AI governance: przewodnik dla zarządu

Dlaczego to temat dla zarządu

Na poziomie zarządu spotykają się dwie presje. Pierwsza to fakt, że AI ma dziś istotne znaczenie dla strategii i ryzyka większości organizacji, co z definicji czyni je tematem governance. Druga to widoczna luka informacyjna. Badanie PwC 2024 Annual Corporate Directors Survey, które objęło ponad 500 dyrektorów spółek publicznych, wykazało, że choć prawie siedmiu na dziesięciu było przekonanych, że zarządzający potrafią zrealizować strategię AI i GenAI firmy, tylko połowa czuła, że otrzymuje wystarczające informacje o reakcji firmy na powiązane ryzyko. W tym samym badaniu 49% dyrektorów stwierdziło, że otrzymało wystarczającą edukację na temat AI i GenAI, a 52% powiedziało, że poświęca wystarczająco dużo czasu na zrozumienie jego wpływu. Problem nie leży w zaangażowaniu dyrektorów, tylko w przepływie użytecznych informacji do zarządu.

Jest też tło regulacyjne. Zgodnie z AI Act deployerzy systemów AI wysokiego ryzyka mają obowiązki obejmujące nadzór ludzki sprawowany przez kompetentny, przeszkolony personel na mocy art. 26, a obowiązek kompetencji AI z art. 4 obowiązuje od 2 lutego 2025 roku. Zarząd nie realizuje tych obowiązków samodzielnie, ale potrzebuje pewności, że są spełniane, bo to właśnie ten typ obowiązku zarząd ma nadzorować.

Ujęcie, które się sprawdza, mówi, że nadzór nad AI jest rozszerzeniem obowiązku powierniczego, a nie nowym obowiązkiem. Rola zarządu, jak ujmują to zarówno PwC, jak i National Association of Corporate Directors, polega na zdobyciu wystarczającej wiedzy, żeby zadawać dobre pytania, ustanowieniu modelu governance z jasną odpowiedzialnością i potwierdzeniu, że zarządzający mają polityki, kontrole i procesy do zarządzania ryzykiem AI. To rozpoznawalna praca zarządu zastosowana do nowego tematu.

O co zarząd powinien pytać

Dobry nadzór sprowadza się do niewielkiej liczby pytań zadawanych konsekwentnie. Odpowiadają one temu, co w praktyce najczęściej idzie nie tak.

Gdzie używamy AI i czy mamy pełny obraz sytuacji? Poproś o inwentarz używanych systemów AI, łącznie z narzędziami konsumenckimi wdrożonymi bez udziału zakupów. Jeśli zarządzający nie potrafią go dostarczyć, to pierwsze ustalenie samo w sobie. Nie da się zarządzać czymś, czego się nie widzi, a shadow AI to obszar, w którym siedzi większość niekontrolowanego ryzyka.

Kto odpowiada za ryzyko AI i czy ta odpowiedzialność jest realna? Powinien istnieć nazwany, odpowiedzialny właściciel, a nie komitet istniejący tylko na papierze. Potwierdź, że ta rola ma uprawnienia i zasoby do działania oraz że jest połączona z istniejącą strukturą nadzoru nad ryzykiem i audytem.

Jaka jest nasza ekspozycja na ryzyko na poziomie portfela? Zapytaj, ile systemów AI działa w produkcji, do jakich kategorii ryzyka należą i które podlegają obowiązkom regulacyjnym, na przykład poziomowi wysokiego ryzyka w AI Act. Zarządowi zależy na kształcie ekspozycji, nie na przeglądzie narzędzie po narzędziu.

Czy nasze obowiązki regulacyjne są pokryte? Dla organizacji objętych AI Act zapytaj, które obowiązki już obowiązują, które wejdą w życie 2 sierpnia 2026 roku i czy szkolenia z kompetencji AI zgodne z art. 4 są wdrożone. Zapytaj o to samo w odniesieniu do sąsiednich reżimów, na przykład ochrony danych, tam gdzie AI dotyka danych osobowych.

Skąd byśmy wiedzieli, że coś poszło nie tak, i co byśmy wtedy zrobili? Potwierdź, że istnieje monitoring, ścieżka eskalacji i proces obsługi incydentów obejmujący scenariusze awarii specyficzne dla AI, oraz że AI jest uwzględnione w szerszym planowaniu incydentów i odporności organizacji, a nie traktowane osobno.

Czy osoby korzystające z AI mają do tego kompetencje? Zwłaszcza przy zastosowaniach wyższego ryzyka zapytaj, czy personel obsługujący i nadzorujący systemy ma szkolenie i uprawnienia do interwencji. To zarówno dobra praktyka, jak i, dla deployerów wysokiego ryzyka, obowiązek wynikający z art. 26.

Dyscyplina polega na zadawaniu tych pytań w regularnym cyklu i oczekiwaniu dowodów, nie zapewnień. Zarząd, który słyszy „mamy to pod kontrolą" bez danych na poparcie, wciąż nie ma realnego nadzoru.

Co zarząd powinien finansować

Nadzór zawodzi, gdy zarząd domaga się widoczności, ale nie finansuje warunków, które ją tworzą. Cztery inwestycje robią większość roboty.

• Aktualny inwentarz AI. Najbardziej użyteczny artefakt i fundament dla każdej innej kontroli. Finansowanie sposobu na wykrywanie i utrzymywanie go w aktualności, łącznie z shadow AI, to wydatek o najwyższej dźwigni.
• Nazwany właściciel governance z realnymi uprawnieniami. Bez względu na to, czy to nowa rola, czy dodatek do istniejącej, potrzebuje wystarczającej pozycji i zasobów, żeby zwoływać właściwych ludzi i mówić „nie". Governance przypisany wyłącznie do security albo IT, bez takich uprawnień, zwykle się zacina.
• Kompetencje AI i szkolenia. Art. 4 AI Act wymaga wystarczającego poziomu kompetencji AI wśród personelu i innych osób obsługujących AI w imieniu organizacji, a obowiązek ten stosuje się od 2 lutego 2025 roku. Finansowanie szkoleń dopasowanych do ról to zarówno krok zgodności, jak i redukcji ryzyka.
• Raportowanie, które dociera do zarządu. Luka informacyjna widoczna w danych PwC to problem raportowania. Finansowanie zdolności do tworzenia raportowania ryzyka AI na poziomie portfela właśnie ją zamyka.

Zarząd nie musi wskazywać konkretnych narzędzi. Musi jasno powiedzieć, że widoczność, własność, kompetencje i raportowanie to sfinansowane oczekiwania, a potem rozliczać zarządzających z ich dostarczenia.

Jak powinna wyglądać własność ryzyka

Sprawdza się wzorzec integracji, nie struktura równoległa. Włączenie AI governance do istniejącego firmowego frameworku ryzyka i audytu, z jasno wskazanym odpowiedzialnym właścicielem, który w niego raportuje, zwykle daje szybszą dojrzałość niż budowanie czegoś osobnego albo pozostawienie ryzyka AI wyłącznie wewnątrz IT czy security.

W praktyce oznacza to nazwanego właściciela odpowiedzialnego za AI governance, grupę roboczą lub komitet łączący funkcje mające w tym interes (security, prawne, ochronę danych, biznesowych właścicieli istotnych systemów) oraz zdefiniowaną linię raportowania do zarządu albo właściwego komitetu zarządu. Zarząd decyduje, gdzie osadzony jest nadzór nad AI: w pełnym składzie zarządu, w komitecie audytu czy w komitecie ryzyka. Liczy się to, żeby przypisanie było jawne, a nie domyślne, i żeby pojawiało się w statucie komitetu, a nie funkcjonowało tylko w praktyce.

Pomagają tu dwa uznane frameworki, bez konieczności wymyślania własnego. NIST AI Risk Management Framework zbudowany jest wokół czterech funkcji, a pierwszą z nich jest „Govern", dotycząca dokładnie ustanawiania polityk AI, ról, odpowiedzialności, nadzoru i rozliczalności. ISO/IEC 42001 to certyfikowalny standard systemu zarządzania AI, który wpisuje się w systemy zarządzania, jakie wiele organizacji już prowadzi, na przykład ISO/IEC 27001, co pozwala nowym kontrolom, metrykom i przeglądom AI wpasować się w istniejące cykle audytowe i repozytoria dowodów. Zarząd może użyć jednego z nich jako punktu odniesienia, żeby ocenić, czy podejście zarządzających jest uporządkowane, czy przypadkowe.

Co powinno zawierać raportowanie dla zarządu

Raportowanie to miejsce, w którym nadzór staje się realny. Celem jest cykliczny widok na poziomie portfela, który pozwala zarządowi widzieć ryzyko i śledzić jego zmiany w czasie, w formie czytelnej dla dyrektorów bez technicznego zaplecza. Użyteczna struktura obejmuje:

• Inwentarz i zasięg · Co powinien zobaczyć zarząd: Ile systemów AI działa w produkcji, co robią i jak obraz zmienił się od ostatniego raportu, łącznie z nowo wykrytym shadow AI
• Klasyfikacja ryzyka · Co powinien zobaczyć zarząd: Podział systemów według kategorii ryzyka, w tym systemy wysokiego ryzyka na mocy AI Act, oraz miejsce, w którym leżą najistotniejsze ekspozycje
• Status regulacyjny · Co powinien zobaczyć zarząd: Które obowiązki już obowiązują, które nadchodzą (na przykład terminy AI Act przypadające na 2 sierpnia 2026 roku) i jak organizacja wypada wobec nich
• Kontrole i nadzór · Co powinien zobaczyć zarząd: Czy kluczowe kontrole są wdrożone dla istotnych systemów: nadzór ludzki, kontrole dostępu, obsługa danych, pochodzenie dostawcy i modelu
• Szkolenia i kompetencje · Co powinien zobaczyć zarząd: Pokrycie szkoleniami z kompetencji AI zgodnymi z art. 4 w podziale na grupy odbiorców oraz szkolenia dla ról nadzorczych przy systemach wysokiego ryzyka
• Incydenty i problemy · Co powinien zobaczyć zarząd: Incydenty związane z AI, sytuacje bliskie incydentom i otwarte problemy, ze statusem i właścicielem

Raportowanie powinno stawiać na miary ilościowe i możliwe do śledzenia, a nie na narracyjne zapewnienia, co odzwierciedla szerszy przechył w stronę nadzoru zarządu opartego na danych, opisany w badaniu PwC dla obszarów takich jak kultura organizacyjna. Prosty dashboard pokazujący zmianę w czasie jest wart więcej niż długie memo statusowe. Testem dla raportowania jest to, czy zarząd, mając tylko ten pakiet, potrafiłby odpowiedzieć na sześć pytań z powyższej listy.

Źródła

• 2024 Annual Corporate Directors Survey, PwC, via Harvard Law School Forum on Corporate Governance (13 October 2024): https://corpgov.law.harvard.edu/2024/10/13/2024-annual-corporate-directors-survey-uncertainty-and-transformation-in-the-modern-boardroom/ (próba ponad 500 dyrektorów, luka między ~70% pewności a ~50% wystarczających informacji, wskaźniki 49% i 52%, oraz ujęcie nadzoru nad AI jako obowiązku powierniczego)
• AI Literacy, Questions & Answers, European Commission, Shaping Europe's digital future (last updated 19 November 2025): https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers (data zastosowania art. 4 to 2 lutego 2025 roku, harmonogram egzekwowania oraz propozycja Digital Omnibus z 19 listopada 2025 roku)
• Article 26: Obligations of Deployers of High-Risk AI Systems, EU Artificial Intelligence Act (artificialintelligenceact.eu): https://artificialintelligenceact.eu/article/26/ (obowiązki nadzoru ludzkiego i kompetencji personelu dla deployerów wysokiego ryzyka)
• NIST AI Risk Management Framework, overview of the Govern, Map, Measure and Manage functions (NIST, via Diligent summary): https://www.diligent.com/resources/blog/nist-ai-risk-management-framework (funkcja Govern jako podstawa polityki, ról, nadzoru i rozliczalności na poziomie zarządu)
• ISO/IEC 42001 and the EU AI Act as a practical pairing, ISACA Industry News (2025): https://www.isaca.org/resources/news-and-trends/industry-news/2025/isoiec-42001-and-eu-ai-act-a-practical-pairing-for-ai-governance (ISO/IEC 42001 jako certyfikowalny system zarządzania AI wpisujący się w istniejące systemy zarządzania i AI Act)

Ten przewodnik uzupełniają nasze materiały o zdobywaniu widoczności użycia AI w organizacji, o AI Act jako całości oraz o shadow AI, czyli ekspozycji, której zarząd najczęściej nie widzi w pierwszym cyklu raportowania.