Czym jest shadow AI

Shadow AI to narzędzia sztucznej inteligencji używane przez pracowników w codziennej pracy bez wiedzy i zgody zarządu czy działu odpowiedzialnego za zgodność. Nazwa nawiązuje do dobrze znanego w IT zjawiska “shadow IT”, czyli nieautoryzowanego oprogramowania instalowanego samodzielnie przez zespół. Różnica jest taka, że narzędzia AI dziś nie wymagają instalacji ani zgody administratora, wystarczy przeglądarka i konto założone w minutę, więc skala zjawiska bywa dużo większa, niż zarząd się spodziewa.

Typowy przykład: dział marketingu od miesięcy generuje grafiki produktowe w darmowym narzędziu AI, o czym nikt formalnie nie zdecydował, po prostu ktoś kiedyś znalazł to rozwiązanie i zaczął go używać, a inni podchwycili. Nikt nie wpisał tego do żadnego rejestru systemów AI, nikt nie sprawdził, czy generowane treści są odpowiednio oznaczane.

Dlaczego to realne ryzyko

Shadow AI jest problematyczny z dwóch niezależnych powodów.

Po pierwsze, ryzyko zgodności z AI Act: firma ma obowiązki (przejrzystość, kompetencje zespołu) wynikające z faktycznego użycia narzędzi AI, niezależnie od tego, czy zarząd o tym użyciu wie. Nieświadomość nie zwalnia z obowiązku, a wręcz utrudnia jego spełnienie, bo nie da się oznaczyć treści albo przeszkolić zespołu z narzędzia, o którego istnieniu nikt formalnie nie wie.

Po drugie, ryzyko danych: pracownicy wklejający dane klientów, umowy albo dane poufne do publicznych modeli AI tracą kontrolę nad tym, gdzie te dane trafiają i jak są dalej wykorzystywane. To ryzyko istnieje niezależnie od AI Act, wynika z ogólnych zasad ochrony danych i tajemnicy handlowej, ale często ujawnia się dopiero razem z audytem AI Act, bo to on jest pretekstem do przyjrzenia się realnemu użyciu narzędzi.

Najczęstszy błąd: zarząd zakłada, że skoro firma “formalnie” korzysta tylko z jednego, zatwierdzonego narzędzia AI, to na tym kończy się temat. W praktyce lista faktycznie używanych narzędzi bywa dwu, trzykrotnie dłuższa niż lista tych zatwierdzonych.

Metoda 1: ankieta zespołu

Najprostszy i zwykle najbardziej owocny sposób. Krótka, anonimowa ankieta wysłana do całego zespołu, z pytaniami sformułowanymi w sposób, który nie sugeruje kary za odpowiedź:

  1. Z jakich narzędzi AI korzystasz w pracy, nawet sporadycznie? (lista otwarta, nie tylko wybór z góry narzuconych opcji)
  2. Do czego dokładnie ich używasz?
  3. Czy wklejasz do nich dane dotyczące klientów, umów albo innych spraw firmowych?
  4. Czy narzędzie zostało zatwierdzone przez firmę, czy znalazłeś/aś je sam/a?

Kluczowe jest podkreślenie w komunikacji do zespołu, że celem ankiety jest zbudowanie pełnego obrazu, nie karanie kogokolwiek za wcześniejsze, nieformalne użycie. Zespół, który boi się konsekwencji, po prostu nie odpowie szczerze, a wtedy ankieta nie ma sensu.

Metoda 2: przegląd rachunków kart firmowych

Subskrypcje narzędzi AI (nawet te “darmowe” mają zwykle płatny wariant premium) często pojawiają się na rachunkach kart firmowych albo indywidualnych kart pracowników rozliczanych w delegacjach, zanim ktokolwiek zgłosi je formalnie. Praktyczny sposób:

  1. Przejrzyj wyciągi z kart firmowych z ostatnich 6-12 miesięcy.
  2. Wyszukaj powtarzające się, niewielkie kwoty od dostawców oprogramowania, zwłaszcza zagranicznych.
  3. Zestaw nazwy dostawców z listą znanych narzędzi AI (generatory treści, transkrypcji, asystentów pisania).
  4. Dla każdej niejasnej pozycji zapytaj bezpośrednio osobę, która dokonała płatności.

Metoda 3: przegląd rozszerzeń przeglądarki

Wiele narzędzi AI działa jako rozszerzenie przeglądarki, na przykład asystenci pisania, streszczacze stron czy narzędzia do transkrypcji spotkań online. Jeśli firma zarządza komputerami służbowymi centralnie, warto:

  1. Poprosić dział IT (albo osobę pełniącą tę funkcję) o zestawienie zainstalowanych rozszerzeń na komputerach firmowych.
  2. Zidentyfikować te z komponentem AI po nazwie i opisie w sklepie z rozszerzeniami.
  3. Sprawdzić, ilu pracowników ma dane rozszerzenie zainstalowane, to dobry wskaźnik skali użycia.

Jeśli firma nie zarządza komputerami centralnie, ten sam wynik można uzyskać, dopytując wprost w ankiecie zespołu o zainstalowane rozszerzenia.

Co zrobić z wynikami

Gdy zbierzesz pełniejszy obraz, kolejne kroki są proste do zaplanowania:

  1. Zaktualizuj rejestr systemów AI o wszystkie odkryte narzędzia.
  2. Zdecyduj, które z nich zostają zatwierdzone, a które są zabronione, i zapisz tę decyzję w polityce korzystania z AI.
  3. Dla zatwierdzonych narzędzi sprawdź, czy wymagają oznaczenia treści albo innych działań zgodności.
  4. Uwzględnij realnie używane narzędzia w zakresie szkolenia zespołu z art. 4, bo szkolenie ignorujące shadow AI trenuje zespół na fikcyjnym obrazie firmy.

Jak zapobiec powrotowi shadow AI

Jednorazowe wykrycie nie rozwiązuje problemu na stałe, bo nowe narzędzia AI pojawiają się w tempie, którego żaden dział IT nie nadąży zablokować z góry. Skuteczniejsze jest ustalenie prostej, jasnej ścieżki: pracownik, który chce użyć nowego narzędzia AI, zgłasza to (nawet mailem do jednej osoby), zamiast po prostu zaczynać. Taka ścieżka działa tylko wtedy, gdy zgłoszenie jest szybkie i nie traktowane jako przeszkoda biurokratyczna, inaczej zespół wróci do cichego korzystania.

Pełne wdrożenie inwentaryzacji, w tym shadow AI, jest częścią Sprintu AI Act, gdzie robimy to razem z zespołem w ramach jednego warsztatu, zamiast zostawiać to jako zadanie domowe, które łatwo odłożyć.

Najczęściej zadawane pytania

Czy shadow AI to wina pracowników?

Zwykle nie. Pracownicy sięgają po narzędzia AI, bo realnie ułatwiają im pracę, a firma nie dała jasnych wytycznych, co jest dozwolone. Winą częściej jest brak polityki i komunikacji, nie indywidualna decyzja pracownika.

Czy mała firma, w której pracuje kilka osób, też ma problem shadow AI?

Tak, skala firmy nie chroni przed tym zjawiskiem, bo narzędzia AI są dostępne dla każdego niezależnie od wielkości organizacji. W małych firmach bywa nawet łatwiej to sprawdzić, bo rozmowa z całym zespołem zajmuje jedno spotkanie.

Jak często powtarzać przegląd shadow AI?

Przy pierwszym wdrożeniu zgodności raz, dokładnie. Później wystarczy krótkie przypomnienie w ankiecie zespołu przy okazji cyklicznego przeglądu rejestru systemów AI, na przykład raz na kwartał.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę ryzyk prawnych związanych z konkretnym użyciem narzędzi AI w Twojej firmie powinien przeprowadzić radca prawny lub adwokat.