Rewolucja sztucznej inteligencji dzieje się na naszych oczach. Powszechne narzędzia takie jak ChatGPT, Gemini czy zaawansowany Claude lub zwykłe translatory oparte na sieciach neuronowych stały się powszechnie dostępne, mając „darmowe” wersje. Dla wielu pracowników to dziś odpowiednik kalkulatora – narzędzie tak podstawowe, że praca bez niego wydaje się stratą czasu. Co jednak w sytuacji, gdy ten cyfrowy asystent po cichu wysyła sekrety Twojej firmy w nieznane? Zjawisko Shadow IT (korzystanie z nieautoryzowanego oprogramowania w firmie) jest znane od lat, jednak Shadow AI przenosi to zagrożenie na zupełnie nowy poziom. Definiujemy je jako korzystanie z ogólnodostępnych, często darmowych narzędzi sztucznej inteligencji w celach służbowych w tzw. „szarej strefie” – bez wiedzy pracodawcy, bez kontroli działu IT i całkowicie poza nadzorem Inspektora Ochrony Danych. Dlaczego tak się dzieje, jakie zagrożenia niesie takie działanie i co zrobić aby zminimalizować potencjalne „straty” ?

Dlaczego pracownicy to robią?

Odpowiedź jest prosta i zazwyczaj nie wynika z czyjejś złej woli. Mechanizmem napędowym tego działania jest chęć ułatwienia sobie życia, niechęć samodzielnego szukania odpowiedzi i co za tym idzie ekstremalna oszczędność czasu. Pracownicy dążą do efektywności, a darmowe AI dostarcza im natychmiastowych rozwiązań w różnych spektrach, dla przykładu:

• Analiza dokumentów: Zamiast czytać 50-stronicowy raport finansowy lub specyfikację od klienta, pracownik wgrywa plik PDF do czata z prośbą o zwięzłe streszczenie.

• Tłumaczenia: Zamiast ręcznie przekładać umowę handlową z języka angielskiego, wkleja jej treść do darmowego translatora.

• Praca na danych: Zamiast głowić się nad formułą, pracownik wrzuca do AI fragment bazy klientów, prosząc o jej posortowanie lub napisanie skryptu, który zrobi to automatycznie.

• Redakcja: Tworzenie oficjalnych pism, ofert dla kluczowych kontrahentów czy odpowiedzi na trudne maile – to wszystko zajmuje botowi zaledwie kilka sekund.

Pracownik w tym działaniu widzi same plusy: zadanie wykonane szybciej, przełożony zadowolony z tempa pracy. Wszystko to dzieje się w oknie zwykłej przeglądarki, często bez konieczności instalowania czegokolwiek na komputerze służbowym. W ten sposób powstaje niebezpieczne złudzenie, że sztuczna inteligencja to po prostu „mądrzejsza wyszukiwarka Google”. Prawda biznesowa jest jednak brutalna: w świecie technologii, jeśli za coś nie płacisz abonamentu komercyjnego, to najprawdopodobniej ukrytą walutą są dane – Twoje i Twojego przedsiębiorstwa. Pozwalając zespołowi na niekontrolowane korzystanie z darmowych modeli językowych, nieświadomie otwierasz drzwi do firmowego sejfu, a klucze przekazujesz globalnym korporacjom. Drugim dnem jest fakt że to pozornie niewinne ułatwienie pracy to stąpanie po polu minowym w kontekście RODO i tajemnicy przedsiębiorstwa.

Większość pracowników uważa okno czatu ze sztuczną inteligencją za rodzaj prywatnego notatnika lub zaawansowanego kalkulatora. Wklejają tam treści, aby je zredagować, przetłumaczyć lub podsumować, nie zdając sobie sprawy, że po drugiej stronie ekranu działa potężna infrastruktura serwerowa należąca do zewnętrznej korporacji. Kiedy w tych tekstach pojawiają się nazwiska, adresy czy numery PESEL, firma wkracza na pole minowe przepisów RODO.

Brak umowy powierzenia przetwarzania

Zgodnie z prawem, każdorazowe przekazanie danych osobowych podmiotowi trzeciemu (np. zewnętrznej firmie księgowej czy dostawcy hostingu) wymaga podpisania formalnej umowy powierzenia przetwarzania danych osobowych. Kiedy Twój pracownik wgrywa CV kandydata do pracy, listę płac do analizy czy bazę mailingową klientów do darmowego modelu językowego, de facto przekazuje te dane, często także dane szczególnych kategorii, właścicielom używanego modelu językowego. Korzystanie z bezpłatnych kont konsumenckich odbywa się całkowicie poza kontrolą pracodawcy, bez zawarcia stosownych umów powierzenia i bez jakiejkolwiek podstawy prawnej. W świetle RODO jest to naruszeniem, często wymagającym zgłoszenia go do Urzędu Ochrony Danych. Kolejnym potężnym problemem jest lokalizacja infrastruktury IT (serwerów danych), gdzie dostawcy najpopularniejszych narzędzi sztucznej inteligencji to zazwyczaj firmy z siedzibą w Stanach Zjednoczonych lub Chinach, gdzie przepisy prawa nakładają rygorystyczne ograniczenia na transfer danych osobowych poza kraje EOG. Pozwalając na niekontrolowane użycie darmowego AI w biurze, ryzykujesz, że Twoi pracownicy masowo i systematycznie wysyłają dane europejskich klientów i kontrahentów za ocean, łamiąc tym samym kardynalne zasady ochrony danych.

Odpowiedzialność pracodawcy i widmo kar z UODO

W przypadku wycieku danych z winy pracownika korzystającego z Shadow AI, tłumaczenie przed Urzędem Ochrony Danych Osobowych (UODO), że „firma nie wiedziała o takich praktykach zespołu”, nie będzie stanowić żadnej linii obrony. To pracodawca, jako Administrator Danych Osobowych, ma obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zabezpieczyć przetwarzane informacje. Brak świadomości i brak odpowiednich regulaminów w zakresie sztucznej inteligencji to prosta droga do:

• Nałożenia przez urząd dotkliwych kar finansowych.

• Utraty reputacji i zaufania kluczowych kontrahentów.

• Konieczności informowania poszkodowanych klientów o tym, że ich dane trafiły w niepowołane ręce.

Kary finansowe za złamanie przepisów RODO to tylko jedna strona medalu. Druga, z perspektywy biznesowej często znacznie bardziej bolesna, to utrata przewagi konkurencyjnej i własności intelektualnej. O ile dane osobowe to informacje o Twoich klientach, o tyle tajemnica przedsiębiorstwa – plany strategiczne, receptury, kody źródłowe czy struktury cenowe – to fundamenty, na których opiera się rynkowy byt Twojej firmy. Darmowa sztuczna inteligencja traktuje te fundamenty jak darmową „pożywkę”. Co także istotne, zasada działania bezpłatnych wersji popularnych modeli AI (takich jak ChatGPT, Claude czy Gemini) opiera się na ciągłym uczeniu. Dostawcy tych usług jasno zastrzegają w swoich regulaminach – których większość osób zazwyczaj nie czyta – że wprowadzane przez użytkowników zapytania (tzw. prompty) oraz załączone pliki mogą być wykorzystywane do dalszego trenowania algorytmów. Oznacza to, że klikając „wyślij”, pracownik de facto wyraża zgodę na to, by tajemnice Twojej firmy stały się materiałem edukacyjnym dla globalnej sieci neuronowej.

Skoro model językowy uczy się na danych wprowadzanych przez pracowników, istnieje realne i udokumentowane ryzyko (czego boleśnie doświadczyło już kilka globalnych korporacji, np. w słynnym przypadku wycieku kodu źródłowego z dużej firmy technologicznej), że te informacje zostaną odtworzone. Wyobraź sobie sytuację, w której analityk pracujący dla bezpośredniej konkurencji zadaje modelowi AI specyficzne pytanie dotyczące trendów w Waszej niszy. Algorytm, bogatszy o wiedzę z poufnego raportu, który wczoraj wgrał Twój pracownik, generuje odpowiedź opartą na Tych danych. W ten sposób, zupełnie za darmo i w białych rękawiczkach, w pewnym sensie „zbroi” się swoją konkurencję.

Pierwszą, całkowicie naturalną reakcją wielu pracodawców na zagrożenia związane z Shadow AI jest chęć wprowadzenia kategorycznego zakazu. „Zablokujmy te strony na firmowym Wi-Fi i po problemie” – to zdanie często pada na spotkaniach zarządów. Niestety, w dobie powszechnego dostępu do internetu, taki zakaz to najczęściej martwy przepis i początek firmowej gry w kotka i myszkę. Zdecydowana większość pracowników nie wgrywa firmowych danych do narzędzi AI ze złej woli. Robią to, ponieważ chcą pracować szybciej i dowozić lepsze wyniki. W zespole często działa silny mechanizm wyparcia. Pracownicy racjonalizują swoje działania, twierdząc:

• „To tylko maszyna, przecież żaden człowiek tego nie czyta.”

• „Wszyscy tak robią, to standard w branży.”

• „Zmieniłem jedno nazwisko, więc nikt się nie zorientuje, o jakiego klienta chodzi.”

Brak zrozumienia, jak fizycznie działają modele językowe, sprawia, że pracownicy nie czują, iż popełniają błąd. Zakazywanie czegoś, co z perspektywy pracownika jest „magicznym asystentem ratującym przed nadgodzinami”, budzi jedynie frustrację. W przeciwieństwie do tradycyjnego oprogramowania czy nawet komunikatorów na telefonie, darmowe narzędzia AI są niezwykle trudne do kontrolowania. Nie wymagają instalacji żadnych programów. Działają w zwykłej karcie przeglądarki, często jako wbudowane rozszerzenia lub w ukrytych oknach incognito. Nawet jeśli dział IT zablokuje domeny najpopularniejszych czatbotów na firmowych komputerach, pracownik mający presję czasu po prostu wyciągnie z kieszeni prywatny smartfon, uruchomi własny pakiet danych i wgra dokument tam. Osiągamy wtedy efekt odwrotny do zamierzonego: problem nie znika, a jedynie schodzi głębiej do podziemia.

Co zatem zrobić z AI w Firmie ?

Jeśli odbierasz pracownikom narzędzie, które oszczędza im dwie godziny pracy dziennie, powinieneś dać im coś w zamian. Rozwiązaniem nie jest powrót do epoki kamienia łupanego, lecz ucywilizowanie procesu i wdrożenie kontrolowanych rozwiązań. Firmy, które chcą utrzymać konkurencyjność, muszą przejść z darmowego „Shadow AI” na autoryzowane, biznesowe rozwiązania sztucznej inteligencji (wersje Enterprise / pakiety dla firm). Dostawcy płatnych licencji gwarantują w umowach (tzw. DPA), że dane wprowadzane przez pracowników są izolowane i nie służą do trenowania publicznych modeli. Wdrożenie takiego bezpiecznego środowiska pozwala zachować wysoką efektywność zespołu, jednocześnie zamykając lukę w bezpieczeństwie. Sztuczna inteligencja to potężny sprzymierzeniec, pod warunkiem że wiesz, na jakich zasadach i warunkach wpuszczasz ją do swojej firmy. Walka z postępem technologicznym jest z góry skazana na porażkę, dlatego kluczem nie jest całkowite odcięcie zespołu od innowacji, ale wyznaczenie bezpiecznych, kontrolowanych granic.

Aby technologia pracowała na Twój sukces, a nie na rzecz konkurencji, warto podjąć konkretne i przemyślane kroki. Nie możesz wymagać od pracowników przestrzegania zasad, które nie istnieją. Podstawą bezpieczeństwa jest stworzenie i wdrożenie wewnątrz firmy Polityki korzystania ze sztucznej inteligencji. Dokument ten powinien:

• Jasno definiować, które narzędzia (i w jakich wersjach) są autoryzowane przez pracodawcę.

• Zawierać bezwzględny zakaz wprowadzania do modeli AI jakichkolwiek danych osobowych klientów, pacjentów czy pracowników (ochrona RODO).

• Definiować, czym jest tajemnica przedsiębiorstwa (np. kody, cenniki, umowy) i zakazywać wprowadzania jej do darmowych czatów.

Ludzie popełniają błędy z niewiedzy. Regularne szkolenia z zakresu ochrony danych osobowych (RODO) i bezpieczeństwa informacji to absolutna podstawa. Zespół musi zrozumieć, że okno przeglądarki z darmowym botem to nie jest ich prywatny kalkulator, ale serwer obcej korporacji. Świadomy pracownik sam zauważy ryzyko i zrezygnuje z wgrania poufnego pliku, chroniąc Twoją firmę przed wyciekiem. Warto zapytać swoich pracowników o ten problem, rozważyć wspólnie gdzie AI pomaga im najbardziej, a następnie zapewnić bezpieczne, komercyjne alternatywy, które gwarantują w umowach prywatność wprowadzanych danych(tzw. DPA) i brak trenowania modeli na danych Twojego podmiotu. Świat idzie do przodu, niekorzystanie z rozwiązań i technologii to także zwykła strata szansy na rozwój i wzrost jakości oraz atrakcyjności prowadzonych usług.

Szukasz szkolenia w zakresie używania mediów i komunikatorów oraz tzw. shadowAI – skontaktuj się z nami.

Gotowy regulamin korzystania z komunikatorów innych niż autoryzowane – możesz zakupić w naszym sklepie.

Co zawiera regulamin dowiesz się z filmu na naszym kanale – Tutaj.

Zapraszamy do naszego bezpłatnego newslettera – Poradnika Przedsiębiorcy – w którym omawiamy zagadnienia z zakresu bezpieczeństwa i higieny pracy, ochrony przeciwpożarowej, pierwszej pomocy, ochrony danych osobowych i kadr oraz informujemy i nowych artykułach na naszej stronie. Zapisać się do newslettera możesz TUTAJ. Odwiedź też i subskrybuj nasz kanał na YouTube, aby być na bieżąco.

Opracowanie / Marek Mróz

Manager Bezpieczeństwa Informacji / Inspektor Ochrony Danych

Niniejszy wpis nie jest sponsorowany, zapraszamy do wsparcia rozwoju poradnika przedsiębiorcy poprzez postawienie nam wirtualnej kawy.

Poniżej zamieszczamy ciekawe linki afiliacyjne do polecanych książek i poradników w zakresie Bezpieczeństwa i Higieny Pracy. Dokonując z nich zakupu, wesprzesz rozwój poradnika. Dziękujemy.

Ochrona Danych Medycznych i Osobowych Pacjentów – kupisz tutaj,

Ochrona Danych Osobowych – Poradnik dla Przedsiębiorców – kupisz tutaj,

Bezpieczeństwo aplikacji mobilnych – kupisz tutaj,

Informatyka Śledcza – kupisz tutaj,

Profesjonalne testy penetracyjne – kupisz tutaj.