykorzystują AI do rutynowych, masowych zadań, takich jak monitorowanie transakcji, przegląd dokumentów i śledzenie zmian w przepisach.

Niektóre instytucje finansowe wykorzystują na przykład AI do przeglądania transakcji i ograniczania liczby fałszywych alarmów w systemach monitorowania transakcji, zanim analitycy zdecydują, które z nich wymagają zgłoszenia podejrzanej działalności.

Zgodność AI a ład AI i zarządzanie ryzykiem AI

Te trzy pojęcia częściowo się pokrywają, ale obejmują różne obszary: ład ustala zasady, zarządzanie ryzykiem wykrywa, co może pójść nie tak, a zgodność zapewnia przestrzeganie zasad.

Dlaczego zgodność AI jest ważna

Zapewnienie zgodności AI ogranicza ryzyko kar finansowych, chroni prywatność osób, których dane przetwarza Twoja AI, i pozwala organizacji rozliczyć się z wykorzystania systemów AI w razie audytu.

• Kary regulacyjne: Na mocy unijnego aktu w sprawie AI stosowanie zakazanej praktyki AI, takiej jak wyciąganie wniosków na temat emocji pracowników w miejscu pracy, może kosztować do 35 mln euro lub 7% całkowitego rocznego światowego obrotu. Dostawcom i podmiotom stosującym grożą kary do 15 mln euro lub 3% za naruszenia aktu.
• Ochrona danych: System AI przetwarzający dane osobowe podlega przepisom o ochronie danych, takim jak RODO w UE. Dotyczy to danych treningowych, promptów i wyników zawierających dane osobowe.
• Gotowość do audytu: Dokumentacja tego, z jakich systemów AI korzystasz, kto je zatwierdził i jak je monitorujesz, pozwala odpowiadać na pytania regulatorów, audytorów i klientów.

Główne ryzyka, którym przeciwdziała zgodność AI

Zgodność AI przeciwdziała pięciu głównym ryzykom: stronniczości algorytmicznej, brakowi wyjaśnialności, halucynacjom w procesach regulowanych, naruszeniom prywatności i wyciekom danych oraz shadow AI.

Powiększ

Oto, jak przejawiają się główne ryzyka, wraz z przykładami mechanizmów kontrolnych, które pozwalają je ograniczać:

• Stronniczość algorytmiczna: Model powiela wzorce z danych treningowych, które stawiają określone grupy w niekorzystnej sytuacji. Narzędzie rekrutacyjne może na przykład oceniać kandydatów niżej na podstawie zmiennej zastępczej dla wieku lub pochodzenia etnicznego, takiej jak rok ukończenia studiów lub kod pocztowy. Audyty stronniczości, które porównują wyniki w różnych grupach demograficznych, pomagają wykrywać takie wzorce.
• Brak wyjaśnialności: Organizacja nie potrafi wykazać, w jaki sposób model podjął decyzję. Jeśli pożyczkodawca nie potrafi wyjaśnić, dlaczego model odrzucił wniosek o pożyczkę, nie może obronić tej decyzji. Organizacje zapobiegają temu, dokumentując dane wejściowe modelu i logikę decyzyjną oraz wybierając modele, których wyniki da się prześledzić.
• Halucynacje w procesach regulowanych: Narzędzie generatywnej AI z przekonaniem podaje nieprawdziwe informacje. Na przykład prawnik może poprosić narzędzie AI o orzecznictwo wspierające argument i otrzymać odwołania do wyroków sądowych, które nie istnieją. Wymaganie źródeł dla każdego wyniku i ich weryfikacja przez wykwalifikowaną osobę pozwalają wychwycić takie błędy.
• Prywatność i wyciek danych: Informacje poufne lub dane klientów trafiają do narzędzia, nad którym organizacja nie ma kontroli. Pracownik może na przykład wkleić dane klientów do publicznego narzędzia AI, które przechowuje dane wejściowe w celu trenowania przyszłych modeli. Korzystanie wyłącznie z zatwierdzonych narzędzi z umownymi ograniczeniami dotyczącymi trenowania i przechowywania danych zmniejsza to ryzyko.
• Shadow AI: Pracownicy korzystają z narzędzi AI, których organizacja nie zatwierdziła lub których nie widzi. W badaniu Compliance Week z 2026 roku 42% uczestników zgłosiło niekontrolowane korzystanie z AI przez pracowników. Możliwe rozwiązania obejmują listę zatwierdzonych narzędzi połączoną z szybkim procesem zatwierdzania narzędzi AI oraz bramy internetowe.

Kluczowe ramy zgodności AI

Zgodność AI opiera się na wiążących ramach ładu AI, takich jak unijny akt w sprawie AI, oraz na dobrowolnych ramach, takich jak NIST AI Risk Management Framework i ISO/IEC 42001, które pomagają organizacjom spełniać te wymogi.

Unijny akt w sprawie AI (EU AI Act)

Unijny akt w sprawie AI (rozporządzenie (UE) 2024/1689) przyjmuje podejście do regulacji AI oparte na ryzyku: niektóre praktyki są całkowicie zakazane, systemy wysokiego ryzyka podlegają ścisłym ograniczeniom, a pozostałe – jedynie łagodnym zasadom przejrzystości. Ma zastosowanie do dostawców i podmiotów stosujących na całym świecie, „w przypadku gdy wyniki wytworzone przez system AI są wykorzystywane w Unii”.

Obowiązki wynikające z unijnego aktu w sprawie AI zależą od roli organizacji:

• Podmioty, które opracowują system AI wysokiego ryzyka lub wprowadzają go do obrotu pod własną nazwą (dostawcy), muszą przeprowadzić ocenę zgodności, umieścić oznakowanie CE, zarejestrować system, prowadzić dokumentację techniczną i monitorować go po wprowadzeniu na rynek.
• Podmioty korzystające z systemu zbudowanego przez kogoś innego (podmioty stosujące) muszą postępować zgodnie z instrukcjami dostawcy, powierzyć nadzór osobom, które mają „niezbędne kompetencje, przeszkolenie i uprawnienia”, przechowywać rejestry zdarzeń przez co najmniej sześć miesięcy oraz informować pracowników i inne osoby, których dotyczą decyzje systemu.

Powiększ

Akt jest wdrażany etapami. Przepisy dotyczące zakazanych praktyk, kompetencji w zakresie AI i AI ogólnego przeznaczenia obowiązują od 2025 roku, natomiast obowiązki dotyczące systemów wysokiego ryzyka zaczną obowiązywać 2 grudnia 2027 roku, a w przypadku AI wbudowanej w produkty objęte unijnymi przepisami o bezpieczeństwie produktów – 2 sierpnia 2028 roku.

Norma EN 18286:2026 dotycząca systemów zarządzania jakością to pierwsza norma europejska wspierająca akt. Zakłada się, że dostawcy, którzy ją stosują, spełniają wymóg aktu dotyczący zarządzania jakością.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), opublikowane w styczniu 2023 roku, to dobrowolne amerykańskie ramy zbudowane wokół czterech funkcji: Govern, Map, Measure i Manage.

Uzupełniający je Generative AI Profile, opublikowany w lipcu 2024 roku, stosuje te ramy do ryzyk związanych z generatywną AI.

ISO/IEC 42001

ISO/IEC 42001 to międzynarodowa norma dotycząca systemów zarządzania AI, obejmująca zasady, role i procesy regulujące odpowiedzialne tworzenie i wykorzystywanie AI. Certyfikacja jest dobrowolna i przeprowadzają ją niezależne jednostki certyfikujące, a nie sama organizacja ISO.

Certyfikat obejmuje system zarządzania organizacji, a nie konkretny produkt AI.

Przepisy amerykańskie i sektorowe dotyczące AI

W USA nie ma jednej federalnej ustawy o AI. Zasady wynikają z przepisów miast i stanów oraz z istniejących ustaw i regulacji, które mają zastosowanie do AI.

Na przykład ustawa SB26-189 stanu Kolorado, która wchodzi w życie 1 stycznia 2027 roku, reguluje technologie zautomatyzowanego podejmowania decyzji, a przepisy o ochronie prywatności, takie jak California Consumer Privacy Act (CCPA) czy HIPAA, mają zastosowanie zawsze, gdy AI przetwarza dane chronione.

Jak zbudować program zgodności AI

Budowa programu zgodności AI obejmuje sześć kroków: zinwentaryzowanie systemów AI, sklasyfikowanie ich według ryzyka, przypisanie mechanizmów kontrolnych do obowiązujących zasad, wyznaczenie właścicieli, udokumentowanie każdego systemu i monitorowanie go z prowadzeniem dokumentacji, którą może sprawdzić audytor.

Powiększ

Każdy z poniższych kroków kończy się dokumentem, który powstaje w jego wyniku:

1. Zinwentaryzuj wszystkie systemy AI. Sporządź listę systemów, które Twoja organizacja tworzy, kupuje lub wykorzystuje, w tym funkcji AI w istniejącym oprogramowaniu oraz narzędzi, z których pracownicy zaczęli korzystać bez zatwierdzenia. Zapisz, do czego służy każdy z nich, kto z niego korzysta i z jakimi danymi ma styczność.
   Rezultat: Inwentarz AI.
2. Sklasyfikuj każdy przypadek użycia według ryzyka. Oceń każdy system pod kątem szkód, jakie może wyrządzić, korzystając z określonego schematu, np. poziomów ryzyka z unijnego aktu w sprawie AI. Na przykład narzędzie ustalające składki ubezpieczenia na życie jest zgodnie z aktem systemem wysokiego ryzyka, a narzędzie podsumowujące wewnętrzne spotkania – nie.
   Rezultat: Rejestr ryzyk.
3. Przypisz mechanizmy kontrolne do obowiązujących zasad. Wypisz przepisy, normy i wewnętrzne zasady, które mają zastosowanie do każdego systemu, oraz mechanizm kontrolny spełniający każdy wymóg zgodności. Na przykład udokumentowany przegląd przez człowieka pomaga spełnić wymogi unijnego aktu w sprawie AI dotyczące nadzoru człowieka nad systemami wysokiego ryzyka oraz zalecenie NIST AI RMF dotyczące udokumentowanych procesów nadzoru człowieka.
   Rezultat: Mapa mechanizmów kontrolnych.
4. Wyznacz właścicieli i punkty nadzoru człowieka. Wskaż właściciela każdego systemu i zdecyduj, w którym miejscu człowiek weryfikuje jego wyniki. Na przykład dział prawny i dział compliance odpowiadają za obowiązki, dział bezpieczeństwa za techniczne mechanizmy kontrolne, właściciele biznesowi za swoje przypadki użycia, a jeden członek kadry kierowniczej ponosi ogólną odpowiedzialność. Zadbaj o to, by osoby w całej organizacji były tego świadome, i ustal jasne kanały komunikacji.
   Rezultat: Wyznaczeni właściciele każdego systemu.
5. Udokumentuj każdy system. Zapisz cel każdego systemu, dane treningowe, testy i znane ograniczenia w formatach takich jak karty modeli i oceny skutków. Dostawcy systemów wysokiego ryzyka muszą również przygotować dokumentację techniczną określoną w załączniku IV do unijnego aktu w sprawie AI.
   Rezultat: Zestaw dokumentacji systemu.
6. Monitoruj, rejestruj i gromadź dowody. Od początku projektuj rejestry zdarzeń jako dowody na potrzeby audytu, które pokazują, co zrobił system i kto go zweryfikował. Unijny akt w sprawie AI wymaga, by systemy wysokiego ryzyka automatycznie rejestrowały zdarzenia przez cały cykl życia. Ścieżka audytu powinna obejmować:
   • Używany model i jego wersję
   • Dane wejściowe i wyniki lub ich określoną próbkę
   • Dane treningowe lub dane do dostrajania
   • Punkty weryfikacji przez człowieka i ich wyniki
   • Działania podjęte przez agenta i uprawnienia, z których korzystał
   • Okres przechowywania każdego zapisu

Rezultat: Dokumentacja monitorowania i ścieżka audytu.

Specjalistyczne narzędzia do zapewniania zgodności AI, takie jak IBM watsonx.governance i OneTrust AI Governance, mogą przejąć część tego programu, w tym inwentarz AI, oceny ryzyka pod kątem unijnego aktu w sprawie AI oraz dokumentację.

Jak zatwierdzać narzędzia AI, z których mogą korzystać pracownicy

Przed zatwierdzeniem narzędzia AI sprawdź cztery kwestie:

• Dostęp do danych: Jakie pliki, systemy i połączone bazy wiedzy narzędzie może odczytywać oraz czy zawierają one dane osobowe, które mogłoby ujawnić.
• Trenowanie na danych wejściowych: Czy dostawca wykorzystuje prompty, pliki lub wyniki do trenowania swoich modeli i czy Twoja umowa z dostawcą tego zabrania.
• Przechowywanie: Jak długo dostawca przechowuje prompty, pliki i historię rozmów oraz czy możesz skrócić ten okres.
• Hosting i transfery: Gdzie dostawca przechowuje i przetwarza dane, z uwzględnieniem transferów poza Twój region.

Mechanizmy kontroli zgodności dla agentów AI

Agenci AI wymagają więcej mechanizmów kontrolnych niż narzędzia do czatu, ponieważ sami decydują o kolejnych krokach i działają za pomocą przyznanych im narzędzi i uprawnień. Utrzymanie ich w ryzach zapewniają trzy mechanizmy kontrolne:

• Dostęp zgodny z zasadą najmniejszych uprawnień: Przyznaj agentowi tylko te narzędzia i uprawnienia, których wymaga jego zadanie. Nadmierna sprawczość (Excessive Agency), czyli sytuacja, w której agent może zrobić więcej, niż wymaga tego jego zadanie, jest jednym z największych zagrożeń bezpieczeństwa według zestawienia OWASP Top 10 for LLM Applications 2026.
• Rejestr wszystkich działań: Zapisuj każde wywołanie narzędzia, dane, do których uzyskano dostęp, i wykorzystane uprawnienia, aby móc prześledzić, co zrobił agent i dla kogo.
• Zatwierdzanie przez człowieka działań o dużym wpływie: Wymagaj potwierdzenia przez człowieka kroków, które wysyłają dane poza organizację, przenoszą środki pieniężne lub są nieodwracalne.

Jak AI jest wykorzystywana w pracy działów compliance

Zespoły ds. compliance i zarządzania ryzykiem wykorzystują AI do monitorowania mechanizmów kontrolnych, oceny ryzyka, śledzenia zmian w przepisach, przeglądu dokumentów i wstępnej selekcji alertów dotyczących przestępstw finansowych.

W badaniu Compliance Week z 2026 roku, przeprowadzonym wśród 193 liderów z obszarów compliance, etyki, ryzyka i audytu, ponad 83% respondentów zadeklarowało, że korzysta z AI, a prawie 40% – że ich firmy wdrożyły ją do oceny i monitorowania ryzyka.

Typowe przypadki użycia AI w compliance to m.in.:

• Ciągłe monitorowanie zgodności i gromadzenie dowodów: AI przeprowadza kontrole i zbiera dowody ich skuteczności (np. zaległe inspekcje bezpieczeństwa urządzeń w zakładzie).
• Ocena ryzyka i ustalanie priorytetów: AI szereguje jednostki biznesowe lub podmioty zewnętrzne według ryzyka (np. dostawców objętych nowymi sankcjami lub narażonych na spory sądowe).
• Monitorowanie zmian w przepisach: AI śledzi publikacje regulatorów i podsumowuje zmiany (np. zaktualizowane wytyczne antykorupcyjne, które obniżają limit wartości prezentów w polityce wydatków).
• Przegląd dokumentów i polityk: AI porównuje umowy i polityki z wymogami (np. umowy z dostawcami bez klauzuli prawa do audytu).
• Weryfikacja pod kątem przestępstw finansowych: AI wstępnie selekcjonuje alerty z monitorowania transakcji i weryfikacji klientów (np. zgodności nazwisk z listami sankcyjnymi, które okazują się dotyczyć innej osoby).

AI wykorzystywana do celów compliance wymaga takiego samego ładu jak inne systemy AI. Jak stwierdził w październiku 2026 roku brytyjski urząd Financial Conduct Authority, „firmy odpowiadają za systemy AI, które opracowują, nabywają i wdrażają – w tym za ich wyniki i skutki”, i ostrzegł, by weryfikacja przez człowieka nie stała się „ćwiczeniem polegającym na »odhaczaniu«”.

W praktyce narzędzia AI mogą wykonywać rutynowe zadania, takie jak gromadzenie dowodów czy sygnalizowanie zmian w przepisach, ale nie podejmować decyzji wiążących się z odpowiedzialnością prawną, np. czy zgłosić podejrzaną działalność lub jak zaprojektować polityki.

Mechanizmy kontroli danych w Perplexity Enterprise

Perplexity Enterprise daje administratorom mechanizmy kontroli obejmujące trenowanie na danych wejściowych, dostęp do danych i ich przechowywanie:

• Brak trenowania na Twoich danych: Perplexity nigdy nie wykorzystuje treści firmowych do trenowania swoich modeli AI, a umowy z zewnętrznymi dostawcami modeli zabraniają im trenowania na tych treściach.
• Kontrola dostępu: SSO, SCIM i uprawnienia oparte na rolach określają, kto może przesyłać pliki i udostępniać odpowiedzi.
• Przechowywanie danych i dzienniki audytu: Pliki dołączone do sesji są usuwane po siedmiu dniach. Organizacje mające 50 lub więcej stanowisk albo co najmniej jedno stanowisko Enterprise Max mogą również ustawić okres przechowywania sesji i otrzymywać dzienniki audytu aktywności użytkowników.
• Certyfikaty: Perplexity ma certyfikat SOC 2 Type II, przestrzega RODO i pozwala na pracę z chronionymi informacjami zdrowotnymi wyłącznie na podstawie podpisanej umowy Business Associate Agreement.

Aby zobaczyć, jak działają te mechanizmy kontroli, skontaktuj się z naszym zespołem sprzedaży i umów spersonalizowaną prezentację.

Najczęściej zadawane pytania

Czym jest zgodność z unijnymi przepisami dotyczącymi AI?

Zgodność z unijnymi przepisami dotyczącymi AI oznacza spełnianie obowiązków wynikających z unijnego aktu w sprawie sztucznej inteligencji (AI Act), właściwych dla Twojej roli (dostawcy lub podmiotu stosującego) i dla kategorii ryzyka każdego systemu. Obowiązki wchodzą w życie etapami, a wymogi dotyczące systemów wysokiego ryzyka zaczną obowiązywać 2 grudnia 2027 r.

Czym jest narzędzie AI zgodne z HIPAA?

Narzędzie AI zgodne z HIPAA to narzędzie używane z zachowaniem zabezpieczeń, które HIPAA przewiduje dla chronionych informacji zdrowotnych. Jeśli dostawca przechowuje lub przetwarza te informacje, Departament Zdrowia i Opieki Społecznej Stanów Zjednoczonych wymaga wcześniejszego podpisania umowy Business Associate Agreement.

Czy unijny akt w sprawie sztucznej inteligencji ma zastosowanie do firm z USA?

Tak. Akt w sprawie sztucznej inteligencji obejmuje firmy z USA, które wprowadzają systemy AI do obrotu na rynku UE, oraz te, których wyniki generowane przez AI są wykorzystywane w UE.

Czy AI może zastąpić specjalistów ds. zgodności?

AI nie może zastąpić specjalistów ds. zgodności. Organizacje odpowiadają za swoją pracę, a technologie AI mogą popełniać błędy, dlatego specjaliści ds. zgodności nadal muszą dokładnie weryfikować i zatwierdzać wyniki generowane przez AI.