Audyt AI w firmie: 40 pytań, arkusz do wypełnienia i wynik w 60 minut
Damian GębalaAutorAudyt AI w firmie to 40 pytań w sześciu obszarach: dane, strategia, nadzór, ludzie, technologia i wartość. Każde pytanie ma odpowiedź „tak" albo „nie" z dowodem w ręku, a wynik liczy się jako jedna liczba od 0 do 100, która mówi, na jakim poziomie dojrzałości do AI Twoja firma stoi. Wypełnienie zajmuje około godziny, bo to jedna sesja, a nie wielotygodniowy projekt. Poniżej kompletny arkusz, sposób liczenia i to, co z wynikiem zrobić dalej.
Po co w ogóle badać firmę, skoro AI i tak jest wszędzie
Bo „używamy AI" i „mamy z tego wynik" to dwie różne rzeczy, i druga jest dużo rzadsza niż pierwsza. Badanie McKinsey State of AI 2025 mówi, że 88% organizacji używa AI w co najmniej jednej funkcji biznesowej, ale prawie dwie trzecie firm nie zaczęły tego skalować, a tylko 39% potrafi przypisać jakiś wpływ na wynik finansowy. Czyli większość firm ma narzędzia, a nie ma odpowiedzi na pytanie, czy się zwracają.
Audyt ma dwie funkcje. Pierwsza: pokazuje, co faktycznie działa, a co jest tylko na slajdzie. Druga: wskazuje, co trzeba naprawić, zanim wydasz pieniądze na kolejne narzędzie. Bo nie ma sensu dokupywać integracji, jeśli problem leży w danych, których nikt nie uporządkował.
Skala problemu jest większa, niż sugeruje rozmowa o „AI w firmie". Tylko 7% przedsiębiorstw uznaje, że jego dane są całkowicie gotowe do AI. Według badania Gartnera z 2025 roku organizacje porzucą 60% projektów AI do 2026 roku, bo dane pod nimi nigdy nie były gotowe, a 63% firm albo nie ma praktyk zarządzania danymi wymaganych przez AI, albo nie jest pewne, czy je ma. To nie jest teoria - to powód, dla którego wdrożenia stają w połowie drogi.
Audyt gotowości i audyt działającego systemu to dwie różne rzeczy
Zanim zaczniesz wypełniać arkusz, warto rozdzielić dwie rzeczy, bo mieszane dają bezużyteczny wynik.
Audyt gotowości odpowiada na pytanie: czy w ogóle da się tu coś wdrożyć i na jakich warunkach. Oceniasz dane, procesy, kompetencje, nadzór. Nie ma jeszcze systemu, który mógłbyś sprawdzić, więc oceniasz organizację. To jest ten, który robisz sam, zanim wydasz złotówkę.
Audyt systemu AI dotyczy czegoś, co już działa albo właśnie ma trafić na produkcję. Sprawdzasz dane treningowe, algorytm, sposób wdrożenia, wpływ na użytkownika, zgodność z przepisami i powstawanie planu naprawczego. Tu potrzebne są już dokumenty, uprawnienia i często audytor z zewnątrz. Siedmiostopniowa procedura obejmuje wyznaczenie zakresu, zebranie dokumentacji, ocenę jakości danych i sposobu ich przygotowania, ocenę procesu budowy i wdrożenia, analizę wpływu na użytkowników, sprawdzenie zgodności oraz udokumentowanie ustaleń wraz z planem działań.
Różnica w praktyce: audyt gotowości mieści się w kilku sesjach, audyt systemu to już praca tygodniowa i często z udziałem prawnika lub audytora wewnętrznego. Warto wiedzieć, który robisz, zanim zapłacisz za konsulting.
Sześć obszarów, które oceniasz, i dlaczego ważą inaczej
Standardowy model dojrzałości do AI używa sześciu filarów. Każdy dostaje inną wagę, bo obszary nie są równie ważne przy pierwszym wdrożeniu. Dla każdego filaru dostajesz liczbę od 1 do 5, a potem liczysz wynik ważony.
| Filar | Waga | Co sprawdzasz |
|---|---|---|
| Fundamenty danych | 25% | Czy dane istnieją, ktoś za nie odpowiada, jakość jest mierzona i da się prześledzić ich pochodzenie. |
| Strategia i leadership | 20% | Czy jest właściciel wyniku, konkretna metryka i budżet, który przetrwa. |
| Nadzór i zgodność | 20% | Czy polityka ryzyka istnieje, dostępy są wymuszane, a regulacje są zmapowane. |
| Ludzie i kultura | 15% | Czy role są obsadzone, zespoły przeszkolone, a wdrożenia nie wygasają po miesiącu. |
| Technologia i infrastruktura | 10% | Czy da się skalować moc obliczeniową i przejść z prototypu na produkcję. |
| Przypadki użycia i wartość | 10% | Czy wiesz, którą jedną metrykę to ruszy i jak ją zmierzysz. |
Wagi nie są dowolne i warto znać ich uzasadnienie, bo to determinuje, co naprawiać najpierw. Fundamenty danych dostają najwięcej, bo to największy pojedynczy czynnik rokowania, a pozostałe filary nie nadrobią słabych danych. Razem z nadzorem stanowią 45% wyniku i mają najdłuższy czas przygotowania, więc kupowanie infrastruktury przed uporządkowaniem danych to pieniądze wyrzucone w błoto.
Strategia i leadership dostają 20% między innymi dlatego, że budżet, upoważnienie i priorytet spływają z tego miejsca - niski wynik tutaj ogranicza wszystko inne. Nadzór i zgodność to 20% nie dlatego, że ładnie wygląda w raporcie, tylko dlatego, że regulacje potrafią uczynić nienadzorowany model niewdrażalnym. Technologia dostaje najmniej, bo chmura pozwala domknąć tę lukę najszybciej: to zadanie dla zakupu, nie dla refaktoru. Ludzie i kultura dostają 15%, bo kompetencje można kupić, kultury nie.
Arkusz: 40 pytań do wypełnienia
Dwanaście pierwszych pytań poniżej to rdzeń gotowy do skopiowania, sformułowany tak, żeby dało się na nie odpowiedzieć. Reszta rozszerza ten rdzeń o to, co w praktyce pomija się najczęściej: ryzyka, koszty i reakcję na wynik. Odpowiadaj „tak" tylko wtedy, gdy potrafisz pokazać dokument, raport albo ekran. Polityka w szufladzie, katalog, który dopiero jest wdrażany, i plan szkoleniowy, który czeka na zamówienie - to wszystko jest „nie". Oceniaj to, co działa dzisiaj, nigdy to, co jest zaplanowane.
Dane (pytania 1-10)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 1 | Czy potrafisz wypisać wszystkie zbiory danych, których potrzebowałby model AI, i czy każdy ma swojego właściciela? | |
| 2 | Czy jakość danych na tych zbiorach jest mierzona i monitorowana, czy tylko szacowana na oko? | |
| 3 | Czy potrafisz prześledzić jedno pole w raporcie do systemu źródłowego bez ręcznego dochodzenia? | |
| 4 | Czy dane wrażliwe są sklasyfikowane, a dostęp do nich kontrolowany na poziomie pojedynczej kolumny? | |
| 5 | Czy definicje pojęć są spisane i spójne, żeby ta sama metryka znaczyła to samo w każdym raporcie? | |
| 6 | Kto aktualizuje te dane i jak często? | |
| 7 | Czy wiesz, gdzie te dane leżą: jaki system, jaki serwer, która kopia? | |
| 8 | Czy masz prawo używać tych danych do podpowiadania albo trenowania modelu? | |
| 9 | Czy wiesz, które raporty powstają ręcznie, bo danych nie da się połączyć automatycznie? | |
| 10 | Czy ktoś poprawia błąd w danych bez pisania Ci w wiadomości na czacie? |
Strategia i decyzja (pytania 11-17)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 11 | Czy jest jedna osoba z zarządu odpowiedzialna za wynik tego przedsięwzięcia? | |
| 12 | Czy ten przypadek użycia jest przypięty do konkretnej metryki biznesowej z celem liczbowym? | |
| 13 | Czy finanse przejrzały i zatwierdziły uzasadnienie zwrotu? | |
| 14 | Czy budżet przetrwa dwa kwartały bez widocznych efektów? | |
| 15 | Czy wiesz, ile godzin miesięcznie kosztuje dziś ten proces robiony ręcznie? | |
| 16 | Czy wiesz, ile kosztuje każdy błąd w tym procesie? | |
| 17 | Czy decyzja o wdrożeniu zapadła, czy wciąż trwa dyskusja? |
Nadzór, zgodność, ryzyko (pytania 18-25)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 18 | Czy masz spisaną politykę ryzyka AI z imiennie wskazanym właścicielem? | |
| 19 | Czy dostęp do danych jest wymuszany narzędziem, czy zakładany ręcznie na prośbę? | |
| 20 | Czy dziś, w ciągu godziny, potrafisz powiedzieć audytorowi, do jakich danych miał dostęp dany model? | |
| 21 | Czy rozmapowałeś, które przepisy dotyczą Twojego przypadku, w tym poziom ryzyka według AI Act? | |
| 22 | Czy wiesz, gdzie fizycznie trafiają dane, gdy ktoś w firmie używa ChatGPT albo Claude? | |
| 23 | Czy wiesz, kto w firmie używa narzędzi AI do codziennej pracy poza Twoim wiedzeniem? | |
| 24 | Czy masz procedurę na wypadek, gdy model wygeneruje błędne zdanie, na którym polega klient? | |
| 25 | Czy masz zasadę, co robić z odpowiedzią, której nie da się sprawdzić? |
Ludzie i kompetencje (pytania 26-31)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 26 | Czy role potrzebne do budowy i utrzymania tego wdrożenia są obsadzone albo kupione w kontrakcie? | |
| 27 | Czy zespoły, które będą korzystać z wyniku, zostały przeszkolone z narzędziem? | |
| 28 | Czy wcześniej wdrożone narzędzia cieszą się trwałym użyciem, czy wygasły po pierwszym miesiącu? | |
| 29 | Czy ktoś poza IT potrafi powiedzieć, do czego to narzędzie służy, bez instrukcji? | |
| 30 | Czy masz kogoś, kto zna temat od strony technicznej na stałe, a nie zlecenie? | |
| 31 | Czy zdarzyło się, że odpowiedź modelu weszła do dokumentu bez sprawdzenia i coś w nim zabrakło? |
Technologia i infrastruktura (pytania 32-36)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 32 | Czy potrafisz zwiększyć moc obliczeniową bez przechodzenia przez cykl zakupowy? | |
| 33 | Czy procesy, które mają zasilać to wdrożenie, chodzą stabilnie bez ręcznego uruchamiania? | |
| 34 | Czy istnieje przetestowana ścieżka z działającego prototypu do wersji produkcyjnej? | |
| 35 | Czy masz kopię danych sprzed uruchomienia modelu na nich? | |
| 36 | Czy wiesz, ile kosztuje jedno zapytanie do modelu, z którego dziś korzystacie? |
Wartość i pomiar (pytania 37-40)
| # | Pytanie | Tak / Nie |
|---|---|---|
| 37 | Czy potrafisz wskazać jedną metrykę, którą to przedsięwzięcie ruszy, i znasz jej wartość wyjściową? | |
| 38 | Czy masz zdefiniowaną poprawę, która uzasadnia inwestycję, i sposób jej pomiaru? | |
| 39 | Czy wiesz, po ilu dniach poznasz, że to się udało albo że to nie zadziała? | |
| 40 | Czy masz odpowiedź, co zrobisz z wdrożeniem, jeśli po pół roku nikt z niego nie będzie korzystał? |
Jak policzyć wynik z 40 odpowiedzi
Zamień odpowiedzi na liczby. W każdym filarze nadaj ocenę od 1 do 5: 1 oznacza, że na żadne pytania z tego obszaru nie umiesz odpowiedzieć z dowodem, 5 oznacza, że wszystko masz udokumentowane i działa. Oceny 2 i 4 są pomiędzy. W praktyce wystarczy podzielić liczbę odpowiedzi „tak" przez liczbę pytań w filarze i pomnożyć przez pięć, ale przy małych różnicach warto popatrzeć, które pytania zostały zignorowane.
Dalej mnożysz każdą ocenę przez wagę jej filaru, sumujesz i mnożysz razy 20. Wychodzi wynik od 0 do 100.
| Filar | Ocena 1-5 | Waga | Wkład |
|---|---|---|---|
| Fundamenty danych | 2 | 25% | 0,50 |
| Strategia i leadership | 4 | 20% | 0,80 |
| Nadzór i zgodność | 2 | 20% | 0,40 |
| Ludzie i kultura | 3 | 15% | 0,45 |
| Technologia i infrastruktura | 4 | 10% | 0,40 |
| Przypadki użycia i wartość | 3 | 10% | 0,30 |
| Razem | 2,85 × 20 = 57 |
To realny przykład średniej firmy ubezpieczycielskiej oceniającej automatyzację wstępnej oceny szkod. Wynik 57 nie jest wysoki, ale powiedzmy sobie szczerze: 57 to nie jest „mamy AI". A jednocześnie nie jest to wynik do zignorowania.
| Wynik | Poziom | Od czego zacząć |
|---|---|---|
| 0-25 | Poziom 1: Nieprzygotowani | Brak fundamentów. Inwentaryzacja danych i edukacja zarządu. Licz się z sześcioma do dwunastu miesięcy pracy podstawowej. |
| 26-45 | Poziom 2: Planowanie | Intent jest na papierze, wykonania nie ma. Katalog danych, polityka nadzoru, jeden pilotaż z mierzalnym zwrotem. |
| 46-65 | Poziom 3: Rozwijanie | Pilotaże działają i uczą. Podnieś jakość danych powyżej 85% na zbiorach krytycznych i zbuduj ścieżkę od pilota do produkcji. |
| 66-85 | Poziom 4: Wdrożone | AI jest na produkcji z mierzonym zwrotem. Uporządkuj centrum kompetencji i automatyczne monitorowanie. |
| 86-100 | Poziom 5: Wbudowane | AI podejmuje decyzje core. Rozszerzaj na produkty i przesuwaj granicę. |
Większość firm ląduje w poziomach 2 i 3 przy pierwszej uczciwej ocenie. To wynik oczekiwany, a nie porażka. Uczciwa trójka jest użyteczna, wynik zawyżony nie.
Dwie firmy, jeden wynik, zupełnie różne problemy
Liczba sama w sobie kłamie, jeśli nie spojrzysz na profil. Weź dwie firmy. Pierwsza dostaje 57, bo ma dwa filary na poziomie 2 i dwa na 4. Druga dostaje 60, bo wszystkie sześć filarów ma na 3. Na wykresie wyglądają podobnie, w praktyce pierwsza jest w gorszej sytuacji - jej problem leży w danych i nadzorze, a te dwa filary łączą 45% wagi, a strategia z infrastrukturą maskują luki, które zablokują wdrożenie.
Dlatego wynik zawsze czytaj jako profil: sześć liczb, a nie jedna. I dlatego pierwsze pytanie po audycie brzmi nie „jaki mamy wynik", tylko „w którym filarze mamy najsłabiej". Od tego zaczyna się kolejność prac.
Co zrobić z wynikiem, żeby nie zmarnować godziny
Wynik bez planu jest bezwartościowy - pokazuje, gdzie jesteś, i nic na temat tego, co z tym zrobić. Dlatego po wyliczeniu liczby odpowiedz na trzy pytania, najlepiej tego samego dnia.
Który filar jest najsłabszy i ile waży. Nie zaczynaj od najłatwiejszego, tylko od tego, który blokuje. Przykład z praktyki: firma logistyczna oceniająca prognozowanie popytu miała infrastrukturę na 4 i dane na 2. Naprawienie danych zajęło cztery miesiące. Kupowanie infrastruktury kosztowałoby więcej i nie ruszyłoby niczego.
Kto odpowiada za ten filar. Audyt prowadzony wyłącznie przez IT konsekwentnie zawyża ocenę infrastruktury, a zaniża dane i kulturę, bo to jedyne filary, na które IT patrzy. Poproś o ocenę także właściciela procesu, osobę od danych, kogoś od zgodności i jedną osobę, która będzie to budować. W firmie, gdzie nie ma działu IT, zrób to samo w skali zarządu.
Jeden konkretny pilotaż z miernikiem. Poziom 2 i 3 każą wybrać jeden przypadek użycia z zmierzalnym zwrotem, zamiast poprawiać wszystko naraz. Jeśli nie wiesz, które procesy warto wziąć, zacznij od powtarzalnej, policzalnej w godzinach pracy zamiast od najgłośniejszego tematu w firmie.
Ponowna ocena po naprawie daje realny materiał do zarządu. Warto ją zaplanować na za trzy miesiące i liczyć od nowa, tym razem z tym samym arkuszem, żeby liczby się porównywały.
Cztery pułapki, które psują wynik najczęściej
Zawyżanie przez zespół wewnętrzny. To najczęstszy problem i wynika z interesu: zespół, który chce dostać budżet, zgłasza gotowość, która ten budżet uzasadnia. Dwa zabezpieczenia działają. Po pierwsze, każda ocena 4 lub 5 wymaga dowodu - raportu, zrzutu ekranu, dokumentu. Po drugie, ktoś spoza inicjatywy zerka na oceny.
Narzędzia, które sprzedają infrastrukturę. Bezpłatne ankiety gotowości od chmurowych dostawców ważą infrastrukturę najwyżej, bo infrastruktura jest tym, co sprzedają. W efekcie dobrze wyposażona firma z niezadowalającym nadzorem nad danymi wychodzi w ankiecie jako bardziej gotowa, niż jest. Każdy taki wynik zestaw z ramką niezależną, zanim na nim oprzesz decyzję.
Zakres zamiast konkretnego przypadku. Gotowość nie jest cechą firmy jako takiej. Ocenianie modelu ryzyka kredytowego i modelu prognozowania popytu jednym ogólnym arkuszem daje liczbę, która nie opisuje żadnego z nich. Dlatego przed wypełnieniem arkuszy wypisz jeden konkretny proces, nie „całą firmę".
Uśrednianie zamiast profilu. Ładna średnia sześciu trójek ukrywa dwa najważniejsze filary na poziomie 1. Średnia jest wygodna do pokazania w rozmowie z zarządem i bezużyteczna do planowania pracy.
Godzina to jedna sesja, nie cały audyt
Uczciwie: zegar w tytule dotyczy jednej rzeczy - jednej sesji wypełnienia arkusza, gdy siedzisz nad nim z osobą, która zna Twoje procesy. Pełna ocena dojrzałości ma trzy warianty i rozciąga się od godziny do kwartału.
Samoocena zarządu to jedna do dwóch sesji roboczych i kosztem jest wyłącznie czas ludzi. Wersja z facylitatorem to dwa do czterech tygodni. Pełne przejście enterprise z audytem danych i wywiadami ze stakeholderami to sześć do dziesięciu tygodni.
Jeśli potrzebujesz szybciej, to nie znaczy, że musisz robić mniej. Znaczy, że robisz węższy zakres: jeden proces zamiast całej firmy.
Gotowe ankiety, zamiast pisania własnej od zera
Jeśli arkusz z tego artykułu jest za długi, są instrumenty gotowe. Każdy odpowiada na inne pytanie, więc wybierz pod cel.
| Instrument | Forma | Do czego |
|---|---|---|
| Cisco AI Readiness Index | Raport i ankieta | Porównanie z dużą próbą globalną |
| Microsoft AI Readiness Assessment | Interaktywny, 7 filarów | Zespoły już na Azure |
| TDWI AI Readiness Assessment | Ok. 75 pytań, punktowane per wymiar | Najbardziej szczegółowa darmowa ankieta |
| Google Cloud AI Adoption Framework | Whitepaper, bez punktacji | Uporządkowanie rozmowy o dojrzałości |
| NIST AI Risk Management Framework | Wolny standard | Oparcie filaru nadzoru na uznanym standardzie |
Do audytu zgodności z AI Act nadaje się narzędzie CapAI z Uniwersytetu Oksfordzkiego. Warto wiedzieć, że AI Act ujmuje audyt jako element obowiązkowy, więc jeśli argumentujesz przed partnerem albo klientem korporacyjnym, pytanie „macie audyt" padnie prędzej czy później.
Co zrobić, zanim wydasz złotówkę
Audyt, który skończył się liczbą, jest półrobkiem. Sensowny kończy się jedną decyzją: co automatyzujesz jako pierwsze i jak sprawdzisz, że się udało.
Jeśli w arkuszu masz trzy razy „nie" w obszarze danych, zacznij od porządków, a nie od integracji. Automatyzacja processów wygląda na bieżni, gdy wszystko jest poukładane, i na plątaninę, gdy nie jest. Jeśli wiesz już, których zadań nie warto ruszać, to połowa audytu się zrobiła. Dopisz do arkusza dwa pytania, których w nim nie ma: gdzie fizycznie lecą dane przy pytaniu do modelu oraz kto ma do nich dostęp..
Wypełnij arkusz i zapisz liczbę. Potem wyślij mi ją z nazwą procesu, który oceniasz - odpowiem, czy da się na nim zarabiać, i jakim kosztem.