Wraz z rozwojem narzędzi opartych na sztucznej inteligencji, takich jak ChatGPT, Copilot czy Gemini, coraz więcej pracowników zaczyna korzystać z nich w swojej codziennej pracy. Niestety, nie zawsze odbywa się to za wiedzą i zgodą działów IT czy inspektorów ochrony danych. W efekcie w wielu organizacjach rozwija się zjawisko tzw. shadow AI – czyli wykorzystywania sztucznej inteligencji bez autoryzacji.
Brak kontroli nad tym procesem może prowadzić do poważnych naruszeń RODO, wycieku danych osobowych, utraty reputacji i wysokich kar finansowych. W niniejszym poradniku wyjaśniamy, czym jest shadow AI, jakie rodzi konsekwencje oraz jak krok po kroku stworzyć wewnętrzną politykę AI, która zabezpieczy organizację przed tymi ryzykami.
📘 Czym jest shadow AI?
Shadow AI to termin opisujący sytuację, w której pracownicy lub zespoły korzystają z narzędzi opartych na sztucznej inteligencji bez oficjalnego zatwierdzenia przez dział IT, zarządzających bezpieczeństwem lub inne uprawnione komórki organizacyjne.
Zazwyczaj chodzi o narzędzia takie jak chatboty (np. ChatGPT), generatory treści, oprogramowanie do analizy danych, automatyzacji procesów, czy modele predykcyjne – czyli rozwiązania, które nie zostały wdrożone w ramach oficjalnej infrastruktury organizacji.
W praktyce oznacza to, że w danej firmie sztuczna inteligencja działa „w tle” – używana przez pojedynczych pracowników, ale poza wiedzą i kontrolą przełożonych.
To zjawisko może wydawać się niegroźne („pracownicy tylko wspomagają się AI przy pisaniu e-maili czy raportów”), jednak z perspektywy ochrony danych, tajemnicy przedsiębiorstwa i bezpieczeństwa IT, stanowi realne zagrożenie.
⚙️ Jak powstaje shadow AI?
Do zjawiska shadow AI dochodzi najczęściej wtedy, gdy:
- firma nie posiada własnej polityki korzystania z AI,
- brakuje szkoleń i wytycznych dotyczących bezpiecznego używania sztucznej inteligencji,
- pracownicy korzystają z publicznych wersji narzędzi AI (np. darmowego ChatGPT), które przetwarzają dane na zewnętrznych serwerach,
- nie istnieje mechanizm audytu i zatwierdzania nowych narzędzi cyfrowych.
W efekcie organizacja traci kontrolę nad przepływem danych, nie ma pewności, jakie informacje są przesyłane do modeli AI, ani gdzie te dane trafiają.
🧩 ChatGPT jako przykład narzędzia AI
Jednym z najbardziej znanych narzędzi AI jest ChatGPT – czyli Generative Pre-trained Transformer.
To aplikacja działająca online, która pozwala prowadzić rozmowy z systemem opartym na dużych modelach językowych. Wykorzystuje dane wprowadzone przez użytkownika do generowania odpowiedzi, analiz i tekstów.
W kontekście pracy biurowej może służyć m.in. do:
- tworzenia wersji roboczych dokumentów,
- pisania korespondencji,
- opracowywania treści marketingowych,
- analizy danych lub pomocy programistycznej.
Jednak wprowadzenie do takiego narzędzia danych klientów, projektów czy raportów kadrowych może oznaczać nieautoryzowane przetwarzanie danych osobowych.
⚠️ Shadow AI a RODO – gdzie kryją się największe ryzyka?
Zjawisko shadow AI budzi poważne wątpliwości z punktu widzenia zgodności z Rozporządzeniem o Ochronie Danych Osobowych (RODO).
Poniżej przedstawiamy najczęstsze problemy, jakie mogą wystąpić, gdy pracownik korzysta z AI bez autoryzacji:
1. Brak zgody i nadzoru nad przetwarzaniem danych osobowych
W przypadku shadow AI dochodzi często do przetwarzania danych osobowych bez podstawy prawnej oraz bez wiedzy administratora danych.
Organizacje mają obowiązek zapewnić, że dane są przetwarzane zgodnie z zasadami przejrzystości, legalności i ograniczenia celu.
Tymczasem nieautoryzowane używanie AI sprawia, że firma nie jest w stanie ustalić, jakie dane i w jakim zakresie są przetwarzane.
2. Niewłaściwe zarządzanie danymi osobowymi
Narzędzia AI mogą przechowywać lub analizować dane osobowe (np. dane pracowników, klientów czy kontrahentów).
Brak kontroli nad tym procesem oznacza, że dane mogą być gromadzone lub udostępniane bez odpowiednich zabezpieczeń technicznych, co narusza zasadę integralności i poufności danych.
3. Nieautoryzowane przesyłanie danych poza organizację
Publiczne systemy AI często wykorzystują serwery zlokalizowane poza Unią Europejską.
W takiej sytuacji może dojść do przekazania danych osobowych do państw trzecich, co jest dopuszczalne jedynie, jeśli kraj ten zapewnia odpowiedni poziom ochrony danych (zgodnie z art. 44–49 RODO).
Większość narzędzi AI tego warunku nie spełnia.
4. Brak audytów i dokumentacji przetwarzania
RODO nakłada obowiązek prowadzenia rejestru czynności przetwarzania danych oraz umożliwienia audytów (art. 30).
W przypadku shadow AI często nie wiadomo, kto, jakie dane i w jakim celu przetwarza – co uniemożliwia zachowanie zgodności z przepisami.
5. Brak zabezpieczeń i kontroli dostępu
Narzędzia AI używane bez nadzoru mogą nie spełniać standardów bezpieczeństwa IT – np. nie stosować szyfrowania, uwierzytelniania wieloskładnikowego ani rejestrowania logów.
Powoduje to realne ryzyko wycieku danych, ataków ransomware lub phishingu.
6. Zwiększone ryzyko cyberataków
Nieautoryzowane użycie narzędzi AI może również doprowadzić do tworzenia luk bezpieczeństwa – np. poprzez wykorzystanie kodów lub skryptów generowanych przez AI, które zawierają błędy umożliwiające atak hakerski.
💣 Konsekwencje naruszeń RODO w wyniku shadow AI
Organizacje dopuszczające niekontrolowane korzystanie z AI mogą ponieść poważne konsekwencje:
- Kary finansowe – do 20 mln euro lub 4% całkowitego rocznego obrotu firmy.
- Utrata reputacji – wyciek danych klientów lub pracowników może poważnie zaszkodzić wizerunkowi organizacji.
- Odpowiedzialność cywilna – osoby, których dane zostały naruszone, mają prawo domagać się odszkodowania.
📄 Przykład:
W firmie doradczej „FinOptima” jeden z konsultantów wprowadził do darmowego narzędzia AI listę klientów z opisem usług doradczych. Dane zostały przesłane do serwerów w Stanach Zjednoczonych. Po interwencji inspektora ochrony danych spółka musiała zgłosić naruszenie do UODO i poinformować klientów, a wizerunek marki ucierpiał na wiele miesięcy.
🔐 Jak ograniczyć ryzyko? Środki zaradcze wobec shadow AI
Aby zapobiec niekontrolowanemu wykorzystywaniu AI przez pracowników, organizacja powinna wdrożyć kompleksowe działania obejmujące zarówno edukację, jak i politykę wewnętrzną:
- Zwiększenie świadomości – szkolenia z zakresu zagrożeń związanych z AI, ochrony danych i cyberbezpieczeństwa.
- Polityka kontroli technologii – wprowadzenie zasad, które regulują, jakie narzędzia mogą być używane i w jakich celach.
- Audyty technologiczne – regularne przeglądy stosowanych narzędzi i procesów w celu zapewnienia zgodności z RODO.
- Zabezpieczenie danych osobowych – stosowanie środków technicznych i organizacyjnych zapewniających integralność, poufność i dostępność danych.
Jak opracować Wewnętrzną Politykę AI w firmie – praktyczny przewodnik
Dobrze zaprojektowana Wewnętrzna Polityka AI to nie kolejny formalny dokument, lecz strategiczne narzędzie zarządzania ryzykiem i bezpieczeństwem informacji. Pomaga uniknąć chaosu technologicznego, a jednocześnie umożliwia świadome i efektywne wykorzystywanie AI w biznesie.
Celem polityki nie jest zakaz, lecz mądre uregulowanie zasad, które pozwolą pracownikom korzystać z AI bez naruszania prawa i wewnętrznych standardów bezpieczeństwa.
🧭 1. Cel i rola polityki AI
Wewnętrzna polityka AI ma:
- wskazać kto, w jakim zakresie i w jakich celach może korzystać z narzędzi opartych na sztucznej inteligencji,
- określić zasady bezpieczeństwa i zgodności z RODO,
- wskazać, które działania są dozwolone, a które zabronione,
- zapewnić transparentność i rozliczalność procesów wykorzystujących AI.
To dokument przede wszystkim dla pracowników, nie tylko dla prawników – jego celem jest edukacja i zbudowanie kultury odpowiedzialnego korzystania z AI.
⚙️ 2. Zakres stosowania AI w organizacji
2.1. Co obejmuje polityka?
Polityka powinna opisywać wszystkie narzędzia oparte na AI, z których korzystają pracownicy, podwykonawcy lub współpracownicy.
W szczególności należy rozróżnić:
- narzędzia rozwijane wewnętrznie (np. chatbot stworzony przez dział IT),
- narzędzia licencjonowane od zewnętrznych dostawców,
- publicznie dostępne narzędzia (np. ChatGPT, Copilot, Gemini, DALL·E).
📌 Wskazówka:
W polityce należy wyraźnie określić, że dozwolone jest korzystanie wyłącznie z narzędzi zatwierdzonych przez firmę, najlepiej tych objętych umową licencyjną lub wdrożonych w infrastrukturze korporacyjnej.
Korzystanie z prywatnych kont czy darmowych wersji AI powinno być zabronione.
2.2. Kto może korzystać z AI?
Polityka musi określać, kto może korzystać z narzędzi AI – czy dotyczy to wyłącznie:
- pracowników etatowych,
- współpracowników na umowach cywilnoprawnych,
- zewnętrznych podwykonawców.
Warto też wskazać, które działy (np. marketing, obsługa klienta, IT) mają dostęp do określonych modeli AI, a które – z uwagi na charakter danych – nie powinny z nich korzystać (np. dział kadr, HR, księgowość).
2.3. Do jakich celów można używać AI?
Zastosowanie narzędzi AI powinno być opisane w sposób jasny i konkretny.
Dopuszczalne przykłady wykorzystania:
- research i analiza trendów,
- tworzenie wstępnych wersji dokumentów (np. ofert, raportów),
- automatyzacja powtarzalnych czynności,
- wsparcie w programowaniu lub analizie danych.
Zabronione zastosowania:
- wprowadzanie danych osobowych lub danych objętych tajemnicą przedsiębiorstwa,
- korzystanie z AI do generowania materiałów o charakterze prawnym lub księgowym bez weryfikacji eksperta,
- przetwarzanie dokumentów kadrowych, danych finansowych lub medycznych.
🚫 3. Działania zabronione w polityce AI
To najważniejszy element dokumentu – wskazuje granice odpowiedzialnego korzystania z AI.
Przykładowe działania zakazane:
- Wprowadzanie do narzędzi AI danych osobowych, poufnych lub objętych tajemnicą przedsiębiorstwa (np. bazy klientów, raporty finansowe).
- Używanie narzędzi AI niezatwierdzonych przez organizację (publiczne, prywatne konta).
- Generowanie treści mogących naruszać prawa autorskie, znaki towarowe lub dobra osobiste innych osób.
- Ukrywanie faktu, że materiał został wygenerowany przy użyciu AI.
- Obchodzenie środków bezpieczeństwa organizacji (np. firewalla, filtrów treści).
- Tworzenie szkodliwych, nieprawdziwych lub obraźliwych treści.
⚠️ Dlaczego to ważne?
Zdefiniowanie tych zasad umożliwia nie tylko egzekwowanie dyscypliny, ale również stosowanie sankcji służbowych w przypadku naruszenia – na podstawie wewnętrznych regulaminów pracy.
🧩 4. Powiązania z innymi dokumentami wewnętrznymi
Polityka AI nie może działać w oderwaniu od reszty systemu compliance.
Musi być spójna z:
- Polityką ochrony danych osobowych,
- Polityką bezpieczeństwa informacji / IT Security Policy,
- Polityką własności intelektualnej,
- Regulaminem pracy.
Warto także opracować słowniczek pojęć, który ujednolici definicje używane w różnych dokumentach (np. „system AI”, „model generatywny”, „input/output danych”).
🔐 5. Zarządzanie danymi a RODO
W kontekście przetwarzania danych osobowych przez narzędzia AI, organizacja musi pamiętać o obowiązkach wynikających z RODO, m.in.:
- Transparentność przetwarzania danych (art. 13 i 14 RODO) – każda osoba musi wiedzieć, jakie dane są przetwarzane, w jakim celu i w jaki sposób.
- Prawo do bycia zapomnianym (art. 17 ust. 1 RODO) – osoba, której dane są przetwarzane przez system AI, ma prawo żądać ich usunięcia, co w przypadku modeli AI może być technicznie trudne.
- Bezpieczeństwo danych (art. 32 RODO) – administrator musi wdrożyć odpowiednie środki techniczne i organizacyjne chroniące dane.
W praktyce oznacza to konieczność dokumentowania procesów przetwarzania danych przez AI oraz ich regularnego audytowania.
📚 Wyzwanie techniczne:
Systemy AI często działają w modelu tzw. „czarnej skrzynki” (black box), gdzie trudno wyjaśnić, jak konkretnie dane wejściowe wpływają na wyniki generowane przez model.
Dlatego transparentność i kontrola nad danymi to jedno z najtrudniejszych, ale kluczowych zadań w kontekście zgodności z RODO.
💡 6. Własność intelektualna treści generowanych przez AI
Polityka AI powinna jasno określać kwestie własności treści wytwarzanych przez sztuczną inteligencję (tzw. AI output).
W szczególności:
- Jakie materiały mogą być używane jako input (np. tylko dane należące do organizacji lub objęte stosowną licencją).
- Kto jest autorem i właścicielem wygenerowanej treści – organizacja, pracownik czy dostawca narzędzia.
- Jakie zasady obowiązują przy użyciu wizerunku osób lub danych identyfikujących.
- Jak odbywa się weryfikacja treści generowanych przez AI i kto jest za nią odpowiedzialny.
To kluczowe z punktu widzenia ochrony praw autorskich, ale też odpowiedzialności za ewentualne błędy lub naruszenia.
Wewnętrzna polityka AI – zarządzanie, aktualizacje i korzyści dla organizacji
🧠 7. Struktura zarządzania i wdrażania AI w organizacji
Każda firma, która korzysta z narzędzi sztucznej inteligencji, powinna posiadać jasny system nadzoru i odpowiedzialności.
Oznacza to, że w polityce AI należy precyzyjnie określić:
- kto odpowiada za wdrażanie i monitorowanie polityki,
- kto ma prawo zatwierdzać nowe narzędzia AI,
- w jaki sposób odbywa się kontrola zgodności z RODO i AI Act.
Najczęściej rolę tę pełnią:
- Inspektor Ochrony Danych (IOD) – odpowiada za zgodność z RODO,
- dział IT / bezpieczeństwa informacji – kontroluje aspekty techniczne,
- dział compliance lub prawny – nadzoruje kwestie regulacyjne,
- zarząd / dyrektor operacyjny – podejmuje decyzje strategiczne.
📄 Przykład:
W firmie doradczej „TechNova” wdrożono strukturę, w której IOD monitoruje legalność przetwarzania danych, dział IT odpowiada za dopuszczanie narzędzi AI do użytku, a dział HR prowadzi szkolenia z zasad korzystania z AI. Dzięki temu każdy etap użycia sztucznej inteligencji ma swojego właściciela procesu i punkt kontroli.
🔄 8. Aktualizacje polityki AI
Świat AI zmienia się niezwykle dynamicznie. Dlatego wewnętrzna polityka nie może być dokumentem „na zawsze” – powinna być cyklicznie przeglądana i aktualizowana.
Polityka powinna wskazywać:
- kto jest odpowiedzialny za jej aktualizację (np. IOD lub dział compliance),
- jakie zdarzenia powodują konieczność przeglądu (np. zmiana prawa, wprowadzenie nowego modelu AI, incydent bezpieczeństwa),
- w jakim trybie odbywa się aktualizacja (np. co 12 miesięcy lub po każdej zmianie technologicznej).
📌 Przykład sytuacji wymagającej aktualizacji:
Pojawienie się nowego narzędzia generatywnego, które ma być wykorzystane przez dział marketingu – zanim zostanie dopuszczone, polityka musi określać jego status, sposób zatwierdzenia i zasady użytkowania.
💼 9. Dlaczego warto wdrożyć politykę AI?
Dobrze opracowana i skutecznie wdrożona polityka AI to nie tylko formalność.
To realne zabezpieczenie prawne, technologiczne i reputacyjne dla organizacji.
9.1. Korzyści prawne i organizacyjne
- Pomaga spełnić obowiązki wynikające z RODO oraz nadchodzącego AI Act.
- Ogranicza ryzyko kar finansowych i odpowiedzialności cywilnej.
- Ułatwia audyty i kontrolę wewnętrzną.
9.2. Korzyści operacyjne
- Zapewnia jednolite standardy korzystania z AI w całej organizacji.
- Umożliwia monitorowanie procesów, co zwiększa efektywność i bezpieczeństwo.
- Pozwala lepiej zarządzać zasobami IT i danymi.
9.3. Korzyści wizerunkowe
- Buduje zaufanie wśród klientów i partnerów biznesowych.
- Pokazuje, że organizacja odpowiedzialnie i etycznie korzysta z nowych technologii.
- Może być atutem w przetargach czy procesach certyfikacji (np. ISO/IEC 42001 dot. zarządzania AI).
🧩 10. Wdrożenie polityki w praktyce
Sama polityka nie wystarczy – kluczowe jest jej wdrożenie i zrozumienie przez użytkowników.
Dlatego proces implementacji powinien obejmować:
- Szkolenia pracowników – zrozumiałe, oparte na przykładach, różne dla kadry zarządzającej, zespołów wdrożeniowych i użytkowników AI.
- Komunikację wewnętrzną – np. newslettery, kampanie informacyjne, krótkie filmy wyjaśniające zasady bezpieczeństwa.
- Testy i audyty – cykliczna weryfikacja, czy polityka faktycznie działa w praktyce.
- System zgłaszania incydentów – umożliwienie pracownikom raportowania naruszeń lub wątpliwości dotyczących korzystania z AI.
💡 Przykład wdrożenia:
Firma „DataVision” wprowadziła obowiązkowy test e-learningowy po szkoleniu z polityki AI. Każdy pracownik musi zdać go przed uzyskaniem dostępu do narzędzi AI. Dodatkowo, raz w roku dział IT przeprowadza audyt narzędzi wykorzystywanych w firmie, by wykryć przypadki „shadow AI”.
⚖️ 11. AI Act – nowe obowiązki dla firm od 2024 roku
Od 1 sierpnia 2024 r. obowiązuje Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 – tzw. AI Act.
To pierwsza na świecie kompleksowa regulacja prawna dotycząca sztucznej inteligencji, która:
- ustanawia wspólne przepisy dla wszystkich systemów i modeli AI w UE,
- dzieli systemy AI według poziomu ryzyka (minimalne, ograniczone, wysokie, niedopuszczalne),
- wprowadza obowiązek przejrzystości, nadzoru i dokumentacji,
- zapewnia ochronę praw człowieka i bezpieczeństwa danych.
Dla przedsiębiorców oznacza to konieczność:
- audytowania stosowanych modeli AI,
- prowadzenia dokumentacji ryzyk,
- wprowadzenia systemu zarządzania zgodnością AI.
Polityka AI to więc nie tylko narzędzie zgodności z RODO, ale również podstawa dostosowania się do AI Act.
📚 PODSTAWA PRAWNA
- art. 5 ust. 1 lit. a, art. 13, art. 14, art. 17 ust. 1, art. 30, art. 32, art. 44–49 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act)
🔎 TEMATY ZAWARTE W PORADNIKU
- shadow AI a RODO i bezpieczeństwo danych,
- wewnętrzna polityka AI w firmie,
- ochrona danych osobowych przy wykorzystaniu sztucznej inteligencji,
- zgodność z przepisami AI Act,
- zasady zarządzania i audytu narzędzi AI w organizacji.