Prawie 70% firm używa AI, ale 43% nie ma żadnych zasad jej stosowania. To prosta droga do wycieku danych, chaosu i problemów prawnych. Jak się zabezpieczyć?
W skrócie:
- Aż 69% firm korzysta z narzędzi AI, jednak 43% z nich nie wdrożyło żadnej formalnej polityki, która regulowałaby ich użycie w organizacji.
- Według Microsoftu 78% pracowników używa własnych narzędzi AI w pracy, a ponad połowa (52%) nie informuje o tym swoich przełożonych.
- Już co piąta firma w Wielkiej Brytanii doświadczyła wycieku danych spowodowanego bezpośrednio przez użycie generatywnej sztucznej inteligencji.
Wyobraź sobie typowy wtorek. Dział marketingu wkleja fragmenty nowej umowy z kluczem klienta do ChatGPT, żeby szybciej napisać brief. W tym samym czasie zespół R&D prosi Claude’a o analizę zastrzeżonych wyników badań, a dział HR przepuszcza setki CV przez zewnętrzne narzędzie AI, aby odsiewać kandydatów. Nikt tu nie ma złych intencji. Wręcz przeciwnie – wszyscy chcą pracować wydajniej. Problem w tym, że nikt nie łamie żadnych zasad, bo w firmie… po prostu ich nie ma. Taka cyfrowa wolna amerykanka to codzienność w większości organizacji, które otworzyły się na sztuczną inteligencję.
Jak wygląda cyfrowa anarchia w polskich firmach?
Dane malują obraz, który powinien niepokoić każdego menedżera. Badanie nexos.ai jest bezlitosne: 69% organizacji używa już narzędzi AI w codziennej pracy. To świetnie. Gorzej, że aż 43% z nich nie posiada żadnej, nawet najprostszej, polityki regulującej to użycie. Prawie połowa firm dała pracownikom dostęp do potężnych technologii bez jednego zdania instrukcji, co z nimi robić, a czego absolutnie unikać. Chaos potęgują sami pracownicy. Dane Microsoftu, cytowane przez TechRadar, pokazują, że 78% z nich regularnie korzysta z własnych, prywatnych narzędzi AI, aby wykonywać obowiązki służbowe. Co więcej, 52% wcale nie zamierza się do tego przyznawać swojemu pracodawcy. Innymi słowy, narzędzia AI już tu są i działają na pełnych obrotach. A firmowe regulaminy utknęły gdzieś w poprzedniej epoce.
Dlaczego brak polityki AI to proszenie się o kłopoty?
Brak formalnych wytycznych to nie jest problem z kategorii “ładu w papierach”. To realne ryzyko operacyjne, prawne, a na końcu reputacyjne. Największym zagrożeniem jest oczywiście wyciek danych. Pracownicy, często nieświadomie, mogą wklejać do publicznie dostępnych modeli językowych poufne informacje: dane klientów, fragmenty umów, tajemnice handlowe, kody źródłowe. Badanie przeprowadzone wśród 250 brytyjskich dyrektorów ds. informacji wykazało, że aż jedna na pięć firm doświadczyła wycieku danych, którego bezpośrednią przyczyną było użycie generatywnej AI. Dane raz wysłane do zewnętrznego modelu mogą zostać na serwerach dostawcy na zawsze. Albo, co gorsza, posłużyć do trenowania kolejnych wersji systemu. Równie niebezpieczny jest brak kontroli nad całym procesem. Gdy pracownicy korzystają z narzędzi AI “w cieniu”, bez wiedzy działu IT, organizacja traci możliwość audytu i weryfikacji. Pojawia się też ryzyko podejmowania decyzji w oparciu o “halucynacje” modelu, których nikt nie zakwestionował, bo nikt nawet nie wiedział, że powinien.
Czy niepozorna wtyczka do przeglądarki też jest zagrożeniem?
Zdecydowanie tak. Myśląc o regulacjach, firmy skupiają się na wielkich systemach – CRM, ERP, platformach chmurowych. Tymczasem nóż w plecy może wbić niepozorne rozszerzenie do przeglądarki, które “tylko pomaga pisać maile”, a przy okazji przesyła treść całej skrzynki na zewnętrzny serwer. Zagrożeniem jest też darmowa wtyczka do arkusza kalkulacyjnego albo narzędzie do transkrypcji spotkań online. Zasada jest prosta: każde narzędzie, które ma dostęp do danych firmowych, powinno podlegać ocenie bezpieczeństwa. Niezależnie od tego, czy to cały system operacyjny, czy mała wtyczka obiecująca poprawę produktywności.
Jak stworzyć politykę AI, która naprawdę działa?
Dobra polityka AI nie musi być opasłym tomem pisanym językiem prawniczym. Według zaleceń nexos.ai, na start wystarczy dokument, który określa kilka kluczowych kwestii: które zespoły i narzędzia są objęte polityką, jakich danych absolutnie nie wolno wprowadzać do modeli (np. danych osobowych, finansowych), jakie są procedury weryfikacji wyników i jak zapewnić transparentność wobec klientów. Taki dokument powinien być regularnie przeglądany – przynajmniej raz na kwartał. Sama polityka to jednak fundament, na którym warto zbudować dodatkowe warstwy ochrony. Należą do nich:
- Dostęp do sieci VPN: absolutna podstawa dla zespołów pracujących zdalnie lub hybrydowo, szyfruje ruch i chroni dane w publicznych sieciach Wi-Fi.
- Segmentacja dostępu: zasada minimalnych uprawnień ogranicza potencjalne szkody – jeśli pracownik nie ma dostępu do danych, to żadne AI, z którego korzysta, też go nie uzyska.
- Logowanie i audyt: rejestrowanie zapytań i odpowiedzi modelu pozwala sprawdzić, co tak naprawdę działo się w systemie, zamiast polegać na wierze.
- Regularne szkolenia: polityka schowana w szufladzie jest bezużyteczna. Pracownicy muszą rozumieć, dlaczego powstała i co im grozi za jej zignorowanie.
Tomas Okmanas, CEO nexos.ai, ujął to dosadnie: “pracownicy mogą być największym źródłem wycieku danych w historii korporacji – nie dlatego, że działają złośliwie, ale dlatego, że nikt im nie powiedział, jakich granic nie przekraczać”. Pytanie nie brzmi, czy potrzebujesz polityki AI. Pytanie brzmi, dlaczego jeszcze jej nie masz.