Co musi znaleźć się w umowie, żebyś nie został z problemem sam?
Zacznij od pytania, które warto zadać, dopóki dostawca jeszcze walczy o kontrakt: kto odpowiada za zgodność tego rozwiązania z przepisami i jakie dokumenty mi to potwierdzą? Po podpisaniu umowy ta dźwignia znika, bo dostawca nie ma już powodu, żeby odpowiadać na niewygodne pytania.
Dlatego już na etapie rozmów żądaj pisemnego dowodu, że wszystkie dane są przetwarzane i przechowywane wyłącznie na serwerach w Unii Europejskiej lub w Europejskim Obszarze Gospodarczym, czyli w państwach powiązanych z UE umowami o swobodnym przepływie danych. Ustna obietnica albo ogólna polityka prywatności na stronie nie wystarczą.
Pamiętaj też, że umowa powierzenia przetwarzania danych, czyli dokument, w którym dostawca zobowiązuje się przetwarzać dane według twoich instrukcji, jest przy korzystaniu z dostawcy AI obowiązkowa, a nie opcjonalna. Wynika to z artykułu 28 unijnego rozporządzenia o ochronie danych.
Zwróć uwagę na jeszcze jedną rzecz. Kryteria techniczne są odwracalne: model można wymienić w kwartał, bo interfejsy dostawców są dziś do siebie podobne, a koszt przełączenia liczy się w tygodniach pracy. Brak dokumentacji zgodności nie nadrabia się w tym samym tempie, bo jej odtworzenie po fakcie wymaga współpracy dostawcy, który nie ma już żadnego powodu, żeby ci pomagać.
Najważniejszy wniosek: zapisy o zgodności i dowody na hosting w Europie negocjuj przed podpisaniem, nie po. To jedna kartka w umowie, która decyduje, czy zostaniesz z problemem sam.
Które kryteria techniczne naprawdę rozstrzygają wybór dostawcy AI?
Kryteria techniczne są odwracalne, brak dokumentów już nie. Model można wymienić w kwartał, bo interfejsy dostawców upodobniły się do siebie, a koszt przełączenia liczy się w tygodniach pracy.
Brakującej dokumentacji zgodności nie nadrobisz w tym samym tempie. Jej odtworzenie po fakcie wymaga współpracy dostawcy, który nie ma już powodu, żeby Ci pomagać.
Dlatego pytanie o to, kto jest dostawcą systemu AI i jakie dokumenty dostaniesz, zadaj wtedy, gdy dostawca jeszcze walczy o kontrakt. Po podpisaniu umowy ta dźwignia znika.
Rozporządzenie 2024/1689, czyli AI Act, weszło w życie 1 sierpnia 2024 roku i dzieli role między dostawcę a podmiot, który system stosuje. Ten podział w praktyce zakupowej bywa mniej oczywisty, niż wygląda na prezentacji.
Przy ocenie dostawcy AI patrz na cztery wymiary naraz: dopasowanie techniczne, zgodność regulacyjną, trwałość komercyjną i dopasowanie organizacyjne. Zgodność obejmuje RODO, AI Act i skutki wyroku Schrems II, czyli unieważnienia porozumienia o przekazywaniu danych do Stanów Zjednoczonych.
Zażądaj pisemnego dowodu, że dane są przetwarzane i przechowywane wyłącznie na serwerach w Unii Europejskiej lub w Europejskim Obszarze Gospodarczym, czyli w państwach UE plus Islandia, Liechtenstein i Norwegia. Ustna obietnica nie wystarczy.
Umowa powierzenia przetwarzania danych z artykułu 28 RODO jest przy dostawcy AI obowiązkowa, nie opcjonalna. To dokument, który wyznacza, co dostawca może zrobić z Twoimi danymi.
Najważniejszy wniosek: zanim porównasz ceny i modele, sprawdź, czy dostawca potrafi jednoznacznie określić swoją rolę regulacyjną i wydać dokumenty, które ją potwierdzą.
Jak sprawdzić zgodność z RODO i AI Act, zanim podpiszesz umowę?
Zacznij od pytania, które trzeba zadać, dopóki dostawca jeszcze walczy o Twój kontrakt: kto jest dostawcą systemu AI i jakie dokumenty dostanę na piśmie? Po podpisaniu umowy ta dźwignia znika, a dostawca przestaje mieć powód, żeby cokolwiek uzupełniać. Dlatego całą rozmowę o zgodności przeprowadź przed parafowaniem, nie po.
Pierwszy konkret to umowa powierzenia przetwarzania danych, wymagana przez artykuł 28 RODO. Przy korzystaniu z dostawcy AI jest obowiązkowa, nie opcjonalna. Drugi to pisemny dowód, że dane są przetwarzane i przechowywane wyłącznie na serwerach w Unii Europejskiej lub w Europejskim Obszarze Gospodarczym. Ustna obietnica albo ogólna polityka prywatności na stronie nie wystarczą, bo po fakcie nie masz czym się podeprzeć.
Do tego dochodzi AI Act, czyli unijne rozporządzenie 2024/1689, które weszło w życie 1 sierpnia 2024 roku i dzieli role między dostawcę a podmiot stosujący. Sprawdź, którą rolę bierze na siebie Twój kontrahent i czy potwierdza ją dokumentem. Od 2 sierpnia 2026 roku obowiązują też przepisy artykułu 50 AI Act o przejrzystości. Dostawca musi tak zaprojektować system, żeby użytkownik był wyraźnie informowany, gdy wchodzi w bezpośrednią interakcję ze sztuczną inteligencją, i dodawać znaczniki pozwalające wykryć treści wygenerowane przez AI.
Pamiętaj, że kryteria techniczne są odwracalne, bo model wymienisz w kwartał. Brak dokumentacji zgodności nie da się nadrobić w tym samym tempie. Najważniejszy wniosek: wypisz te trzy dokumenty na jednej kartce i wpisz je do umowy jako warunek odbioru.
Ile kosztuje cię zmiana dostawcy, jeśli wybierzesz źle?
Zacznij od pytania, które większość firm zadaje za późno: co się stanie, jeśli za dwa lata zechcesz zmienić dostawcę? To nie abstrakcja, tylko konkretny wydatek, który poniesiesz, jeśli wybierzesz dostawcę bez planu wyjścia.
| Kryterium | Dostawca A | Dostawca B |
|---|---|---|
| Rola regulacyjna udokumentowana | tak | brak |
| Hosting danych w UE | pisemny dowód | ogólna polityka |
| Koszt zmiany po dwóch latach | 1,5x inwestycji | 3x inwestycji |
| Umowa powierzenia (art. 28 RODO) | w komplecie | do negocjacji |
Nie daj się zwieść pozorom, że modele AI są dziś do siebie podobne, więc wybór dostawcy to kwestia ceny. Interfejsy programistyczne, czyli sposoby, w jakie łączysz narzędzie z własnymi systemami, rzeczywiście się upodobniły. Warstwa integracyjna napisana pod jednego dostawcę daje się przełożyć na drugiego w kilka tygodni, o ile ktoś świadomie jej nie przywiązał. Problem pojawia się gdzie indziej.
Kryteria techniczne są odwracalne, model wymienisz w kwartał. Brak dokumentacji zgodności nie jest odwracalny w tym samym tempie, bo jej odtworzenie po fakcie wymaga współpracy dostawcy, który nie ma już powodu, żeby ci pomagać. Dlatego pytanie o to, kto jest dostawcą systemu i jakie dokumenty dostaniesz, zadaj wtedy, gdy dostawca jeszcze walczy o kontrakt. Po podpisaniu umowy ta dźwignia znika.
Warto podejść do rozmowy z listą czterech wymiarów: dopasowanie techniczne, zgodność regulacyjna, trwałość komercyjna i dopasowanie organizacyjne. Bez tego porównujesz tylko cennik, a nie realny koszt współpracy.
Jak porównać oferty, żeby nie wpaść w pułapkę vendor lock-in?
Zacznij od pytania, które musisz zadać, zanim w ogóle spojrzysz na cennik: kto jest dostawcą systemu AI i jakie dokumenty dostaniesz na piśmie? To pytanie ma sens tylko wtedy, gdy dostawca jeszcze walczy o kontrakt. Po podpisaniu umowy ta dźwignia znika, a brak dokumentacji zgodności nie nadrobi się w tempie, w jakim wymienia się model.
Kryteria techniczne są odwracalne. Model wymienisz w kwartał, bo interfejsy programistyczne, czyli sposoby łączenia systemów między sobą, są dziś do siebie podobne. Warstwę integracyjną napisaną pod jednego dostawcę przeniesiesz na drugiego w kilka tygodni, o ile ktoś świadomie jej nie przywiązał.
Inaczej wygląda dokumentacja. Jej odtworzenie po fakcie wymaga współpracy dostawcy, który nie ma już powodu, żeby pomagać. Dlatego pytaj o rolę regulacyjną wobec twojego przypadku użycia, zanim podpiszesz cokolwiek.
Do tego dochodzi rachunek. Zmiana dostawcy oznacza migrację danych, ponowną integrację i szkolenia, a więc wydatek liczony w wielokrotności pierwotnej inwestycji początkowej. Firmy, które porównują zbyt wąski zestaw oferentów, znacznie częściej wpadają w długotrwałe uzależnienie od dostawcy.
Zamiast zgadywać, żądaj pisemnego dowodu, że dane są przetwarzane i przechowywane wyłącznie na serwerach w Unii Europejskiej lub w Europejskim Obszarze Gospodarczym, czyli w państwach powiązanych z UE umową o swobodnym przepływie danych. Ustna obietnica nie wystarczy. Umowa powierzenia przetwarzania danych według artykułu 28 unijnego rozporządzenia o ochronie danych, znanego jako RODO i DSGVO, jest obowiązkowa, a nie opcjonalna.
Pamiętaj, że wybór dostawcy rozstrzyga się na dokumentach, nie na demo.
FAQ - krótkie odpowiedzi
Jak sprawdzić dostawcę AI w KRS i CEIDG?
Wejdź na wyszukiwarkę KRS (ekrs.ms.gov.pl) lub CEIDG i sprawdź numer NIP z umowy. Porównaj nazwę firmy, adres siedziby i datę rozpoczęcia działalności z tym, co jest na umowie. Jeśli spółka istnieje bardzo krótko albo ma minimalny kapitał zakładowy, ryzyko nagłego zamknięcia działalności jest realne.
Czy dostawca AI musi mieć ubezpieczenie OC i na jaką kwotę?
Nie ma przepisu, który zmusza dostawcę AI do posiadania polisy OC. Jeśli jednak nie ma jej wcale, wszelkie roszczenia z tytułu błędów modelu pokryjesz z własnej kieszeni. Zapytaj o polisę i wpisz do umowy minimalną sumę gwarancyjną oraz obowiązek dostarczania certyfikatu co roku.
Gdzie sprawdzić, czy dostawca AI nie jest w likwidacji lub upadłości?
Zajrzyj do Krajowego Rejestru Zadłużonych (krzz.ms.gov.pl) i do rejestru dłużników niewypłacalnych w KRS. Sprawdź też, czy firma nie figuruje w bazie dłużników ERIF lub BIG InfoMonitor. Wpis o postępowaniu upadłościowym oznacza, że podpisywanie długoterminowej umowy nie ma sensu.
Jak zweryfikować, czy dostawca AI faktycznie ma własną infrastrukturę?
Poproś o dokumentację architektury albo o dostęp do środowiska testowego. Zapytaj, na czyich serwerach działa model i gdzie fizycznie leżą dane. Jeśli dostawca korzysta wyłącznie z API OpenAI czy Google, to nie jest dostawcą AI, tylko pośrednikiem, i taką informację powinien wpisać do umowy.
Co sprawdzić w referencjach dostawcy AI przed podpisaniem umowy?
Poproś o kontakty do dwóch klientów, którzy używają rozwiązania dłużej niż rok, i zadzwoń do nich sam. Zapytaj o czas reakcji supportu, częstotliwość awarii i to, jak dostawca zachował się przy zmianie zakresu prac. Referencje z tej samej branży co twoja są warte więcej niż logo na stronie.
