W wielu organizacjach sztuczna inteligencja jest już codziennym narzędziem pracy – nawet jeśli firma nigdy formalnie nie podjęła decyzji o jej wdrożeniu.

Pracownicy wykorzystują AI do streszczania dokumentów, tłumaczenia korespondencji, przygotowywania ofert, analizy materiałów czy tworzenia treści. Często odbywa się to przy użyciu prywatnych kont, bez wiedzy przełożonych i poza oficjalnym środowiskiem IT przedsiębiorstwa.

W praktyce oznacza to, że AI może zostać wprowadzone do organizacji oddolnie, zanim zarząd stworzy zasady jego wykorzystania.

To właśnie z tego powodu przedsiębiorstwa powinny dziś koncentrować się nie tylko na pytaniu, czy wdrażać AI, ale przede wszystkim na tym, jak odzyskać kontrolę nad sposobem, w jaki sztuczna inteligencja jest już wykorzystywana w organizacji.

Shadow AI – gdy organizacja nie wie, z jakich narzędzi korzystają pracownicy

W tradycyjnym modelu wdrożenie nowej technologii zwykle poprzedza proces decyzyjny: wybór dostawcy, analiza prawna, ocena bezpieczeństwa, zakup licencji oraz formalna zgoda na korzystanie z określonego rozwiązania.

Generatywna AI zmieniła ten model.

Pracownik może zacząć korzystać z nowego narzędzia w ciągu kilku minut, bez udziału działu IT, compliance czy działu prawnego. W efekcie przedsiębiorstwo może nie wiedzieć:

• jakie narzędzia AI są faktycznie używane,
• do jakich celów pracownicy je wykorzystują,
• jakie dane i dokumenty są do nich przekazywane,
• czy korzystanie odbywa się na kontach firmowych czy prywatnych,
• jakie warunki stosuje dostawca danego narzędzia.

Brak takiej wiedzy utrudnia nie tylko zarządzanie ryzykiem, ale również realizację obowiązków prawnych związanych z wykorzystywaniem AI.

AI Act dotyczy również podmiotów korzystających z AI

AI Act nie obejmuje wyłącznie podmiotów tworzących lub dostarczających systemy sztucznej inteligencji. Znaczenie ma również sposób, w jaki przedsiębiorstwo wykorzystuje AI w swojej działalności.

Jednym z obszarów wymagających uwagi są kompetencje osób korzystających z systemów AI w imieniu organizacji.

W praktyce trudno jednak zaplanować szkolenia, zasady korzystania z AI czy odpowiednie środki organizacyjne, jeżeli przedsiębiorstwo nie wie, gdzie i w jaki sposób AI jest wykorzystywane przez pracowników.

Dlatego pierwszym krokiem nie powinno być automatyczne przygotowanie kolejnej procedury, lecz mapowanie rzeczywistych zastosowań AI w organizacji.

AI a dane osobowe

Jednym z najczęstszych ryzyk jest wprowadzanie do narzędzi AI danych klientów, pracowników, kandydatów czy kontrahentów.

Jeżeli narzędzie AI przetwarza dane osobowe, przedsiębiorstwo powinno przeanalizować m.in.:

• cel i podstawę prawną przetwarzania,
• zakres danych przekazywanych do narzędzia,
• rolę dostawcy rozwiązania,
• zasady przechowywania danych,
• możliwość wykorzystania danych do dalszego rozwijania modelu,
• ewentualne transfery danych poza Europejski Obszar Gospodarczy,
• obowiązki informacyjne wobec osób, których dane dotyczą.

Szczególnej ostrożności wymagają zastosowania obejmujące dane szczególnych kategorii lub informacje o zwiększonej wrażliwości biznesowej.

Poufność i tajemnica przedsiębiorstwa

Ryzyko nie kończy się na RODO.

Do narzędzi AI mogą trafiać również informacje, które nie są danymi osobowymi, ale mają istotne znaczenie biznesowe, takie jak:

• treść umów,
• strategie cenowe,
• informacje o negocjacjach,
• dokumentacja techniczna,
• kod źródłowy,
• niepubliczne dane finansowe,
• informacje o planowanych transakcjach.

W takich przypadkach znaczenie mają zasady ochrony tajemnicy przedsiębiorstwa, zobowiązania wynikające z NDA oraz inne obowiązki dotyczące poufności.

Wprowadzenie informacji do zewnętrznego narzędzia AI powinno więc być analizowane również z perspektywy tego, czy przedsiębiorstwo zachowuje kontrolę nad informacją i czy nie narusza zobowiązań wobec klientów lub kontrahentów.

Zakaz korzystania z AI nie zawsze rozwiązuje problem

Naturalną reakcją części organizacji jest całkowity zakaz korzystania z określonych narzędzi AI.

Taki model może jednak prowadzić do przeniesienia korzystania z AI poza oficjalne procesy przedsiębiorstwa.

Dlatego bardziej efektywnym rozwiązaniem może być stworzenie jasnych zasad, które odpowiadają na rzeczywisty sposób pracy pracowników.

Organizacja powinna przede wszystkim ustalić:

• z jakich narzędzi można korzystać,
• czy korzystanie powinno odbywać się wyłącznie z kont firmowych,
• jakich danych i informacji nie wolno przekazywać do AI,
• w jakich procesach użycie AI jest dopuszczalne,
• kiedy rezultat przygotowany przez AI wymaga weryfikacji człowieka,
• kto zatwierdza nowe narzędzia,
• kto odpowiada za szkolenie pracowników i aktualizację zasad.

Polityka AI powinna odzwierciedlać rzeczywisty sposób pracy

Wewnętrzna polityka korzystania z AI może być ważnym elementem zarządzania ryzykiem, ale sama obecność dokumentu nie wystarczy.

Jeżeli polityka nie odpowiada na rzeczywiste potrzeby pracowników i nie uwzględnia sposobu, w jaki organizacja wykorzystuje technologię, może pozostać rozwiązaniem wyłącznie formalnym.

Dlatego proces jej przygotowania warto rozpocząć od:

1. identyfikacji wykorzystywanych narzędzi,
2. mapowania procesów, w których stosowana jest AI,
3. określenia rodzajów danych i informacji przetwarzanych przez te narzędzia,
4. oceny ryzyk prawnych i organizacyjnych,
5. określenia dopuszczalnych i niedopuszczalnych zastosowań,
6. ustalenia zasad kontroli rezultatów pracy AI,
7. przygotowania programu szkoleń i mechanizmu aktualizacji zasad.

AI governance to decyzja zarządcza

Korzystanie z AI nie jest wyłącznie kwestią technologiczną.

Dział IT może odpowiadać za konfigurację i bezpieczeństwo narzędzi. Dział prawny może analizować obowiązki regulacyjne. Compliance może przygotować procedury, a HR zorganizować szkolenia.

Ostatecznie jednak to organizacja musi zdecydować:

jakie zastosowania AI akceptuje, jaki poziom ryzyka jest gotowa przyjąć i gdzie konieczna jest kontrola człowieka.

Dlatego jednym z pierwszych pytań, które zarząd powinien dziś zadać, nie jest:

„czy mamy politykę AI?”

lecz:

„czy wiemy, jak nasi pracownicy rzeczywiście korzystają z AI?”

Dopiero odpowiedź na to pytanie pozwala stworzyć rozwiązania, które będą jednocześnie zgodne z prawem, praktyczne i możliwe do stosowania w codziennej działalności.

Jak JLSW może wspierać przedsiębiorców?

JLSW wspiera przedsiębiorców w porządkowaniu zasad korzystania ze sztucznej inteligencji w organizacji, w szczególności w zakresie:

• audytu i mapowania zastosowań AI,
• przygotowania polityk i procedur AI,
• oceny zgodności z AI Act i RODO,
• analizy zasad korzystania z narzędzi zewnętrznych,
• ochrony informacji poufnych i tajemnicy przedsiębiorstwa,
• przygotowania szkoleń i zasad AI governance,
• oceny umów z dostawcami rozwiązań AI