Διακυβέρνηση AI στο SAP: συμμόρφωση, ασφάλεια, λογοδοσία

Η διακυβέρνηση AI στο SAP καλύπτει κάθε λειτουργία AI που τρέχει στο S/4HANA, στο SuccessFactors, στο Ariba, στο Concur ή στο SAP BTP. Για καθεμία πρέπει να ξέρετε ποιος έχει την ευθύνη των αποφάσεών της, ποια δεδομένα χρησιμοποιεί, πώς καταγράφεται και πότε αναθεωρείται. Το ρυθμιστικό ρολόι μετακινήθηκε το 2026: οι υποχρεώσεις του EU AI Act για αυτόνομα συστήματα υψηλού κινδύνου, όπως η AI που χρησιμοποιείται στην πρόσληψη, ισχύουν πλέον από τις 2 Δεκεμβρίου 2027. Οι υποχρεώσεις διαφάνειας για περιεχόμενο που παράγεται από AI ισχύουν ήδη. Ο οδηγός απευθύνεται σε CIO, υπευθύνους συμμόρφωσης και ιδιοκτήτες προγραμμάτων SAP. Καλύπτει πού εμφανίζονται πρώτα τα κενά διακυβέρνησης, τι άλλαξε το 2026, τους κανόνες που ισχύουν και ένα μητρώο που μπορείτε να ξεκινήσετε αυτή την εβδομάδα. Ξεκινήστε ορίζοντας έναν υπεύθυνο ανά λειτουργία AI.

Ξεκινήστε με ένα απλό ερώτημα: όταν ένα μοντέλο δίνει ένα αποτέλεσμα, ποιανού το όνομα διακυβεύεται; Αν η απάντηση είναι ασαφής, έχετε κενό διακυβέρνησης.

Τα περιβάλλοντα SAP είναι γεμάτα: S/4HANA στον πυρήνα, cloud CRM, πρόσθετη αναλυτική, παλιά συστήματα που κανείς δεν θέλει να αγγίξει. Ένας μηχανικός μπορεί να ενεργοποιήσει ένα μοντέλο σε λίγα λεπτά. Η ανίχνευση της επίδρασής του στην πρόσληψη, στην πίστωση ή στον σχεδιασμό εφοδιασμού μπορεί να πάρει εβδομάδες.

Τα δεδομένα το κάνουν δυσκολότερο. Μισθοδοσία, παραγγελίες αγοράς, αποθέματα και αξιολογήσεις προμηθευτών φτάνουν σε διαφορετικές μορφές κάτω από διαφορετικούς υπευθύνους. Μια ομάδα αποκρύπτει (masking) τα προσωπικά αναγνωριστικά, μια άλλη τα αφήνει εκτεθειμένα. Πριν τρέξει οποιοδήποτε μοντέλο, αποφασίστε ποια δεδομένα επιτρέπεται να χρησιμοποιεί, ποιος εγκρίνει τις αλλαγές και πόσο διατηρούνται οι εγγραφές. Γράψτε το, ξαναδείτε το και επιβάλετε το.

Είδα μια εισαγωγή όπου η πρόβλεψη αποθεμάτων δούλευε σχεδόν υπερβολικά καλά. Οι παραγγελίες τοποθετούνταν πριν από τη ζήτηση, κάτι που φαινόταν αποδοτικό στο dashboard. Μετά τηλεφώνησαν τα οικονομικά. Οι ταμειακές ροές έπεσαν και κανείς δεν ήξερε ποιος είχε τον τελευταίο λόγο για τη συμπεριφορά του μοντέλου. Η λογική ήταν θαμμένη. Τότε η διακυβέρνηση γίνεται πραγματική, όχι μια διαφάνεια σε μια παρουσίαση.

Τα μοτίβα που βλέπω συνεχώς:

Οικονομικά. Η AI στο S/4HANA Finance βοηθά στην επεξεργασία τιμολογίων, στην πρόβλεψη ταμειακών ροών και στον εντοπισμό ανωμαλιών. Είναι χρήσιμη μέχρι να μην είναι: μια νόμιμη πληρωμή μπλοκάρεται, μια αμφίβολη εγκρίνεται, μια πρόβλεψη βασίζεται σε παλιά δεδομένα. Η λύση είναι ίχνος ελέγχου (audit trail) σε κάθε απόφαση που επηρεάζεται από AI και ένα ονομαστικό πρόσωπο που την ελέγχει.

Προμήθειες. Η AI προτείνει προμηθευτές, επισημαίνει κίνδυνο και εξετάζει συμβάσεις. Αν τα ιστορικά δεδομένα προμηθειών περιέχουν μεροληψία, όπως προμηθευτές που προτιμώνται για λόγους που κανείς δεν βλέπει, το μοντέλο την επαναλαμβάνει. Κάποιος πρέπει να αναθεωρεί τις βραχείες λίστες αντί να τις αποδέχεται.

HR. Η AI στο SuccessFactors μπορεί να βοηθήσει στην επιλογή υποψηφίων και στην ανάλυση της εμπλοκής των εργαζομένων. Εκπαιδευμένη σε δεδομένα πρόσληψης που ήδη έκλιναν προς ορισμένα προφίλ, συνεχίζει να κλίνει. Ελέγξτε για μεροληψία πριν από την ενεργοποίηση και ξανά μετά από κάθε επανεκπαίδευση.

Παραγωγή. Τα μοντέλα προγνωστικής συντήρησης και χρονοπρογραμματισμού υποβαθμίζονται όταν ανασχηματίζεται ένα εργοστάσιο. Παρακολουθείτε την ακρίβεια με τον χρόνο και προγραμματίστε επανεκπαίδευση. Μην περιμένετε μια διακοπή γραμμής για να προσέξετε την παρέκκλιση.

Η AI στις cloud εφαρμογές της SAP τείνει να φτάνει αθόρυβα: αντιστοίχιση τιμολογίων στο Ariba, εγκρίσεις στο Concur, βαθμολόγηση leads στο CRM. Δουλεύει στο παρασκήνιο, κάτι που είναι και η γοητεία της. Κάνει όμως την εποπτεία δυσκολότερη.

Θυμάμαι έναν πελάτη που χρησιμοποιούσε ενσωματωμένη ευφυΐα στο SAP Ariba. Το σύστημα άρχισε να επισημαίνει αυτόματα διπλότυπους προμηθευτές. Χρήσιμο, αλλά κανείς δεν κατάλαβε ότι οι επισημάνσεις πυροδοτούνταν μερικές φορές από ασυνεπή ονοματολογία στα κύρια δεδομένα. Καμία κακή πρόθεση, απλώς εγγραφές που δεν ταίριαζαν. Οι προμήθειες δεν είχαν διαδικασία για να επικυρώνουν τις ειδοποιήσεις και αυτό προκάλεσε καθυστερήσεις και σύγχυση. Η λύση είναι ένα βήμα επικύρωσης για τις ειδοποιήσεις και μια συνεπής σύμβαση ονοματολογίας στα κύρια δεδομένα προμηθευτών.

SAP BTP. Το BTP επιτρέπει στις ομάδες να χτίζουν και να ενεργοποιούν τη δική τους AI σε όλο το περιβάλλον SAP. Έχω δει ένα μοντέλο να εγκρίνει κακούς προμηθευτές επειδή είχε εκπαιδευτεί σε ελλιπή δεδομένα προμηθειών. Το πρόβλημα των δεδομένων προηγήθηκε του προβλήματος της AI και ο καθαρισμός της εισόδου το διόρθωσε ταχύτερα από τη ρύθμιση του μοντέλου.

SAP Concur. Η AI εξόδων εντοπίζει διπλότυπα και παραβιάσεις πολιτικής. Εγείρει επίσης ψευδείς σημάνσεις απάτης σε νόμιμες δαπάνες και όταν οι εργαζόμενοι ξοδεύουν χρόνο αμφισβητώντας τις απορρίψεις, το κέρδος παραγωγικότητας χάνεται. Κρατήστε ανθρώπινο έλεγχο για τις οριακές περιπτώσεις και ενημερώνετε τους κανόνες κάθε φορά που αλλάζει η πολιτική εξόδων.

Οι ημερομηνίες υψηλού κινδύνου του EU AI Act μετακινήθηκαν. Το Digital Omnibus για την AI, Κανονισμός (ΕΕ) 2026/1744, τέθηκε σε ισχύ στις 27 Ιουλίου 2026. Οι υποχρεώσεις για αυτόνομα συστήματα υψηλού κινδύνου βάσει του Παραρτήματος III, που περιλαμβάνουν την AI που χρησιμοποιείται στη στελέχωση και στη διαχείριση εργαζομένων και στους ελέγχους πιστοληπτικής ικανότητας φυσικών προσώπων, ισχύουν πλέον από τις 2 Δεκεμβρίου 2027. Η AI υψηλού κινδύνου που είναι ενσωματωμένη σε ρυθμιζόμενα προϊόντα ακολουθεί στις 2 Αυγούστου 2028. Οι απαγορευμένες πρακτικές και ο γραμματισμός στην AI (AI literacy) ισχύουν από τον Φεβρουάριο του 2025 και οι υποχρεώσεις διαφάνειας του Άρθρου 50 για περιεχόμενο που παράγεται από AI από τις 2 Αυγούστου 2026. Η καθυστέρηση δίνει χρόνο προετοιμασίας, όχι ανακούφιση. Η αξιολόγηση συμμόρφωσης και η τεχνική τεκμηρίωση είναι αργή δουλειά.

1. 2025Απαγορευμένες πρακτικές και γραμματισμός στην AIΑπό τον Φεβρουάριο του 2025
2. 2026Σε ισχύ το Digital Omnibus27 Ιουλίου, Κανονισμός (ΕΕ) 2026/1744
3. 2026Υποχρεώσεις διαφάνειας για περιεχόμενο που παράγεται από AI2 Αυγούστου, Άρθρο 50
4. 2027Αυτόνομα συστήματα υψηλού κινδύνου (Παράρτημα III)2 Δεκεμβρίου. Πρόσληψη, διαχείριση εργαζομένων, έλεγχοι πιστοληπτικής ικανότητας φυσικών προσώπων
5. 2028AI υψηλού κινδύνου ενσωματωμένη σε ρυθμιζόμενα προϊόντα2 Αυγούστου

Πηγή: Κανονισμός (ΕΕ) 2026/1744, Digital Omnibus για την AI

Η καταγραφή του Joule εξαρτάται από μια επιλογή που ίσως έχετε ήδη κάνει. Τα αρχεία καταγραφής συνομιλιών του Joule καταγράφουν τον χρήστη, τη χρονική σήμανση, τη συνομιλία, τα prompts και τις απαντήσεις. Υπάρχουν μόνο αν επιλέχθηκε η αποθήκευση κατά το onboarding του Joule. Η τεκμηριωμένη προεπιλεγμένη διατήρηση της SAP για αυτά τα αρχεία είναι 365 ημέρες και μπορείτε να ζητήσετε διαφορετική περίοδο. Ελέγξτε τη ρύθμιση και αν η διατήρηση καλύπτει τον κύκλο ελέγχου σας.

Η SAP περιόρισε τους AI agents στα APIs της. Η πολιτική API της SAP (έκδοση 4.2026a) περιορίζει τη χρήση των APIs της SAP με ημιαυτόνομα ή γενετικά συστήματα AI που σχεδιάζουν, επιλέγουν ή εκτελούν ακολουθίες κλήσεων API. Μια τέτοια χρήση επιτρέπεται μόνο μέσω αρχιτεκτονικών και διαδρομών που εγκρίνει η SAP. Αν ένας agent ή copilot τρίτου καλεί απευθείας το S/4HANA, αυτό είναι πλέον συμβατικό ζήτημα όπως και ζήτημα ασφάλειας. Κάντε απογραφή αυτών των ενοποιήσεων.

Οι έλεγχοι του BTP υπάρχουν, αλλά πρέπει να τους παραμετροποιήσετε. Το generative AI hub της SAP προσφέρει απόκρυψη δεδομένων (masking), φιλτράρισμα περιεχομένου εισόδου και εξόδου, grounding, μητρώο prompts και καταγραφή ελέγχου. Είναι έλεγχοι, όχι πρόγραμμα διακυβέρνησης. Μια καταγραφή που έχει ενεργοποιηθεί χωρίς πολιτική διατήρησης σβήνεται πριν προλάβει μια τριμηνιαία αναθεώρηση να τη διαβάσει.

Αν ένας προμηθευτής δεν μπορεί να παρουσιάσει την τεχνική τεκμηρίωση υψηλού κινδύνου για μια λειτουργία AI, η λειτουργία αυτή δεν μπορεί να μείνει σε χρήση υψηλού κινδύνου. Η προθεσμία μετακινήθηκε. Η απαίτηση τεκμηρίωσης όχι.

Αυτοί ισχύουν για οργανισμούς που τρέχουν AI στο SAP, όπου κι αν φιλοξενεί η SAP το λογισμικό.

Κανονισμός	Τι απαιτεί στην πράξη
EU AI Act	Υποχρεώσεις βάσει κινδύνου. Οι χρήσεις υψηλού κινδύνου (στελέχωση και διαχείριση εργαζομένων, πιστοληπτική ικανότητα φυσικών προσώπων και άλλες του Παραρτήματος III) χρειάζονται διαχείριση κινδύνου, τεκμηρίωση, καταγραφή, ανθρώπινη εποπτεία και αξιολόγηση συμμόρφωσης από τις 2 Δεκεμβρίου 2027. Οι υποχρεώσεις διαφάνειας ισχύουν ήδη
GDPR	Νόμιμη βάση και ελαχιστοποίηση δεδομένων. Για αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία με νομικά ή παρόμοια αποτελέσματα, εγγυήσεις του Άρθρου 22, συμπεριλαμβανομένης της ανθρώπινης παρέμβασης και ουσιαστικής ενημέρωσης για τη λογική
ISO/IEC 42001:2023	Ένα ελέγξιμο σύστημα διαχείρισης AI: ρόλοι, διαδικασία κινδύνου, έλεγχοι και συνεχής βελτίωση
Εθνικά πλαίσια	Τα κράτη του Κόλπου, η Σιγκαπούρη και άλλες χώρες δημοσιεύουν αρχές δεοντολογίας AI και πλαίσια διακυβέρνησης. Αναθεωρείτε κάθε χρόνο αυτά των χωρών όπου δραστηριοποιείστε

Η ταξινόμηση υψηλού κινδύνου μετράει ειδικά για το SAP. Η AI στο SuccessFactors που επηρεάζει την πρόσληψη, την προαγωγή ή την απόλυση εμπίπτει στο πεδίο εφαρμογής. Οι έλεγχοι πιστοληπτικής ικανότητας επιχειρηματικών πελατών στο S/4HANA γενικά δεν εμπίπτουν, επειδή η κατηγορία του Παραρτήματος III καλύπτει την πιστοληπτική ικανότητα φυσικών προσώπων. Ταξινομήστε κάθε λειτουργία αντί να υποθέτετε.

Το πρακτικό σημείο εκκίνησης είναι ένα μητρώο. Μία γραμμή ανά λειτουργία AI, συμπληρωμένη.

Στήλη	Τι καταγράφετε
Λειτουργία AI	Για παράδειγμα, αντιστοίχιση υποψηφίων στο SuccessFactors ή εντοπισμός διπλότυπων προμηθευτών στο Ariba
Σύστημα και υπεύθυνος	Η εφαρμογή και ένα ονομαστικό υπεύθυνο πρόσωπο
Κατηγορία AI Act	Απαγορευμένη, υψηλού κινδύνου (Παράρτημα III), μόνο διαφάνεια ή ελάχιστου κινδύνου
Δεδομένα που χρησιμοποιούνται	Πηγές, προσωπικά δεδομένα, εφαρμοσμένο masking
Ανθρώπινος έλεγχος	Ποιος ελέγχει ποια αποτελέσματα και πότε μπορεί να τα παρακάμψει
Καταγραφή και διατήρηση	Πού καταγράφονται οι αποφάσεις και για πόσο χρόνο
Συχνότητα αναθεώρησης	Τριμηνιαία για λειτουργίες υψηλού αντίκτυπου, εξαμηνιαία για τις υπόλοιπες
Τελευταία αναθεώρηση	Ημερομηνία και αποτέλεσμα

1. Ορίστε έναν υπεύθυνο ανά σύστημα AI πριν από το go-live. Ένας άνθρωπος, όχι μια επιτροπή. Όλοι οι άλλοι παίζουν υποστηρικτικό ρόλο.
2. Τηρείτε ίχνος ελέγχου στις αποφάσεις που επηρεάζονται από AI. Για την έγκριση τιμολογίων, την επιλογή προμηθευτών ή την κατάταξη υποψηφίων, καταγράψτε τα δεδομένα που χρησιμοποιήθηκαν, το αποτέλεσμα και πότε το εξέτασε ένας άνθρωπος.
3. Προγραμματίστε αναθεωρήσεις μοντέλων. Τα μοντέλα υποβαθμίζονται καθώς αλλάζουν τα δεδομένα. Το τριμηνιαίο είναι μια λογική αρχή για κρίσιμα συστήματα. Μην περιμένετε ένα παράπονο χρήστη για να ανακαλύψετε τρεις μήνες λανθασμένων απαντήσεων.
4. Στήστε πρώτα τη διακυβέρνηση δεδομένων και μετά συνδέστε τη διακυβέρνηση AI με αυτήν. Οι κανόνες πρόσβασης, τα πρότυπα ποιότητας και το masking πρέπει να υπάρχουν πριν δουλέψει η διακυβέρνηση AI. Οι ομάδες που χτίζουν και τα δύο ταυτόχρονα καταλήγουν συχνά χωρίς κανένα.
5. Μην συγχέετε τη διακυβέρνηση με την τεκμηρίωση. Οι πολιτικές στο SharePoint δεν είναι διακυβέρνηση. Η διακυβέρνηση αλλάζει τον τρόπο που λαμβάνονται οι αποφάσεις: ποιος αναθεωρεί, ποιος κλιμακώνει και ποιος μπορεί να θέσει ένα μοντέλο σε παύση.

Η νομοθεσία συνεχίζει να κινείται. Οι αλλαγές του AI Act το 2026 δείχνουν πόσο γρήγορα μετατοπίζονται οι ημερομηνίες. Ορίστε έναν άνθρωπο να παρακολουθεί τις νομικές αλλαγές και να τις μεταφράζει κάθε χρόνο σε απαιτήσεις ειδικές για το SAP.

Ιδιωτικότητα σε όλα τα modules. Το SAP κρατά μισθοδοσία, συναλλαγές πελατών και αρχεία εργαζομένων. Η ασφάλεια βάσει ρόλων στο SAP δεν εφαρμόζεται αυτόματα στις εισόδους των μοντέλων AI. Ελέγξτε το ρητά.

Μεροληψία στα δεδομένα εκπαίδευσης. Αν ένα μοντέλο του SuccessFactors έμαθε από πέντε χρόνια μεροληπτικών δεδομένων πρόσληψης, θα επαναλάβει τη μεροληψία. Κοιτάξτε τα αποτελέσματα ανά ομάδα πριν από την ενεργοποίηση, όχι μόνο την ακρίβεια.

Παλιά συστήματα στη ροή. Όταν η AI στο BTP αντλεί από ένα παλιό ERP ή μια πλατφόρμα τρίτου, η ποιότητα δεδομένων του πιο αδύναμου συστήματος γίνεται το όριό σας. Χαρτογραφήστε τις πηγές πριν τεθεί το μοντέλο σε λειτουργία. Το πλαίσιο διαχείρισης κινδύνων AI που έχω γράψει καλύπτει τα βήματα της αξιολόγησης και ο οδηγός μου για το πλαίσιο διακυβέρνησης AI καλύπτει το ευρύτερο μοντέλο λειτουργίας.

Τι είναι η διακυβέρνηση AI στις υλοποιήσεις SAP;

Είναι το σύνολο των υπευθύνων, των πολιτικών και των ελέγχων που κάνουν τις λειτουργίες AI στο SAP να λειτουργούν υπεύθυνα, διαφανώς και νόμιμα. Καλύπτει ποια δεδομένα επιτρέπεται να χρησιμοποιούν τα μοντέλα, πώς εγκρίνονται και ενεργοποιούνται οι λειτουργίες, πώς καταγράφονται και αναθεωρούνται οι αποφάσεις και ποιος μπορεί να θέσει ένα μοντέλο σε παύση. Εφαρμόζεται στο S/4HANA, στο SuccessFactors, στο Ariba, στο Concur και σε οτιδήποτε χτίζετε στο SAP BTP.

Πότε ισχύουν οι κανόνες υψηλού κινδύνου του EU AI Act για τα συστήματα SAP;

Μετά το Digital Omnibus (Κανονισμός (ΕΕ) 2026/1744), οι υποχρεώσεις για αυτόνομα συστήματα υψηλού κινδύνου του Παραρτήματος III ισχύουν από τις 2 Δεκεμβρίου 2027. Η AI υψηλού κινδύνου που είναι ενσωματωμένη σε ρυθμιζόμενα προϊόντα ακολουθεί από τις 2 Αυγούστου 2028. Οι απαγορευμένες πρακτικές και ο γραμματισμός στην AI (AI literacy) ισχύουν από τον Φεβρουάριο του 2025 και οι υποχρεώσεις διαφάνειας για περιεχόμενο που παράγεται από AI από τον Αύγουστο του 2026. Για το SAP, ο συνηθέστερος τομέας υψηλού κινδύνου είναι η AI που χρησιμοποιείται σε αποφάσεις στελέχωσης και εργατικού δυναμικού.

Ποιος είναι υπεύθυνος για τη διακυβέρνηση AI στα έργα SAP;

Μια διατμηματική ομάδα: η συμμόρφωση παρακολουθεί τη νομοθεσία, το IT και η ασφάλεια χειρίζονται την πρόσβαση και την καταγραφή, οι ομάδες δεδομένων έχουν την ευθύνη της ποιότητας των δεδομένων εκπαίδευσης, οι ιδιοκτήτες επιχειρησιακών διαδικασιών εγκρίνουν τα αποτελέσματα και το νομικό εξετάζει την ευθύνη. Η σημαντικότερη απόφαση είναι να οριστεί ένας υπεύθυνος ανά σύστημα AI. Όταν κάτι πάει στραβά στις 2 τα ξημερώματα, πρέπει να ξέρετε ποιος παίρνει το τηλεφώνημα.

Κρατά το Joule ίχνος ελέγχου;

Τα αρχεία καταγραφής συνομιλιών του Joule μπορούν να καταγράφουν τον χρήστη, τη χρονική σήμανση, τη συνομιλία και τα prompts και τις απαντήσεις, αλλά μόνο αν επιλέχθηκε η αποθήκευση καταγραφών κατά το onboarding. Η SAP τεκμηριώνει προεπιλεγμένη διατήρηση 365 ημερών για τους πελάτες που την έχουν επιλέξει και μπορεί να ζητηθεί διαφορετική περίοδος. Οι αλλαγές παραμετροποίησης που αφορούν την ασφάλεια στο Joule Studio πηγαίνουν στην υπηρεσία SAP Audit Log στο BTP. Ελέγξτε τη ρύθμιση του tenant σας αντί να υποθέτετε.

Πώς χειρίζεστε τη μεροληψία στα μοντέλα AI στο SAP SuccessFactors;

Εξετάστε σε τι εκπαιδεύτηκε το μοντέλο. Αν τα ιστορικά δεδομένα πρόσληψης έβλαψαν ορισμένες ομάδες, θα το κάνει και το μοντέλο. Δοκιμάστε τα αποτελέσματα ανά ομάδα πριν από το go-live, παρακολουθήστε τα ποσοστά επιλογής μετά και επανεκπαιδεύστε με πρόγραμμα καθώς αλλάζουν τα δεδομένα του εργατικού δυναμικού σας. Αν ικανοί υποψήφιοι από μία συγκεκριμένη προέλευση φιλτράρονται σταθερά, αντιμετωπίστε το ως σήμα, όχι ως σύμπτωση.

Πόσο συχνά πρέπει να αναθεωρούνται τα μοντέλα AI στο SAP;

Τριμηνιαία για συστήματα υψηλού αντίκτυπου, όπως οι οικονομικές εγκρίσεις, οι αποφάσεις HR ή η επιλογή προμηθευτών, και εξαμηνιαία για εργαλεία με μικρότερο διακύβευμα. Ενεργοποιήστε μια έκτακτη αναθεώρηση όποτε αλλάζει μια πηγή δεδομένων, μια ενοποίηση ή μια επιχειρησιακή διαδικασία, γιατί οποιοδήποτε από αυτά μπορεί να αλλάξει τη συμπεριφορά του μοντέλου χωρίς αλλαγή κώδικα.