Obraz sytuacji, który tworzymy dla Państwa firmy
Żadnych ankiet dla kierowników działów. Sprawdzamy, co naprawdę działa.
Inwentaryzacja AI
| System | Ustalenie | Status |
|---|---|---|
| Microsoft 365 Copilot | 120 licencji, zatwierdzone przez IT | zatwierdzony |
| ChatGPT na prywatnych kontach | 37 pracowników, wklejone oferty i dane klientów | niezatwierdzony |
| Chatbot na stronie internetowej | nieoznaczony jako AI | obowiązkowe od 02.08.2026 |
| Wstępna selekcja kandydatów w systemie HR | wysokie ryzyko, załącznik III | termin 02.12.2027 |
| 6 funkcji AI w istniejącym oprogramowaniu | po cichu włączone aktualizacjami producenta | nieocenione |
Przykładowe przedstawienie typowego ustalenia. Wynik otrzymują Państwo jako inwentaryzację, ocenę ryzyka i plan działań.
Dlaczego teraz
Latem 2026 r. UE przesunęła najostrzejsze obowiązki dla AI wysokiego ryzyka na grudzień 2027 r. W wielu zarządach zostało z tego jedno zdanie: mamy czas.
Ryzykiem nigdy nie był termin. Ryzykiem jest codzienna praca.
- Dane wychodzą z firmy — oferty, kalkulacje, akta osobowe, wklejane do okna czatu, którego dostawcy nikt nie sprawdził.
- Koszty bez centrum kosztów — abonamenty AI na firmowych kartach, rozliczanie za tokeny, nikt tego nie konsoliduje.
- Wyniki bez weryfikacji — teksty z AI trafiają do klientów, zanim ktokolwiek je zatwierdzi.
- Odpowiedzialność zostaje na górze. Nie u dostawcy IT.
Co obowiązuje dziś — i co naprawdę przesunięto
Od czasu Digital Omnibus większość podsumowań w sieci jest błędna. Na takiej podstawie pracujemy, z polskimi przepisami.
- 02.02.2025obowiązujeArt. 5 AI Act — Zakazane praktyki AI
- 02.02.2025obowiązujeArt. 4 AI Act — Kompetencje pracowników w zakresie AI
- 03.04.2026obowiązujeUstawa o KSC — NIS2 w prawie polskim (nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa)
- 02.08.2026obowiązujeArt. 50 AI Act — Przejrzystość: chatboty, treści generowane, deepfake
- 03.10.2026terminUstawa o KSC — Samoocena i rejestracja w wykazie podmiotów kluczowych i ważnych
- 02.12.2026wkrótceArt. 50 ust. 2 — Oznakowanie czytelne maszynowo dla istniejących systemów
- 02.12.2027przesunięteZałącznik III — Samodzielne systemy wysokiego ryzyka
- 02.08.2028przesunięteZałącznik I — Wbudowana AI wysokiego ryzyka
Stan na 25 września 2026 r. To nie jest porada prawna — to lista tematów do omówienia z Państwa prawnikiem.
Trzy kroki. Każdy do zamówienia osobno.
Każdy kończy się czymś, co można wziąć do ręki.
Inwentaryzacja AI
Ustalamy, jaka AI naprawdę u Państwa działa — technicznie, a nie ankietą.
- Spis wszystkich systemów i funkcji AI
- Przepływy danych i lokalizacje dostawców
- Klasyfikacja według AI Act i ustawy o KSC
- Plan działań uszeregowany według nakładu i efektu
- Dokument, z którym może pracować zarząd lub rada nadzorcza
Przywrócenie kontroli
Ustalenia zamieniają się w stan, za który mogą Państwo odpowiadać — bez odbierania pracownikom AI.
- Proces zatwierdzania i polityka AI, które sprawdzają się na co dzień
- Jeden kontrolowany dostęp zamiast prywatnych kont
- Rejestrowanie, uprawnienia, oznakowanie
- Szkolenia pracowników z dowodem (art. 4)
- Wdrożenie techniczne z producentami, których sprawdziliśmy
Managed AI Control
Usługa ciągła. Nazwa poziomu, a nie kategorii.
Wykorzystanie AI zmienia się co miesiąc. Kontrola ustanowiona raz znika w ciągu kwartału.
- Stałe monitorowanie nowych systemów AI
- Zużycie i koszty według działów
- Obsługa incydentów i terminy zgłoszeń
- Kwartalny raport językiem zarządu
- Teczka dowodowa, która przetrwa audyt
Z kim pracujemy
Pasuje
- Firmy zatrudniające od 100 do 10 000 osób w Europie
- Grupy z zakładami w kilku krajach UE — te same obowiązki dotyczące AI wszędzie, inna ustawa NIS2 w każdym kraju
- Produkcja, budowa maszyn, logistyka, ochrona zdrowia, energetyka, handel — wszędzie tam, gdzie NIS2 już obowiązuje
- Szefowie IT, którzy wiedzą, że AI jest już w firmie, ale nie mają nad nią kontroli
- Zarządy, które chcą korzystać z AI i ją zabezpieczyć, a nie hamować
- Firmy, które muszą trzymać dane w UE — z umowy lub z przekonania
Nie pasuje
- Koncerny z obsadzonym działem AI governance. Potrzebują dostawców, nie partnera.
- Ci, którzy szukają PDF-a dla audytora i niczego więcej. To można kupić taniej.
- Firmy poniżej 100 pracowników bez osoby odpowiedzialnej za IT. Najpierw potrzebne są podstawy.
- Ci, którzy szukają platformy. Nie jesteśmy produktem z loginem, tylko odpowiedzialnością z twarzą.
100 – 500 pracowników
Decyduje zarząd, zwykle bez własnego specjalisty ds. bezpieczeństwa. Start od inwentaryzacji w stałej cenie.
500 – 2 000 pracowników
Inicjatywa po stronie IT lub CISO, zatwierdza zarząd. Pełna ocena w kilku lokalizacjach, potem stała kontrola.
2 000 – 10 000 pracowników
Przy stole siedzą bezpieczeństwo, dział prawny i zakupy. Dowody dla audytu wewnętrznego i audytów klientów, łącznie ze spółkami zależnymi.
Niezależni — i mówimy, na czym zarabiamy
TOKAVE nie należy do żadnego producenta. Współpracujemy z wybranymi dostawcami, bo kontrola nad AI nie działa bez technologii. Od niektórych z nich otrzymujemy prowizję.
Dlatego zasada jest prosta: przed każdą rekomendacją dowiedzą się Państwo, czy na niej zarabiamy. Inwentaryzacja jest neutralna, a jej cena nie zależy od tego, co kupią Państwo później. Jeśli najlepszym rozwiązaniem jest to, na którym nic nie zarabiamy, właśnie je polecamy.
To nie poza, tylko model biznesowy. Chcemy być numerem, pod który dzwoni się w sprawie kontrolowanego wykorzystania AI — a tej pozycji nie utrzyma się dwóch lat, sprzedając prowizje.
Ludzie, którzy podpisują Państwa fakturę
Nie przyślemy juniorów, którzy stosują metodę poznaną w zeszłym tygodniu.
25 lat w sprzedaży B2B i biznesie partnerskim, m.in. w Adobe i Apple. Budował ekosystemy z Accenture, HCL i Infosys.
W cyberbezpieczeństwie po stronie producentów od 2008 r. — Palo Alto Networks, VMware, McAfee, Cisco, Datto. Doradza TOKAVE w strategii.
Najczęstsze zastrzeżenia
Przecież AI Act przesunięto?
Tylko częściowo. Przesunięto obowiązki dla systemów wysokiego ryzyka. Zakazy, obowiązek zapewnienia kompetencji pracowników w zakresie AI i — od 2 sierpnia 2026 r. — obowiązki przejrzystości obowiązują i podlegają karom. A znowelizowana ustawa o KSC wdraża NIS2 w Polsce od 3 kwietnia 2026 r.
Zajmuje się tym nasz dostawca IT.
Dostawca IT obsługuje Państwa systemy. Nie decyduje, z jakiej AI może korzystać dział sprzedaży, nie klasyfikuje systemu wysokiego ryzyka i nie przejmuje Państwa obowiązków organizacyjnych. Proszę poprosić go o inwentaryzację AI. Jeśli ją dostarczy, nie jesteśmy Państwu potrzebni.
Mamy już ISO 27001.
To dobry punkt wyjścia — system zarządzania już istnieje. Nie obejmuje jednak tego, jakie systemy AI są w użyciu, jak są sklasyfikowane, jak weryfikuje się ich wyniki i jak wykazać kompetencje. Budujemy na Państwa SZBI zamiast tworzyć obok drugi.
Ile to naprawdę kosztuje?
Inwentaryzacja ma stałą cenę, którą znają Państwo przed startem. Potem decydują Państwo. Nie pracujemy na otwartych stawkach dziennych i nie piszemy oferty, zanim nie wiemy, co u Państwa działa.
Czy nasze dane zostają w Europie?
Tak. Pracujemy z przetwarzaniem w UE, a dostawca, który nie może tego jasno zagwarantować, nie trafia do naszych rekomendacji. Wykazanie, dokąd dziś faktycznie płyną Państwa dane, jest częścią inwentaryzacji.
Jak szybko zobaczymy efekty?
Pierwsza rozmowa w ciągu tygodnia. Pierwsze wyniki i działania natychmiastowe po tygodniu, pełna inwentaryzacja w cztery tygodnie. Nie czekają Państwo na raport końcowy.
Trzydzieści minut. Bez sprzedaży.
Omawiamy, jakich systemów AI się Państwo spodziewają, jakie obowiązki dotyczą Państwa dziś i co to oznacza dla najbliższych sześciu miesięcy. Potem otrzymują Państwo pisemną ocenę — nawet jeśli nigdy nie będziemy współpracować.
Nasze projekty prowadzimy po niemiecku i po angielsku. Jeśli potrzebują Państwo projektu po polsku, porozmawiajmy o tym podczas pierwszej rozmowy.