AI Act a outsourcing dokumentów: co sprawdzić u dostawcy automatyzacji
AI może przyspieszyć rozpoznawanie, klasyfikację i kierowanie dokumentów, ale nie przenosi odpowiedzialności na algorytm. Zobacz, jak sprawdzić dostawcę, zanim automatyzacja trafi do procesu.
Od 2 sierpnia 2026 r. organy właściwe i AI Office egzekwują kolejne obowiązki wynikające z unijnego AI Act. Nie oznacza to, że każde OCR, reguła sortująca albo klasyfikator dokumentów automatycznie jest systemem wysokiego ryzyka. Oznacza natomiast, że firmy powinny wiedzieć, gdzie w procesie działa AI, jakie podejmuje działania, na jakich danych pracuje i kto kontroluje wynik.
W outsourcingu dokumentów jest to szczególnie ważne, ponieważ jeden proces może łączyć skanowanie, rozpoznawanie tekstu, ekstrakcję danych, klasyfikację spraw, przekazanie do odpowiedniego zespołu i wygenerowanie odpowiedzi. Poniższa checklista pomaga przełożyć przepisy na wymagania operacyjne. Nie zastępuje analizy prawnej konkretnego zastosowania.
1. Najpierw odróżnij AI od zwykłej automatyzacji
Nie każda automatyczna czynność jest systemem AI. Stała reguła „jeżeli numer zaczyna się od X, skieruj dokument do działu Y” działa inaczej niż model rozpoznający treść i przewidujący kategorię. Poproś dostawcę o prostą mapę technologii: gdzie stosowane są reguły, gdzie OCR, gdzie model uczenia maszynowego, a gdzie człowiek zatwierdza decyzję.
2. Zmapuj dane, rezultat i konsekwencję błędu
Lista wejść powinna obejmować obrazy dokumentów, tekst po OCR, metadane, historię sprawy i dane używane do trenowania lub ulepszania modelu. Dla każdego wyniku zapisz, czy jest tylko podpowiedzią, czy automatycznie uruchamia dalszą czynność. Innego nadzoru wymaga sugestia kategorii faktury, a innego automatyczne odrzucenie reklamacji, zmiana statusu klienta lub decyzja wpływająca na prawa osoby.
3. Ustal role stron
W umowie trzeba nazwać właściciela procesu, dostawcę technologii, podmiot utrzymujący model, użytkownika wyniku oraz administratora i procesora danych. Role z AI Act i RODO nie zawsze są identyczne. Dostawca usługi może korzystać z narzędzia innej firmy, dlatego pytanie o podwykonawców i miejsce przetwarzania pozostaje obowiązkowe.
4. Nie przyjmuj etykiety ryzyka bez uzasadnienia
Poproś o opis przeznaczenia systemu i udokumentowaną ocenę, do jakiej kategorii należy. Klasyfikacja zależy od zastosowania, a nie od samego hasła „AI”. Jeżeli narzędzie jest częścią procesu kadrowego, oceny zdolności kredytowej albo innej dziedziny wymienionej w AI Act, wymagania mogą być wyższe. Jeżeli służy wyłącznie do technicznego sortowania korespondencji, nadal trzeba zarządzać jakością, prywatnością i bezpieczeństwem, nawet gdy nie jest systemem wysokiego ryzyka.
5. Wpisz do SLA jakość modelu, a nie tylko czas
| Obszar | Pytanie do dostawcy | Dowód |
|---|---|---|
| Dokładność | Jak liczony jest błąd klasyfikacji i ekstrakcji? | Wynik na reprezentatywnej próbce |
| Wyjątki | Kiedy dokument trafia do człowieka? | Progi pewności i kolejka wyjątków |
| Zmiany | Kto zatwierdza nową wersję modelu? | Rejestr wersji i test regresji |
| Incydenty | Jak wykrywane są seryjne błędy? | Alert, eskalacja i raport przyczyn |
| Dane | Czy dokumenty uczą model? | Umowa, retencja i podstawa prawna |
6. Zaprojektuj realny nadzór człowieka
„Człowiek w pętli” nie może oznaczać jedynie formalnego przycisku akceptacji. Osoba kontrolująca powinna rozumieć ograniczenia narzędzia, widzieć oryginalny dokument, móc zmienić wynik i wiedzieć, kiedy zatrzymać proces. Przy niskiej pewności, nieczytelnym skanie, nowym typie dokumentu lub decyzji o dużej konsekwencji sprawa powinna automatycznie trafić do weryfikacji.
7. Połącz AI Act z RODO
AI Act nie zastępuje RODO. Jeżeli system przetwarza dane osobowe, nadal potrzebne są cel, podstawa prawna, minimalizacja, retencja, bezpieczeństwo i obsługa praw osób. Sprawdź, czy dane klienta nie są wykorzystywane do trenowania wspólnego modelu bez wyraźnego ustalenia. W procesach o podwyższonym ryzyku oceń potrzebę DPIA i udokumentuj, skąd pochodzą dane testowe.
8. Kontroluj wersje i regresję
Model może zmienić zachowanie po aktualizacji, zmianie promptu, słownika, dostawcy OCR albo struktury dokumentu. Każda istotna zmiana powinna mieć numer wersji, zakres, wynik testu i możliwość wycofania. Zestaw kontrolny powinien obejmować dokumenty typowe, trudne i celowo nietypowe, a także języki używane w procesie.
9. Ustal plan incydentu i wyjścia
Umowa powinna określać, kiedy błąd AI staje się incydentem, kto go zgłasza, jak zatrzymać automatyczne decyzje i jak przejść na tryb ręczny. Plan wyjścia musi obejmować eksport danych, konfiguracji, słowników, logów i listy wyjątków. Bez tego zmiana dostawcy może oznaczać utratę wiedzy operacyjnej.
10. Zacznij od mierzalnego pilotażu
- Wybierz jeden typ dokumentu i ograniczony wolumen.
- Zbuduj ręcznie zweryfikowany zbiór referencyjny.
- Ustal progi jakości i sytuacje wymagające człowieka.
- Przetestuj błędy, języki, słabe skany i brakujące pola.
- Porównaj czas, koszt oraz liczbę poprawek z procesem dotychczasowym.
- Dopiero po spełnieniu kryteriów rozszerz zakres.
Źródła
- Rozporządzenie (UE) 2024/1689 - AI Act
- Komisja Europejska: ramy regulacyjne AI
- EROD: sztuczna inteligencja i ochrona danych
FAQ
Czy każde OCR podlega AI Act?
Nie. Klasyczne OCR lub sztywne reguły nie muszą być systemem AI. Trzeba jednak sprawdzić faktyczne działanie narzędzia, jego przeznaczenie i konsekwencje wyniku.
Czy dostawca może używać naszych dokumentów do trenowania modelu?
Tylko na jasno ustalonych zasadach. Umowa powinna określać cel, zakres, podstawę prawną, retencję, poufność i możliwość sprzeciwu lub wyłączenia takiego użycia.
Czy nadzór człowieka wystarczy, aby ograniczyć ryzyko?
Tylko gdy jest rzeczywisty: kontrolujący widzi dane źródłowe, rozumie ograniczenia, może zmienić wynik i zatrzymać proces.
Od czego zacząć kontrolę dostawcy?
Od mapy zastosowań AI, danych, podwykonawców i skutków błędu. Następnie trzeba ustalić mierniki jakości, progi weryfikacji, rejestr wersji i plan incydentu.