Nie każdy proces RPA podlega AI Act — ale gdy automatyzację wzbogacamy o modele AI oceniające, klasyfikujące lub rekomendujące decyzje, zmienia się kategoria ryzyka i pojawiają się konkretne obowiązki prawne. Organizacja musi zapewnić m.in. właściciela systemu, kontrolę danych oraz realny mechanizm Human-in-the-Loop, a ISO 42001 pomaga to wszystko poukładać organizacyjnie. Kary za naruszenie AI Act mogą sięgać 35 mln euro lub 7% globalnego obrotu firmy, dlatego governance trzeba projektować od razu, a nie doklejać przed audytem.
Jeszcze niedawno automatyzacja procesów oznaczała głównie przewidywalne roboty RPA: pobierz dane, wykonaj regułę, zapisz wynik.
Dziś do procesów coraz częściej dokładamy modele językowe, klasyfikację dokumentów, agentów AI, generowanie odpowiedzi oraz podejmowanie lub rekomendowanie decyzji. Automatyzacja przestaje być wyłącznie wykonawcą instrukcji. Zaczyna interpretować informacje i realnie wpływać na przebieg procesu.
Właśnie w tym miejscu pojawiają się AI Act oraz ISO/IEC 42001.
AI Act mówi, jakie obowiązki musimy spełnić
AI Act wprowadza podejście oparte na ryzyku. Zakres obowiązków zależy więc nie tyle od wybranego narzędzia, ile od tego:
- do czego system AI jest wykorzystywany,
- jakie dane przetwarza,
- na jakie osoby oddziałuje,
- jakie decyzje podejmuje lub wspiera,
- jakie mogą być skutki błędnego działania.
Nie każdy workflow zbudowany w UiPath jest systemem AI. Klasyczna automatyzacja oparta na jasno określonych regułach biznesowych nadal pozostaje przewidywalnym rozwiązaniem RPA.
Sytuacja zmienia się, gdy proces wykorzystuje model AI między innymi do:
- oceny kandydatów lub pracowników,
- analizy zdolności kredytowej,
- profilowania klientów,
- wykrywania fraudów,
- klasyfikowania spraw i ustalania ich priorytetów,
- interpretowania dokumentów,
- generowania odpowiedzi,
- rekomendowania decyzji wpływających na człowieka.
W takim przypadku nie wystarczy powiedzieć: „model dostarcza zewnętrzny dostawca”. Organizacja korzystająca z rozwiązania może nadal pełnić rolę podmiotu wdrażającego system AI i odpowiadać za sposób jego zastosowania.
ISO 42001 mówi, jak zarządzać AI w organizacji
ISO/IEC 42001 nie zastępuje AI Act. Jest standardem systemu zarządzania AI, który pomaga organizacji uporządkować odpowiedzialność, polityki, ryzyka, zarządzanie danymi, monitoring oraz cykl życia systemów wykorzystujących sztuczną inteligencję.
Najprościej można powiedzieć:
AI Act określa wymagania prawne, natomiast ISO 42001 pomaga zbudować organizacyjny mechanizm ich realizacji.
Certyfikat ISO 42001 nie oznacza automatycznie pełnej zgodności z AI Act. Może jednak dostarczyć struktury, dokumentacji i dowodów pokazujących, że AI jest zarządzane świadomie, a nie wdrażane metodą: „podłączmy model i zobaczmy, co się stanie”.
Compliance zaczyna się przed napisaniem workflow
Przed uruchomieniem automatyzacji wykorzystującej AI organizacja powinna odpowiedzieć na kilka podstawowych pytań.
1. Czy proces rzeczywiście wykorzystuje AI?
Nie każdy OCR, reguła biznesowa ani automatyzacja jest systemem AI. Trzeba jasno oddzielić deterministyczne RPA od predykcji, generowania treści i autonomicznego działania modeli.
2. Jaki jest cel systemu?
Model przygotowujący robocze podsumowanie niesie inne ryzyko niż model odrzucający wniosek klienta, oceniający pracownika albo sugerujący blokadę transakcji.
3. Kto jest właścicielem rozwiązania?
Każdy system powinien mieć co najmniej:
- właściciela biznesowego,
- właściciela technicznego,
- wskazaną odpowiedzialność za ryzyko i compliance.
AI bez właściciela szybko staje się cyfrowym odpowiednikiem segregatora opisanego jako „różne”.
4. Jakie dane trafiają do modelu?
Należy określić:
- źródła i jakość danych,
- podstawę ich przetwarzania,
- zakres danych osobowych i poufnych,
- okres retencji,
- lokalizację przetwarzania,
- zasady przesyłania danych do zewnętrznych modeli.
5. Gdzie znajduje się człowiek?
Human-in-the-Loop nie powinien być dekoracyjnym przyciskiem „Approve”.
Człowiek musi otrzymać wystarczające informacje, czas oraz uprawnienia, aby rzeczywiście ocenić i zakwestionować rekomendację AI. Powinien także wiedzieć, za co odpowiada i w jakich przypadkach ma zatrzymać proces.
6. Czy potrafimy odtworzyć decyzję?
Organizacja powinna być w stanie ustalić:
- jaki proces został uruchomiony,
- z jakiej wersji workflow korzystał,
- jaki model i jego wersja zostały użyte,
- jakie dane wejściowe przekazano,
- jaki wynik wygenerował model,
- jaki był poziom pewności,
- kto zatwierdził decyzję,
- jakie działania zostały wykonane dalej.
Bez odpowiednich logów audyt może zakończyć się stwierdzeniem: „robot coś zrobił, ale nie wiemy dokładnie dlaczego”.
Jak może wspierać to UiPath?
W środowisku UiPath można wykorzystać między innymi:
- Orchestrator i centralne logowanie,
- zarządzanie rolami oraz dostępem,
- wersjonowanie automatyzacji,
- Action Center i procesy Human-in-the-Loop,
- polityki governance,
- AI Trust Layer,
- monitoring procesów i agentów,
- rozdzielenie środowisk DEV, TEST i PROD,
- eksport logów do systemów audytowych, SIEM lub GRC.
Samo posiadanie tych funkcji nie oznacza jednak zgodności. Trzeba je odpowiednio skonfigurować oraz powiązać z procedurami organizacyjnymi.
Governance powinno być projektowane razem z procesem, a nie dokładane tydzień przed audytem.
Minimalny standard dla automatyzacji wykorzystującej AI
Każdy proces wykorzystujący AI powinien posiadać co najmniej:
- opis celu i dozwolonego zastosowania,
- właściciela biznesowego oraz technicznego,
- klasyfikację ryzyka,
- rejestr wykorzystywanych modeli i dostawców,
- opis danych wejściowych i wyjściowych,
- ocenę wpływu na ludzi oraz organizację,
- zdefiniowane progi pewności,
- ścieżkę Human-in-the-Loop,
- kontrolę dostępu zgodną z zasadą najmniejszych uprawnień,
- wersjonowanie modeli, promptów i workflow,
- logi umożliwiające odtworzenie działania,
- testy jakości, bezpieczeństwa i odporności,
- procedurę obsługi błędów oraz incydentów,
- okresowy przegląd skuteczności rozwiązania,
- plan wyłączenia systemu lub powrotu do procesu manualnego,
- odpowiedni poziom wiedzy i przeszkolenia osób korzystających z AI.
AI Act wymaga bowiem, aby dostawcy i podmioty wdrażające systemy AI podejmowali działania zapewniające odpowiedni poziom kompetencji osób obsługujących takie rozwiązania.
Co grozi za brak zgodności?
Naruszenie AI Act może prowadzić do kontroli, nakazu ograniczenia lub wycofania systemu oraz znaczących kar finansowych. W zależności od rodzaju naruszenia maksymalne kary przewidziane w rozporządzeniu mogą sięgać 35 mln euro albo 7% całkowitego rocznego światowego obrotu przedsiębiorstwa.
Brak zgodności oznacza jednak nie tylko karę administracyjną. To także ryzyko zatrzymania procesów, utraty kontraktów, roszczeń osób poszkodowanych, problemów podczas audytów oraz utraty zaufania klientów i pracowników.
Brak certyfikacji ISO 42001 sam w sobie nie jest naruszeniem prawa. Problem pojawia się wtedy, gdy organizacja nie potrafi wykazać, że posiada skuteczny system zarządzania ryzykiem AI, albo gdy zgodność ze standardem była wymagana przez klienta, przetarg lub zawartą umowę.
Najważniejszy wniosek
Compliance nie polega na zakazaniu organizacji korzystania z AI.
Chodzi o to, aby potrafiła odpowiedzieć na trzy pytania:
- Co robi nasz system AI?
- Jak kontrolujemy jego działanie?
- Kto odpowiada, gdy wynik jest błędny?
UiPath może dostarczyć wiele mechanizmów potrzebnych do bezpiecznego wdrażania AI. Nie zastąpi jednak odpowiedzialności, governance i właściwie zaprojektowanego procesu.
Największym ryzykiem nie jest dziś brak AI w organizacji. Największym ryzykiem jest AI, które już działa, ale nie znajduje się w żadnym rejestrze, nie ma właściciela i nie pozostawia wystarczającego śladu audytowego.
Skaluj innowacje odpowiedzialnie z XELTO DIGITAL
Wraz ze wzrostem organizacji rośnie jej złożoność i ryzyko operacyjne. Zastosowanie sztucznej inteligencji potęguje te wyzwania, dlatego wdrożenie technologii to dziś za mało.
W XELTO porządkujemy operacje firm w trakcie wzrostu – stabilizujemy procesy i systemy (od integracji po automatyzację) oraz bierzemy pełną odpowiedzialność za ostateczny efekt. Problem z zarządzaniem sztuczną inteligencją ma wymiar operacyjny, a my dostarczamy rozwiązania, które gwarantują bezpieczne skalowanie operacji. Nasz zespół ekspertów, pracujący m.in. z krakowskiego biura, zadba o to, by Twoje procesy RPA i Agenci AI działali nie tylko wydajnie, ale i zgodnie z najwyższymi standardami compliance.
Automatyzacja to Twoja przyszłość. Skontaktuj się z nami i zbudujmy bezpieczne środowisko dla Twoich procesów.
We Care. We Deliver.
Autor: Mikołaj Zieliński | Automation Solution Architect
