Kwestie zgodności blokują dziś transakcje korporacyjne co najmniej tak często jak dopasowanie techniczne, a kupujący, którzy nie przygotowali przeglądu z wyprzedzeniem, tracą zwykle 2–3 miesiące w środkowej fazie procesu. Większości tego czasu da się uniknąć, ale ta praca należy w równym stopniu do Państwa, co do dostawcy. Przygotowanie z wyprzedzeniem oznacza uzyskanie odpowiedzi na 6 pytań, zanim powstanie krótka lista dostawców. Przegląd bezpieczeństwa powinien potwierdzać to, co już Państwo wiedzą, a nie dopiero to odkrywać.
Pytanie o zakres certyfikacji, a nie tylko o nazwy
Sama nazwa certyfikatu niewiele znaczy bez jego zakresu. SOC 2 obejmujący stronę marketingową to nie to samo co SOC 2 obejmujący ścieżkę inferencji, którą przechodzą dane Państwa klientów. Pierwsze pytanie brzmi więc: jakie certyfikaty posiada dostawca i co faktycznie obejmuje każdy z nich.
Powiązany zabieg, na który warto uważać, to dziedziczenie. Dostawca działający na dużej platformie chmurowej dziedziczy znaczną część zabezpieczeń infrastruktury, a niektórzy przedstawiają ten odziedziczony poziom bezpieczeństwa jako własny. Warto poprosić o raport z audytu, w którym wskazano podmiot dostawcy. Jeśli na certyfikacie widnieje dostawca hostingu, to cenna informacja, którą dobrze poznać wcześnie.
Pytanie o datę audytu i audytora
Liczą się zarówno aktualność, jak i niezależność, a każda z nich może zawieść osobno. Aktualny certyfikat po audycie firmy bez realnej niezależności mówi mniej niż nieco starszy, wydany przez uznanego audytora. Stary certyfikat od dobrego audytora mówi tylko, że dostawca był zgodny w momencie, który może poprzedzać pojawienie się funkcji AI, które Państwo kupują.
Warto pytać jednocześnie o datę i audytora. Dostawcy, którzy szybko przedstawiają jedno i drugie, zwykle równie szybko dostarczają wszystko inne – i to samo w sobie jest sygnałem.
Konkretne pytanie o ISO 42001
To pytanie większość kupujących pomija, głównie dlatego, że standard jest tak nowy i rzadki, że wielu nawet nie wie, że warto o niego zapytać. Teraz już Państwo wiedzą!
Konwencjonalne certyfikaty bezpieczeństwa dotyczą organizacji. Potwierdzają, że firma ma polityki, szkoli pracowników i zarządza dostępem. Żaden z nich nie mówi jednak, jak zarządzana jest AI: czy wyszukiwanie opiera się na Państwa wiedzy, czy model zachowuje się przewidywalnie, czy istnieje ścieżka audytu dla działań, które agent podejmuje na koncie klienta.
ISO 42001 to standard systemu zarządzania AI, który odnosi się właśnie do tych kwestii – a dostawca może mieć wszystkie konwencjonalne certyfikaty, nie mając żadnej niezależnej oceny swojego ładu AI. Maven posiada 15 certyfikatów i ocen, w tym ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , i GDPR.
Pytanie o PCI DSS podczas rozmowy głosowej na żywo
To pytanie najszybciej odróżnia dostawców, bo kanał głosowy zamienia abstrakcję w konkret. Podczas rozmowy klient, prosząc o pomoc, w naturalny sposób odczyta na głos numer karty. Żaden projekt interfejsu temu nie zapobiegnie.
PCI-DSS 4.0 Level 1 to poziom obowiązujący przy korporacyjnych wolumenach transakcji, a przydatne pytania uzupełniające dotyczą mechaniki. Czy redakcja danych następuje w czasie rzeczywistym podczas rozmowy, czy dopiero w późniejszym przetwarzaniu? To różne okna ekspozycji i tylko pierwsze całkowicie utrzymuje wrażliwy ciąg znaków poza potokiem przetwarzania. Czy istnieje ścieżka audytu dla samej redakcji? Czy obsługa płatności jest odseparowana od reszty rozmowy?
Dostawca, który odpowiada konkretnie, zbudował swoją platformę właśnie z myślą o tym.
Pytanie o faktycznie dostępne opcje rezydencji danych
Warto pytać w podziale na regiony i domagać się szczegółów, bo terminologia jest tu nieprecyzyjna. Regionalna rezydencja danych w chmurze dostawcy, wdrożenie w chmurze prywatnej i wdrożenie hostowane przez klienta to 3 różne zobowiązania, często opisywane zbliżonym językiem. Jeśli wymagają Państwo, by system działał w infrastrukturze pod Państwa kontrolą, należy powiedzieć to wprost i uzyskać odpowiedź na piśmie.
Pytanie o możliwość przeprowadzenia własnego testu penetracyjnego
Warto połączyć je z pytaniem o częstotliwość testów wewnętrznych, bo dostawca prowadzący testy adwersarialne co kwartał ma inną praktykę bezpieczeństwa niż taki, który testuje tylko wtedy, gdy klient nalega.
Poprzeczkę da się pokonać, a wczesne jej pokonanie procentuje
Przedsiębiorstwo z branży gier z listy Fortune 500 obsługuje ponad 330 000 interakcji miesięcznie za pomocą autonomicznego agenta AI Maven w warunkach branży regulowanej, co oznacza zgodność z PCI przy zakupach w grze, a także obsługę AML i KYC. To wdrożenie skalowało się, zamiast utknąć – tak dzieje się, gdy głęboka zgodność jest progiem, który platforma od początku miała przekraczać, a nie późniejszą przeróbką.
Clio podeszło do oceny w ten sam sposób. Firma tworząca oprogramowanie dla branży prawniczej oceniła 32 dostawców, zawęziła wybór, a następnie przeprowadziła bezpośrednie porównanie ponad 10 z nich, zanim wybrała Maven. Technologie prawnicze wiążą się z realnymi obowiązkami w zakresie poufności i tak właśnie wygląda proces, który pozwala je spełnić. Clio osiąga dziś 80% autonomicznego rozwiązywania spraw, a obsługa na żywo odpowiada 4x szybciej. Papaya Pay, działająca w ramach regulacji płatniczych, osiągnęła 90% autonomicznego rozwiązywania w ciągu 3 tygodni.
W żadnym z tych przypadków przegląd zgodności nie zamienił wdrożenia w projekt trwający kilka kwartałów.
Pierwszy tydzień to właściwy moment
Większość ocen odkłada kwestie zgodności na koniec. To właśnie powoduje utratę 2–3 miesięcy. Dostawca, który nie spełnia twardego wymogu regulacyjnego, powinien odpaść w pierwszym tygodniu, a te 6 pytań kosztuje tak niewiele, że można je zadać już podczas pierwszej rozmowy.
Jest też drugi powód, by zrobić to raczej wcześniej niż później. Odpowiedzi dotyczące zgodności są wyjątkowo dobrym wskaźnikiem dojrzałości inżynieryjnej, bo to, gdzie znajdują się dane, i to, jak działa system, to to samo pytanie widziane z różnych perspektyw. Niejasność w pierwszej kwestii zwykle oznacza niejasność w drugiej.
Skróconą wersję 6 pytań zawiera The AI Compliance Buyer's Checklist, opracowana na podstawie rozdziału Compliance Blind Spot raportu State of AI in CX 2026 .
Przekonaj się na własnych rozmowach.
Poproś o bezpłatne, spersonalizowane demo.
