Tak, Twoi pracownicy już od dawna używają AI w pracy. Pytanie tylko, czy o wszystkim wiesz. Zjawisko shadow AI, nieformalnego korzystania z ChatGPT, Gemini, Copilota… Dotyczy sporej części polskich organizacji. Ktoś wkleja dane klientów, żeby szybciej napisać ważnego emaila. Ktoś inny poprawia biznesplan, decyzję prawną czy administracyjną. W niektórych przypadkach to tykająca bomba prawna. Chodzi o naruszenia RODO czy powoli AI Act. Można nad tym zapanować.

Dlaczego zakaz nie działa

Zanim przejdziemy do kroków, jedna przestroga. Odruchowa reakcja wielu zarządów to blokada ChatGPT (najczęściej używany) na firmowych komputerach. Niestety, to tylko pogarsza sytuację? Dlaczego? Tak na logikę:

Pracownicy przenoszą się na prywatne telefony i konta, szybko znikają z pola widzenia IT
Organizacja traci realne korzyści efektywności, ryzyko nie znika
Zakaz bez alternatywy oznacza: „radźcie sobie sami. I zaczyna się partyzantka

Celem absolutnie nie jest eliminacja AI. Chodzi o efektywne i satysfakcjonujące przeniesienie go z szarej strefy do kontrolowanego środowiska. Kilka rekomendacji:

Krok 1: Zdiagnozuj skalę zjawiska

Nie da się zarządzać czymś, czego się nie widzi. Zacznij od rzetelnej diagnozy:

Anonimowa ankieta wśród pracowników — kto, do czego i jakich narzędzi używa. Może nie będzie 100 proc. jawności, ale sporo się dowiemy
Analiza ruchu sieciowego — dział IT może sprawdzić, jakie domeny AI (chatgpt.com, gemini.google.com, claude.ai i inne) są odwiedzane z sieci firmowej. Z jaką częstotliwością.
Rozmowy z liderami zespołów — mają przecież unikalną wiedzę na temat swoich pracowników. Nikt ich o to formalnie nie zapytał.
Mapowanie przypadków użycia według ryzyka — oddziel niegroźne (poprawa treści email) od krytycznych (dane osobowe klientów, dokumenty niejawne, decyzje administracyjne…).

Krok 2: Wprowadź politykę AI — krótką i zrozumiałą

Polityka, której nikt nie czyta, nie chroni nikogo. Dobra polityka AI jest konkretna. Odpowiada na pytania, które pracownik faktycznie sobie zadaje:

Czego nie wolno wklejać: dane osobowe (RODO), dane klientów i kontrahentów, informacje objęte tajemnicą przedsiębiorstwa lub zawodową, kod źródłowy, dane finansowe przed publikacją.
Co wolno, ale z głową: ogólne pytania, burza mózgów, poprawa tekstów niezawierających danych wrażliwych. Czasem po anonimizacji.
Które narzędzia są zatwierdzone: wskaż konkretną, firmową alternatywę (wersje biznesowe z gwarancjami umownymi, że dane nie trenują modeli).
Zasada nadzoru człowieka: żaden wynik AI nie trafia do klienta, urzędu ani na zewnątrz bez weryfikacji przez człowieka, który bierze za niego odpowiedzialność. Wymóg praktyczny, w wielu przypadkach prawny (AI Act).
Ścieżka zgłaszania: do kogo pracownik idzie z pytaniem czy mogę użyć AI do X? Jak zgłosić incydent bez strachu przed karą.

Krok 3: Szkolenia i kultura organizacyjna

Polityka bez szkoleń to tylko papier. Szkolenie bez praktyki to strata czasu:

Szkolenie na realnych przykładach z Waszej firmy: pokaż, jak zanonimizować maila przed wklejeniem. Jak zweryfikować odpowiedź AI. Gdzie AI konfabuluje (halucynacje to nie ciekawostka, to codzienność).
Różnicuj według ról: inaczej szkolisz dział HR (dane osobowe, ryzyko dyskryminacji), inaczej programistów (kod, licencje), inaczej obsługę klienta.
Przegląd co 6 miesięcy: narzędzia i przepisy zmieniają się szybko. Polityka z poprzedniego roku może być już nieaktualna.

Shadow AI nie zniknie. Nie znikną powody, dla których pracownicy sięgają po narzędzia: presja czasu i realna użyteczność. Organizacje, które to zrozumieją, zamienią ukryte ryzyko w kontrolowaną przewagę. Pozostałe dowiedzą się o skali zjawiska przy pierwszym incydencie. Oby tylko nie z pisma od UODO.