Drogi Czytelniku,
17 sierpnia czterech badaczy opublikowało badanie narzędzi, które mają pilnować zgodności modeli AI z regulacjami (“What Do Compliance Detectors Read?”, Sadhu, Sengupta, Sankarapu i Seth, arXiv). Wzięli cztery wdrożone modele-strażniki oraz zwykły model językowy w tej samej roli i sprawdzili, czy ich werdykt zależy od reguły, którą mają egzekwować. Usuwali regułę, przestawiali ją, podmieniali na przeciwną. Trafność detektorów się nie zmieniała. Autorzy nazwali to ślepotą na regułę.
Model-strażnik to warstwa, którą firma stawia między swoim systemem AI a odpowiedzią modelu, żeby zablokować to, co łamie jej politykę. Odkąd modele nie tylko odpowiadają, ale i działają — wywołują API, wysyłają dokumenty, zmieniają rekordy — taki strażnik bywa jedynym miejscem, w którym zła akcja ma zostać zatrzymana, zanim zostanie wykonana. W dokumentacji zgodności pełni rolę kontroli. Badanie pokazuje, że w tym miejscu narzędzie nie reaguje na treść polityki, którą mu podałeś.
Reguła mówiła: usuń dane po 90 dniach, a strażnik przepuścił 400
Testowane narzędzia to klasyfikatory, które sprawdzają każdą odpowiedź chatbota albo agenta i przepuszczają ją albo blokują: Llama Guard 3 od Meta, Qwen3Guard od Alibaby i WildGuard, obok zwykłego modelu językowego w tej samej roli i trzech sond czytających wewnętrzne stany modelu. Badacze puścili je przez dwadzieścia obszarów regulacji — między innymi GDPR, HIPAA, przepisy o kryptowalutach i praniu pieniędzy oraz regulaminy Google, OpenAI, GitHuba, Reddita i X.
W jednym z testów dotyczących GDPR reguła brzmiała: usuń dane osobowe po 90 dniach. Detektor miał ocenić odpowiedź opisującą przechowywanie ich przez 400 dni i powinien ją zablokować. Badacze usuwali potem tę regułę, odwracali ją albo podmieniali na inną, a werdykt wychodził statystycznie taki sam. Detektor reagował na to, jak wygląda sytuacja, nie na to, co mówi reguła.
Był wśród nich strażnik zaprojektowany właśnie po to, żeby czytać politykę. W uzasadnieniu cytował obowiązującą klauzulę w 91–95% przypadków, a kiedy podmieniano ją na taką, która to samo zachowanie dopuszcza, werdykt zmieniał się tylko w 7,1% przypadków. Nawet gdy złamaną regułę usuwano zupełnie, werdykt zmieniał się na „bezpieczny" jedynie w 44,5% przypadków. Pokazywał regułę na ekranie i jej nie stosował. Autorzy ujmują to krótko: cytowanie reguły i orzekanie na jej podstawie to dwie różne rzeczy, a te narzędzia robią tylko pierwszą.
Skala jest ta sama w całym zestawie. W żadnym z dwudziestu obszarów usunięcie ani przetasowanie reguły nie pogorszyło wyniku w sposób istotny statystycznie. W obszarze HIPAA, na stu przypadkach, detektor osiągał 0,983 przy poprawnej regule i 0,955 po jej całkowitym usunięciu — czytał „ryzyko naruszenia" w ogóle, a nie konkretny wymóg. W teście dotyczącym prania pieniędzy z regułą wypadał minimalnie gorzej niż bez żadnej; reguła dodawała mu szum, nie sygnał. Na zwykłych danych trafność wszystkich narzędzi była w porządku, bo scenariusz zwykle sam wskazuje właściwą odpowiedź, i dlatego nikt wcześniej tego nie zauważył.
Mechanizm jest prosty. Taki detektor uczy się na tysiącach przykładów oznaczonych jako naruszenie albo nie i wyłapuje z nich ogólny „zapach ryzyka" — cechy sytuacji, które zwykle towarzyszą naruszeniom. Przy ocenie sięga po ten zapach, a nie po regułę, którą mu podałeś. Kiedy scenariusz wygląda groźnie, blokuje; kiedy wygląda niewinnie, przepuszcza, niezależnie od tego, co mówi konkretny przepis.
To nie osobna usterka tych narzędzi, tylko sposób, w jaki działa każdy duży model językowy. Model nie wykonuje reguły tak jak kod. Przewiduje najbardziej prawdopodobną odpowiedź na podstawie wzorców z danych, na których go trenowano. Ten sam mechanizm każe mu czasem zmyślić wiarygodnie brzmiący cytat albo uzupełnić lukę własnym założeniem, i ten sam mechanizm każe mu oceniać, jak sytuacja wygląda, zamiast sprawdzać, co mówi konkretny przepis. Model dobrze radzi sobie z miękką oceną („czy to z grubsza wygląda na naruszenie?"), a słabo z twardym, zerojedynkowym stosowaniem reguły („czy ta klauzula zakazuje dokładnie tej odpowiedzi?"). Dlatego model słabo nadaje się do roli sztywnego egzekutora reguł. Badanie tylko to zmierzyło.
Egzekwowanie ruszyło, a rynek już to sprzedaje
2 sierpnia Komisja Europejska dostała uprawnienia do karania dostawców modeli ogólnego przeznaczenia, a obowiązki dla systemów wysokiego ryzyka, w tym scoringu kredytowego i rekrutacji, wchodzą 2 grudnia 2027. Narzędzia pod te obowiązki już się sprzedają: Credo AI, Holistic AI, Lakera, a także usługi chmurowe AWS, Microsoftu i Google (Qovery).
Sprzedaje się je jako „gotowe na AI Act" albo „monitoring zgodności", i to właśnie na takiego strażnika firma wskazuje w dokumentacji jako na kontrolę, kiedy nadzorca pyta, jak pilnuje modelu. Cały ciężar dowodu spoczywa wtedy na warstwie, której u siebie nie przetestowałeś.
Strażnik, który czyta regułę, i strażnik, który jej nie czyta, pokazują ten sam wynik. Różnica wychodzi dopiero podczas audytu, kiedy trzeba wykazać, że zabezpieczenie opisane w dokumentacji naprawdę stosowało regułę, a nie tylko rozpoznawało wzorce.
Problem nie dotyczy jednego produktu
To nie wada jednego słabego narzędzia. Ślepe na regułę okazały się wszystkie testowane rodzaje: klasyfikatory-strażniki, zwykły model w roli sędziego i trzy sondy czytające wewnętrzne stany modelu. Autorzy zaproponowali nawet własną, prostszą metodę i na standardowych danych wypadła lepiej niż Llama Guard 3 — ale i ona reaguje na ogólny sygnał naruszenia, a nie na treść konkretnej reguły. Ich wniosek: detektor, który nie odróżnia sytuacji od reguły, która ją reguluje, daje tylko pozór zabezpieczenia dopasowanego do przepisu, niezależnie od tego, jaki przepis akurat obowiązuje.
Dla kupującego znaczy to jedno: problemu nie rozwiąże wybór lepszego dostawcy z tej samej półki. Zostaje sprawdzenie narzędzia u siebie.
Wpływ na polski rynek
Dla polskiej firmy pod nadzorem KNF odpowiedzialność jest przypisana wprost: DORA i wymogi outsourcingowe każą wykazać kontrolę nad narzędziami dostawców, a taki strażnik jest jednym z nich. Odpowiadasz za niego ty, nie dostawca. Jeśli nie czyta reguły, twoja dokumentacja opisuje zabezpieczenie, którego realnie nie ma.
Weźmy typowe dziś wdrożenie: bankowy chatbot odpowiadający na pytania o produkty, ze strażnikiem, który ma blokować odpowiedzi wyglądające na poradę inwestycyjną albo obietnicę zysku. Ślepy na regułę strażnik zablokuje to, co brzmi ryzykownie, a przepuści sformułowanie, które łamie regułę, ale nie wygląda groźnie. Na dashboardzie oba przypadki wyglądają identycznie.
Prosty test
Weź kilkadziesiąt prawdziwych odpowiedzi swojego systemu i puść je przez narzędzie trzy razy: raz z twoją obowiązującą polityką, raz z polityką usuniętą, raz z polityką odwróconą, przepisaną tak, żeby dopuszczała to, czego ma zakazywać. Jeśli werdykty w trzech przebiegach są takie same, narzędzie nie czyta reguły i nie jest zabezpieczeniem, za które je masz. Nie wymaga to dostępu do wnętrza modelu. Ten sam test możesz postawić dostawcy: niech pokaże na twoich politykach, że werdykt reaguje na usunięcie i odwrócenie reguły, i że robi to również po aktualizacji modelu.
Briefing
Google wchodzi na rynek prawniczej AI. 26 sierpnia Google Cloud uruchomił Gemini Enterprise for Legal — zestaw agentów do analizy umów, badań prawnych i monitoringu regulacji, z bezpiecznymi konektorami do systemów kancelarii i pierwszymi partnerami wśród firm prawniczych (The New Stack). Premiera wypadła dzień po tym, jak Thomson Reuters, dotychczasowy właściciel tego rynku, pokazał własny model prawniczy; OpenAI i Anthropic mają swoje narzędzia prawnicze już od kilku miesięcy. Duzi dostawcy schodzą z poziomu ogólnych asystentów do konkretnych, pilnowanych prawnie procesów, w których pomyłka ma cenę.
Anthropic wycenił swój rynek na 30 bilionów dolarów. Przed wejściem na giełdę firma przedstawiła inwestorom rynek docelowy rzędu 30 bln USD — tyle co roczny PKB USA i około 40% całej amerykańskiej giełdy — licząc całą pracę, którą dałoby się wykonać modelami AI (Fortune, 26 sierpnia). Liczba przebija 28,5 bln, którym SpaceX kusił inwestorów przed własną ofertą. Bieżący run rate Anthropic to około 65 mld USD, a cel na 2028 to 190–200 mld, czyli poniżej procenta deklarowanego rynku. Fortune nazwał tę wycenę absurdalną i dodał, że być może o to właśnie chodzi: prospekt emisyjny ma się ukazać lada dzień, a debiut możliwy jest już we wrześniu lub na początku października.
McKinsey: AI jest „na drodze do zwrotu z inwestycji", ale wyniki tego nie potwierdzają. Nakłady na AI rosną, a raportowany wpływ na zysk pozostaje bez zmian — inwestycja wyprzedza efekt, którego w wynikach wciąż nie widać (The Register, 25 sierpnia). McKinsey podtrzymuje optymizm, ale samo sformułowanie „na drodze do" przyznaje, że firmy na końcu tej drogi jeszcze nie stanęły. Rozjazd między wydatkiem a wynikiem prędzej czy później trafia pod ocenę dyrektora finansowego, który zaczyna pytać, co dokładnie te nakłady zwróciły.
Podsumowanie
17 sierpnia opublikowano badanie, w którym cztery wdrożone modele-strażniki i zwykły model językowy wydały ten sam werdykt po usunięciu albo odwróceniu reguły, którą miały egzekwować. Jeden z nich cytował właściwą klauzulę i mimo to jej nie stosował. Komisja może karać dostawców modeli ogólnego przeznaczenia od 2 sierpnia, obowiązki dla systemów wysokiego ryzyka wchodzą 2 grudnia 2027, a narzędzia sprzedawane pod nie jako zabezpieczenie już są na rynku.
Zabezpieczenie, które nie zmienia werdyktu po podmianie reguły, potwierdza tylko, że narzędzie działało, a nie że reguła jest egzekwowana. Zanim wpiszesz je do dokumentacji, uruchom je trzy razy: z regułą, bez reguły i z regułą odwróconą. Jeśli werdykt się nie zmienia, narzędzie nie czyta twojej reguły.
Zachowaj równowagę, Krzysztof
Krzysztof Goworek jest założycielem Quintant — firmy doradczej, która prowadzi przedsiębiorstwa od eksperymentów AI do realnej, mierzalnej wartości.