Ryzyko AI. Dlaczego trudniej nim zarządzać?
Michał Nowakowski · 19 czerwca 2026
Ryzyko AI jest wielowątkowe i wieloaspektowe. Choć zasady zarządzania nim nie są "wyjątkowe", to samo ich zrozumienie wymaga uchwycenia różnorodności.
Model, z którego korzystamy okazuje się „przestarzały” i generuje słabe, czasami krzywdzące i ryzykowne wyniki, które tylko wkurzają zarząd. W końcu przychodzi moment, w którym właściciel rozwiązania dostaje po głowie. Mało komfortowa sytuacja. Czy można było jej uniknąć?
To zależy, ulubione powiedzenie prawników. Zależy od tego czy ustaliliśmy odpowiednie zasady. Nie tylko tzw. ML/AIops (monitorowania rozwiązań), ale także kluczowego elementu AI Governance - zarządzania ryzykiem AI.
Sam proces zarządzania ryzykiem AI nie jest w zasadzie odmienny od tego jak robi się to „po prostu”, a więc mamy:
identyfikację i analizę ryzyk, które racjonalnie jesteśmy w stanie przewidzieć,
szacowanie i ocenę czy i w jakim stopniu mogą one u nas wystąpić, także w odniesieniu do tzw. ryzyka rezydualnego,
opisanie i wdrożenie konkretnych działań, które pozwolą na sprawne zarządzanie ryzykiem.
Powiedzmy sobie szczerze - to nic nadzwyczajnego i każda dojrzalsza organizacja idzie dokładnie w tym kierunku - ma politykę, procedurę i matrycę ryzyk, która przypisuje też konkretne odpowiedzialności za monitoring. Mamy też zespół, który nas w tym wszystkim wspiera. I jakoś się to kręci.
Co więc jest takiego „innego” dla AI? Same ryzyka, które są po prostu specyficzne. Specyficzne w tym sensie, że często dotykają wielu sfer, aspektów i obszarów odpowiedzialności w organizacji. Przykład:
Ryzyko stronniczości modelu w obsłudze CV (obszar HR). Przykłady mitygantów ryzyk, które generuje narzędzie - legal architect - w oparciu o MIT AI Risk Repository:
- Audyt danych treningowych i metryki sprawiedliwości (np. demographic parity, equal opportunity) przed wdrożeniem [obszar danych, HR, compliance i legal]
- Stały monitoring rozkładu decyzji w grupach chronionych po wdrożeniu produkcyjnym [właściciel produktu, obszar danych, IT]
- Obowiązkowy nadzór człowieka nad odrzuceniem aplikacji i ścieżka odwoławcza dla kandydata [HR]
- Zapis pełnej dokumentacji modelu (model card, FRIA) - wymaganie AI Act dla systemów wysokiego ryzyka [IT, dane, HR, legal, compliance].
Dołóżmy do tego ryzyka cyberbezpieczeństwa, które też musimy tutaj zaadresować. Te mityganty przypisujemy do różnych zespołów, które dodatkowo muszą ze sobą grać. Musi być odpowiedni system eskalacji, wymiany informacji i kontroli działań. Ktoś to wszystko musi skoordynować.
Taką osobą powinien być AI Governance Officer, który nie musi w pełni rozumieć każdego ryzyka z osobna. Zresztą odrębnym tematem, którym się jeszcze zajmiemy jest to jak przypisywać ryzyka AI w ramach istniejących kategorii lub też tworzenia nowych.
AI Governance Officer musi jednak wiedzieć, jak działa ten system naczyń połączonych, udzielać wsparcia i monitorować czy dobrze ta współpraca przebiega. Nie wyręcza zespołów zarządzania ryzykiem, ale go wspiera.
Musi więc na koniec dnia mieć przynajmniej podstawową wiedzę w tym zakresie. Kropka.
Grafika: wytyczne EDPS w zakresie zarządzania ryzykiem systemów AI.