Coraz większa przepaść między polityką dotyczącą AI a jej egzekwowaniem w praktyce

AI nie podlega jednemu zbiorowi zasad

AI wdraża się w różnych branżach i zastosowaniach szybciej, niż dojrzewają polityki i ramy zarządzania niezbędne do nadzorowania tego procesu. Dotychczas zastosowania AI regulowano głównie za pomocą istniejących przepisów dotyczących ochrony konsumentów, prywatności i poszczególnych branż, a także wewnętrznych polityk samych firm. Rządy zaczynają wprowadzać wymogi dotyczące konkretnie AI, ale pozostają one rozproszone i często niewiele mówią o tym, jak systemy powinny faktycznie działać. Firmy muszą więc godzić wymogi zewnętrzne z własną tolerancją ryzyka, celami produktowymi i realiami operacyjnymi.

UE aktywnie egzekwuje już część przepisów AI Act, podczas gdy polityka federalna USA wyraźnie opowiada się za mniej obciążającymi ramami krajowymi. Executive Order 14365 ma na celu ograniczenie sprzecznych wymogów stanowych, choć w 2025 roku stany wprowadziły ponad 1000 rozwiązań dotyczących AI. Każda z tych instytucji wyznacza inny kierunek, a ciężar godzenia tych podejść spada na firmy tworzące i wdrażające te systemy.

Ustanowienie wymogów regulacyjnych to jednak tylko część wyzwania. W miarę jak AI znajduje zastosowanie w coraz większej liczbie obszarów i kontekstów, firmy muszą przekładać ogólne wymogi i wewnętrzne polityki na kontrole operacyjne oraz poszczególne decyzje podejmowane przez systemy AI. Żadne ramy regulacyjne nie są w stanie przewidzieć każdego zastosowania, kontekstu ani kompromisu. Organizacje muszą więc wytyczyć drogę od nadrzędnych wymogów i wewnętrznych polityk do zachowania systemów, mierzalnych wyników oraz audytu lub przeglądu. Ramy zarządzania ryzykiem związanym z AI opracowane przez NIST opierają się na podobnym podejściu: kładą nacisk na ciągłe pomiary i zarządzanie, zamiast traktować nadzór jako odrębne ćwiczenie z zakresu zgodności. Wymogi spływają w dół, a dowody płyną w górę: organy regulacyjne i kadra kierownicza mogą określać oczekiwane wyniki, ale organizacje muszą wykazać, czy ich systemy rzeczywiście je osiągają.

W praktyce oznacza to, że znaczna część odpowiedzialności za zarządzanie AI spoczywa na organizacjach wdrażających te systemy.

Najtrudniejsze wyzwania związane z zarządzaniem pojawiają się na etapie wdrożenia

Przepisy i ramy zarządzania zazwyczaj określają zasady, obowiązki i oczekiwane rezultaty. Systemy działające na produkcji muszą jednak przekładać je na konkretne decyzje — i właśnie na tym etapie zarządzanie staje się trudne. Polityka może nakazywać zapobieganie dyskryminacji, ochronę użytkowników, zapewnienie przejrzystości lub umożliwienie rzetelnego nadzoru człowieka, ale system operacyjny musi odpowiadać na znacznie bardziej szczegółowe pytania: od jakiego progu podejmuje działanie, na podstawie jakich dowodów i z jakim poziomem pewności, kiedy wymagana jest weryfikacja przez człowieka, co jest rejestrowane i co się dzieje, gdy system nie ma pewności?

Organy regulacyjne już oczekują odpowiedzi na te pytania. FTC, DOJ, CFPB i EEOC oświadczyły wspólnie, że będą egzekwować obowiązujące je przepisy dotyczące systemów zautomatyzowanych. Oznacza to, że prędzej czy później ktoś poprosi firmę o wyjaśnienie, na jakiej podstawie jej system podejmuje decyzje.

Rozważmy platformę, która ma jasną politykę zakazującą nękania. Wiadomość zawierająca wulgaryzmy może być nieszkodliwym żartem między znajomymi, podczas gdy pozornie niewinna wiadomość może stanowić część długotrwałej kampanii wymierzonej w innego użytkownika. System musi ustalić, na jakim kontekście może wiarygodnie polegać, ile dowodów wystarczy, by zareagować, i jaka reakcja będzie odpowiednia: zablokować wiadomość, ostrzec nadawcę, skierować sprawę do weryfikacji przez człowieka czy nie podejmować żadnych działań. Obniżenie progów wykrywania może pomóc wychwycić więcej szkodliwych zachowań, ale może też tłumić wypowiedzi zgodne z zasadami. Wymóg weryfikacji przez człowieka może poprawić trafność oceny, ale opóźnić reakcję. Żadna z tych decyzji nie wynika wprost z ogólnej polityki zakazującej nękania, a jednak łącznie przesądzają o tym, jak ta polityka jest faktycznie egzekwowana.

Żaden dokument z polityką nie rozstrzyga z góry tych kompromisów, więc ktoś w firmie musi podjąć odpowiednie decyzje, udokumentować je i do nich wracać. Niezależnie od tego, co wynika ze schematu organizacyjnego, osoba ta w praktyce tworzy politykę.

Czego tak naprawdę wymaga odpowiedzialne AI

Jeśli osoby wdrażające system w praktyce tworzą politykę, odpowiedzialnego AI nie można sprowadzać do deklaracji intencji — musi ono znajdować odzwierciedlenie w codziennym działaniu systemu. Oznacza to zarządzanie sposobem wykorzystywania i mierzenia AI oraz korygowanie go z czasem, a nie tylko zatwierdzenie polityki lub przeprowadzenie wstępnej oceny. W praktyce najważniejsze są trzy kwestie, z których każda wynika z opisanych wyżej kompromisów:

• Zakres nadzoru powinien być proporcjonalny do możliwych konsekwencji. System AI, który proponuje teksty reklamowe, zatwierdza wnioski kredytowe, sygnalizuje zagrożenia dla bezpieczeństwa lub wspiera podejmowanie decyzji medycznych, wiąże się z bardzo różnym poziomem ryzyka. Organizacje muszą ustalić, w jakich przypadkach uzasadnione są ściślejsze kontrole, weryfikacja i nadzór, biorąc pod uwagę potencjalne konsekwencje.
• Sama dokładność nie wystarczy. Różne błędy pociągają za sobą różne koszty. Fałszywie pozytywny wynik moderacji może doprowadzić do stłumienia wypowiedzi zgodnej z zasadami, podczas gdy błąd w obszarze kredytów, opieki zdrowotnej lub bezpieczeństwa może mieć znacznie poważniejsze skutki. Zarządzanie musi uwzględniać rzeczywisty wpływ decyzji, a nie tylko skuteczność modelu.
• Nieodzowne są ciągła ocena i informacja zwrotna. Ręczne nadpisywanie decyzji systemu, odwołania, incydenty, przypadki brzegowe i dalsze skutki powinny być uwzględniane w bieżącej ocenie.

Praktyczne ramy wewnętrznego zarządzania AI

Wdrożenie tych zasad w praktyce wymaga uwzględnienia zarządzania na etapie projektowania, wdrażania i obsługi systemów AI. Szczególne znaczenie mają cztery działania:

• Od początku traktować wymogi zarządzania jako wymagania dotyczące produktu i systemu. Mechanizmy kontroli zgodności dodawane po wdrożeniu są zazwyczaj kosztowne i zawodne. Prywatność, przejrzystość, możliwość audytu i mechanizmy weryfikacji znacznie łatwiej uwzględnić w systemie na etapie projektowania niż dodawać je później.
• Stworzyć możliwy do audytu łańcuch łączący politykę z decyzją. Organizacje powinny mieć możliwość powiązania wymogu regulacyjnego lub wewnętrznej polityki z zastosowanym mechanizmem kontroli i wynikającą z niego decyzją. Potrzebują również dowodów niezbędnych do jej oceny.
• Jasno określić zakres odpowiedzialności i rozliczalności. Należy wskazać, kto odpowiada za politykę, kto określa akceptowalny poziom ryzyka, a kto monitoruje działanie systemu. Ktoś powinien mieć również uprawnienia do interwencji, gdy system działa poza wyznaczonymi granicami.
• Stworzyć wspólną, elastyczną infrastrukturę zarządzania. Mechanizmy kontroli danych, ścieżki audytu, konfigurowalne polityki, procesy weryfikacji i pomiary powinny wspierać różne wymogi regulacyjne i przypadki użycia. Mechanizmy kontroli i progi powinny dać się dostosować do jurysdykcji, zastosowania i poziomu ryzyka, aby organizacje mogły reagować na zmieniające się wymogi bez przebudowywania systemów.

Zarządzanie musi sprawdzać się w praktyce

Regulacje mogą określać obowiązki i zasady, ale firmy nadal muszą przełożyć je na systemy, które podejmują rzeczywiste decyzje na dużą skalę. Dlatego wewnętrzne zarządzanie jest obowiązkiem operacyjnym, a nie tylko działaniem na rzecz zgodności. Każda firma wdrażająca AI na dużą skalę już teraz kształtuje politykę za pomocą progów, zasad weryfikacji i ścieżek eskalacji; jedyne pytanie, które pozostaje otwarte, brzmi: czy robi to świadomie.

Organy regulacyjne będą nadal określać oczekiwane rezultaty i nie zawsze będą się ze sobą zgadzać, dlatego firma musi zdecydować, jak przełożyć te oczekiwania na mechanizmy kontroli, a następnie wykazać dowodami, że działają. Firmy, które już teraz zadbają o jasno określony zakres odpowiedzialności, mierzalne mechanizmy kontroli, możliwość audytu i elastyczną infrastrukturę, będą lepiej przygotowane na dalsze zmiany regulacji.

Problem ten znam z kilku perspektyw: pracy w obszarze cyberbezpieczeństwa, tworzenia modeli ryzyka, a obecnie także obsługi systemów AI na dużą skalę. W każdym z tych przypadków wniosek jest podobny: ramy działania sprawdzają się tylko wtedy, gdy można przełożyć je na jasne decyzje, mierzyć ich skuteczność w praktyce i doskonalić je, gdy rzeczywistość ujawnia luki.