AI w małej firmie działa poza kontrolą. Proste zasady mogą ograniczyć ryzyko

Pracownik kopiuje umowę do internetowego narzędzia, inna osoba tworzy ofertę, a dział marketingu generuje treści. Wszystko dzieje się szybko, często bez wiedzy właściciela firmy. Taki nieformalny obieg narzędzi AI może jednak prowadzić do ujawnienia poufnych danych i błędnych decyzji biznesowych.

Shadow AI pojawia się szybciej niż firmowe procedury

Sztuczna inteligencja nie wymaga dziś skomplikowanego wdrożenia. Dostęp do wielu usług można uzyskać przez przeglądarkę, a rozpoczęcie pracy zajmuje kilka minut. Dlatego AI może trafić do firmy bez formalnej decyzji zarządu, budżetu i wyboru jednego dostawcy.

Sprzedawca wykorzystuje ją do przygotowania oferty, osoba zajmująca się marketingiem tworzy materiały promocyjne, a pracownik administracyjny porządkuje dokumenty. Każdy może korzystać z innego narzędzia, często na prywatnym koncie. Firma nie zawsze wie wtedy, jakie dane trafiają do zewnętrznych usług ani jakie obowiązują w nich zasady przechowywania informacji.

Zjawisko korzystania z AI poza oficjalnym nadzorem określa się jako Shadow AI. Nie musi ono wynikać z lekceważenia bezpieczeństwa. Pracownicy chcą szybciej wykonywać obowiązki, a dostępne narzędzia rzeczywiście mogą im w tym pomóc. Problem pojawia się wtedy, gdy nie ma wspólnych reguł dotyczących informacji, narzędzi i odpowiedzialności.

Krótka polityka AI może uporządkować firmowe zasady

Małe przedsiębiorstwo nie musi tworzyć wielostronicowej dokumentacji. Wystarczy zrozumiały dokument dopasowany do tego, jak firma faktycznie wykorzystuje sztuczną inteligencję. Powinien wskazywać dopuszczalne zastosowania, zasady ochrony danych oraz sposób sprawdzania rezultatów.

Nie ma ogólnego obowiązku posiadania osobnego dokumentu zatytułowanego „Polityka korzystania z AI” wyłącznie z powodu używania takich narzędzi. Firma nadal odpowiada jednak za sposób przetwarzania informacji i skutki decyzji podejmowanych z wykorzystaniem sztucznej inteligencji. Znaczenie mają między innymi przepisy o ochronie danych osobowych, poufności, prawach autorskich oraz wymagania wynikające z unijnego AI Act.

W dokumencie warto określić:

• z jakich narzędzi pracownicy mogą korzystać służbowo;
• do jakich zadań można używać AI, na przykład tworzenia ofert, analizy dokumentów lub przygotowywania raportów;
• jakie dane mogą być przekazywane zatwierdzonym usługom;
• których informacji nie wolno wprowadzać bez dodatkowej oceny i zgody;
• kto sprawdza treści i analizy wygenerowane przez AI;
• jak postępować w razie błędu albo ujawnienia poufnych informacji.

Szczególnej ostrożności wymagają umowy, listy klientów, dane pracowników, niepubliczne wyniki finansowe oraz dokumentacja techniczna. Samo usunięcie imienia i nazwiska nie zawsze wystarcza do anonimizacji. Inne szczegóły mogą pozwolić rozpoznać osobę, klienta albo konkretny projekt.

Przykładowo pracownik może wkleić do ogólnodostępnej aplikacji całą umowę i poprosić o jej streszczenie. Wynik może być przydatny, ale wcześniej do zewnętrznej usługi trafią informacje objęte poufnością. Z tego powodu zasady powinny rozróżniać dane ogólne, informacje firmowe i materiały, których nie wolno przekazywać narzędziom AI.

Najświeższe wiadomości z Polski czekają na stronie głównej pl.news.

Za błędny wynik odpowiada firma, nie algorytm

AI może wygenerować odpowiedź brzmiącą przekonująco, ale zawierającą nieprawdziwe informacje. Narzędzie może źle odczytać dokument, pomylić liczby, przywołać nieistniejący przepis albo pominąć ważny fragment materiału.

Wykorzystanie takiego wyniku bez sprawdzenia może doprowadzić do nieporozumień z klientem, błędnych obliczeń lub niewłaściwej decyzji. Dlatego firmowe zasady powinny wskazywać, w jakich sytuacjach rezultat wymaga dodatkowej kontroli i kto zatwierdza go przed użyciem.

Dotyczy to zwłaszcza materiałów związanych z:

• finansami;
• sprawami pracowniczymi;
• bezpieczeństwem;
• dokumentacją techniczną;
• decyzjami wpływającymi na klientów.

AI może przygotować analizę albo rekomendację, ale nie przejmuje odpowiedzialności za działanie przedsiębiorstwa. Odpowiedzialność pozostaje po stronie firmy i osób, które korzystają z wygenerowanych treści.

AI Act zależy od roli przedsiębiorstwa i rodzaju zastosowania

Obowiązki wynikające z AI Act mogą różnić się w zależności od tego, jak firma wykorzystuje sztuczną inteligencję. Inaczej wygląda sytuacja przedsiębiorstwa używającego gotowego programu do tworzenia materiałów marketingowych, a inaczej firmy rozwijającej system służący do oceny kandydatów do pracy.

Znaczenie ma także art. 3 AI Act dotyczący kompetencji w zakresie sztucznej inteligencji. Przewiduje on działania wspierające wiedzę i umiejętności osób korzystających z systemów AI w imieniu organizacji. Nie oznacza to jednego obowiązkowego programu szkoleniowego dla wszystkich pracowników. Zakres przygotowania powinien odpowiadać używanym systemom, doświadczeniu zespołu i ryzyku związanym z konkretnymi zadaniami.

Samo przygotowanie polityki nie zapewnia jeszcze zgodności z wymaganiami prawnymi. Pracownicy muszą rozumieć zasady i stosować je podczas codziennej pracy. Pomocne może być omówienie realnych sytuacji, takich jak tworzenie oferty na podstawie danych klienta, analiza umowy, przygotowanie materiałów marketingowych czy opracowanie zestawienia finansowego.

Wiedzę o bezpiecznym używaniu AI można zdobywać także w ramach szkoleń Akademii PARP. Kurs „AI w biznesie – kurs I stopnia” obejmuje podstawy działania sztucznej inteligencji, zastosowania generatywnej AI oraz zagadnienia etyczne i prawne. Dla firm planujących szersze wdrożenia przeznaczony jest kurs II stopnia, dotyczący między innymi kosztów, ryzyka, projektowania rozwiązań i regulacji.

Zasady powinny być aktualizowane wraz ze zmianą sposobu wykorzystywania technologii. Firma, która początkowo używa AI tylko do redagowania tekstów, może później sięgnąć po nią do analizy danych, automatyzacji procesów albo wsparcia decyzji biznesowych. Każde takie rozszerzenie zwiększa znaczenie kontroli danych, weryfikacji wyników i odpowiedniego przygotowania pracowników.

na podstawie: parp.gov.pl.