Trzy modele nadzoru człowieka nad AI porównane

Kiedy ktoś mówi „przy tym systemie zawsze jest człowiek”, warto dopytać: w jakiej roli? Bo „nadzór człowieka” to nie jeden tryb pracy, tylko co najmniej trzy różne układy, w których ludzka odpowiedzialność spotyka się z automatem. Mylenie ich kosztuje konkretnie: albo zatykasz proces zbędnym zatwierdzaniem, albo dajesz systemowi pełną autonomię tam, gdzie pomyłka jest nieodwracalna.

W tym tekście rozkładam trzy modele na czynniki pierwsze — human-in-the-loop, human-on-the-loop i human-in-command — pokazuję je na konkretnych przykładach, tłumaczę, czym płacisz za każdy z nich (opóźnienie kontra kontrola kontra skala), i daję praktyczny przewodnik wyboru z tabelą. Na końcu spinam to z oczekiwaniami AI Act wobec nadzoru człowieka — spokojnie, bo przepis akurat w tej sprawie jest rozsądny.

Czym różnią się trzy modele nadzoru nad AI?

Najkrócej: human-in-the-loop to człowiek w środku pętli decyzyjnej — system nic nie wykonuje, dopóki człowiek nie zatwierdzi. Human-on-the-loop (po polsku: człowiek nad pętlą) to człowiek monitorujący system, który działa samodzielnie, z możliwością przerwania w każdej chwili. Human-in-command to człowiek nad całym systemem — nie zatwierdza pojedynczych decyzji, lecz decyduje, czy, gdzie i na jakich zasadach system w ogóle działa, i ponosi za to odpowiedzialność.

Różnica sprowadza się do jednego pytania: w którym momencie człowiek dotyka decyzji? Przed każdą akcją (in-the-loop), w trakcie i na żądanie (on-the-loop), czy na poziomie reguł gry, zanim system ruszy (in-command). Im bliżej pojedynczej decyzji stoi człowiek, tym większą ma kontrolę i tym wolniej działa całość. To napięcie jest sednem całego wyboru.

Trzy modele nie wykluczają się nawzajem. W dojrzałym wdrożeniu często współistnieją warstwami: zarząd ustala granice (in-command), zespół operacyjny pilnuje działającego systemu (on-the-loop), a najcięższe przypadki trafiają do ręcznego zatwierdzenia (in-the-loop). Pytanie nie brzmi więc „który z nich wybrać”, tylko „jak głęboko musi sięgać nadzór przy danej decyzji”.

Co to jest human-in-the-loop (człowiek w pętli)?

Human-in-the-loop oznacza, że człowiek jest obowiązkowym ogniwem każdej decyzji. AI przygotowuje propozycję — diagnozę, ocenę, rekomendację, treść — ale nic nie dzieje się w świecie, dopóki człowiek tego nie zaakceptuje, nie poprawi albo nie odrzuci. System jest doradcą, nie wykonawcą.

Najczystszy przykład to diagnostyka obrazowa w medycynie: algorytm zaznacza na zdjęciu podejrzane zmiany, ale to radiolog stawia rozpoznanie i podpisuje opis. Podobnie działa moderacja trudnych treści, gdzie sporne przypadki trafiają do człowieka, rekrutacja, w której system układa ranking kandydatów, a decyzję o zaproszeniu podejmuje rekruter, czy ocena wniosku kredytowego, gdzie analityk zatwierdza wynik modelu scoringowego, zanim klient dostanie odpowiedź.

Zaleta jest oczywista: maksymalna kontrola i pełna możliwość wychwycenia błędu, zanim wyrządzi szkodę. Cena też: każda decyzja czeka na człowieka, więc model słabo się skaluje, a przy dużym wolumenie pojawia się pułapka „pieczątki” — człowiek klika „akceptuj” odruchowo, ufając maszynie bardziej, niż powinien. To zjawisko, czyli skłonność do bezkrytycznego przyjmowania podpowiedzi automatu, nazywa się błędem automatyzacji (automation bias) i jest cichym zabójcą wartości tego modelu. Jeśli zatwierdzanie staje się formalnością, kontrola istnieje tylko na papierze.

Co to jest human-on-the-loop (człowiek nad pętlą)?

Human-on-the-loop odwraca domyślny tryb. Tu system działa autonomicznie i podejmuje decyzje sam, a rolą człowieka jest obserwacja całości oraz prawo do interwencji — wstrzymania, korekty, wyłączenia. Człowiek nie zatwierdza każdej akcji z osobna; pilnuje, czy maszyna nie zaczyna błądzić, i ma pod ręką wajchę bezpieczeństwa.

Tak pracuje handel algorytmiczny z mechanizmem awaryjnego zatrzymania (kill-switch), który operator może wcisnąć, gdy rynek zachowuje się dziwnie. Tak wygląda dyspozytor sieci energetycznej nadzorujący automatykę bilansującą, zespół monitorujący systemy wykrywania nadużyć w czasie rzeczywistym czy operator obserwujący kilkadziesiąt rozmów chatbota naraz i wchodzący tylko tam, gdzie coś idzie nie tak. Wspólny mianownik: automat nadąża za skalą, człowiek czuwa nad kierunkiem.

Ten model godzi przepustowość z bezpieczeństwem, ale ma własną słabość — problem „wypadnięcia z pętli” (out-of-the-loop). Człowiek, który godzinami patrzy na sprawnie działający system, traci czujność i orientację; gdy nagle musi przejąć ster, bywa, że nie rozumie już, co się dzieje, i reaguje za wolno. Skuteczny nadzór nad pętlą wymaga więc dobrych alarmów, czytelnych pulpitów i realnej szansy, by zdążyć zareagować — sama teoretyczna możliwość interwencji nie wystarczy.

Co to jest human-in-command (człowiek nad systemem)?

Human-in-command to poziom najwyższy i najszerszy. Nie chodzi o pojedynczą decyzję ani o bieżący monitoring, lecz o panowanie nad całym wdrożeniem: czy w ogóle używamy tego systemu, do czego, w jakich granicach, jak go testujemy, kiedy go wyłączamy i kto odpowiada, gdy zawiedzie. To nadzór strategiczny i organizacyjny, a nie operacyjny.

Termin wywodzi się z debaty etycznej nad autonomią — postulat „człowieka dowodzącego” wysunął m.in. Europejski Komitet Ekonomiczno-Społeczny jako przeciwwagę dla wizji w pełni samodzielnych maszyn. W praktyce firmowej human-in-command to zarząd, który zatwierdza politykę korzystania z AI, ustala progi ryzyka dla systemu scoringowego, zleca audyty i zostawia sobie prawo do jego odłączenia. To także właściciel procesu, który definiuje, jakich decyzji nie wolno powierzyć automatowi w ogóle.

Ten model nie wprowadza żadnego opóźnienia w bieżącym działaniu — bo nie dotyka pojedynczych decyzji. Jego siła leży gdzie indziej: wyznacza ramy, w których dwa pozostałe tryby w ogóle mają sens. Jego słabość jest lustrzanym odbiciem tej siły: sam z siebie nie powstrzyma konkretnego błędnego rozstrzygnięcia w czasie rzeczywistym. Dlatego dla decyzji o wysokiej stawce human-in-command zwykle nie występuje samotnie — nadbudowuje się nad nadzorem w pętli lub nad pętlą.

Jak trzy modele wypadają obok siebie?

Poniższa tabela zbiera różnice w jednym miejscu. Traktuj ją jak mapę kompromisów, nie jak ranking — żaden model nie jest „lepszy”, każdy jest odpowiedzią na inny profil ryzyka.

Wymiar	Human-in-the-loop	Human-on-the-loop	Human-in-command
Rola człowieka	Zatwierdza każdą decyzję	Monitoruje i interweniuje	Ustala zasady i granice
Kiedy działa	Przed każdą akcją	W trakcie, na żądanie	Zanim system ruszy
Kontrola nad pojedynczą decyzją	Najwyższa	Średnia	Pośrednia (przez reguły)
Wpływ na opóźnienie	Duży (czeka na człowieka)	Mały	Brak (bieżąco)
Skalowalność	Niska	Wysoka	Bardzo wysoka
Główne ryzyko	Błąd automatyzacji, „pieczątka”	Utrata czujności, wypadnięcie z pętli	Brak reakcji na pojedynczy błąd
Typowe zastosowanie	Diagnoza, kredyt, rekrutacja	Handel algorytmiczny, monitoring sieci	Polityka AI, progi ryzyka, audyt

Czytaj tę tabelę w pionie, dla jednej decyzji naraz. Często okaże się, że ta sama organizacja potrzebuje wszystkich trzech kolumn — tyle że dla różnych procesów.

Czym płacisz za kontrolę? Kompromis opóźnienie–kontrola–skala

Cała sprawa sprowadza się do trójkąta, w którym nie da się mieć wszystkiego naraz. Im więcej kontroli nad pojedynczą decyzją, tym większe opóźnienie i niższa skala. Im wyższa skala i mniejsze opóźnienie, tym luźniejsza kontrola nad konkretnym rozstrzygnięciem. To nie wada wdrożenia, tylko prawo zachowania — przesuwasz się po krawędziach trójkąta, nie wychodzisz poza niego.

Human-in-the-loop kupuje kontrolę za czas. Jest bezcenny, gdy skutek decyzji jest nieodwracalny albo bardzo dotkliwy, a katastrofalny, gdy decyzji są miliony dziennie i człowiek fizycznie nie nadąża z sensowną oceną. Wtedy „nadzór” degeneruje się w klikanie.

Human-on-the-loop kupuje skalę za czujność. Pozwala automatowi pracować z prędkością maszyny, ale przesuwa ryzyko z pojedynczej decyzji na jakość monitoringu — jeśli alarmy są głuche, a operator zmęczony, autonomia działa bez realnego hamulca. Human-in-command z kolei nic nie kosztuje w czasie rzeczywistym, ale właśnie dlatego nie złapie błędu „tu i teraz”; jego walutą jest jakość reguł i odwaga, by faktycznie wyłączyć system, gdy trzeba.

Który model wybrać i kiedy?

Nie ma jednej odpowiedzi, jest pięć pytań, które do niej prowadzą. Zadaj je dla konkretnego procesu, nie dla „AI w firmie” w ogóle.

1. Jak odwracalny jest skutek? Decyzja, której nie da się cofnąć (medyczna, prawna, trwałe odrzucenie wniosku), ciągnie w stronę human-in-the-loop. Skutek łatwy do odkręcenia znosi luźniejszy nadzór.
2. Jaka jest stawka pojedynczej pomyłki? Im większa szkoda dla człowieka — zdrowie, finanse, prawa, reputacja — tym bliżej człowiek musi stać decyzji.
3. Jak duży jest wolumen? Setki tysięcy zdarzeń dziennie wykluczają zatwierdzanie ręczne; tam realny jest tylko nadzór nad pętlą z dobrym monitoringiem.
4. Ile czasu jest na reakcję? Jeśli świat wymaga odpowiedzi w milisekundach, człowiek nie zmieści się w pętli — zostaje nad nią, z wajchą awaryjną.
5. Jak dojrzały i wytłumaczalny jest model? Świeży, słabo zwalidowany albo nieprzejrzysty system zasługuje na ciaśniejszy nadzór niż taki, który ma za sobą długą historię stabilnych wyników.

Z tych pytań układa się prosta heurystyka. Wysoka stawka i nieodwracalność, niski wolumen — human-in-the-loop. Duża skala i presja czasu przy umiarkowanej stawce — human-on-the-loop z porządnym pulpitem i alarmami. A nad jednym i drugim, zawsze — human-in-command, czyli jasno wskazany człowiek lub gremium, które wyznaczyło granice i może system zatrzymać. Jeśli chcesz pogłębić samą rolę nadzorującego, zajrzyj do tekstu o tym, czym właściwie jest nadzór człowieka nad AI.

Co na to AI Act?

Tu zaczyna się część, którą wielu czyta z niepotrzebnym niepokojem. AI Act w artykule 14 wymaga, by systemy wysokiego ryzyka projektowano tak, aby mogły być skutecznie nadzorowane przez człowieka w okresie ich używania. Co istotne, przepis nie narzuca jednego z trzech modeli — nie mówi „ma być human-in-the-loop”. Wskazuje cele, a dobór środków zostawia dostawcy i podmiotowi stosującemu, byle były proporcjonalne do ryzyka.

Cele z artykułu 14 brzmią zresztą jak streszczenie tego artykułu. Osoba sprawująca nadzór ma móc: rozumieć możliwości i ograniczenia systemu, zachować świadomość ryzyka błędu automatyzacji (czyli nie ufać maszynie bezrefleksyjnie), poprawnie interpretować jej wyniki, w razie potrzeby zdecydować o nieskorzystaniu z nich lub ich pominięciu, a także przerwać działanie systemu — to klasyczny „przycisk stop”. Innymi słowy, prawo opisuje zdolności, które realizujesz właśnie przez wybór odpowiedniego modelu nadzoru.

Warto trzymać porządek w terminach i datach. Obowiązki dotyczące przejrzystości z artykułu 50 — m.in. informowanie, że rozmawiamy z AI albo że treść jest generowana — zaczynają obowiązywać od 2 sierpnia 2026 roku. Z kolei pełne wymogi dla systemów wysokiego ryzyka, w tym nadzór człowieka z artykułu 14, w ramach pakietu upraszczającego Digital Omnibus zostały przesunięte na grudzień 2027 roku. To nie zwalnia z myślenia o nadzorze już teraz — daje za to realny czas, by zaprojektować go dobrze, zamiast łatać na ostatnią chwilę.

A co z RODO i decyzjami w pełni automatycznymi?

Nadzór człowieka ma drugą, starszą podstawę — RODO. Artykuł 22 daje osobie prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywołuje ona skutki prawne lub podobnie istotnie na nią wpływa. Słowo „wyłącznie” jest kluczowe: chodzi o sytuacje bez żadnego znaczącego udziału człowieka.

Z perspektywy naszych trzech modeli oznacza to prostą rzecz. Tam, gdzie decyzja istotnie dotyka człowieka — kredyt, zatrudnienie, świadczenie — czysta autonomia bywa wprost ograniczona prawem, a użytkownik może żądać interwencji człowieka, przedstawienia stanowiska i zakwestionowania wyniku. To w praktyce popycha takie procesy w stronę human-in-the-loop albo przynajmniej gęstego nadzoru nad pętlą. Więcej o samym mechanizmie znajdziesz w tekście o decyzjach automatycznych a RODO.

Połączenie obu reżimów powinno dodawać otuchy, a nie budzić lęk: i AI Act, i RODO mówią w gruncie rzeczy to samo — automat może robić bardzo dużo, ale za skutki odpowiada człowiek i to człowiek musi mieć realną możliwość powiedzenia „nie”. Wybór między trzema modelami nadzoru jest po prostu inżynierską odpowiedzią na to prawne i etyczne oczekiwanie.

Co z tego wynika w praktyce?

Trzy modele to nie akademicki podział, tylko trzy różne odpowiedzi na pytanie, gdzie postawić człowieka, by nadzór był prawdziwy, a nie dekoracyjny. Human-in-the-loop daje kontrolę kosztem tempa, human-on-the-loop daje skalę kosztem czujności, human-in-command daje ramy, w których jedno i drugie ma sens.

Najlepsze wdrożenia nie wybierają jednego raz na zawsze. Porządkują swoje decyzje według stawki i odwracalności, dobierają tryb do każdej z osobna i pilnują, by nadzór nigdzie nie zszedł do roli „pieczątki” ani „czuwającego, który już nie patrzy”. Przy takim podejściu zgodność z AI Act przestaje być ciężarem, a staje się produktem ubocznym zwyczajnie dobrego projektu — wdrażania AI, które wzmacnia ludzi, zamiast ich po cichu zastępować.