Z tego artykułu dowiesz się:
- Jak dużym zagrożeniem dla firm jest niekontrolowane użycie AI przez pracowników.
- W jaki sposób nadchodzący AI Act, ale też przepisy RODO, stworzą wyzwania dla biznesu.
- Jak zarządzać ryzykiem przy wprowadzaniu poufnych informacji do zewnętrznych systemów AI.
- Jakie polskie narzędzie pomaga walczyć z tzw. zjawiskiem shadow AI.
W parlamencie zakończyły się prace nad projektem przepisów o systemach sztucznej inteligencji, ustawa czeka już tylko na podpis prezydenta. Ma ona uporządkować krajowy nadzór nad algorytmami, implementując zapisy unijnego AI Act. Jednakże firmy, korzystające z takiej technologii, stają przed wyzwaniem związanym nie tyle z nowymi regulacjami, co świetnie znanymi już obowiązkami wynikającymi z RODO. Boom na AI otworzył nowe pole wyzwań w kontekście przepisów o ochronie danych osobowych.
Bez nadzoru nad algorytmem
Jak wskazuje Konrad Komornicki, zastępca prezesa Urzędu Ochrony Danych Osobowych, aż 54 proc. pracowników korzystających z narzędzi AI nie informuje o tym swoich pracodawców. To oznacza, że w wielu przedsiębiorstwach i instytucjach dokumenty, dane osobowe i informacje poufne mogą trafiać do zewnętrznych narzędzi poza wiedzą tych podmiotów. Eksperci twierdzą, że sytuacja jest poważna, bo sztuczna inteligencja stała się już codziennym narzędziem pracy: pomaga streszczać umowy, tłumaczyć dokumenty, przygotowywać odpowiedzi do klientów, analizować korespondencję, porządkować notatki czy tworzyć pisma. Brak kontroli firm nad tym, co dzieje się z dokumentami i danymi, które pracownicy wpisują do systemów AI, to poważny problem, który dla wielu biznesów może mieć wymierne konsekwencje. Z jednej strony wspomniane RODO, a z drugiej – oczekiwane przepisy wdrażające AI Act, które dla przedsiębiorców, kancelarii i działów prawnych oznaczają wprost przejście do etapu formalnych obowiązków, procedur i rozliczalności. Obie regulacje spotykają się w jednym miejscu: przy danych wejściowych.
Karol Sikorski, prawnik i prezes Wielkopolskiej Izby Gospodarczej, przyznaje, że nie da się zatrzymać pracowników przed używaniem narzędzi, które realnie przyspieszają pracę, można natomiast uporządkować proces.
– Firmy potrzebują prostych zasad: czego nie wolno wklejać do AI, które dane trzeba usunąć, kto odpowiada za weryfikację wyniku i kiedy konieczna jest konsultacja prawna albo techniczna. Bezpieczeństwo danych powinno być traktowane tak samo poważnie jak kontrola kosztów czy jakość obsługi klienta – mówi Sikorski.
Czytaj więcej:
Już 13 proc. przedsiębiorstw i instytucji zgłosiło naruszenia bezpieczeństwa modeli lub aplikacji AI. Niemal w każdym z tych przypadków brakowało k...
Pro
Jeżeli pracownik wkleja do zewnętrznego narzędzia AI umowę, CV kandydata, dokument medyczny, korespondencję z klientem albo projekt pisma procesowego, organizacja powinna wiedzieć, czy są tam dane osobowe, tajemnice przedsiębiorstwa, informacje objęte poufnością lub dane szczególnych kategorii. Eksperci zaznaczają, że bez tego trudno mówić o rozliczalności, analizie ryzyka czy świadomej decyzji o wykorzystaniu narzędzia. Rzeczywistość jednak zgrzyta. Pracownicy masowo działają na własną rękę, nie przestrzegając podstawowych zasad, karmią zewnętrzne systemy AI danymi, bez wiedzy szefów, bez oceny skutków dla ochrony danych i bez kontroli nad tym, czy nie wprowadzono tajemnic czy danych osobowych.
Potrzeba twardych procedur
To zjawisko, tzw. shadow AI, wyrasta – według UODO – na palący problem. Używanie narzędzi sztucznej inteligencji poza oficjalnymi procedurami organizacji obejmuje praktycznie wszystkie sektory – od firm technologicznych, po kancelarie, od działów HR i finansów, po sprzedaży i administrację. Paweł Sokołowski, radca prawny z kancelarii IT Legal, zwraca uwagę, iż najwięcej ryzyk powstaje zanim użytkownik wyśle zapytanie do modelu.
– Jeżeli do narzędzia trafia nieoczyszczona umowa, dokument procesowy albo korespondencja zawierająca dane osobowe i tajemnicę przedsiębiorstwa, organizacja może stracić kontrolę nad informacją – ostrzega. – Same zalecenia ostrożności nie wystarczą. Potrzebne są procedury, klasyfikacja danych i zabezpieczenia techniczne, które ograniczają ryzyko błędu człowieka – tłumaczy.
Tymczasem z raportu UODO wynika, że ponad 75 proc. organizacji biorących udział w badaniu wskazuje, iż nie dysponuje ekspertami gotowymi do współpracy z UODO w obszarze AI i ochrony danych. To potężne wyzwanie, ale cieszyć może świadomość problemu. Jednocześnie przeszło 91 proc. badanych chce otrzymywać bowiem informacje o działaniach edukacyjnych regulatora. Firmom zależy na praktycznych wytycznych, szkoleniach dla kadry zarządzającej i specjalistów, „check-listach”, narzędziach oceny, a także repozytoriach zagrożeń i dobrych praktyk. To pokazuje, iż firmy nie pytają już wyłącznie o dostęp do technologii, a coraz częściej potrzebują prostych procedur, ludzi zdolnych ocenić ryzyko oraz narzędzi, które ograniczą błędy przy pracy z dokumentami.
– Korzystanie z AI nie może opierać się wyłącznie na zaufaniu do regulaminu zewnętrznego dostawcy. Jeżeli firma nie wie, jakie dane wychodzą z jej środowiska, nie zarządza realnie ryzykiem – wskazuje Wojciech Chmiel, współtwórca Anonimizera, polskiego narzędzia, które działa na komputerze użytkownika jako lokalna warstwa przygotowania dokumentów do pracy z AI.
Czytaj więcej
Aż 85 proc. polskich firm i instytucji doświadczyło w ciągu roku cyberincydentu. Mimo to połowa pracowników nie zna zasad cyfrowej ochrony, a co dz...
Polska aplikacja pomaga wykrywać i maskować dane osobowe, a dokument źródłowy nie jest wysyłany do chmury. To broń do walki ze skutkami shadow AI. Jak wyjaśnia Chmiel, najbezpieczniejszy model pracy to właśnie odpowiednie przygotowanie dokumentu zanim ten trafi do narzędzia AI.
– Najpierw usunięcie lub zastąpienie danych wrażliwych, potem praca z modelem – dodaje.
Maskowanie danych
Wedle opracowanego przez LayerX badania „Enterprise GenAI Security Report”, mimo istnienia w firmach oficjalnych polityk bezpieczeństwa, firmy nie mają wglądu nawet w 89 proc. przypadków wykorzystania sztucznej inteligencji przez pracowników. Co więcej, ponad 70 proc. interakcji z AI dokonywanych jest na służbowych urządzeniach za pomocą prywatnych kont użytkowników. Skala zagrożeń niebezpiecznie rośnie wraz z wykorzystaniem systemów AI. Z raportu „Cyfrowy puls polskich MŚP 2026”, przygotowanego przez Home.pl, wynika, że polskie małe i średnie przedsiębiorstwa w gronie analizowanych krajów europejskich są liderem deklarowanych inwestycji w AI – takie plany wskazuje aż 42 proc. ankietowanych. Jednocześnie taki sam odsetek rodzimych MŚP boi się o bezpieczeństwo danych, uznając to za „znaczącą barierę” przy wdrażaniu systemów AI.
Czytaj więcej:
BigTechy w UE zapłacą krocie za niezgodne z regulacjami używanie sztucznej inteligencji. Z analiz udostępnionych „Rzeczpospolitej” wynika, że kary...
Pro
Eksperci wskazują, że jednym z praktycznych sposobów ograniczania ryzyka jest w tej sytuacji pseudonimizacja danych przed użyciem dokumentu w narzędziu AI. Polega to na zastąpieniu danych identyfikujących lub poufnych neutralnymi oznaczeniami, zanim treść zostanie przekazana do AI. Po wykonaniu zadania, na przykład tłumaczenia lub streszczenia, właściwe dane mogą zostać przywrócone lokalnie. Właśnie tak działa Anonimizer – do zewnętrznego narzędzia AI może trafić wersja z podstawionymi oznaczeniami, a tzw. deanonimizacja odbywa się po stronie urządzenia użytkownika, który kontroluje oznaczenia. Według Jakuba Dolaty z Anonimizera, chodzi o zmianę architektury procesu, by zamiast wysyłać do modelu surowy dokument i ufać, że dostawca dobrze go zabezpieczy, ograniczyć zakres danych już przed wysyłką.
– Technicznie ważne są trzy rzeczy: lokalne przetwarzanie, kontrola człowieka nad oznaczeniami i możliwość odwrócenia pseudonimizacji po zakończeniu pracy z modelem. To nie eliminuje wszystkich obowiązków prawnych, ale porządkuje etap, który dziś bywa najbardziej chaotyczny – podkreśla.
