Koniec pokazu agentów AI w SAP. Na ekranie agent właśnie sam znalazł zaległą fakturę, dopasował ją do zamówienia i zaproponował księgowanie. Sala kiwa głowami. I wtedy ktoś z tylnego rzędu pyta: „A skąd agent wie, że dokument, który czyta, nie kłamie?”
Cisza.
Znam tę ciszę z wielu sal. Przez trzy lata rozmowa o AI w SAP była rozmową o licencjach: kto dostanie, w jakim pakiecie, za ile. Czas, żeby stała się rozmową o bezpieczeństwie. Ale po kolei - bo ta historia ma trzy akty.
Akt I. Obietnica
26 września 2023 roku debiutuje SAP Joule. Christian Klein obiecuje: „SAP Joule będzie wiedział, co macie na myśli - nie tylko co mówicie”. Asystent ma trafić do całego portfolio - najpierw SuccessFactors jeszcze w 2023, potem S/4HANA Cloud public edition, dalej CX, Ariba i BTP. SAP mówi o 300 milionach użytkowników i 26 tysiącach klientów chmurowych z dostępem do Business AI.
Rynek kupił tę wizję szybko. Ja też uważałem, że kierunek jest słuszny - i nadal tak uważam. Asystent, który zna kontekst biznesowy ERP, to zupełnie inna liga niż czat doklejony do systemu.
Uczciwie trzeba jednak przyznać: pierwsze wersje więcej podpowiadały, niż robiły. Urlop w SuccessFactors, nawigacja, wyszukanie transakcji. Solidny start, żadna rewolucja. Rewolucja działa się gdzie indziej - w cenniku.
Akt II. Rachunek
Ciekawsza scena rozegrała się dwa miesiące przed premierą SAP Joule, z dala od materiałów promocyjnych. Na telekonferencji wynikowej za drugi kwartał 2023 Klein zapowiedział, że najnowsze innowacje SAP trafią wyłącznie do chmury - publicznej i prywatnej, w ramach RISE. Niemieckie stowarzyszenie użytkowników DSAG zareagowało ostro. Thomas Henzler z zarządu DSAG nazwał tę strategię „prawdziwym show-stopperem i wielkim rozczarowaniem”.
Potem przyszła waluta. AI units - wirtualne jednostki, którymi SAP rozlicza konsumpcję funkcji premium. Przy ich premierze SAP nie potrafił publicznie powiedzieć, ile jednostek zużywa konkretna usługa ani ile kosztują kolejne. Rynek - my, partnerzy, też - kupował na starcie z niepełną mapą konsumpcji.
W lipcu 2024 AI weszło do pakietów komercyjnych: RISE premium dostał pulę AI units w cenie, premium plus - szerszy dostęp do funkcji generatywnych. Brzmi jak ustępstwo? Raczej jak domknięcie modelu: w praktyce AI stało się silnym argumentem sprzedażowym za wyższym pakietem chmurowym.
A klasyczny S/4HANA on-premise? SAP Joule nie działa tam do dziś i w planach rozwoju SAP takiej pozycji nie widać. Kto utrzymuje system we własnej serwerowni, ogląda tę rewolucję zza szyby.
Akt III. Korekta kursu, nie kierunku
Od 2025 roku ton się zmienia. Luty: SAP ogłasza opcję przejściową dla spóźnionych z ECC - subskrypcję, która pozwala dokończyć transformację w prywatnej chmurze SAP z horyzontem do 2033 roku. Od lata 2025 podstawowy pakiet SAP Joule Base jest wliczony w subskrypcje chmurowe bez dopłat. Wrzesień: ponad 20 miliardów EUR na suwerenną chmurę w Europie i partnerstwo „OpenAI for Germany” dla niemieckiego sektora publicznego.
W maju 2026, na Sapphire, SAP pokazał docelowy obraz: „Autonomous Enterprise”. Ponad 50 asystentów SAP Joule orkiestruje ponad 200 wyspecjalizowanych agentów, pojawia się interfejs SAP Joule Work, a wewnątrz SAP Joule pracują modele od partnerów - w tym Claude od Anthropic.
Wygląda to na odwilż. Tylko przeczytajcie drobny druk: klient RISE dostaje w pierwszym roku trzy asystenty SAP Joule, pełny dostęp od razu ma GROW - czyli nowa chmura publiczna. Różnicowanie przeniosło się z technologii na konstrukcję kontraktu. Złagodniała komercja. Kierunek pozostał ten sam: wszystko, co w SAP naprawdę nowe, dzieje się w chmurze.
Jest jeszcze jeden zgrzyt, o którym na konferencjach mówi się niechętnie. Według raportu inwestycyjnego DSAG na 2026 rok use case’y AI wdrożyło 43 procent członków - a wśród firm używających AI produkcyjnie 77 procent robi to na rozwiązaniach spoza SAP. Między slajdem a wdrożeniem wciąż zieje przepaść.
Pytanie zza szyby
I tu wracam do ciszy z pierwszego akapitu. Bo skoro agent siedzi już w środku systemu - przy danych finansowych, kadrowych i zakupowych - to najważniejsze pytanie przestało brzmieć „w którym pakiecie”, a zaczęło brzmieć „na jakich zasadach”.
Agent AI czyta treści, których nie kontrolujecie: maile, dokumenty, załączniki, strony, transkrypty. I działa z uprawnieniami, które mu daliście. Te dwa zdania opisują całą nową powierzchnię ataku.
To nie jest teoria. W 2023 roku badacz Johann Rehberger pokazał, że wystarczy ukryć instrukcje w transkrypcie filmu na YouTube, żeby asystent AI, który ten film „obejrzał”, zaczął wykonywać polecenia napastnika. W czerwcu 2025 świat obiegł EchoLeak (CVE-2025-32711) - podatność zero-click w Microsoft 365 Copilot, gdzie spreparowany mail wystarczył, by asystent sam wyniósł poufne dane, bez żadnego kliknięcia użytkownika. Pisaliśmy o tym w Bezpiecznym Wtorku, gdy sprawa była świeża. Dwa miesiące później CVE-2025-53773: wstrzyknięta instrukcja kazała GitHub Copilotowi przepisać konfigurację środowiska programisty i otworzyła drogę do zdalnego wykonania kodu.
OWASP w edycji Top 10 dla aplikacji LLM na 2025 rok umieścił prompt injection na pierwszym miejscu. Osobną kategorią ryzyka stała się „Excessive Agency” - nadmierna samodzielność agenta. Nazwano wprost to, co w SAP właśnie budujemy setkami: agentów z rękami.
Agent to nowy pracownik. Potraktujcie go jak pracownika
W SAP od dziesięcioleci obowiązuje żelazna zasada rozdziału obowiązków: kto tworzy fakturę, nie zwalnia płatności. Całe działy GRC żyją z pilnowania, żeby żaden użytkownik nie zebrał toksycznego zestawu uprawnień.
A teraz do systemu wchodzi agent, który potrafi zrobić jedno i drugie w sekundę.
SAP odrobił część lekcji: model „principal delegation” zakłada, że agent działa w granicach uprawnień użytkownika, w którego imieniu pracuje, z rozdziałem odczytu i zapisu, dziennikiem audytowym i zatwierdzeniem człowieka przy krokach wrażliwych. To dobry fundament. Tylko że fundament nie zwalnia z budowy reszty domu.
Klasyczne narzędzia GRC projektowano dla ludzi. Tożsamości nieludzkie - agenci, konta techniczne, klucze API, klienty OAuth - masowo umykają im z pola widzenia, a już dziś bywa ich w organizacjach więcej niż pracowników. Agent potrzebuje więc tego samego, co człowiek na nowym etacie: własnej tożsamości w systemie, zakresu uprawnień skrojonego do zadania, przeglądu konfliktów SOD przed startem i okresowej recertyfikacji. Nie „konta serwisowego z SAP_ALL, bo tak było szybciej”.
Regulator zresztą nie zostawia tu wielkiego pola do interpretacji. AI Act w artykule 14 wymaga skutecznego nadzoru człowieka nad systemami wysokiego ryzyka - obowiązki wchodzą do stosowania 2 sierpnia 2026 roku, czyli za niecałe dwa tygodnie. NIS2 podnosi poprzeczkę dla zarządzania incydentami, DORA robi to samo w finansach. Agent w ERP wpada pod wszystkie trzy naraz.
Najpierw proces, potem agent
Jest jeszcze jedna rzecz, od której wszystko zależy - i piszę o niej konsekwentnie od dawna. W tekście Od pomysłu do agenta na produkcji pokazywałem, że rozwiązanie agentowe projektuje się jak proces biznesowy z punktami kontroli, a diagram procesu jest kontraktem między biznesem, IT i governance. Kilka dni temu, w Kiedy NIE automatyzować, dodałem drugą stronę medalu: agent postawiony na złym procesie nie oszczędza pieniędzy, tylko szybciej je przepala.
W świecie SAP AI ta zasada nabiera dodatkowego, bezpieczeństwowego znaczenia. Bo dopiero z procesu wynika wszystko, o czym pisałem wyżej: jakie uprawnienia agent naprawdę potrzebuje (i jakie są zbędne), gdzie stoi bramka człowieka, które kroki wymagają rozdziału obowiązków, co logujemy i co pokażemy audytorowi. Kto zaczyna od zakupu AI units, a proces zostawia „na potem”, ten kupuje samodzielność bez granic. Najpierw narysujcie proces, który optymalizujecie. Agent jest ostatnim krokiem tego rysunku, nie pierwszym.
Siedem pytań przed podpisaniem
Gdybym miał jutro podpisywać umowę na agentów AI w SAP, na stole położyłbym te pytania:
- Który proces optymalizujemy i skąd wiemy, że jest wart optymalizacji?
- Jakie dokładnie uprawnienia dostaje agent - i czy są węższe niż uprawnienia człowieka, w którego imieniu działa?
- Czy tożsamość agenta jest widoczna w naszym GRC i czy sprawdziliśmy ją pod kątem konfliktów SOD?
- Co się stanie, gdy agent przeczyta złośliwą instrukcję ukrytą w mailu, dokumencie albo transkrypcie wideo?
- Gdzie stoi bramka człowieka i kto odpowiada za skutki działania agenta?
- Czy dziennik działań agenta przetrwa spotkanie z audytorem - i z artykułem 14 AI Act?
- Jak odłączamy agenta w razie incydentu i co do tego czasu zdąży zrobić?
Jeżeli dostawca odpowiada płynnie na wszystkie siedem - to jest partner. Jeżeli płynnie odpowiada tylko na pytanie o cennik - to jest problem, tyle że odroczony.
Zamiast puenty
Wróćmy na salę z początku tego tekstu. Na pytanie „skąd agent wie, że dokument nie kłamie” istnieje dziś uczciwa odpowiedź: nie wie. I dlatego granice wokół agenta - uprawnienia, rozdział obowiązków, nadzór człowieka, dziennik - są ważniejsze niż jego inteligencja.
Kierunek SAP uważam za słuszny. Agenty w ERP zostaną z nami, a firmy, które nauczą się z nich korzystać, odjadą reszcie. Ale kolejność ma znaczenie: najpierw proces, potem uprawnienia, na końcu podpis. Licencję można renegocjować co roku. Incydentu się nie cofnie.
Napisałem ten felieton, żeby zacząć rozmowę, nie żeby ją zamknąć. Trzy pytania, na które naprawdę chcę poznać Wasze odpowiedzi: czy Wasz GRC widzi tożsamości nieludzkie - agentów, konta techniczne, klucze API? Kto w Waszej organizacji podpisuje się pod skutkami decyzji agenta AI - i czy ta osoba o tym wie? A negocjując pakiet AI u dostawcy ERP, o co zapytaliście najpierw: o cenę czy o bezpieczeństwo?
Piszcie w komentarzach pod postem na LinkedIn albo bezpośrednio do mnie. Najciekawsze wątki opiszę w kolejnym tekście - przy kolejnej kawie.
Jacek Bugajski jest CEO SNOK - polskiej firmy konsultingowej specjalizującej się w SAP, cyberbezpieczeństwie i automatyzacji.
Źródła
- SAP News: premiera Joule (26.09.2023)
- The Register: reakcja grup użytkowników na strategię cloud-only (03.08.2023)
- CIO.com o cenniku AI units
- SAP News: AI w pakietach RISE (16.07.2024)
- SAP: cennik Business AI
- SAP News: SAP ERP, private edition, transition option (04.02.2025)
- CNBC: 20 mld EUR na suwerenną chmurę (02.09.2025)
- SAP News: OpenAI for Germany (24.09.2025)
- SAP News: Autonomous Enterprise na Sapphire 2026 (12.05.2026)
- DSAG Investment Report 2026
- SAP Community: Joule a S/4HANA on-premise
- Embrace The Red: prompt injection przez transkrypt YouTube (14.05.2023)
- NVD: CVE-2025-32711 „EchoLeak” (11.06.2025)
- Embrace The Red: CVE-2025-53773, RCE w GitHub Copilot (08.2025)
- OWASP Top 10 for LLM Applications 2025
- SAPinsider: principal delegation w Joule Agents
- SafePaaS: Governing AI Access in SAP Landscapes (05.2026)
- EU AI Act, art. 14: Human Oversight