AI w compliance: gdzie realnie pomaga, gdzie zawodzi i jak ocenić narzędzie

Gdzie AI realnie pomaga w compliance?

Compliance to w dużej części praca na dokumentach: przepisy, polityki, umowy, dowody, raporty. To dokładnie ten rodzaj pracy, w którym współczesne modele językowe są najmocniejsze.

Według raportu Thomson Reuters „Future of Professionals” z 2025 r. (2275 respondentów z branż prawnej, podatkowej, audytowej oraz ryzyka i compliance) profesjonaliści spodziewają się oszczędzać dzięki AI średnio 5 godzin tygodniowo. Jednocześnie tylko 22% organizacji ma jasno zdefiniowaną strategię AI.

Gdzie AI zawodzi: halucynacje

Model językowy generuje tekst, który brzmi wiarygodnie, a nie tekst, który jest prawdziwy. W prawie i compliance to poważny problem.

• Ogólne modele. Badanie „Large Legal Fictions” (Dahl, Magesh, Suzgun, Ho, 2024) wykazało, że popularne modele językowe odpowiadały błędnie na pytania o orzeczenia sądów federalnych USA w 58% (GPT-4) do 88% (Llama 2) przypadków.
• Narzędzia wyspecjalizowane. Badanie „Hallucination-Free?” (Magesh i in., Stanford, 2024) pokazało, że nawet narzędzia prawnicze LexisNexis i Thomson Reuters oparte na wyszukiwaniu w źródłach (RAG) halucynowały w 17–33% zapytań.
• Skutki w praktyce. Baza prowadzona przez badacza Damiena Charlotina zawierała we wrześniu 2026 r. ponad 2000 orzeczeń sądowych dotyczących zmyślonych przez AI cytatów i powołań w pismach procesowych. Najbardziej znana sprawa to Mata v. Avianca z 2023 r., w której amerykańscy prawnicy zostali ukarani za powołanie nieistniejących wyroków wygenerowanych przez ChatGPT.

Wniosek nie jest taki, że AI nie nadaje się do compliance. Wniosek jest taki, że AI bez źródeł, weryfikacji i nadzoru człowieka się nie nadaje.

Drugie ryzyko: dane

Dokumenty compliance zawierają dane osobowe, tajemnice przedsiębiorstwa i informacje o zabezpieczeniach. Wklejanie ich do ogólnodostępnego czatu to ryzyko samo w sobie.

• RODO. Każde narzędzie AI przetwarzające dane osobowe wymaga podstawy prawnej, umowy powierzenia i oceny ryzyka. Europejska Rada Ochrony Danych w opinii 28/2024 z grudnia 2024 r. zajęła się m.in. tym, kiedy model AI można uznać za anonimowy i kiedy można trenować go na podstawie prawnie uzasadnionego interesu.
• Transfery poza UE. Po wyroku Schrems II (TSUE, 2020) transfery do USA opierają się na decyzji o Data Privacy Framework z lipca 2023 r. Sąd UE oddalił skargę na tę decyzję we wrześniu 2025 r. (sprawa Latombe; według doniesień wniesiono odwołanie do TSUE), ale dla wielu podmiotów regulowanych przetwarzanie danych w UE pozostaje najprostszym sposobem ograniczenia ryzyka.
• DORA. Dla banku, ubezpieczyciela czy instytucji płatniczej dostawca narzędzia AI to dostawca usług ICT. Obowiązują wszystkie wymagania art. 28–30: ocena przed umową, rejestr informacji, klauzule umowne, strategia wyjścia.
• AI Act. Firma korzystająca z AI w pracy jest podmiotem stosującym i powinna wspierać kompetencje swoich pracowników w zakresie AI (art. 4).

Jak ocenić narzędzie AI do compliance: 7 pytań do dostawcy

1. Czy każda odpowiedź ma źródło? Narzędzie powinno wskazywać konkretny przepis, fragment dokumentu lub dowód, z którego wynika wniosek. Odpowiedź bez źródła należy traktować jak hipotezę.
2. Co model robi, gdy nie wie? Dobre narzędzie mówi „brak danych” zamiast zgadywać.
3. Gdzie są przetwarzane dane i czy są używane do trenowania? Lokalizacja (UE czy poza nią), podwykonawcy, retencja, zakaz trenowania na danych klienta.
4. Czy jest ślad audytowy? Kto, kiedy, jaką wersję dokumentu wygenerował lub zatwierdził. Audytor i nadzór będą o to pytać.
5. Kto zatwierdza wynik? Człowiek powinien być w pętli przy każdej decyzji i każdym dokumencie, który opuszcza firmę.
6. Jak narzędzie nadąża za zmianami przepisów? Skąd bierze aktualne teksty regulacji i jak szybko je aktualizuje.
7. Czy dostawca sam spełnia wymagania, które pomaga spełniać? RODO, DORA (jeśli obsługuje sektor finansowy), bezpieczeństwo informacji. Poproś o dokumenty due diligence.

Jak podchodzimy do tego w Audomate

Audomate zbudowaliśmy z myślą o tych ryzykach:

• Odpowiedzi ze źródłem. Każdy wynik analizy luk i każdy wygenerowany dokument wskazuje wymaganie i fragment dokumentacji, na którym się opiera, z wersjonowaniem.
• System wieloagentowy dostrajany pod kątem ograniczania halucynacji zamiast jednego ogólnego czatu.
• Dane w UE. Architekturę projektujemy tak, aby dane klientów nie opuszczały Unii, docelowo z modelami uruchamianymi w UE.
• Ekspert w pętli. Za platformą stoją eksperci regulacyjni, a każdy dokument przed użyciem zatwierdza człowiek.
• Wynik mierzalny. W zakończonych wdrożeniach zmierzyliśmy 85–90% oszczędności czasu pracy audytowej i zarządczej.

Sprawdź AI na własnych dokumentach. Wgraj dokumentację do Audomate i porównaj bezpłatny audyt wstępny z tym, co wiesz o swojej organizacji. Każda luka ma źródło.

Bezpłatny audyt wstępnyTest na własnych dokumentach