Usługa
Audyt AI: zobacz, gdzie jesteście
Audyt AI to samodzielny produkt: mapujemy procesy, ustalamy priorytety i rekomendacje oraz przygotowujemy listę narzędzi z kosztami, plan i wycenę wdrożenia. Zwykle trwa od 2 do 10 tygodni, zależnie od liczby działów.
Co sprawdzam
- 01Jak zespół używa AI dziś, także prywatne konta i „ciche” używanie ChatGPT.
- 02Obowiązki firmy z AI Act.
- 03Procesy, w których AI da najszybszy zwrot.
- 04Stan danych i narzędzi: CRM, arkusze, poczta, magazyn.
Po co komu standard
Audyt można zrobić na wyczucie albo według metody, którą ktoś sprawdził przed nami. Wybieram drugie, z trzech powodów. Powtarzalność: przy kolejnym pomiarze porównujemy te same procesy i liczby, więc widać, czy firma faktycznie ruszyła do przodu. Przenośność: wyniki audytu zostają u Was i możecie zrealizować plan także z innym wykonawcą. Porównywalność: każdy proces oceniamy według tych samych kryteriów, dlatego kolejność działań wynika z danych, nie z wrażenia.
Na czym opieram audyt
Siedem punktów odniesienia, każdy po to, żeby audyt dawał coś konkretnego, nie tylko wrażenie:
- 01BPMN 2.0, norma ISO/IEC 19510, na najprostszym poziomie (około 10 symboli) — mapę procesu czyta właściciel firmy, nie tylko informatyk.
- 02SIPOC z metodyki Six Sigma, jedna strona na proces, 30 do 60 minut rozmowy — od razu widać, gdzie proces przecieka: co wchodzi, co wychodzi, kto za co odpowiada.
- 03Klasyfikacja procesów APQC — uzasadnia, czemu sprawdzam akurat te obszary firmy, a których świadomie nie ruszam, żeby audyt nie rozlał się na wszystko naraz.
- 04Mapowanie strumienia wartości — trzy liczby dla każdej sprawy: ile trwa cała droga od początku do końca, ile z tego to realna praca człowieka i jaki procent trzeba później poprawiać.
- 05NIST AI Risk Management Framework 1.0 — cztery funkcje porządkujące ryzyka związane z AI: nadzór, rozpoznanie, pomiar i reakcja, żeby żadne ryzyko nie zostało pominięte przez przypadek.
- 06ISO/IEC 23894:2023 (wytyczne zarządzania ryzykiem AI) i struktura normy ISO/IEC 42001:2023 — układ, według którego sprawdzam, czy to Wy macie kontrolę nad AI, nie odwrotnie.
- 07ISO 9001:2015, podejście procesowe — gdy firma ma już system jakości, audyt mówi tym samym językiem i nie trzeba go tłumaczyć na nowo dla certyfikującego.
Standard to nie certyfikat
Powiemy to od razu, zamiast czekać, aż ktoś zapyta. Nie mamy certyfikatu ISO/IEC 42001 i nigdzie tak nie napiszemy. NIST w ogóle nie prowadzi certyfikacji — „certyfikowany audytor NIST” nie istnieje jako coś, co można zdobyć, chociaż ten zapis krąży po rynku. Nikt też nie może zagwarantować zgodności z AI Act: możemy zmapować obowiązki, przygotować firmę i pokazać, gdzie kończy się nasza kompetencja, a zaczyna praca prawnika. Dlatego piszemy „w oparciu o” i „zgodnie z wytycznymi”, nie „certyfikowani” ani „zgodni z prawem”. To brzmi jak przyznanie się do słabości. Jest odwrotnie: kto oferuje gwarancję zgodności z prawem albo certyfikat, którego dla tej normy nie wydaje żadna instytucja, ten już Was okłamuje. Wolimy powiedzieć dokładnie, na czym stoimy.
Jak przebiega
- 01Sesja otwierająca z zarządem: ustalamy cele, zakres i priorytety. Na wyjściu notatka z ustaleniami i harmonogram audytu.
- 02Inwentaryzacja narzędzi i systemów AI: spisuję, z czego korzystacie i do jakich procesów. Na wyjściu rejestr systemów AI z klasyfikacją ryzyka.
- 03Rozmowy w działach: z każdym kierownikiem osobno, żeby zobaczyć pracę z boku, nie tylko z raportów. Na wyjściu notatki z rozmów i lista miejsc, gdzie dane są przepisywane ręcznie.
- 04Mapowanie procesów: rozkładam wybrane procesy na kroki i zaznaczam słabe punkty z liczbami. Na wyjściu mapy stanu obecnego i lista miejsc, w których praca stoi, powtarza się albo generuje błędy.
- 05Rekomendacje i priorytety: wskazuję, co warto usprawnić, jaki może być efekt oraz w jakiej kolejności działać.
- 06Plan i wycena wdrożenia: opisuję zakres, etapy, terminy i potrzebne osoby, dołączam listę narzędzi z kosztami oraz wycenę. Wyniki omawiamy na spotkaniu i przekazujemy w PDF.
Audyt trwa zwykle od 2 do 10 tygodni, zależnie od liczby działów. Dokładny harmonogram ustalamy po rozmowie wstępnej.
Co dostajecie
- 01Raport o firmie z publicznych źródeł.
- 02Mapa procesów firmy — stan obecny.
- 03Lista słabych punktów z liczbami: częstotliwością, czasem i skalą poprawek.
- 04Rejestr systemów AI używanych w firmie z klasyfikacją ryzyka.
- 05Rekomendacje rozwiązań z szacowanym zyskiem czasu i pieniędzy.
- 06Kolejność wdrażania z uzasadnieniem.
- 07Plan wdrożenia: zakres, etapy, terminy, potrzebne osoby oraz przewidywany nakład czasu po Waszej stronie.
- 08Lista narzędzi z kosztami miesięcznymi.
- 09Wycena wdrożenia.
- 10Prezentacja wyników i PDF obejmujące wszystkie powyższe elementy.
Dotacja
Jesteśmy akredytowanym doradcą programu Spektrum 2030 (Agencja Rozwoju Pomorza). Firmy z Pomorza mogą sfinansować audyt z dotacją do 60%.
Najczęściej zadawane pytania
Czy audyt zobowiązuje do dalszej współpracy?
Nie. Audyt jest samodzielnym produktem. Dostajecie mapę firmy, rekomendacje, plan i wycenę wdrożenia, a potem możecie zrealizować ten plan z nami, z innym wykonawcą albo we własnym zakresie.
Czy AI Act w ogóle nas dotyczy?
Jeśli ktokolwiek w firmie używa AI (nawet ChatGPT do maili), to tak. Od lutego 2025 obowiązuje art. 4 o kompetencjach pracowników. Audyt mapuje, co konkretnie Was dotyczy.
Nie mamy żadnego AI. Czy audyt ma sens?
Tak, wtedy audyt wskazuje, gdzie AI zwróci się najszybciej i od czego bezpiecznie zacząć.
Czy za AI Act grożą kary?
Tak, i są wysokie. Za praktyki zakazane do 35 mln euro albo 7% światowego obrotu firmy (liczy się kwota wyższa). Za większość pozostałych naruszeń do 15 mln euro albo 3% obrotu. Za podanie organom nieprawdziwych informacji do 7,5 mln euro albo 1%. Dla małych i średnich firm przepisy przewidują górny limit z kwoty niższej, ale sama skala pokazuje, że to nie jest temat do odłożenia.
Od kiedy te przepisy realnie obowiązują?
Etapami, a kalendarz właśnie się zmienił. Od 2 lutego 2025 obowiązują już zakazane praktyki i obowiązek kompetencji pracowników (art. 4). Od 2 sierpnia 2026 wchodzą obowiązki przejrzystości: informowanie, że rozmawia się z AI, i oznaczanie treści wygenerowanych przez AI. Najcięższa część, czyli obowiązki dla systemów wysokiego ryzyka, została w lipcu 2026 przesunięta z sierpnia 2026 na 2 grudnia 2027. Audyt pokazuje, które z tych terminów dotyczą konkretnie Waszej firmy.
Używamy AI tylko do CV i rekrutacji. To chyba nic groźnego?
Przeciwnie, to jeden z najczęściej niedocenianych przypadków. Aneks III rozporządzenia zalicza narzędzia do rekrutacji i oceny pracowników do systemów wysokiego ryzyka, z osobnym zestawem obowiązków. Sprawdzam to w audycie w pierwszej kolejności.
Co dokładnie dostajemy na koniec?
Mapę procesów i słabych punktów, rejestr systemów AI z klasyfikacją ryzyka, rekomendacje i priorytety, plan wdrożenia, listę narzędzi z kosztami oraz wycenę wdrożenia. Całość omawiamy na spotkaniu i przekazujemy w PDF.
Ile czasu zajmie to nam, a nie Wam?
Zarząd bierze udział w spotkaniu otwierającym trwającym zwykle 60-90 minut i w 90-minutowej prezentacji wyników. Każdy kierownik działu uczestniczy w rozmowie trwającej 60-90 minut. Dokładny łączny czas zależy od liczby działów.
Ile trwa cały audyt?
Zwykle od 2 do 10 tygodni, zależnie od liczby działów. Dokładny harmonogram ustalamy po rozmowie wstępnej.
Czy jesteście certyfikowani w tych normach?
Nie, i nie udajemy. Nie mamy certyfikatu ISO/IEC 42001, a NIST w ogóle nie prowadzi certyfikacji, więc „certyfikowany audytor NIST” nie istnieje jako coś, co można zdobyć. Pracuję w oparciu o te standardy i zgodnie z ich wytycznymi — to inna, uczciwa deklaracja niż certyfikacja, i tak to zawsze zapisujemy.
Czy mapa procesów przyda się nam, jeśli nie będziemy z Wami dalej pracować?
Tak, i tak to jest pomyślane. Audyt jest samodzielnym produktem, a mapa procesów i plan zostają u Was. Możecie wykorzystać je wewnętrznie albo przekazać innemu wykonawcy.