Twój grafik wrzuca poufny brief klienta do darmowego chatbota, żeby szybciej ogarnąć koncepcję kampanii. Programista wkleja fragment firmowego kodu do modelu, żeby go poprawić. Nikt nie działa w złej wierze, a mimo to właśnie doszło do wycieku danych i utraty kontroli nad tym, gdzie trafiają wrażliwe informacje. To Shadow AI, czyli korzystanie z narzędzi sztucznej inteligencji poza wiedzą i zasadami firmy. Dobrze przygotowana polityka AI w firmie zamienia ten chaos w bezpieczny, uporządkowany proces. Poniżej tłumaczymy, gdzie leży ryzyko i jak ułożyć zasady pracy z AI w zespole.
Czym jest Shadow AI i dlaczego jest groźne
Shadow AI to używanie przez pracowników narzędzi AI, na które firma nie wyraziła zgody i których nie kontroluje. Zwykle nie wynika ze złej woli, tylko z chęci szybszej pracy. Problem w tym, że każda taka sytuacja to potencjalny wyciek danych, ujawnienie tajemnicy przedsiębiorstwa, naruszenie praw autorskich lub niewywiązanie z umowy z klientem, która może wprost zakazywać używania modeli w projekcie.
Poufne strategie, briefy, bazy klientów, dokumenty, gotowe projekty czy fragmenty kodu wrzucone do darmowej wersji chatbota mogą zostać zapisane, przetworzone, a w części narzędzi także wykorzystane do dalszego trenowania modelu. Innymi słowy, dane opuszczają firmę, a Ty tracisz nad nimi kontrolę. Skala ryzyka rośnie tym szybciej, im więcej osób w zespole korzysta z AI na własną rękę.
Dane osobowe w chatbocie, czyli RODO wchodzi do gry
Jeśli do narzędzia AI trafiają dane osobowe, na przykład dane klientów, kontrahentów, pracowników czy uczestników kampanii, w grę wchodzi RODO. A to oznacza konkretne obowiązki.
Po pierwsze, potrzebujesz podstawy prawnej do przetwarzania tych danych i nie możesz ich przekazywać w dowolne miejsce. Po drugie, jeśli narzędzie przetwarza dane w Twoim imieniu, zwykle konieczna jest umowa powierzenia przetwarzania z jego dostawcą. Po trzecie, część narzędzi przetwarza dane poza Europejskim Obszarem Gospodarczym, co wymaga dodatkowych zabezpieczeń. RODO w projektach IT i marketingowych to nie formalność, bo za naruszenia grożą realne kary, a zaufanie klientów traci się błyskawicznie.
Wyciek tajemnic firmy i kodu
Dane osobowe to nie jedyne ryzyko. Do darmowego chatbota równie łatwo trafiają tajemnice przedsiębiorstwa: strategie, wyceny, bazy klientów, a w firmach technologicznych autorski kod czy klucze dostępu do systemów.
To podwójny problem. Z jednej strony tracisz kontrolę nad poufną informacją, z drugiej możesz nieświadomie osłabić jej ochronę prawną. Tajemnica przedsiębiorstwa jest chroniona wtedy, gdy realnie traktujesz ją jak poufną. Jeśli pracownicy swobodnie wklejają ją do zewnętrznych narzędzi, trudniej później twierdzić, że dbałeś o jej poufność. W przypadku kodu dochodzi dodatkowe ryzyko, że posłuży on do trenowania modelu i wymknie się spod Twojej kontroli.
Shadow AI w software house, ryzyko dla kodu
W firmach technologicznych Shadow AI ma dodatkowy, bardzo kosztowny wymiar. Wyobraź sobie, że programista wkleja autorski algorytm do darmowej wersji chatbota, żeby szybciej rozwiązać problem. W ten sposób fragment chronionej własności intelektualnej spółki trafia do zewnętrznego narzędzia, a w części usług może zostać wykorzystany do dalszego uczenia modelu.
Dla software house’u to uderzenie w sam rdzeń biznesu, bo kod i architektura rozwiązania to często najcenniejszy aktyw. Dlatego zasady bezpiecznego programowania z AI, na przykład korzystanie wyłącznie z zatwierdzonych narzędzi w wersjach firmowych oraz zakaz wklejania wrażliwych fragmentów kodu do publicznych modeli, powinny być częścią polityki AI na równi z ochroną danych osobowych.
Polityka AI w firmie, czyli jak to ułożyć
Rozwiązaniem nie jest zakaz korzystania z AI, bo ludzie i tak będą go używać, tylko po cichu. Rozwiązaniem jest jasna polityka AI w firmie, która daje zespołowi bezpieczne ramy. Dobra polityka obejmuje kilka elementów:
- Lista dozwolonych narzędzi i wersji, najlepiej na firmowych kontach z odpowiednimi ustawieniami prywatności.
- Zasady, jakie dane wolno, a jakich nie wolno wprowadzać do AI. Dane osobowe, poufne strategie i kod traktujemy szczególnie ostrożnie.
- Wymóg umów powierzenia z dostawcami tam, gdzie przetwarzane są dane osobowe.
- Obowiązek oznaczania treści tworzonych z pomocą AI, zgodnie z AI Act.
- Ludzki nadzór nad efektami oraz prosta procedura zgłaszania wątpliwości.
Skuteczna polityka AI w firmie nie jest grubym dokumentem do szuflady, tylko prostym zestawem zasad, które zespół realnie rozumie i stosuje na co dzień.
Jak wdrożyć politykę AI krok po kroku
Sama polityka to jedno, a jej wdrożenie to drugie. W praktyce warto przejść przez kilka etapów:
- Zrób audyt narzędzi. Sprawdź, z jakich rozwiązań AI naprawdę korzysta zespół, także tych nieoficjalnych.
- Wybierz i zatwierdź narzędzia. Postaw na płatne wersje narzędzi AI z jasnymi warunkami przetwarzania danych i zasadami trenowania modelu.
- Spisz proste zasady. Krótki, zrozumiały dokument działa lepiej niż wielostronicowy regulamin, którego nikt nie czyta.
- Przeszkol zespół. Ludzie muszą wiedzieć nie tylko co wolno, ale też dlaczego, bo wtedy naprawdę stosują zasady.
- Wracaj do tematu. Narzędzia i przepisy się zmieniają, więc politykę warto co jakiś czas aktualizować.
Taki proces zajmuje mniej czasu, niż się wydaje, a realnie zdejmuje z firmy jedno z największych bieżących ryzyk.
Ludzki nadzór i kompetencje zespołu
Nawet najlepsza polityka nie zadziała bez dwóch rzeczy: nadzoru człowieka i podstawowej wiedzy zespołu. AI Act wprost oczekuje odpowiedniego poziomu kompetencji osób korzystających ze sztucznej inteligencji, więc krótkie przeszkolenie zespołu to dziś nie wybór, tylko element bezpiecznego biznesu .
W praktyce chodzi o zdrowy nawyk. Zanim ktoś wklei coś do modelu, zadaje sobie jedno pytanie: czy te dane w ogóle mogą tam trafić? Ta prosta zmiana eliminuje większość ryzyk, zanim się pojawią.
Potrzebujesz polityki AI, która chroni poufne dane i nie blokuje pracy zespołu? Jako kancelaria prawna Warszawa przygotujemy dla Ciebie zasady oraz dokumenty dopasowane do tego, jak realnie Twój zespół korzysta z AI.
FAQ
Czym jest Shadow AI? To korzystanie przez pracowników z narzędzi AI poza wiedzą i zasadami firmy. Grozi wyciekiem danych osobowych, tajemnic przedsiębiorstwa i aktywów własności intelektualnej spółki (kodu, projektów czy kampanii).
Czy wklejenie danych klienta do chatbota narusza RODO? Może naruszać, jeśli brakuje podstawy prawnej, umowy powierzenia przetwarzania lub zabezpieczeń technicznych i prawnych przy przekazaniu danych poza Europejski Obszar Gospodarczy.
Czy trzeba zakazać AI w firmie? Nie. Skuteczniejsza od zakazu jest polityka AI, która wyznacza bezpieczne ramy korzystania i realnie ogranicza ryzyko.
Co powinna zawierać polityka AI w firmie? Listę dozwolonych narzędzi, zasady dotyczące wklejania do modelu danych, wymóg umów powierzenia przetwarzania, obowiązek oznaczania treści oraz ludzka kontrola w toku tworzenia projektu z modelem AI oraz nadzór nad wygenerowanymi efektami.