AI prawdopodobnie już działa w Twojej firmie
Pracownik przygotowuje odpowiedź dla klienta z pomocą chatbota. Specjalista HR poprawia treść ogłoszenia rekrutacyjnego. Handlowiec prosi AI o podsumowanie notatki ze spotkania. Ktoś inny tłumaczy dokument, tworzy formułę w Excelu albo analizuje umowę.
Wszystko szybciej, wygodniej i często całkiem skutecznie.
Jest tylko jeden problem: firma może o tym nie wiedzieć.
W czerwcu 2026 r. zastępca Prezesa Urzędu Ochrony Danych Osobowych wskazał, że 54% pracowników korzystających z narzędzi AI nie informuje o tym pracodawcy. UODO zwrócił uwagę na konsekwencje takiej sytuacji: dane i dokumenty trafiają do narzędzi poza wiedzą organizacji, brakuje oceny ryzyka i rozliczalnej decyzji o sposobie korzystania z AI, a ryzyko naruszenia ochrony danych rośnie.
To właśnie jeden z przejawów zjawiska nazywanego shadow AI.
Rozwiązaniem nie jest automatyczny zakaz korzystania ze sztucznej inteligencji. Firma potrzebuje zasad, które pozwolą wykorzystać potencjał AI, a jednocześnie ochronią dane, klientów, pracowników i własne know-how.
Czym jest shadow AI?
Shadow AI to wykorzystywanie narzędzi sztucznej inteligencji bez wiedzy, akceptacji albo kontroli organizacji. Może obejmować między innymi:
- korzystanie z publicznego chatbota na prywatnym koncie;
- instalowanie w przeglądarce niezatwierdzonych rozszerzeń opartych na AI;
- przesyłanie dokumentów do serwisów generujących podsumowania, prezentacje lub tłumaczenia;
- podłączanie asystenta AI do poczty, kalendarza, dysku albo systemu CRM;
- wykorzystywanie niezweryfikowanych narzędzi do analizy CV, umów, danych klientów lub kodu źródłowego;
- automatyzowanie zadań bez sprawdzenia, gdzie trafiają dane i kto może mieć do nich dostęp.
Shadow AI nie musi wynikać ze złych intencji. Najczęściej pracownik chce po prostu wykonać zadanie szybciej. Widzi przydatne narzędzie, zakłada konto i zaczyna działać. Jeżeli organizacja nie proponuje bezpiecznej alternatywy ani jasnej ścieżki zatwierdzania nowych rozwiązań, pracownicy tworzą własne.
To ważna wskazówka: shadow AI jest nie tylko problemem użytkownika. Często jest również objawem braku decyzji po stronie firmy.
Co firma może zyskać dzięki AI?
Sztuczna inteligencja nie musi oznaczać wielkiego projektu informatycznego. Jej wartość często pojawia się w zwykłych, powtarzalnych czynnościach.
AI może wspierać pracowników w:
- tworzeniu pierwszych wersji wiadomości, ofert, instrukcji i prezentacji;
- porządkowaniu notatek oraz przygotowywaniu podsumowań;
- upraszczaniu skomplikowanych treści;
- tłumaczeniu i redagowaniu tekstów;
- generowaniu pomysłów i wariantów rozwiązania problemu;
- przygotowywaniu zestawień, formuł i prostych analiz;
- wyszukiwaniu błędów w kodzie lub dokumentacji;
- tworzeniu baz pytań i odpowiedzi;
- automatyzowaniu powtarzalnych etapów procesu;
- szybszym docieraniu do wiedzy zgromadzonej w organizacji — jeżeli firma wdroży do tego odpowiednio zabezpieczone rozwiązanie.
Najlepsze rezultaty pojawiają się zwykle tam, gdzie AI wspiera człowieka, ale nie zastępuje jego odpowiedzialności. Narzędzie może przygotować szkic pisma, lecz specjalista powinien sprawdzić jego treść. Może podsumować dokument, lecz nie powinno samodzielnie rozstrzygać sporu z klientem. Może wskazać możliwe błędy, ale nie staje się przez to księgowym, prawnikiem ani inspektorem ochrony danych.
AI jest bardzo przekonujące również wtedy, gdy się myli. To jedna z jego mniej sympatycznych supermocy.
Najważniejsze ryzyka związane z używaniem AI przez pracowników
1. Ujawnienie danych osobowych
Pracownik może wkleić do narzędzia treść wiadomości klienta, CV kandydata, fragment dokumentacji kadrowej, opis reklamacji albo dane z umowy. Jeżeli znajdują się tam informacje pozwalające zidentyfikować osobę, dochodzi do przetwarzania danych osobowych.
Organizacja powinna wiedzieć między innymi:
- w jakim celu dane są wykorzystywane;
- jaka jest podstawa ich przetwarzania;
- jaki zakres informacji jest naprawdę potrzebny;
- kto jest dostawcą usługi i jaką pełni rolę;
- gdzie dane są przechowywane;
- jak długo są zachowywane;
- czy mogą być wykorzystywane do ulepszania lub trenowania modeli;
- czy dochodzi do przekazywania danych poza Europejski Obszar Gospodarczy;
- jakie środki bezpieczeństwa zapewnia dostawca.
Samo usunięcie imienia i nazwiska nie zawsze wystarcza. Z opisu stanowiska, zdarzenia, miejsca pracy albo treści korespondencji nadal może wynikać, o kogo chodzi.
2. Utrata poufności i tajemnicy przedsiębiorstwa
Nie każdy poufny dokument zawiera dane osobowe. Do narzędzia AI mogą trafić także:
- ceny i marże;
- projekty ofert;
- warunki umów;
- strategie handlowe;
- dane technologiczne;
- kod źródłowy;
- wyniki audytów;
- informacje o zabezpieczeniach;
- dokumenty przekazane przez klienta na podstawie umowy o poufności.
Wysłanie takich materiałów do zewnętrznej usługi może naruszać wewnętrzne zasady, umowę z klientem albo obowiązek ochrony tajemnicy przedsiębiorstwa. Dlatego regulamin powinien mówić nie tylko o RODO, lecz również o informacji poufnej i własności intelektualnej.
3. Błędy i „halucynacje”
Narzędzie generatywne tworzy odpowiedź na podstawie rozpoznanych wzorców. Nie gwarantuje, że przytoczony przepis istnieje, obliczenie jest prawidłowe, a opisany wyrok rzeczywiście zapadł.
Ryzyko rośnie, gdy wynik AI wpływa na:
- wynagrodzenie pracownika;
- decyzję rekrutacyjną;
- rozliczenie podatkowe;
- treść umowy;
- bezpieczeństwo systemu;
- odpowiedź na skargę lub reklamację;
- ocenę zgodności z przepisami.
Zasada powinna być prosta: wynik AI jest materiałem roboczym, dopóki nie sprawdzi go kompetentna osoba.
4. Dyskryminacja i nieprzejrzyste decyzje
AI może powielać błędy oraz uprzedzenia obecne w danych, na których zostało oparte. Jest to szczególnie istotne w rekrutacji, ocenie pracowników, przydzielaniu zadań, planowaniu grafików i podejmowaniu decyzji wpływających na sytuację konkretnych osób.
Część systemów wykorzystywanych w zatrudnieniu i zarządzaniu pracownikami może zostać zakwalifikowana na gruncie AI Act jako systemy wysokiego ryzyka. Takich zastosowań nie należy wdrażać na podstawie samej atrakcyjnej prezentacji dostawcy. Wymagają odrębnej analizy prawnej, technicznej i organizacyjnej, a czasem także oceny skutków dla ochrony danych.
5. Niejasne prawa do wygenerowanych materiałów
AI może przygotować tekst, grafikę, kod, muzykę albo prezentację. To nie oznacza automatycznie, że każdy rezultat można bezpiecznie wykorzystać komercyjnie.
Przed publikacją lub przekazaniem materiału klientowi warto sprawdzić:
- warunki licencyjne danego narzędzia;
- źródła wykorzystanych materiałów;
- podobieństwo do cudzej twórczości lub znaków towarowych;
- możliwość użycia wizerunku;
- zasady obowiązujące w umowie z klientem;
- czy rezultat nie zawiera fragmentów wymagających dodatkowej zgody lub oznaczenia.
6. Niebezpieczne integracje i zbyt szerokie uprawnienia
Największe ryzyko nie zawsze powstaje w samym oknie czatu. Rozszerzenie albo agent AI może uzyskać dostęp do całej skrzynki pocztowej, dysku, kalendarza, repozytorium kodu lub CRM.
Przed uruchomieniem integracji trzeba sprawdzić co najmniej:
- do jakich danych uzyska dostęp;
- czy zakres uprawnień można ograniczyć;
- kto zatwierdza połączenie;
- jak odebrać dostęp;
- czy działania są rejestrowane;
- co stanie się po odejściu pracownika;
- czy narzędzie może samodzielnie wykonywać czynności, a nie tylko proponować ich treść.
Im bardziej samodzielne narzędzie, tym ważniejsze stają się ograniczenia, testy i możliwość zatrzymania działania.
7. Brak rozliczalności
Jeżeli nie wiadomo, kto użył AI, jakich danych użył i na jakiej podstawie zaakceptował wynik, trudno później wyjaśnić błąd klientowi, osobie, której dane dotyczą, audytorowi albo organowi nadzorczemu.
Firma nie musi zapisywać każdej niewinnej prośby o poprawienie przecinka. Powinna jednak określić, które zastosowania wymagają udokumentowania, akceptacji lub zachowania śladu decyzji.
Czy AI Act wymaga szkolenia pracowników?
AI Act obowiązuje zasadniczo od 2 sierpnia 2026 r., choć część jego przepisów zaczęła mieć zastosowanie wcześniej. Od 2 lutego 2025 r. obowiązują przepisy dotyczące kompetencji w zakresie AI.
Organizacje będące dostawcami lub podmiotami stosującymi systemy AI powinny podejmować działania wspierające odpowiednie kompetencje osób, które używają tych systemów w ich imieniu. Zakres takich działań należy dopasować do wiedzy pracowników, kontekstu użycia i związanych z nim ryzyk.
Nie oznacza to, że każda firma musi raz w roku zebrać podpisy pod identycznym szkoleniem. Kompetencje powinny odpowiadać rzeczywistym zadaniom. Innej wiedzy potrzebuje pracownik wykorzystujący AI do poprawy stylu tekstu, innej rekruter korzystający z narzędzia do analizy kandydatów, a jeszcze innej osoba wdrażająca agenta z dostępem do firmowych systemów.
Dobry program powinien wyjaśniać:
- czym jest AI i jakie ma ograniczenia;
- z jakich narzędzi wolno korzystać;
- jakich danych nie wolno do nich wprowadzać;
- jak weryfikować wyniki;
- kiedy wymagane jest zatwierdzenie przełożonego lub eksperta;
- jak zgłosić błąd, incydent albo potrzebę użycia nowego narzędzia.
Sam regulamin, którego nikt nie przeczyta i nikt nie potrafi zastosować, nie buduje kompetencji. Jest dokumentem, nie magiczną tarczą.
Zakazać AI czy ustalić zasady?
Całkowity zakaz wydaje się prosty, ale często przenosi korzystanie z AI do szarej strefy. Pracownik nadal chce przyspieszyć zadanie, więc używa prywatnego telefonu lub konta, którego firma nie widzi.
Lepszym rozwiązaniem jest podejście oparte na ryzyku:
- wskazać zatwierdzone narzędzia;
- opisać dozwolone zastosowania;
- wskazać dane i czynności zakazane;
- ustalić sposób akceptowania nowych rozwiązań;
- przeszkolić pracowników;
- zapewnić miejsce do zadawania pytań i zgłaszania problemów;
- okresowo sprawdzać, jak AI jest rzeczywiście wykorzystywana.
Pracownik powinien mieć legalną i bezpieczną drogę do innowacji. Jeżeli procedura zatwierdzenia prostego narzędzia trwa trzy miesiące i wymaga siedmiu podpisów, shadow AI nie zniknie. Po prostu lepiej nauczy się chować.
Najważniejsze zasady korzystania z AI przez pracowników
Korzystaj tylko z zatwierdzonych narzędzi i kont
Firma powinna prowadzić aktualną listę dopuszczonych aplikacji oraz określić, czy pracownik może korzystać z wersji bezpłatnej, czy wyłącznie z konta służbowego. W rozwiązaniach biznesowych łatwiej ustawić role, uwierzytelnianie wieloskładnikowe, retencję, sposób wykorzystywania danych oraz odebranie dostępu po zakończeniu współpracy.
Nie wprowadzaj danych osobowych i poufnych bez wyraźnej podstawy
Regulamin powinien wskazywać kategorie informacji, których nie można przekazywać do publicznych narzędzi. Pomocny może być prosty podział:
- zielone – informacje publiczne i neutralne przykłady;
- żółte – informacje wewnętrzne, które można wykorzystać tylko w zatwierdzonym środowisku;
- czerwone – dane osobowe, tajemnice, hasła, dane klientów, dokumentacja kadrowa, medyczna, finansowa i inne informacje szczególnie chronione.
Sam kolor nie rozwiązuje problemu, ale ułatwia pracownikowi podjęcie decyzji w codziennej pracy.
Minimalizuj i anonimizuj dane
Jeżeli zadanie można wykonać na danych fikcyjnych, zanonimizowanych albo ograniczonych do niezbędnego fragmentu, nie ma powodu przesyłać całego dokumentu. Zamiast wklejać umowę z nazwami, kwotami i danymi kontaktowymi, można opisać problem lub przygotować neutralny przykład.
Zawsze weryfikuj rezultat
Pracownik odpowiada za materiał, który zatwierdza i przekazuje dalej. Weryfikacja powinna obejmować:
- zgodność z faktami;
- aktualność informacji;
- poprawność obliczeń;
- istnienie przywołanych przepisów i źródeł;
- kompletność odpowiedzi;
- ryzyko dyskryminacji lub naruszenia praw innych osób;
- zgodność ze standardami firmy i wymaganiami klienta.
W obszarach prawnych, finansowych, kadrowych, medycznych i związanych z bezpieczeństwem wynik powinien sprawdzić specjalista posiadający odpowiednie kompetencje.
Nie powierzaj AI samodzielnej decyzji o człowieku
Narzędzie może wspierać analizę, ale nie powinno bez kontroli decydować o zatrudnieniu, zwolnieniu, awansie, wynagrodzeniu, premii, grafiku albo dostępie do świadczeń. Takie zastosowania wymagają oddzielnej, pogłębionej oceny.
Oznaczaj wykorzystanie AI tam, gdzie ma to znaczenie
Nie każda korekta stylistyczna wymaga specjalnej adnotacji. Firma powinna jednak ustalić, kiedy odbiorca, klient, przełożony albo osoba zatwierdzająca musi wiedzieć, że materiał został przygotowany przy wsparciu AI. Ma to szczególne znaczenie, gdy narzędzie generuje obraz, głos, opinię, analizę lub znaczną część końcowego rezultatu.
Zgłaszaj błędy i incydenty
Pracownik powinien wiedzieć, do kogo się zwrócić, gdy:
- omyłkowo prześle dane do niewłaściwego narzędzia;
- AI ujawni informacje, których nie powinna znać;
- rezultat może prowadzić do błędnej lub dyskryminującej decyzji;
- konto albo integracja zachowuje się nietypowo;
- potrzebne jest nowe zastosowanie, którego regulamin nie przewiduje.
Szybkie zgłoszenie nie powinno być traktowane jak przyznanie się do winy. Jest częścią systemu bezpieczeństwa.
Co powinien zawierać regulamin korzystania z AI?
Dobry regulamin nie musi mieć czterdziestu stron. Powinien za to odpowiadać na realne pytania pracowników.
W dokumencie warto określić:
- cel i zakres regulacji – kogo obejmuje i jakich narzędzi dotyczy;
- podstawowe pojęcia – w tym AI generatywna oraz shadow AI;
- listę narzędzi zatwierdzonych i zakazanych;
- dozwolone zastosowania;
- rodzaje danych, których nie wolno wprowadzać;
- zasady korzystania z kont służbowych, haseł i integracji;
- obowiązek weryfikacji rezultatów;
- zasady wykorzystywania treści chronionych i oznaczania materiałów;
- ograniczenia dotyczące decyzji kadrowych i innych decyzji wpływających na ludzi;
- tryb zgłaszania nowego narzędzia do oceny;
- sposób zgłaszania błędów, naruszeń i incydentów;
- role oraz odpowiedzialność pracownika, przełożonego, IT, IOD i innych osób;
- zasady szkolenia oraz okresowego przeglądu regulaminu;
- konsekwencje naruszenia zasad, opisane proporcjonalnie i zgodnie z prawem pracy.
Regulamin powinien być dopasowany do organizacji. Inne ryzyka występują w biurze rachunkowym, inne w placówce medycznej, zakładzie produkcyjnym, urzędzie czy agencji marketingowej.
Jak wdrożyć zasady korzystania z AI w firmie?
Krok 1. Sprawdź, jak AI jest już używana
Krótka ankieta albo rozmowy z zespołem dadzą więcej niż założenie, że „u nas nikt z tego nie korzysta”. Pytaj o cele, narzędzia, konta, przesyłane dane i integracje. Celem nie jest polowanie na winnych, lecz poznanie rzeczywistości.
Krok 2. Oceń narzędzia i zastosowania
Nie oceniaj wyłącznie nazwy produktu. To samo narzędzie może być wykorzystywane do stworzenia neutralnego szkicu tekstu albo do analizy danych kadrowych. Ryzyko zależy od konkretnego celu, danych, konfiguracji i wpływu na ludzi.
Krok 3. Wybierz bezpieczne rozwiązania
Sprawdź umowy, ustawienia prywatności, retencję, lokalizację danych, możliwość zarządzania użytkownikami, logowania, wyłączania trenowania na danych klienta i odbierania dostępu. Ustal, kto zatwierdza zakup i integrację.
Krok 4. Przyjmij regulamin i krótkie instrukcje
Oprócz ogólnego dokumentu przydadzą się proste materiały: lista zatwierdzonych narzędzi, tabela danych zakazanych, schemat zgłoszenia nowego zastosowania i checklista weryfikacji wyniku.
Krok 5. Przeszkol pracowników na przykładach
Zamiast czytać regulamin slajd po slajdzie, pokaż sytuacje z codziennej pracy:
- Czy można wkleić wiadomość klienta do chatbota?
- Czy wolno przygotować podsumowanie CV?
- Czy AI może napisać odpowiedź na reklamację?
- Co zrobić, jeśli narzędzie wygenerowało fałszywy przepis?
- Czy można zainstalować rozszerzenie mające dostęp do całej poczty?
Pracownik powinien umieć zastosować zasadę, a nie tylko potwierdzić obecność na szkoleniu.
Krok 6. Zapewnij prostą ścieżkę zgłaszania pomysłów
AI rozwija się szybciej niż wewnętrzne dokumenty. Potrzebny jest proces oceny nowego narzędzia lub zastosowania, który nie trwa dłużej niż samo wdrożenie. W ocenie powinni uczestniczyć — zależnie od ryzyka — właściciel procesu, IT, bezpieczeństwo, IOD, dział prawny lub HR.
Krok 7. Regularnie aktualizuj zasady
Regulamin powinien być przeglądany po zmianie narzędzi, sposobu przetwarzania danych, warunków dostawcy, prawa, struktury firmy lub po wystąpieniu incydentu. Dokument przygotowany raz i odłożony do katalogu „Procedury — finalne — naprawdę finalne” szybko przestaje odpowiadać rzeczywistości.
Regulamin AI to początek, nie zakończenie wdrożenia
Sztuczna inteligencja może przyspieszyć pracę, podnieść jakość materiałów i odciążyć zespół w powtarzalnych zadaniach. Brak zasad nie zatrzymuje jednak korzystania z AI. Powoduje tylko, że organizacja traci nad nim kontrolę.
Skuteczny model powinien łączyć:
- jasne zasady;
- zatwierdzone narzędzia;
- bezpieczną konfigurację;
- przeszkolonych pracowników;
- nadzór człowieka;
- prosty sposób zgłaszania nowych pomysłów i incydentów;
- okresową ocenę ryzyka.
Najlepsze pytanie nie brzmi więc: „Czy pozwolić pracownikom korzystać z AI?”
Lepiej zapytać: „Jak mają korzystać z AI, żeby wspierała firmę, a nie tworzyła nowe problemy?”
Pobierz wzór regulaminu korzystania z AI
Chcesz uporządkować zasady używania narzędzi sztucznej inteligencji w swojej organizacji?
Pobierz przygotowany przez Asystę wzór regulaminu korzystania z AI przez pracowników. Dokument pomoże określić dozwolone zastosowania, zasady ochrony danych i informacji poufnych, obowiązek weryfikacji wyników oraz sposób zgłaszania nowych narzędzi i incydentów.
[POBIERZ WZÓR REGULAMINU KORZYSTANIA Z AI]
Wzór stanowi punkt wyjścia i powinien zostać dostosowany do działalności organizacji, wykorzystywanych narzędzi, rodzaju przetwarzanych danych oraz przyjętych procesów bezpieczeństwa.
Źródła i materiały
Przy tworzeniu treści i grafik tej kampanii wspierała nas sztuczna inteligencja – ale spokojnie, kreatywnych umysłów nie oddaliśmy jej w outsourcing: AI było naszym narzędziem, człowiek pozostał autorem decyzji, a całość przygotowaliśmy odpowiedzialnie i z poszanowaniem obowiązującego prawa.
