Governance bez teatru

Rejestr kontroli w większości organizacji odpowiada na pytanie audytora, a nie na pytanie o incydent. Twierdzę, że różnicę między jednym a drugim rozstrzyga jedno pytanie zadane przy każdej pozycji rejestru: gdyby ten incydent zdarzył się wczoraj, czy ta kontrola by go pokazała i po jakim czasie. Trzecia odpowiedź — „nie pokazałaby, ale wymaga jej przepis” — jest w pełni legalna i ma własną, osobną obronę. Pierwsze dwie wymagają dowodu, a w governance AI prawie nikt go nie zbiera.

Piszę to jako człowiek, który zawodowo buduje odporność operacyjną. Ta perspektywa jest stronnicza w przewidywalny sposób i wolę ją zadeklarować na wejściu.

Cztery kategorie kontroli, z czego jedna nie ma nazwy

Zacznijmy od słownika, bo bez niego cały spór rozjeżdża się na słowie „kontrola”.

Standardowy podział pochodzi z ramy COSO Internal Control — Integrated Framework (COSO, 1992, aktualizacja 2013) i dzieli kontrole na trzy rodziny: prewencyjne, detekcyjne i korekcyjne. Prewencyjna nie dopuszcza zdarzenia. Detekcyjna zauważa je po fakcie. Korekcyjna naprawia skutek. Podział jest stary i wystarcza dla świata, w którym kontrola albo działa, albo jej nie ma.

Bruce Schneier dołożył do tego opisu kategorię, której w standardzie nie było. W książce Beyond Fear (Copernicus, 2003) ukuł termin security theater, czyli teatr bezpieczeństwa: środek, który daje poczucie bezpieczeństwa, choć nie zmienia bezpieczeństwa faktycznego. Pojęcie zrobiło karierę i przeszło z lotnisk do rejestrów ryzyka, gdzie funkcjonuje głównie jako obelga. Obelga to marne narzędzie analityczne, więc potrzebuję czegoś ostrzejszego.

Proponuję czwartą kategorię i zaznaczam wprost, że jest moja, a nie zaczerpnięta ze standardu. Kontrola sygnalizacyjna to taka, której jedynym powtarzalnym produktem jest dowód własnego istnienia. Produkuje wpis w rejestrze, protokół ze spotkania, zrzut ekranu z konsoli, podpis pod listą obecności. Wszystko to jest prawdziwe. Żadne z tego nie zmienia prawdopodobieństwa, że dowiesz się o incydencie, ani terminu, w którym się dowiesz.

Rozróżnienie między detekcją a sygnalizacją nie jest kwestią intencji autora kontroli. Jest sprawdzalne. Kontrola detekcyjna ma zdefiniowany próg, po którego przekroczeniu coś się dzieje, i ma osobę, która to coś ma zrobić. Ma także zegar: czas między zdarzeniem a momentem, w którym ta osoba dostaje sygnał. Zabierz którykolwiek z tych elementów, a zostaje ci czynność, która generuje dowód i nic poza tym.

Jedna kontrola bywa przy tym prewencyjna i detekcyjna naraz, więc podział nie jest klasyfikacją rozłączną i nie ma sensu spierać się o etykietę wtedy, gdy zegar i próg są zapisane. Etykieta zaczyna ciążyć dopiero przy pustce.

Teatr nie zaczyna się od cynizmu. Zaczyna się od kontroli, której nikt nie odebrał zegara, bo nikt go nigdy nie założył.

Czas do wykrycia jest jednostką miary

Najczystszy dostępny pomiar tego, ile kosztuje opóźnienie, pochodzi spoza świata AI. Sięgam po niego, bo dane o nadużyciach w miejscu pracy zbiera się systematycznie od kilkunastu lat, a o incydentach agentowych nie zbiera się prawie wcale.

Association of Certified Fraud Examiners (ACFE) publikuje co dwa lata raport Occupational Fraud: A Report to the Nations. W edycji z 2026 roku mediana czasu trwania nadużycia przed wykryciem wyniosła dwanaście miesięcy. Mediana straty w sprawach wykrytych do sześciu miesięcy to 40 tys. USD. W sprawach trwających ponad pięć lat mediana przekracza 1,1 mln USD, czyli jest ponad dwudziestosiedmiokrotnie wyższa. Próba objęła 2402 sprawy ze 143 krajów.

Powiem od razu, czym ta liczba jest, bo inaczej zrobi w eseju robotę, której nie uniesie. To pomiar na próbie spraw wykrytych, zebranych ankietą wśród śledczych, którzy je prowadzili, a straty są szacunkiem śledczego, nie zaudytowaną kwotą. Nadużycia nigdy niewykryte z konstrukcji nie mogą się w tej próbie znaleźć. Prawdziwa mediana latencji jest więc dłuższa niż dwanaście miesięcy, na pewno nie krótsza. Kierunek zależności jest jednak odporny na tę wadę: im dłużej sprawa żyje, tym drożej kosztuje, i nie jest to zależność łagodna.

Drugi rozkład z tego samego raportu jest dla mojej tezy ważniejszy niż pierwszy. Wśród spraw wykrytych pierwszym źródłem wykrycia było zgłoszenie od człowieka w 43% przypadków, audyt wewnętrzny w 15%, przegląd kierowniczy w 13%, a audyt zewnętrzny w 3%. Kontrola najdroższa i najlepiej widoczna dla rady nadzorczej znajduje się na końcu tej listy.

Do tego dochodzi ustalenie, które w raportach ACFE wraca od lat: ponad połowa spraw wiązała się z brakiem kontroli wewnętrznych albo z obejściem kontroli już istniejących. Słowo „obejście” jest tu najważniejsze. Kontrola była w rejestrze, była wykonywana i miała właściciela, a wykrywalności to nie dało.

Przenoszenie tych proporcji wprost na incydenty agentowe byłoby nadużyciem, bo nadużycie w miejscu pracy ma sprawcę, który się ukrywa, a agent niczego nie ukrywa i robi swoje w sposób, którego nikt nie przewidział. Przenoszę wyłącznie zależność latencji i kosztu.

Z tych dwóch rozkładów wyciągam jednostkę miary. Kontrola detekcyjna ma wartość wyrażalną w czasie: ile godzin albo dni mija między zdarzeniem a sygnałem, który dociera do kogoś zdolnego zareagować. Jeśli tej liczby nie umiesz podać nawet z grubsza, nie masz kontroli detekcyjnej. Masz coś innego i warto to nazwać po imieniu, zanim zrobi to za ciebie incydent.

Kontrola zadziałała i nikt nie odebrał telefonu

Najlepiej udokumentowany przypadek kontroli sygnalizacyjnej w historii korporacyjnej nie polega na tym, że kontroli zabrakło.

Raport sztabowy Senackiej Komisji do spraw Handlu, opublikowany 25 marca 2014 roku pod tytułem A „Kill Chain” Analysis of the 2013 Target Data Breach, odtworzył przebieg włamania do amerykańskiej sieci handlowej. Dla tego eseju liczy się jedno ustalenie: wdrożony u Targetu system FireEye wygenerował alerty o instalacji złośliwego oprogramowania. Zespół bezpieczeństwa ani nie zareagował na alerty, ani nie włączył funkcji automatycznego usuwania. Alert nosił nazwę generyczną, malware.binary, więc z samego wpisu nie dało się odczytać, czy chodzi o rzecz poważną, czy o kolejny szum.

To jest dokument komisji parlamentarnej oparty na wcześniej ujawnionych informacjach, a nie na dostępie śledczym do systemów firmy. Ma status oficjalny i status analizy wtórnej jednocześnie. Nawet z tym zastrzeżeniem przypadek jest instruktażowy, bo pokazuje rzecz, której statystyka kontroli nigdy nie pokaże: system detekcyjny odpalił zgodnie z projektem, a organizacja nie dowiedziała się niczego. Pojedynczy przypadek niczego nie dowodzi statystycznie i nie udaję, że dowodzi, natomiast wystarcza, żeby pokazać scenariusz porażki, którego rejestr kontroli nie potrafi odróżnić od stanu poprawnego.

Rozbierzmy, czego tam zabrakło. Nie zabrakło narzędzia, bo narzędzie kosztowało realne pieniądze i działało. Zabrakło progu, który zamieniałby konkretny alert w konkretne zobowiązanie. Zabrakło właściciela reakcji, czyli osoby rozliczanej z tego, co się z alertem stało, a nie z tego, że alert w ogóle powstał. I zabrakło zegara, bo nikt nie mierzył, ile czasu mija między alertem a decyzją człowieka.

Taka kontrola w rejestrze wygląda identycznie jak kontrola działająca. Ma nazwę produktu, umowę serwisową, właściciela technicznego i dowód wdrożenia. Audytor odhaczy ją bez wahania, bo audytor sprawdza, czy kontrola istnieje i czy jest wykonywana zgodnie z opisem. Obie odpowiedzi były u Targetu twierdzące.

Tu leży cała trudność tego tematu. Kontrola sygnalizacyjna nie różni się od detekcyjnej niczym, co widać w dokumentacji. Różni się tylko tym, co by się stało wczoraj.

Skąd się bierze teatr

Wyjaśnienie przez cynizm jest wygodne i fałszywe. Nikogo nie spotkałem, kto budowałby kontrolę z zamiarem, żeby nic nie wykryła. Skoro tak, trzeba wyjaśnić, dlaczego ludzie działający w dobrej wierze systematycznie produkują rzeczy, które nie wykrywają.

Michael Power opisał pierwszą połowę mechanizmu w artykule „Making things auditable” (Accounting, Organizations and Society, 1996) i rozwinął go w książce The Audit Society: Rituals of Verification (Oxford University Press, 1997). Jego teza jest taka: audyt nie przychodzi z linijką do organizacji zastanej. Organizacja wcześniej sama układa się w kształt, który audyt potrafi odczytać — wytwarza działy zgodności i systemy dokumentacji, bo bez nich nie da się jej zbadać. Audytowalność nie jest cechą zastaną. Jest hodowana.

To wystarcza, żeby wyprowadzić resztę od pierwszych zasad.

Rozważmy pozycję właściciela kontroli. Ma do dyspozycji budżet i uwagę zespołu. Ma też dwa rodzaje wyniku, które może wyprodukować. Pierwszy to dowód, że kontrola istnieje i jest wykonywana; ten dowód da się okazać na żądanie, w dowolnym momencie, niezależnie od tego, czy cokolwiek się wydarzyło. Drugi to wykrycie; ten wynik pojawia się wyłącznie wtedy, gdy coś złego się stało, czyli rzadko i nie na zamówienie.

Teraz spójrzmy na wypłaty. Za kontrolę, której brakuje w rejestrze, właściciel traci natychmiast i przewidywalnie: dostaje ustalenie z audytu i plan naprawczy do napisania. Potem tłumaczy się z jednego i z drugiego na komitecie ryzyka. Za kontrolę, która przez rok niczego nie wykryła, nie traci nic, bo brak wykryć czyta się jako spokojny rok. Za kontrolę, która coś wykryła, dostaje incydent do obsługi i pytanie, dlaczego do tego doszło. Nikt nie awansuje za wykrywalność, którą trudno pokazać, a każdy traci za brak pozycji w rejestrze, bo tę lukę widać od razu.

Wypłaty są asymetryczne, więc selekcja jest jednokierunkowa. Kontrole ewoluują w stronę pokazywalności, bo tylko pokazywalność jest wynagradzana regularnie. Wykrywalność pozostaje niewidoczna dopóty, dopóki nic się nie stanie, a kiedy się stanie, bywa liczona jako porażka, nie jako sukces kontroli.

Ten wywód jest modelem bodźców i nie opisuje konkretnej firmy, więc w organizacji, w której komitet ryzyka rozlicza właścicieli kontroli z liczby wykrytych spraw zamiast z kompletności rejestru, selekcja pójdzie w drugą stronę. Takich komitetów spotkałem niewiele.

Patricia Bromley i Walter W. Powell dali tej sytuacji nazwę precyzyjniejszą niż „teatr”. W przeglądzie „From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World” (Academy of Management Annals, 2012) rozróżnili dwa rodzaje rozejścia się polityki z rzeczywistością. Klasyczne rozejście dotyczyło polityki i praktyki: firma deklarowała jedno, robiła drugie. Współczesne dotyczy środków i celów. Polityka i praktyka są zsynchronizowane, czynności naprawdę się odbywają, ludzie naprawdę je wykonują, a całość nie łączy się z zamierzonym rezultatem.

To jest właściwa diagnoza teatru w governance AI. Nikt nie udaje. Kwartalny przegląd rejestru modeli naprawdę się odbywa, lista uczestników jest prawdziwa, notatka trafia do repozytorium. Między tą notatką a informacją o tym, co robił agent we wtorek o trzeciej w nocy, nie ma żadnego połączenia i nikt tego połączenia nie obiecywał.

Regulator wyłączył agentów z najdojrzalszego reżimu kontroli

W praktyce biznesowej istnieje jeden reżim, który definiuje kontrolę przez porównanie z rzeczywistym wynikiem, a nie przez istnienie dokumentu. To zarządzanie ryzykiem modeli w bankowości amerykańskiej.

17 kwietnia 2026 roku amerykańscy nadzorcy bankowi wydali dokument SR 26-2, Revised Guidance on Model Risk Management, który uchyla i zastępuje SR 11-7 z 2011 roku. Trzon pozostał. Wytyczna wymaga skutecznego zakwestionowania (effective challenge), czyli krytycznej analizy prowadzonej przez niezależnych ekspertów. Dokłada do tego warunek, który w praktyce rozstrzyga o wszystkim: ci eksperci muszą mieć w organizacji dość wysoką pozycję, żeby wymusić zmianę. Wymaga też analizy wyników (outcomes analysis), czyli porównania tego, co model wypluł, z tym, co faktycznie się wydarzyło. Osobno stoi wymóg bieżącego monitorowania z progami wydajności i zapisaną procedurą reakcji.

To jest opis kontroli detekcyjnej w pełnym uzbrojeniu. Jest próg, jest właściciel, jest porównanie ze światem.

Przypis trzeci tego dokumentu mówi, że modele generatywnej AI i modele agentowe są nowe i szybko się zmieniają, a w związku z tym pozostają poza zakresem wytycznej. Zasady stosują się do modeli statystycznych i do AI niegeneratywnej i nieagentowej. Luka nie jest hipotezą eseisty. Jest zapisana w przypisie, z datą.

Nie wolno tego nadużyć. Wytyczna dotyczy głównie banków powyżej trzydziestu miliardów dolarów aktywów, a sam przypis mówi, że narzędzia zarządzania ryzykiem organizacji mają te przypadki pokryć w inny sposób. Wyciąganie z niego wniosku o bezradności nadzorców byłoby nadinterpretacją. Ostrożny wniosek wystarcza w zupełności: nadzorcy świadomie nie rozciągnęli najdojrzalszego dostępnego wzorca kontroli detekcyjnej na klasę systemów, która właśnie wchodzi do produkcji.

Gartner opublikował 26 maja 2026 roku komunikat, w którym prognozuje, że do 2027 roku problemy z governance skłonią 40% przedsiębiorstw do zdegradowania albo wycofania autonomicznych agentów AI. Jako przyczynę źródłową analityk Shiva Varma wskazuje traktowanie governance agentów binarnie: system jest albo zamknięty na głucho, albo obdarzony pełnym zaufaniem. Rekomendacja Gartnera to czterostopniowa autonomia — obserwacja, doradzanie, działanie za zgodą człowieka, wreszcie działanie samodzielne w barierkach z monitoringiem i red teamingiem.

To jest prognoza analityczna, nie wynik badania. Nie stoi za nią próba ani definicja operacyjna słowa „zdegradować”, więc nie wolno jej cytować jako pomiaru i sam jej tak nie używam. Używam jej jako opisu oczekiwań rynku, a stopniowaną autonomię rozebrałem osobno w eseju o degradacjach agentów.

Zostaje pytanie, ile wiemy o wykrywaniu incydentów agentowych naprawdę. Wiemy niewiele, a jedyne dostępne dane mówią coś innego, niż się wydaje przy pierwszym czytaniu.

Praca „Post-Deployment Accountability in AI Governance” (Mumtaz, Noor, Mumtaz, arXiv, 2026) przeanalizowała 480 incydentów wybranych z 1365 rekordów bazy AI Incident Database z lat 2020–2026. Wewnętrzny monitoring wykrył 24 z nich, czyli 5,0%. Pozostałe 456 ujawnili dziennikarze, użytkownicy, badacze, regulatorzy albo postępowania sądowe.

Ta liczba ma pułapkę i autorzy sami ją opisują. Baza zbiera incydenty publicznie widoczne, więc z definicji pomija te wykryte i rozwiązane wewnątrz firmy, zanim ktokolwiek się o nich dowiedział. Zdanie „tylko 5% incydentów AI wykrywa się wewnętrznie” byłoby nadużyciem. Poprawne zdanie brzmi: wśród incydentów, które stały się publiczne, 95% ujawnił ktoś z zewnątrz organizacji. Różnica między tymi dwoma zdaniami jest całą treścią ustalenia.

Jest tam jeszcze jedna liczba, dużo ciekawsza jako ilustracja mojej tezy niż jako dane. Autorzy raportują, że w 77,1% przypadków nie ma śladu monitorowania po wprowadzeniu do obrotu, wymaganego przez artykuł 72 aktu o sztucznej inteligencji. Sposób kodowania był automatyczny: analiza treści doniesień pod kątem obecności słów opisujących monitoring i działania naprawcze. Ta metoda mierzy widoczność governance w publicznym zapisie, a nie governance. Metryka zgodności z artykułem 72 jest więc sama kontrolą sygnalizacyjną. Wygląda jak pytanie „czy kontrola zadziałała”, a odpowiada na pytanie „czy o kontroli wspomniano w prasie”.

Inwentarz z kolumną „co wykryłaby wczoraj”

Przejdźmy do procedury, bo diagnoza bez procedury jest kolejnym dokumentem do rejestru.

Weź istniejący rejestr kontroli dla AI. Nie buduj nowego, bo nowy rejestr to najkrótsza droga do teatru drugiego stopnia. Dopisz do istniejącego cztery kolumny i wypełnij je przy każdej pozycji.

Kolumna druga jest sercem tego ćwiczenia. Wypełnij ją prawdziwym zdarzeniem, nie hipotezą. Weź incydent albo skargę z ostatnich trzech miesięcy. Przejdź rejestr pozycja po pozycji i przy każdej odpowiedz, co ta konkretna kontrola powiedziałaby o tym konkretnym zdarzeniu i kiedy. Większość pozycji nie powie nic. Taki właśnie jest wynik ćwiczenia i po to się je robi.

Kolumna trzecia rozstrzyga spór, którego inaczej nie da się rozstrzygnąć. „Na bieżąco” nie jest odpowiedzią, bo monitoring uruchamiany co noc daje w najgorszym razie dwadzieścia cztery godziny, a przegląd kwartalny daje w najgorszym razie dziewięćdziesiąt dni. Te dwie kontrole bywają w rejestrze opisane tym samym słowem.

Kolumna czwarta chroni przed odwrotnym błędem. Kontrola, która nic nie wykrywa i nic nie kosztuje, jest ciekawostką. Kontrola, która nic nie wykrywa i zjada zespołowi trzy dni w kwartale, jest pozycją kosztową udającą zabezpieczenie.

Reguła decyzyjna po wypełnieniu tabeli wygląda tak. Pozycje z wysokim tarciem i pustą drugą kolumną idą na listę do wymiany. Pozycje z pustą drugą kolumną i zerowym tarciem zostają, bo nie warto wydawać kapitału politycznego na kasowanie rzeczy, która nikomu nie przeszkadza. Pozycje wymagane przepisem zostają zawsze i dostają osobne oznaczenie. Pozycje z sensowną drugą kolumną i nieznaną trzecią dostają zadanie: zmierzyć czas do wykrycia, zanim ktokolwiek zacznie dyskutować o ich losie.

Pusta druga kolumna bywa zresztą odpowiedzią uczciwą, bo kontrola zaprojektowana na zdarzenie raz na pięć lat nie ma prawa pokazać niczego o zeszłym kwartale i nie powinna za to odpowiadać. Wpisz wtedy horyzont zdarzenia.

Jedna rzecz jest w tej procedurze nieusuwalna. To ma być lista zamienników. Jeśli wychodzi z niej więcej pozycji do skasowania niż do zbudowania, inwentarz został zrobiony w złym celu. Kontrola nieskuteczna uzasadnia wymianę kontroli i nic ponad to.

Trzy kontrole, które przy agentach naprawdę wykrywają

Zamienniki muszą skądś pochodzić. Poniższe trzy mają źródło pierwotne i mają tę rzadką cechę, że samo źródło opisuje warunek, w którym przestają wykrywać.

Dokument OpenAI Practices for Governing Agentic AI Systems (Shavit, Agarwal, Brundage, Adler i in., grudzień 2023) wymienia siedem praktyk. Trzy nadają się do rejestru od razu. To dokument pozycyjny laboratorium, które sprzedaje agenty, a nie badanie empiryczne ani standard.

Log decyzji z uzasadnieniem zapisywanym w momencie decyzji. Autorzy postulują, żeby użytkownik dostawał rejestr działań agenta, i dokładają ostrzeżenie, które jest ważniejsze niż sam postulat: nie wolno prosić agenta o uzasadnienie po fakcie, bo wtedy produkuje konfabulację. Uzasadnienie ma powstawać razem z decyzją i być zapisywane wtedy, kiedy decyzja zapada. Różnica jest praktyczna. Log akcji mówi, co się stało, więc odpowiada na pytanie o przebieg. Log akcji z uzasadnieniem mówi, na jakiej podstawie agent uznał ten ruch za właściwy, więc odpowiada na pytanie o przyczynę. Wykrywalność zaczyna się dopiero przy drugim pytaniu, bo to na jego poziomie widać, że model rozumiał zadanie inaczej, niż zakładał człowiek.

Ta kontrola ma jedno ograniczenie, którego nie wolno przemilczeć, a które jest moim wnioskiem, nie tezą autorów. Jej wartość zależy od tego, czy uzasadnienia produkowane przez model pozostaną czytelne dla człowieka, a to zależy od cudzych decyzji o architekturze i treningu. Kontrola z datą przydatności ustalaną przez dostawcę modelu wymaga okresowego sprawdzania, czy jeszcze wykrywa, zamiast corocznego potwierdzania, że jeszcze istnieje.

Limit nieodwracalności sprzęgnięty z trybem nadzoru. Ten sam dokument formułuje regułę, którą warto znać w oryginalnym brzmieniu: działania, które można przejrzeć wyłącznie po fakcie, powinny być łatwiej odwracalne niż te wymagające zgody z góry. Do tego dochodzi twarde odcięcie: części decyzji, choćby samodzielnego uruchomienia dużej nieodwracalnej transakcji finansowej, nie wolno delegować wcale. Autorzy proponują też, żeby agenty okresowo się zatrzymywały i czekały na ponowną autoryzację człowieka.

Operacyjnie oznacza to jedno pytanie przy każdym uprawnieniu agenta: ile kosztuje cofnięcie tego działania i ile trwa. Jeśli cofnięcie jest niemożliwe, uprawnienie wymaga zgody przed wykonaniem. Jeśli cofnięcie kosztuje godzinę i nic poza tym, wystarczy przegląd po fakcie, byle z zegarem. To jest kontrola prewencyjna, która nie kosztuje pełnego tarcia, bo nakłada je wyłącznie tam, gdzie odwrotu nie ma.

Ludzka próbka z policzonym czasem do wykrycia. Tu ogólnik przestaje wystarczać i trzeba policzyć, bo „przeglądamy próbkę wyników” jest zdaniem, które brzmi jak kontrola detekcyjna, a może znaczyć wszystko.

Arytmetyka jest prosta i podaję ją jako własne wyliczenie, nie jako cytat. Przy założeniu losowania niezależnego, stałej częstości występowania wady i recenzenta, który wykrywa wadę z pewnością, liczbę obserwacji potrzebną do złapania z prawdopodobieństwem 95% co najmniej jednego przypadku daje rozkład dwumianowy. Dla wady występującej z częstością 5% wystarczy 59 obserwacji. Dla 1% potrzeba 299. Dla 0,1% potrzeba 2995.

Przełóżmy to na agenta wykonującego 10 tys. działań dziennie. Przegląd stu losowych działań dziennie daje przy wadliwości 1% około 63,4% szansy na trafienie choć jednego przypadku tego samego dnia. Przy wadliwości 0,1% ta szansa spada do 9,5%, co przekłada się na oczekiwany czas do pierwszego wykrycia rzędu dziesięciu, jedenastu dni. Ostatnie założenie jest hojne, bo prawdziwy recenzent myli się częściej niż nigdy. Te liczby są więc górnym ograniczeniem skuteczności próbki, a nie prognozą.

Jest jeszcze jedno założenie, które w praktyce psuje najwięcej. Próbka losowa łapie wadę rozproszoną, a wobec wady skorelowanej z konkretnym typem zadania jest niemal ślepa, bo losowanie z całej puli rozcieńcza właśnie ten podzbiór, w którym siedzi problem. Losuj warstwowo, po typie zadania.

Wniosek z tej arytmetyki jest nieprzyjemny i użyteczny. Próbka o wielkości ustalonej „na oko” ma czas do wykrycia, którego nikt nie zna, a który da się policzyć w piętnaście minut. Policz go raz i wpisz do rejestru jako liczbę. Od tego momentu rozmowa o zwiększeniu próbki przestaje być rozmową o zaangażowaniu zespołu i staje się rozmową o dniach.

Autorzy dokumentu OpenAI dokładają na koniec zastrzeżenie, które zamyka ten rozdział lepiej niż moje zdanie. Pytają wprost o minimalne czasy przeglądu, żeby zatwierdzanie nie zamieniło się w przybijanie pieczątki. Kontrola ludzka bez minimalnego czasu na pozycję osuwa się w sygnalizację tym samym ruchem co alert bez właściciela.

Kiedy teatr ma wartość

Teraz najsilniejszy zarzut wobec wszystkiego, co napisałem wyżej. Jest poważny i częściowo zmienia zakres mojej tezy.

Pierwsza część zarzutu jest prawna i rozstrzyga się szybko. Wymóg regulacyjny jest wymogiem niezależnie od wykrywalności. Akt o sztucznej inteligencji w artykule 12 nakłada na systemy wysokiego ryzyka zdolność automatycznego rejestrowania zdarzeń przez cały cykl życia. Artykuł 26 ustęp 6 każe wdrażającemu przechowywać te logi przez okres odpowiedni do przeznaczenia systemu i nie krócej niż sześć miesięcy. Artykuł 26 ustęp 5 nakazuje monitorować działanie i niezwłocznie informować dostawcę o poważnym incydencie. Artykuł 14 wymaga, żeby nadzorujący rozumiał ograniczenia systemu i był świadomy skłonności do bezrefleksyjnego ufania automatowi.

Kontrola wymagana przepisem zostaje w rejestrze, nawet jeśli w kolumnie „co pokazałaby wczoraj” widnieje pustka. Dyskusja o jej skuteczności jest osobną dyskusją i nie prowadzi się jej z audytorem.

Przy logach ten zarzut ma jednak zwrot, który działa na moją korzyść. Sześć miesięcy zapisów to jest materiał, z którego da się odpowiedzieć na pytanie o wczoraj. Jeśli ktoś kiedykolwiek te logi odpyta, zamienią się z pozycji kosztowej w narzędzie detekcyjne w jedno popołudnie. Obowiązek przechowywania kupuje organizacji możliwość wykrywania, a resztę drogi trzeba przejść samemu.

Druga część zarzutu jest mocniejsza, bo empiryczna. Sama obecność kontroli odstrasza, a odstraszania z definicji nie widać w statystyce wykryć: zdarzenia, do których nie doszło, nie zostawiają śladu.

Ginger Zhe Jin i Phillip Leslie zmierzyli ten efekt w pracy „The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards” (Quarterly Journal of Economics, 2003). W 1998 roku hrabstwo Los Angeles nakazało restauracjom wywieszanie oceny higienicznej w oknie. Hospitalizacje z powodu chorób układu pokarmowego spadły tam o 27,1% rok do roku, przy spadku 5,3% w reszcie Kalifornii. Efekt netto wyniósł około dwudziestu procent. To jest quasi-eksperyment na danych szpitalnych, opublikowany w czasopiśmie najwyższej klasy, a nie samoocena i nie prognoza.

Mechanizm tej kontroli jest dla mojej tezy niewygodny, więc opiszę go krok po kroku. Inspekcje istniały wcześniej. Zmieniło się tylko to, że wynik stał się publiczny, czyli kontrola zaczęła działać przez widoczność, a nie przez wykrywanie. Restauratorzy poprawili higienę, zanim ktokolwiek cokolwiek u nich wykrył.

Wniosek „odstraszanie jest niemierzalne, więc zostawmy teatr w spokoju” byłby jednak fałszywy, i to fałszywy w sposób sprawdzalny. Joel Slemrod ze współautorami przeprowadził w Minnesocie randomizowany eksperyment terenowy, opisany w pracy „Taxpayer response to an increased probability of audit” (Journal of Public Economics, 2001). W latach 1994–1995 list informujący, że zeznanie zostanie szczegółowo zbadane, dostało 1724 losowo wybranych podatników. Efekt okazał się istotny na dochodach deklarowanych samodzielnie i żaden na dochodach raportowanych przez stronę trzecią.

To ustalenie jest ostrzejsze, niż wygląda. Odstraszanie i wykrywalność są substytutami w głowie adresata kontroli. Tam, gdzie istnieje niezależny strumień danych, zapowiedź kontroli nie zmienia niczego, bo adresat już wie, że jest widoczny. Tam, gdzie takiego strumienia nie ma, sama zapowiedź pracuje za kontrolę.

Przeniesienie tego wyniku z zeznań podatkowych na governance agentów jest moją analogią, a nie wnioskiem autorów, i trzyma się tylko o tyle, o ile adresat kontroli faktycznie potrafi ocenić, czy jest obserwowany. Ten warunek da się sprawdzić.

Z tego wyprowadzam regułę, która wydaje mi się właściwym kształtem tego kontrargumentu. Jeśli bronisz kontroli jej efektem odstraszającym, masz obowiązek pokazać, jak ten efekt zmierzysz. Odstraszanie jest mierzalne i zostało zmierzone dwiema różnymi metodami przez dwa niezależne zespoły. Wymaga tylko innego projektu badawczego niż statystyka wykryć, a w governance AI nikt takiego projektu nie prowadzi.

Jest jeszcze powód, dla którego obrona przez odstraszanie działa przy agentach gorzej niż gdziekolwiek indziej. Odstraszanie zakłada, że adresat nie może sprawdzić, czy kontrola faktycznie widzi. Wobec własnych inżynierów założenie to jest wątłe, bo oni czytają konfigurację. Wobec agenta jest jeszcze słabsze: system działający w twoim środowisku obserwuje, które działania wywołują reakcję, a które przechodzą bez echa, i robi to w skali, w której człowiek nie zbiera doświadczeń.

Na koniec tej sekcji oddaję głos autorowi samego pojęcia, bo jego zastrzeżenie jest mocniejsze niż moje. Bruce Schneier w eseju „Beyond Security Theater” (New Internationalist, listopad 2009) napisał, że obok środków twardych nie wolno zaniedbywać poczucia bezpieczeństwa, bo to nim zbiorowo przezwyciężamy psychologiczną szkodę po ataku. W tym samym tekście oddzielił rzeczy działające, w większości niewidoczne, od teatru, który reaguje na ostatni incydent jednym konkretnym kontrśrodkiem. Jego przykład pochodzi z lotniska. Jeśli ochronę skupimy na prześwietlaniu butów i odbieraniu płynów, a sprawcy ukryją materiał gdzie indziej, pieniądze pójdą na marne.

Człowiek, który wymyślił to pojęcie, sam mu wyznaczył granicę. To najuczciwsza forma, jaką ten kontrargument może przyjąć, i przyjmuję ją bez targowania się.

Czego ten test nie zobaczy

Test „co wykryłaby wczoraj” ma trzy ślepe plamy i trzeba je nazwać, zanim ktoś zbuduje na nim politykę.

Pierwsza dotyczy prewencji. Kontrola prewencyjna działająca idealnie produkuje zero zdarzeń, więc na pytanie o wczoraj odpowiada pustką nieodróżnialną od pustki kontroli sygnalizacyjnej. Rozstrzygnięcie wymaga innego pytania: ile razy w ostatnim kwartale ta kontrola czemuś odmówiła. Potem sprawdź, co się z tymi odmowami stało. Kontrola prewencyjna z zerową liczbą odmów przez rok jest albo zbędna, albo skonfigurowana tak, że przepuszcza wszystko.

Druga dotyczy wyobraźni. Wczorajszy incydent pochodzi ze zbioru zdarzeń, które już umiesz sobie wyobrazić, więc test optymalizuje wykrywalność wobec znanego repertuaru awarii. Przeciwko zdarzeniu, którego nikt nie wpisał na listę, ten test nie daje nic i nie należy udawać, że daje. Zmniejsza wariancję tam, gdzie porażkę potrafisz nazwać.

Trzecia jest polityczna i uważam ją za najgroźniejszą. Zdanie „to wszystko jest teatr” jest wygodnym alibi dla kogoś, kto nie chce budować governance w ogóle, a mój esej dostarcza mu argumentów w komplecie. Dlatego reguła zamienników z sekcji o inwentarzu nie jest ozdobnikiem, tylko warunkiem poprawnego użycia całego narzędzia. Rejestr pusty jest gorszy od rejestru pełnego teatru, bo teatr przynajmniej utrzymuje w organizacji pamięć o tym, które ryzyka ktoś kiedyś uznał za realne.

Dochodzi do tego moja własna stronniczość, którą zapowiedziałem na wstępie. Pracuję przy odporności operacyjnej, więc zawodowo buduję i sprzedaję kontrole detekcyjne. Moje przeszacowanie ich wartości względem prewencji jest przewidywalne i czytelnik ma prawo je odliczyć. Twierdzenie o czasie do wykrycia broni się jednak niezależnie od tego, kto je wypowiada, bo opiera się na liczbach z ACFE i na arytmetyce próbki, a nie na moim doświadczeniu.

Pierwsza kontrola do wymiany

Zrób z tego jedną rzecz w tym tygodniu, a nie dwanaście w przyszłym kwartale.

Otwórz rejestr kontroli dla AI i wypełnij dwie kolumny przy każdej pozycji: co pokazałaby wczoraj i po ilu godzinach. Reszta tabeli może poczekać. Z pozycji, które zostaną z pustą pierwszą kolumną, wybierz tę o najwyższym koszcie w tarciu i napisz dla niej zamiennik z progiem i właścicielem. Policz mu czas do wykrycia. Jedną pozycję. Zanim zaczniesz drugą, zmierz, czy pierwsza cokolwiek pokazała.

Rejestr nie wie, ile czasu żyje w nim incydent. Ta liczba istnieje niezależnie od tego, czy ktoś ją policzył, i w dniu incydentu podaje ją prawie zawsze ktoś z zewnątrz.

Bibliografia

1. primaryAssociation of Certified Fraud Examiners, Occupational Fraud 2026: A Report to the Nations (2026) — mediana czasu do wykrycia, rozkład strat wobec latencji, rozkład pierwszych źródeł wykrycia, ustalenie o obejściu kontroli. Próba: 2402 sprawy wykryte, 143 kraje; straty szacowane przez śledczych.
2. primaryUS Senate Committee on Commerce, Science & Transportation, A „Kill Chain” Analysis of the 2013 Target Data Breach (raport sztabowy, 25 marca 2014) — alerty systemu detekcyjnego bez reakcji i bez włączonego usuwania automatycznego. Analiza wtórna o statusie oficjalnym.
3. primaryBoard of Governors of the Federal Reserve System, OCC, FDIC, SR 26-2: Revised Guidance on Model Risk Management (17 kwietnia 2026) — skuteczne zakwestionowanie, analiza wyników, bieżące monitorowanie; przypis wyłączający modele generatywne i agentowe z zakresu. Zastępuje SR 11-7 z 2011.
4. primaryParlament Europejski i Rada, rozporządzenie 2024/1689 (akt o sztucznej inteligencji) — art. 12 (rejestrowanie zdarzeń), art. 14 (nadzór ludzki i skłonność do ufania automatowi), art. 26 ust. 2, 5 i 6 (obowiązki wdrażającego, retencja logów nie krócej niż sześć miesięcy).
5. primaryY. Shavit, S. Agarwal, M. Brundage, S. Adler i in., Practices for Governing Agentic AI Systems (OpenAI, grudzień 2023) — rejestr działań z uzasadnieniem zapisywanym w momencie decyzji, sprzężenie odwracalności z trybem nadzoru, minimalne czasy przeglądu. Dokument pozycyjny laboratorium, nie badanie empiryczne.
6. primaryU. Mumtaz, R. Noor, S. Mumtaz, Post-Deployment Accountability in AI Governance: A Cross-Regulatory Empirical Analysis of AI Incidents (arXiv, 2026) — 480 incydentów z AI Incident Database, udział wykryć wewnętrznych, kodowanie zgodności na podstawie doniesień.
7. primaryM. Power, „Making things auditable”, Accounting, Organizations and Society 21(2–3), 1996, oraz The Audit Society: Rituals of Verification, Oxford University Press, 1997 — audytowalność jako własność wytwarzana przez organizację.
8. primaryP. Bromley, W. W. Powell, „From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World”, Academy of Management Annals 6(1), 2012 — rozejście środków z celami przy zsynchronizowanej polityce i praktyce.
9. primaryG. Z. Jin, P. Leslie, „The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards”, Quarterly Journal of Economics 118(2), 2003 — odstraszanie przez ujawnienie, mierzone spadkiem hospitalizacji.
10. primaryJ. Slemrod, M. Blumenthal, C. Christian, „Taxpayer response to an increased probability of audit: evidence from a controlled experiment in Minnesota”, Journal of Public Economics 79(3), 2001 — randomizowany eksperyment terenowy; granica odstraszania przy niezależnym strumieniu danych.
11. primaryB. Schneier, Beyond Fear: Thinking Sensibly About Security in an Uncertain World, Copernicus, 2003, oraz „Beyond Security Theater”, New Internationalist, listopad 2009 — definicja security theater i jej ograniczenie przez samego autora.
12. primaryCOSO, Internal Control — Integrated Framework (1992, aktualizacja 2013) — podział na kontrole prewencyjne, detekcyjne i korekcyjne. Kategoria sygnalizacyjna jest dodatkiem autora tego eseju i nie pochodzi z ramy COSO.
13. secondaryGartner, komunikat prasowy z 26 maja 2026, Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure (prognoza: do 2027 r. 40% przedsiębiorstw zdegraduje lub wycofa autonomicznych agentów; czterostopniowa autonomia; Shiva Varma) — newsroom Gartnera blokuje pobranie automatyczne (403); brzmienie potwierdzone względem URL źródłowego i niezależnych relacji branżowych (CIO, The Register). Prognoza analityczna, nie wynik ankiety.