AI już działa w Twojej organizacji. Czy masz nad nią kontrolę?

W dzisiejszym odcinku podcastu „Business Tech Talks powered by BlueSoft” omawiamy kluczowe zagrożenia i wyzwania związane ze zjawiskiem Shadow AI oraz bezpieczeństwem danych korporacyjnych w dobie powszechnego dostępu do sztucznej inteligencji. Koncentrujemy się na ryzyku wycieku poufnych informacji, odpowiedzialności zarządu za wdrożenie odpowiednich polityk oraz na praktycznych krokach, które pozwalają ucywilizować korzystanie z AI w firmie — od edukacji pracowników i klasyfikacji danych po wykorzystanie narzędzi typu DLP. Ekspertka BlueSoft, Diana Kisiała, wskazuje, jak budować kulturę bezpieczeństwa i dostarczać pracownikom autoryzowane rozwiązania, które wspierają efektywność bez narażania reputacji i finansów organizacji. Poniżej szczegółowy skrót transkrypcji odcinka.

Czym jest Shadow AI i jakie niesie zagrożenia? 

Shadow AI to zjawisko nieautoryzowanego wykorzystywania narzędzi sztucznej inteligencji przez pracowników bez wiedzy i zgody organizacji. Największym zagrożeniem jest fakt, że publiczne modele LLM (jak darmowy ChatGPT) uczą się na danych wprowadzanych do nich, co może prowadzić do ich wycieku poza firmę. Przykłady z rynku, takie jak przypadek Samsunga (wyciek kodu źródłowego) czy Amazonu (generowanie przez AI odpowiedzi przypominających poufne dokumenty firmy), pokazują, że konsekwencją mogą być wielomilionowe straty i utrata reputacji.

Kto odpowiada za bezpieczeństwo danych?

Podstawową zasadą jest to, że za bezpieczeństwo danych w firmie zawsze odpowiadają zarząd oraz organizacja jako administrator danych. Choć pracownik może być bezpośrednią przyczyną incydentu, najczęściej wynika to z nieświadomości, braku odpowiednich procedur lub braku dostępu do profesjonalnych narzędzi firmy. Firma musi liczyć się z surowymi karami finansowymi wynikającymi z regulacji takich jak RODO czy DORA, a także z ryzykiem odejścia klientów w przypadku utraty ich zaufania.

Dlaczego pracownicy ryzykują wyciekiem danych? 

Motywacją pracowników jest niemal zawsze chęć zwiększenia efektywności i szybkości pracy. Narzędzia AI są wykorzystywane w niemal każdym dziale: od marketingu tworzącego treści, przez HR analizujący CV, po działy prawne tłumaczące umowy. Problem pojawia się, gdy firma nie reaguje na potrzeby rynku i nie oferuje pracownikom bezpiecznych alternatyw, co zmusza ich do korzystania z prywatnych kont i darmowych, niechronionych rozwiązań.

Czy rozwiązaniem jest zakaz korzystania z AI?

Eksperci są zgodni: zakazy nie działają, ponieważ rozwój technologiczny jest nieunikniony i zbyt dynamiczny. Zamiast blokować dostęp, organizacje powinny dążyć do ucywilizowania korzystania z AI. Rozwiązaniem jest dostarczenie pracownikom autoryzowanych narzędzi enterprise (np. licencje firmowe, wewnętrzne modele), które są gwarantowane w umowach, zgodnie z którymi dane nie będą wykorzystywane do trenowania publicznych modeli.

Rola narzędzi DLP w ochronie informacji

Jednym z rozwiązań technicznych wspierających bezpieczeństwo jest DLP (Data Loss Prevention). To rodzaj inteligentnego filtra, który monitoruje ruch na komputerach firmowych i może zablokować wysyłkę wrażliwych danych (np. numerów PESEL lub dokumentów oznaczonych jako poufne) albo wysłać alert do działu bezpieczeństwa. Wdrożenie takich systemów wymaga jednak wsparcia finansowego i decyzyjnego ze strony zarządu oraz ścisłej współpracy z działem IT.

Praktyczne kroki do bezpiecznego wdrożenia AI

Zgodnie z zaleceniami ekspertki, proces wdrażania bezpiecznego AI powinien obejmować:

• Edukację i kulturę: Szkolenie personelu oraz budowanie zaufania, by pracownicy nie bali się zgłaszać incydentów, zanim informacja o nich trafi do mediów.

• Analizę potrzeb: Przeprowadzenie ankiet wśród pracowników, aby zrozumieć, jakie procesy chcą automatyzować.

• Dostosowanie procedur: Stworzenie polityk zgodnych z RODO, DORA oraz nadchodzącym AI Act.

• Klasyfikację danych: Wprowadzenie jasnych poziomów poufności (Publiczne, Wewnętrzne, Wrażliwe, Top Secret), aby pracownicy wiedzieli, co mogą przetwarzać w czatach.

Podsumowanie

Walka ze zjawiskiem Shadow AI wymaga od zarządów firm nie restrykcyjnych zakazów, lecz aktywnego zapewnienia pracownikom bezpiecznych i autoryzowanych narzędzi, które nie wykorzystują poufnych danych do trenowania publicznych modeli. Kluczem do sukcesu jest połączenie rzetelnej analizy potrzeb pracowników, wdrożenia technologii ochronnych typu DLP oraz budowania kultury organizacyjnej opartej na edukacji i otwartości w zgłaszaniu ewentualnych incydentów. Tylko poprzez jasną klasyfikację informacji i zapewnienie narzędzi gwarantujących pełną rozliczalność, organizacje mogą bezpiecznie wykorzystywać potencjał sztucznej inteligencji, pozostając w pełnej zgodzie z regulacjami takimi jak RODO, DORA czy nadchodzący AI Act.