Usługa
Audyt AI: zobacz, gdzie jesteście
Sprawdzam, jak firma naprawdę używa AI, gdzie uciekają godziny i gdzie AI zwróci się najszybciej. Czas zależy od liczby działów: od około 2 tygodni do 2-3 miesięcy. Kończymy raportem, mapami procesów i planem działań.
Co sprawdzam
- 01Jak zespół używa AI dziś, także prywatne konta i „ciche” używanie ChatGPT.
- 02Obowiązki firmy z AI Act.
- 03Procesy, w których AI da najszybszy zwrot.
- 04Stan danych i narzędzi: CRM, arkusze, poczta, magazyn.
Po co komu standard
Audyt można zrobić na wyczucie albo według metody, którą ktoś sprawdził przed nami. Wybieram drugie, z trzech powodów. Powtarzalność: za rok robimy ten sam pomiar i widać, czy firma faktycznie ruszyła do przodu, nie tylko czy poprawiło się samopoczucie. Przenośność: mapy procesów zapisuję w otwartym formacie, czytelnym dla każdego innego wykonawcy — nie jesteście uwiązani do nas i możecie je oddać komukolwiek. Porównywalność: ocena w skali 1 do 5 znaczy dokładnie to samo u Was i w firmie obok, więc wiadomo, na jakim tle stoicie.
Na czym opieram audyt
Siedem punktów odniesienia, każdy po to, żeby audyt dawał coś konkretnego, nie tylko wrażenie:
- 01BPMN 2.0, norma ISO/IEC 19510, na najprostszym poziomie (około 10 symboli) — mapę procesu czyta właściciel firmy, nie tylko informatyk, a pliki zapisuję w otwartym formacie, więc otworzycie je bez nas.
- 02SIPOC z metodyki Six Sigma, jedna strona na proces, 30 do 60 minut rozmowy — od razu widać, gdzie proces przecieka: co wchodzi, co wychodzi, kto za co odpowiada.
- 03Klasyfikacja procesów APQC — uzasadnia, czemu sprawdzam akurat te obszary firmy, a których świadomie nie ruszam, żeby audyt nie rozlał się na wszystko naraz.
- 04Mapowanie strumienia wartości — trzy liczby dla każdej sprawy: ile trwa cała droga od początku do końca, ile z tego to realna praca człowieka i jaki procent trzeba później poprawiać.
- 05NIST AI Risk Management Framework 1.0 — cztery funkcje porządkujące ryzyka związane z AI: nadzór, rozpoznanie, pomiar i reakcja, żeby żadne ryzyko nie zostało pominięte przez przypadek.
- 06ISO/IEC 23894:2023 (wytyczne zarządzania ryzykiem AI) i struktura normy ISO/IEC 42001:2023 — układ, według którego sprawdzam, czy to Wy macie kontrolę nad AI, nie odwrotnie.
- 07ISO 9001:2015, podejście procesowe — gdy firma ma już system jakości, audyt mówi tym samym językiem i nie trzeba go tłumaczyć na nowo dla certyfikującego.
Standard to nie certyfikat
Powiemy to od razu, zamiast czekać, aż ktoś zapyta. Nie mamy certyfikatu ISO/IEC 42001 i nigdzie tak nie napiszemy. NIST w ogóle nie prowadzi certyfikacji — „certyfikowany audytor NIST” nie istnieje jako coś, co można zdobyć, chociaż ten zapis krąży po rynku. Nikt też nie może zagwarantować zgodności z AI Act: możemy zmapować obowiązki, przygotować firmę i pokazać, gdzie kończy się nasza kompetencja, a zaczyna praca prawnika. Dlatego piszemy „w oparciu o” i „zgodnie z wytycznymi”, nie „certyfikowani” ani „zgodni z prawem”. To brzmi jak przyznanie się do słabości. Jest odwrotnie: kto oferuje gwarancję zgodności z prawem albo certyfikat, którego dla tej normy nie wydaje żadna instytucja, ten już Was okłamuje. Wolimy powiedzieć dokładnie, na czym stoimy.
Jak przebiega
- 01Sesja otwierająca z zarządem: ustalamy cele, zakres i priorytety. Na wyjściu notatka z ustaleniami i harmonogram audytu.
- 02Inwentaryzacja systemów i danych: spisuję, jakich programów używacie i gdzie żyją dane. Na wyjściu mapa systemów i przepływów danych.
- 03Rozmowy w działach: z każdym kierownikiem osobno, żeby zobaczyć pracę z boku, nie tylko z raportów. Na wyjściu notatki z rozmów i lista miejsc, gdzie dane są przepisywane ręcznie.
- 04Mapowanie procesów, jak jest i jak może być: rozkładam wybrane procesy na kroki w obu wariantach. Na wyjściu mapy procesów w otwartym formacie.
- 05Ocena dojrzałości i ryzyk: punktuję firmę w sześciu obszarach i spisuję ryzyka według wagi. Na wyjściu karta dojrzałości cyfrowej i rejestr ryzyk.
- 06Rekomendacje, opłacalność i mapa drogowa: konkretne przypadki użycia z kosztem i efektem, rachunek opłacalności, plan na najbliższy rok. Na wyjściu raport końcowy, omawiamy na spotkaniu.
Czas zależy od liczby działów: 1-2 działy to około 2 tygodnie, 3-4 działy to 3 do 4 tygodni, 5 i więcej działów to 6 do 10 tygodni. Po Waszej stronie to zwykle 12 do 25 godzin, głównie rozmowy z kierownikami działów.
Co dostajecie
- 01Raport z audytu — wszystkie ustalenia w jednym dokumencie.
- 02Mapa systemów i przepływów danych, z zaznaczonym każdym miejscem, gdzie dane są przepisywane ręcznie.
- 03Mapy procesów w dwóch ujęciach, jak jest i jak może być, w otwartym formacie.
- 04Karta dojrzałości cyfrowej: sześć wymiarów — infrastruktura, zarządzanie danymi, automatyzacja, analityka, kompetencje, strategia — w skali 1 do 5, wynik na 30 punktów.
- 05Rejestr ryzyk uszeregowany według wagi.
- 06Mapa obowiązków z AI Act dopasowana do Waszych konkretnych narzędzi.
- 07Polityka AI dla firmy.
- 08Rekomendacje jako ponumerowane przypadki użycia: problem, propozycja, koszt, efekt.
- 09Rachunek opłacalności w trzech wariantach: ostrożnym, podstawowym i optymistycznym.
- 10Mapa drogowa na 0-3, 3-6 i 6-12 miesięcy.
Dotacja
Jesteśmy akredytowanym doradcą programu Spektrum 2030 (Agencja Rozwoju Pomorza). Firmy z Pomorza mogą sfinansować audyt z dotacją do 60%.
Najczęściej zadawane pytania
Czy audyt zobowiązuje do dalszej współpracy?
Nie. Po audycie macie raport i plan. Decyzja, czy iść dalej, jest Wasza.
Czy AI Act w ogóle nas dotyczy?
Jeśli ktokolwiek w firmie używa AI (nawet ChatGPT do maili), to tak. Od lutego 2025 obowiązuje art. 4 o kompetencjach pracowników. Audyt mapuje, co konkretnie Was dotyczy.
Nie mamy żadnego AI. Czy audyt ma sens?
Tak, wtedy audyt wskazuje, gdzie AI zwróci się najszybciej i od czego bezpiecznie zacząć.
Czy za AI Act grożą kary?
Tak, i są wysokie. Za praktyki zakazane do 35 mln euro albo 7% światowego obrotu firmy (liczy się kwota wyższa). Za większość pozostałych naruszeń do 15 mln euro albo 3% obrotu. Za podanie organom nieprawdziwych informacji do 7,5 mln euro albo 1%. Dla małych i średnich firm przepisy przewidują górny limit z kwoty niższej, ale sama skala pokazuje, że to nie jest temat do odłożenia.
Od kiedy te przepisy realnie obowiązują?
Etapami, a kalendarz właśnie się zmienił. Od 2 lutego 2025 obowiązują już zakazane praktyki i obowiązek kompetencji pracowników (art. 4). Od 2 sierpnia 2026 wchodzą obowiązki przejrzystości: informowanie, że rozmawia się z AI, i oznaczanie treści wygenerowanych przez AI. Najcięższa część, czyli obowiązki dla systemów wysokiego ryzyka, została w lipcu 2026 przesunięta z sierpnia 2026 na 2 grudnia 2027. Audyt pokazuje, które z tych terminów dotyczą konkretnie Waszej firmy.
Używamy AI tylko do CV i rekrutacji. To chyba nic groźnego?
Przeciwnie, to jeden z najczęściej niedocenianych przypadków. Aneks III rozporządzenia zalicza narzędzia do rekrutacji i oceny pracowników do systemów wysokiego ryzyka, z osobnym zestawem obowiązków. Sprawdzam to w audycie w pierwszej kolejności.
Co dokładnie dostajemy na koniec?
Kompletny pakiet dokumentów: raport z audytu, mapy systemów i procesów, kartę dojrzałości cyfrowej, rejestr ryzyk, mapę obowiązków z AI Act, politykę AI oraz rekomendacje z rachunkiem opłacalności i mapą drogową. Pełna lista jest w sekcji „Co dostajecie” wyżej. Wszystko omawiamy na spotkaniu, żeby było wiadomo, od czego zaczynacie.
Ile czasu zajmie to nam, a nie Wam?
Zależy od liczby działów: sesja otwierająca z zarządem to zwykle 2 godziny, potem po około 2 godziny z każdym kierownikiem działu. W firmie z 1-2 działami to razem 12 do 15 godzin, w większej organizacji z 5 i więcej działami — 20 do 25 godzin. Resztę pracy wykonuję sam, po swojej stronie.
Ile trwa cały audyt?
Od około 2 tygodni przy jednym lub dwóch działach do 6-10 tygodni przy firmie z pięcioma i większą liczbą działów. Dokładne widełki dostajecie już po pierwszej rozmowie.
Czy jesteście certyfikowani w tych normach?
Nie, i nie udajemy. Nie mamy certyfikatu ISO/IEC 42001, a NIST w ogóle nie prowadzi certyfikacji, więc „certyfikowany audytor NIST” nie istnieje jako coś, co można zdobyć. Pracuję w oparciu o te standardy i zgodnie z ich wytycznymi — to inna, uczciwa deklaracja niż certyfikacja, i tak to zawsze zapisujemy.
Czy mapa procesów przyda się nam, jeśli nie będziemy z Wami dalej pracować?
Tak, i tak to jest pomyślane. Mapy zapisuję w otwartym formacie BPMN i SIPOC, więc otworzy je i przeczyta dowolny inny wykonawca, informatyk albo Wy sami. Audyt ma zostać Waszą własnością, nie zakładnikiem dalszej współpracy z nami.