Jak wybrać firmę do wdrożenia AI: checklista 20 pytań i elementy umowy (AI Act, RODO, IP, kryteria odbioru)

Różnica między wdrożeniem AI, które daje mierzalny efekt, a projektem, który kończy się na prezentacji, rzadko leży w technologii. Leży w tym, jak partner podchodzi do danych, jak mierzy wynik i co podpisujecie w umowie. Ten tekst to lista pytań na pierwsze spotkania z dostawcą i lista zapisów, które powinny znaleźć się w umowie, zanim ruszy projekt.

Nie jest to porada prawna; zapisy umowne warto skonsultować z prawnikiem, zwłaszcza przy systemach wysokiego ryzyka wg AI Act.

Najważniejsze wnioski

• Zacznij od problemu, nie od modelu. Dobry partner najpierw pyta o proces, dane i oczekiwany wynik, a dopiero potem o stos technologiczny.
• Dane decydują o wyniku. Pytaj o audyt danych, dostęp, uprawnienia i o to, gdzie dane będą przetwarzane.
• Umowa na AI różni się od umowy na software. Musi obejmować role wg AI Act, powierzenie danych wg RODO, własność kodu, promptów, konfiguracji i wag modelu, kryteria odbioru oparte na metrykach i koszty użycia modeli.
• Odbiór to statystyka, nie przycisk. Kryteria odbioru definiuje się na zbiorze testowym, z progami jakości, czasem odpowiedzi i kosztem zapytania.
• Zaplanuj wyjście. Dokumentacja, przekazanie i wymienność modelu to zapisy, które chronią firmę po zakończeniu współpracy.

Czym jest wdrożenie AI w firmie

Wdrożenie AI to zbudowanie i uruchomienie systemu, który korzysta z modeli uczenia maszynowego lub modeli językowych (LLM) w procesie firmy: asystent dla pracowników lub klientów, agent wykonujący zadania w systemach, baza wiedzy RAG, model predykcyjny. W większości projektów biznesowych nie buduje się własnych modeli od zera; używa się gotowych modeli przez API lub modeli open-weight i łączy je z danymi i systemami firmy. Dlatego kompetencje partnera liczą się przede wszystkim w integracji, danych, bezpieczeństwie i pomiarze efektu.

Trzy filary oceny partnera

Technologia i dane

Zanim zapytasz o cenę, sprawdź, jak firma pracuje z danymi: czy robi audyt źródeł, jak porządkuje dane, jak przenosi uprawnienia z systemów źródłowych do AI, jak wybiera model (koszt, jakość, miejsce przetwarzania) i czy potrafi go wymienić bez przebudowy. Partner, który od razu proponuje trenowanie własnego modelu, powinien umieć uzasadnić, dlaczego gotowy model z RAG nie wystarczy.

Biznes i pomiar

Wdrożenie bez etapu discovery (co mierzymy, jaki jest stan obecny, co uznamy za sukces) kończy się funkcjami, których nikt nie używa. Dobry partner proponuje pilotaż na jednym procesie i realnych danych, z pomiarem przed i po.

Prawo i bezpieczeństwo

AI Act obowiązuje etapami od 2024 roku (zakazy i kompetencje AI od lutego 2025, przejrzystość od sierpnia 2026, systemy wysokiego ryzyka od grudnia 2027). RODO obowiązuje w pełni. Partner powinien wiedzieć, w jakiej roli występuje (dostawca czy wdrażający wg AI Act, procesor wg RODO) i co z tego wynika dla umowy.

Sygnały ostrzegawcze i dobre praktyki

Checklista: 20 pytań do firmy wdrażającej AI

Doświadczenie

1. Czy możecie pokazać system AI, który działa na produkcji u klienta, z liczbami? Szukaj case studies z metrykami (czas, koszt, przychód), nie opisów.
2. Jakie problemy pojawiły się w poprzednich wdrożeniach i jak je rozwiązaliście? Odpowiedź pokazuje, czy partner mówi o ryzykach, zanim się pojawią.
3. Czy macie doświadczenie w naszej branży? Dane w fintechu, healthcare czy produkcji mają inne wymagania wobec bezpieczeństwa i zgodności.
4. Czy przejmowaliście systemy po innych dostawcach i integrowaliście AI z systemami legacy? Większość firm nie buduje od zera.

Dane i architektura

1. Jak wygląda u Was audyt danych przed wdrożeniem? Źródła, jakość, luki, uprawnienia.
2. Jak dobieracie model i czy architektura pozwala go wymienić? Pytanie o zależność od jednego dostawcy.
3. Jak ograniczacie halucynacje? RAG na zweryfikowanych źródłach, cytowanie źródeł, testy jakości odpowiedzi, odmowa odpowiedzi przy braku danych.
4. Jak przenosicie uprawnienia z systemów źródłowych do AI? Użytkownik ma widzieć tylko to, do czego ma dostęp.
5. Jak testujecie system, którego odpowiedzi są niedeterministyczne? Zbiór testowy, metryki, testy regresyjne po każdej zmianie modelu lub promptu.
6. Kto i jak monitoruje jakość po wdrożeniu? Logi, metryki, alerty, plan douczania lub wymiany modelu.

Bezpieczeństwo i prawo

1. Gdzie fizycznie będą przetwarzane nasze dane i przez jakie podmioty? Chmura dostawcy modelu, chmura klienta, infrastruktura klienta; lista podprocesorów.
2. Czy dane firmy mogą trafić do trenowania modeli dostawcy? Oczekiwana odpowiedź: nie, na podstawie umowy biznesowej z dostawcą modelu.
3. Jak zapewniacie zgodność z RODO? Umowa powierzenia, minimalizacja danych, ocena skutków (DPIA), jeśli wymagana, prawo do usunięcia danych.
4. W jakiej roli wg AI Act będziecie Wy, a w jakiej my? Dostawca systemu czy wdrażający; jaka kategoria ryzyka; co z tego wynika dla dokumentacji i nadzoru.
5. Jakie zabezpieczenia stosujecie wobec danych w promptach i odpowiedziach? Filtry danych wrażliwych, logowanie, kontrola dostępu, testy bezpieczeństwa (w tym prompt injection).

Współpraca i koszty

1. Jak definiujecie pilotaż i co będzie jego wynikiem? Zakres, dane, metryki, decyzja o skalowaniu.
2. Jak rozbijacie wycenę? Budowa, użycie modeli (przy szacowanej liczbie zapytań), utrzymanie i rozwój. Jedna kwota bez rozbicia to sygnał ostrzegawczy.
3. Jakie metryki biznesowe będziemy śledzić? Oszczędność czasu, koszt obsługi, konwersja, przychód; mierzone przed i po.
4. Kto konkretnie będzie pracował w projekcie i w jakim modelu? Zespół dedykowany, rozszerzenie naszego zespołu, projekt o stałym zakresie; dostęp do architekta.
5. Co dostaniemy na koniec i jak wygląda przekazanie? Kod, dokumentacja, prompty, konfiguracje, zbiory testowe; możliwość utrzymania przez inny zespół.

Elementy umowy na wdrożenie AI

1. Role i odpowiedzialność wg AI Act

• Określenie, kto jest dostawcą systemu (opracowuje i wprowadza do obrotu), a kto wdrażającym (używa w swojej działalności). Jeśli system powstaje na zamówienie pod marką klienta, klient może być dostawcą; umowa powinna to nazwać wprost.
• Klasyfikacja ryzyka systemu w umowie lub załączniku; przy wysokim ryzyku: kto odpowiada za dokumentację techniczną, logowanie, nadzór ludzki, ocenę zgodności.
• Przejrzystość: system informuje użytkownika, że rozmawia z AI, treści generowane są oznaczane, zgodnie z art. 50.
• Kompetencje AI (art. 4): szkolenie zespołu klienta jako element dostawy, nie dodatek.
• Zgłaszanie incydentów: procedura i terminy informowania klienta o błędach systemu i incydentach bezpieczeństwa.

2. RODO i dane

• Umowa powierzenia przetwarzania (art. 28 RODO) z partnerem i lista podprocesorów (w tym dostawcy modeli) z prawem sprzeciwu wobec zmian.
• Miejsce przetwarzania i regiony (UE/EOG), zasady transferu poza EOG.
• Zakaz trenowania modeli dostawcy na danych klienta, potwierdzony umową biznesową z dostawcą modelu.
• Minimalizacja i anonimizacja danych przed przekazaniem do modelu; filtry danych wrażliwych.
• Usuwanie danych: architektura (RAG zamiast trenowania na danych osobowych) ma umożliwić usunięcie danych osoby bez przebudowy modelu; retencja logów (dla systemów wysokiego ryzyka min. 6 miesięcy wg AI Act).
• Ocena skutków (DPIA) i, przy wysokim ryzyku dla określonych wdrażających, ocena skutków dla praw podstawowych (art. 27 AI Act): kto ją przygotowuje.

3. Własność intelektualna

• Przeniesienie autorskich praw majątkowych (nie licencja) do kodu, skryptów danych, dokumentacji, promptów, konfiguracji, zbiorów testowych i ewaluacyjnych, na wszystkich polach eksploatacji, z chwilą zapłaty za etap.
• Wagi modelu: jeśli partner dostraja model (fine-tuning), prawa do wag i danych treningowych przechodzą na klienta w zakresie dozwolonym licencją modelu bazowego. Modeli dostawców zewnętrznych (OpenAI, Anthropic, Google) nie da się „kupić”; umowa powinna to jasno rozdzielać.
• Komponenty open-source i modele open-weight: lista z licencjami i potwierdzenie zgodności z zastosowaniem komercyjnym.
• Treści generowane przez AI: prawo autorskie chroni utwory ludzkie; umowa powinna regulować prawa do wyników i odpowiedzialność za ich użycie, bez obiecywania ochrony, której prawo nie daje.
• Know-how partnera: jeśli partner wnosi własne komponenty lub produkty (np. gotową bazę wiedzy), licencja na nie z prawem dalszego użytku po zakończeniu umowy.

4. Kryteria odbioru

• Zbiór testowy uzgodniony przed startem (reprezentatywne zapytania i oczekiwane odpowiedzi), na którym mierzy się odbiór.
• Progi jakości dopasowane do zadania: dla asystenta na bazie wiedzy np. odsetek odpowiedzi poprawnych i opartych na źródłach, odsetek odmów przy braku danych; dla klasyfikacji: precyzja i czułość; dla ekstrakcji: dokładność pól.
• Czas odpowiedzi (np. 95. percentyl) i koszt zapytania przy założonym wolumenie.
• Bezpieczeństwo: testy na prompt injection i wyciek danych, kontrola uprawnień.
• Nadzór ludzki: gdzie człowiek zatwierdza wynik, zanim trafi do klienta lub systemu.
• Realizm: AI ma margines błędu; odbiór definiuje poziom akceptowalny, a nie 100%.

5. Koszty, utrzymanie i wyjście

• Wycena rozbita na budowę, użycie modeli (z mechanizmem rozliczenia zmian cen dostawców) i utrzymanie.
• SLA na dostępność i czas reakcji; monitorowanie jakości jako usługa, nie obietnica.
• Wymienność modelu jako wymaganie architektoniczne zapisane w umowie.
• Klauzula wyjścia: przekazanie kodu, dokumentacji, danych i konfiguracji w uzgodnionym formacie, okres przejściowy, wsparcie dla kolejnego zespołu.
• Poufność i audyt: prawo klienta do audytu bezpieczeństwa i zgodności u partnera i podprocesorów.

Jakiego typu partnera szukasz

Wybór zależy od punktu startu: inny partner pasuje do dodania AI do działających systemów (software house wyspecjalizowany w AI), inny do programu transformacji w korporacji (duży integrator), inny do uporządkowania danych (firma analityczna). Zestawienie firm wdrażających AI w Polsce pogrupowane wg typu partnera znajdziesz w naszym rankingu TOP 10 firm wdrażających AI w Polsce.

Startup House buduje asystentów AI, agentów i bazy wiedzy RAG dla średnich i dużych firm, w tym z branż regulowanych (fintech, healthcare, cyberbezpieczeństwo). Rozwiązania działają na zweryfikowanych danych klienta, w chmurze klienta, z integracją z politykami dostępu; dane klienta nie trenują publicznych modeli. ISO 27001 compliant. Przykład: portal klienta z wbudowanym AI dla platformy cyberbezpieczeństwa obsługującej klientów z listy Fortune 500 skrócił onboarding o 95%, a przejęcie i modernizacja systemu logistycznego dla Omnipack obniżyły koszty rozwoju o 40%.

Zobacz też: AI Act: co musi zrobić firma, która wdraża AI · Case studies Startup House

FAQ

Własny zespół AI czy software house?

Rekrutacja zespołu AI trwa miesiącami, a pierwsze wdrożenie wymaga doświadczenia w integracjach i bezpieczeństwie. Dla większości firm działa model: start z partnerem, równoległe budowanie kompetencji wewnątrz (szkolenia, właściciel produktu po stronie firmy), stopniowe przejmowanie utrzymania.

Ile kosztuje wdrożenie AI?

Zależy od zakresu. Pilotaż asystenta na jednym procesie i gotowych modelach to projekt kilkutygodniowy; wdrożenie w wielu działach z integracjami to projekt na miesiące. Wycena powinna rozdzielać koszt budowy, użycia modeli i utrzymania.

Czy AI Act utrudnia wdrożenia?

Dla większości wdrożeń biznesowych (minimalne ryzyko) obowiązki sprowadzają się do kompetencji pracowników i przejrzystości wobec użytkowników. Systemy wysokiego ryzyka (rekrutacja, scoring kredytowy, biometria) wymagają dokumentacji, logowania i nadzoru ludzkiego, z terminem od grudnia 2027. Partner, który to rozumie, projektuje system tak, by spełniał wymagania od początku.

Jakie są największe ryzyka wdrożenia AI?

Dane niskiej jakości, brak pomiaru stanu obecnego, brak akceptacji zespołu, zależność od jednego dostawcy modelu i umowa, która nie reguluje własności kodu, promptów i danych.

Jak długo trwa wdrożenie?

Pilotaż na jednym procesie i realnych danych da się zbudować w kilka tygodni. Wdrożenie produkcyjne z integracjami i bezpieczeństwem trwa dłużej i zależy od liczby systemów i jakości danych.

Czy mogę zmienić dostawcę modelu w trakcie lub po projekcie?

Tak, jeśli architektura to przewiduje i umowa tego wymaga. Modele zmieniają się co kilka miesięcy; system, w którym model jest wymiennym komponentem, nie wymaga przebudowy przy zmianie dostawcy.

Od czego zacząć przygotowanie firmy do wdrożenia sztucznej inteligencji?

Aby przygotować firmę do wdrożenia sztucznej inteligencji, warto rozpocząć od analizy procesów biznesowych, dostępnych danych i potrzeb pracowników. Następnie należy wybrać obszary, w których narzędzia AI mogą przynieść wymierne korzyści, oraz wyznaczyć osobę odpowiedzialną za projekt. Kolejne etapy wdrożenia powinny obejmować ocenę ryzyka, pilotaż w kontrolowanym środowisku i stopniowe rozszerzanie zastosowania nowych technologii w codziennej pracy.

Czym jest polityka AI i czy każda firma powinna ją przygotować?

Polityka AI to wewnętrzny dokument określający zasady korzystania z systemów sztucznej inteligencji w organizacji. Powinna wskazywać dozwolone narzędzia AI, ograniczenia dotyczące wprowadzania danych, zasady weryfikacji wyników oraz odpowiedzialność pracowników i administratorów. Może również regulować sposób wyboru dostawców, aktualizacji modeli AI i zgłaszania incydentów. Dobrze przygotowana polityka AI wspiera zgodność z wymaganiami prawnymi i bezpieczne wdrażanie rozwiązań AI.

Czy rejestr systemów AI jest obowiązkowy w każdej organizacji?

Nie każda organizacja ma obowiązek prowadzenia formalnego rejestru wszystkich systemów AI. Wewnętrzny rejestr systemów AI jest jednak dobrą praktyką zarządzania ryzykiem. Powinien zawierać nazwę systemu, jego przeznaczenie, dostawcę, wykorzystywane dane, kategorię ryzyka i osobę odpowiedzialną. Dla określonych systemów wysokiego ryzyka unijne rozporządzenie AI Act przewiduje również obowiązki rejestracyjne. Ich zakres zależy między innymi od roli organizacji i zastosowania systemu.

Jak przeprowadzić ocenę ryzyka przed wdrożeniem systemu AI?

Ocenę ryzyka należy rozpocząć od ustalenia przeznaczenia systemu, rodzaju przetwarzanych danych oraz możliwego wpływu na osoby fizyczne i działalność organizacji. Analiza powinna uwzględniać bezpieczeństwo informacji, jakość wyników AI, błędne decyzje, nadzór człowieka i potencjalne praktyki zakazane. Trzeba również określić, czy zastosowanie może zostać zakwalifikowane jako niedopuszczalne ryzyko lub system wysokiego ryzyka zgodnie z AI Act. Ocena ryzyka nie jest jednorazowym dokumentem — powinna być aktualizowana wraz ze zmianami systemu.

Czy wdrożenie AI wymaga przeprowadzenia oceny skutków dla ochrony danych osobowych?

Ocena skutków dla ochrony danych, czyli DPIA, jest wymagana na podstawie RODO wtedy, gdy określony rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Dotyczy to w szczególności niektórych zastosowań profilowania i automatyzacji decyzji. Samo wykorzystanie sztucznej inteligencji nie oznacza automatycznie obowiązku przygotowania DPIA. Ocena skutków nie zastępuje analizy ryzyka wymaganej przez AI Act, ponieważ oba mechanizmy dotyczą częściowo innych zagrożeń.

Co oznacza AI literacy i jakie szkolenia powinni przejść pracownicy?

AI literacy oznacza kompetencje pozwalające świadomie, bezpiecznie i odpowiedzialnie korzystać z systemów sztucznej inteligencji. Szkolenia powinny obejmować możliwości i ograniczenia modeli AI, ochronę danych osobowych, weryfikację odpowiedzi oraz rozpoznawanie błędów. Materiały edukacyjne należy dostosować do ról pracowników i sposobu wykorzystania narzędzi AI w codziennej pracy. Art. 4 AI Act przewiduje podejmowanie działań zapewniających odpowiedni poziom kompetencji AI przez dostawców i podmioty stosujące systemy.

Kim jest dostawca, a kim podmiot stosujący system AI według AI Act?

Dostawca to podmiot, który opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym. Podmiot stosujący wykorzystuje system AI w ramach swojej działalności, poza użyciem o charakterze osobistym i nieprofesjonalnym. Podział ról ma znaczenie dla dokumentacji, nadzoru, bezpieczeństwa i obowiązków wynikających z przepisów Unii Europejskiej. W określonych sytuacjach organizacja wdrażająca rozwiązanie może przejąć obowiązki dostawcy.

Jak działa nadzór człowieka nad AI, czyli human in the loop?

Human in the loop to model działania, w którym człowiek uczestniczy w ocenie lub zatwierdzaniu wyników AI. Może sprawdzać rekomendacje, korygować błędy i podejmować ostateczne decyzje w sytuacjach wymagających dodatkowej kontroli. Jest to szczególnie istotne przy automatyzacji procesów wpływających na klientów, pracowników lub osoby fizyczne. Nadzór powinien być rzeczywisty: pracownik musi rozumieć ograniczenia systemu, mieć możliwość zakwestionowania wyniku oraz odpowiednie uprawnienia do interwencji.

Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: październik 2026 (AI Act po Digital Omnibus, rozporządzenie 2026/1744).