Największym ryzykiem AI w polskich firmach nie jest kontrola ani kara. Jest nim narzędzie, o którym zarząd nie wie, używane na prywatnym koncie pracownika
Zjawisko nazywane shadow AI polega na korzystaniu z narzędzi sztucznej inteligencji poza wiedzą i kontrolą organizacji. Wyjaśniamy, jak je wykryć, dlaczego zakaz korzystania jest najgorszą możliwą reakcją zarządu i jaką sekwencję działań stosować zamiast niego.
TL;DR- najważniejsze wnioski
- •Shadow AI to korzystanie przez pracowników z narzędzi sztucznej inteligencji bez wiedzy i zgody organizacji, najczęściej na prywatnych kontach. Zjawisko nie wynika ze złej woli, lecz z tego, że narzędzia te realnie skracają pracę.
- •Główne ryzyko nie ma charakteru regulacyjnego, tylko informacyjny: do zewnętrznych narzędzi trafiają dane klientów, dokumenty objęte poufnością i informacje kadrowe, a firma nie wie o tym, dopóki czegoś nie sprawdzi.
- •Zakaz korzystania z AI jest najgorszą możliwą reakcją, ponieważ nie eliminuje zjawiska, tylko przenosi je głębiej w ukrycie. Pracownicy przestają pytać, a organizacja traci resztki wglądu w to, co się dzieje.
- •Skuteczna sekwencja to inwentaryzacja, zatwierdzona lista narzędzi, jasne zasady dotyczące danych i szkolenie. Efektem ubocznym jest zwykle lista kilkunastu procesów, które warto zautomatyzować, wskazanych przez samych pracowników.
Rozmowa z właścicielem firmy zatrudniającej czterdzieści osób, przy okazji projektu automatyzacji. Pada pytanie, czy zespół korzysta z narzędzi sztucznej inteligencji.
Odpowiedź: „Nie wprowadzaliśmy niczego takiego".
Anonimowa ankieta wysłana tydzień później pokazuje, że regularnie korzysta dwadzieścia sześć osób. Handlowcy przygotowują oferty, kadrowa streszcza dokumenty, kierownik produkcji tłumaczy instrukcje od zagranicznego dostawcy, a asystentka zarządu od pół roku przygotowuje w ten sposób protokoły ze spotkań.
Nikt tego nie ukrywał w złej wierze. Po prostu nikt nie pytał, a narzędzia były pod ręką i realnie skracały pracę.
To zjawisko nazywa się shadow AI i jest dziś w polskich firmach powszechniejsze niż jakiekolwiek oficjalne wdrożenie.
Dlaczego to się dzieje
Warto zrozumieć mechanizm, zanim przejdziemy do reakcji, ponieważ od tego zrozumienia zależy, czy reakcja zadziała.
Sztuczna inteligencja weszła do firm od dołu, a nie od góry. W przeciwieństwie do systemów ERP czy CRM, których wdrożenie wymagało decyzji zarządu, budżetu i projektu, narzędzia AI są dostępne natychmiast, często bezpłatnie, z dowolnego urządzenia i bez udziału działu informatycznego.
Pracownik, który odkrył, że zadanie zajmujące dotąd czterdzieści minut da się wykonać w pięć, nie czeka na politykę firmy. Wykonuje swoją pracę szybciej i uznaje to za oczywiste.
Z perspektywy organizacji powstaje sytuacja paradoksalna: firma czerpie korzyść z technologii, której formalnie nie używa, i jednocześnie ponosi ryzyko, którego nie widzi.
Cztery kategorie danych, które wychodzą najczęściej
Ryzyko shadow AI nie ma w pierwszej kolejności charakteru regulacyjnego. Ma charakter informacyjny.
Korespondencja z klientami. Wklejana w celu przygotowania odpowiedzi lub streszczenia długiego wątku. Zawiera nazwiska, ustalenia handlowe i warunki współpracy.
Umowy i oferty. Wprowadzane w celu analizy zapisów, porównania wersji albo tłumaczenia. Często objęte klauzulą poufności, której pracownik w tym momencie nie kojarzy.
Dane kadrowe. Życiorysy kandydatów w procesie rekrutacji, opisy stanowisk, notatki z rozmów oceniających.
Zestawienia finansowe i sprzedażowe. Wklejane w celu wykonania analizy, przygotowania podsumowania albo znalezienia zależności.
We wszystkich czterech przypadkach pracownik wykonuje swoją pracę, a nie obchodzi zasady. Zasad zwykle po prostu nie ma.
Dlaczego zakaz jest najgorszą reakcją
Naturalnym odruchem zarządu po zapoznaniu się z wynikami ankiety jest wprowadzenie zakazu. To reakcja zrozumiała i nieskuteczna, z trzech powodów.
Nie da się jej wyegzekwować. Narzędzia są dostępne z prywatnego telefonu, w domu, poza siecią firmową. Zakaz obejmuje sprzęt służbowy, a praca przenosi się na prywatny.
Zabija pytania. To jest konsekwencja najgroźniejsza. Pracownik, który ma wątpliwość, czy dany dokument można wprowadzić do narzędzia, przy obowiązującym zakazie nie zapyta przełożonego, bo samo pytanie byłoby przyznaniem się do łamania zasad. Podejmie decyzję sam.
Oddaje przewagę konkurencji. Firma, która zakazuje, pracuje wolniej niż firma, która uczy. Różnica narasta z każdym miesiącem i nie da się jej nadrobić jedną decyzją.
Tabela: trzy możliwe reakcje i ich skutki
| Reakcja | Skutek dla ryzyka | Skutek dla efektywności | Skutek dla wiedzy zarządu |
|---|---|---|---|
| Brak reakcji | Rośnie, niewidoczne | Przypadkowa, nierówna | Zerowa |
| Zakaz korzystania | Rośnie, głębiej ukryte | Spada poniżej konkurencji | Zerowa, pytania ustają |
| Inwentaryzacja i zasady | Maleje i staje się widoczne | Rośnie i wyrównuje się | Pełna i aktualizowana |
Sekwencja, która działa
Cztery kroki, w tej kolejności. Każdy ma sens także wtedy, gdy nie zrobicie kolejnego.
Krok pierwszy: inwentaryzacja bez konsekwencji. Anonimowa ankieta, jasno zakomunikowana jako działanie porządkujące, a nie dochodzenie. Jeśli zespół podejrzewa, że wyniki posłużą do rozliczania kogokolwiek, dane będą bezwartościowe. Uzupełnieniem są faktury, subskrypcje, rozszerzenia przeglądarki i funkcje AI wbudowane w istniejące systemy.
Krok drugi: zatwierdzona lista narzędzi. Zamiast zakazu wszystkiego, wskazanie kilku narzędzi dozwolonych, najlepiej w wersjach firmowych, które nie wykorzystują wprowadzanych danych do trenowania modeli. To jest moment, w którym korzystanie z AI przechodzi z szarej strefy do normalnej pracy.
Krok trzeci: jasne zasady dotyczące danych. Jedna kartka, konkretne kategorie: co można wprowadzać, czego nie, co wymaga sprawdzenia przez człowieka przed wysłaniem na zewnątrz. Szerzej opisaliśmy to w artykule /blog/rejestr-systemow-ai-polityka-ai-firma-2026.
Krok czwarty: szkolenie. Obowiązek zapewnienia kompetencji AI u personelu wynika z art. 4 unijnego rozporządzenia i obowiązuje od 2 lutego 2025 roku. Niezależnie od podstawy prawnej jest to jedyny sposób, żeby zasady z kroku trzeciego zostały zrozumiane, a nie tylko rozesłane mailem.
Efekt uboczny, który zaskakuje zarządy
W każdym projekcie inwentaryzacji, który prowadziliśmy, pojawia się ten sam skutek dodatkowy.
Ankieta pytająca, z jakich narzędzi korzystasz i do czego, przynosi w odpowiedziach listę kilkunastu procesów, które pracownicy już częściowo zautomatyzowali własnymi siłami. Nieudolnie, bez integracji, przez kopiowanie i wklejanie, ale skutecznie na tyle, że robią to codziennie.
Ta lista jest najlepszym materiałem wyjściowym do wdrożenia, jaki można sobie wyobrazić, ponieważ powstała z realnej potrzeby, a nie z prezentacji dostawcy. Wskazuje procesy powtarzalne, czasochłonne i na tyle uciążliwe, że ktoś sam poszukał obejścia.
Innymi słowy: shadow AI jest jednocześnie ryzykiem i najlepszą dostępną diagnozą wąskich gardeł w firmie. Wystarczy potraktować je jako informację, a nie jako naruszenie.
Co możesz zrobić z tą wiedzą dziś
Trzy działania możliwe do wykonania w tym tygodniu.
Wyślij zespołowi jedno anonimowe pytanie: z jakich narzędzi sztucznej inteligencji korzystasz w pracy i do czego. Zapowiedz wprost, że celem jest uporządkowanie i wybór narzędzi firmowych, a nie kontrola.
Sprawdź, które narzędzia mają wersje firmowe z gwarancją nietrenowania modeli na wprowadzanych danych. Koszt takiej licencji jest zwykle wielokrotnie niższy niż koszt jednego incydentu z danymi klienta.
Napisz jedną stronę zasad i roześlij ją. Nawet niedoskonała instrukcja, co wolno wprowadzać, a czego nie, jest nieporównanie lepsza niż milczenie, które pracownik interpretuje jako przyzwolenie.
Ten artykuł zamyka naszą serię o zgodności z przepisami o sztucznej inteligencji. Wcześniejsze części wyjaśniają, co dokładnie obowiązuje po zmianach w kalendarzu AI Act, jak zbudować rejestr systemów i politykę AI, jakie są obowiązki transparentności wobec klientów oraz czym zajmie się polski organ nadzoru.
Jeśli chcesz przeprowadzić inwentaryzację i uporządkować zasady, umów bezpłatną konsultację. Robimy to regularnie i wiemy, gdzie zwykle leżą największe luki.
Napisz: biuro@chronofy.pl lub zadzwoń: +48 792 975 094 (Dastin Adamowski).
Często zadawane pytania
Czy zakazanie pracownikom korzystania z narzędzi AI rozwiązuje problem?
Nie, a zwykle pogarsza sytuację. Zakaz nie zmniejsza użycia, ponieważ narzędzia są dostępne z prywatnego telefonu i prywatnego konta, a przewaga czasowa, jaką dają, jest zbyt duża, by z niej zrezygnować. Zmienia się natomiast jedna istotna rzecz: pracownicy przestają pytać. Osoba, która ma wątpliwość, czy może wkleić dany dokument, przy obowiązującym zakazie nie zapyta przełożonego, tylko podejmie decyzję sama i nikomu o niej nie powie. Organizacja traci w ten sposób resztki wglądu w to, co się dzieje z jej informacjami, i jednocześnie traci możliwość nauczenia ludzi bezpiecznej pracy.
Jak sprawdzić, z jakich narzędzi AI faktycznie korzystają pracownicy?
Najskuteczniejsza jest anonimowa ankieta, ponieważ pytanie zadane imiennie daje odpowiedzi zaniżone, zwłaszcza jeśli w firmie panuje przekonanie, że korzystanie z AI jest źle widziane. Ankietę warto uzupełnić o trzy inne źródła: przegląd faktur i subskrypcji z ostatnich miesięcy, listę rozszerzeń przeglądarki oraz aplikacji podpiętych do firmowej poczty i dysku, a także funkcje sztucznej inteligencji wbudowane w systemy używane od lat, o których nikt nie myśli w tych kategoriach. Zestawienie tych czterech źródeł daje obraz zwykle kilkukrotnie szerszy od wyobrażeń zarządu.
Jakie dane najczęściej trafiają do narzędzi AI poza kontrolą firmy?
Z naszych obserwacji wynikają cztery powtarzalne kategorie. Pierwsza to treść korespondencji z klientami, wklejana w celu przygotowania odpowiedzi lub streszczenia. Druga to umowy i oferty, wprowadzane do narzędzi w celu analizy zapisów albo tłumaczenia. Trzecia to dane kadrowe, w tym życiorysy kandydatów przetwarzane w rekrutacji. Czwarta to zestawienia finansowe i sprzedażowe, wklejane w celu wykonania analizy lub podsumowania. Warto zauważyć, że w każdym z tych przypadków pracownik działa w dobrej wierze i wykonuje swoją pracę szybciej, a nie próbuje obejść zasady, których zresztą najczęściej po prostu nie ma.
Czy wiesz, jakie dokumenty Twojej firmy trafiły w tym tygodniu do zewnętrznych narzędzi AI?
Podczas bezpłatnej konsultacji pokażemy, jak przeprowadzić inwentaryzację narzędzi AI używanych przez zespół i jak zamienić ją w listę procesów gotowych do bezpiecznej automatyzacji.
BEZPŁATNA KONSULTACJA