Ponad połowa pracowników korzystających z narzędzi AI nie informuje o tym pracodawcy – wynika z danych przytoczonych w komunikacie Urzędu Ochrony Danych Osobowych z czerwca 2026 r. Tymczasem 28 października 2026 r. wchodzą w życie kolejne przepisy dotyczące krajowego nadzoru nad sztuczną inteligencją. Dla firm wyzwaniem staje się nie tylko przestrzeganie nowych regulacji, ale przede wszystkim ustalenie, gdzie pracownicy wykorzystują AI, jakie dane przekazują do tych narzędzi i jak ich wyniki wpływają na decyzje biznesowe.
Shadow AI. Gdy pracownik sam decyduje, jakie dane przekazać sztucznej inteligencji
Pracownik działu HR wykorzystuje ogólnodostępne narzędzie AI do porównania CV kandydatów. W dziale zakupów chatbot pomaga przeanalizować umowę z dostawcą, a w finansach – przygotować zestawienie na podstawie firmowych danych. Takie rozwiązania mogą oszczędzać czas, ale nie zawsze są wykorzystywane za wiedzą pracodawcy. W efekcie poufne informacje mogą trafiać do zewnętrznych narzędzi, nad którymi firma nie sprawuje kontroli.
Zjawisko to określa się mianem Shadow AI, czyli korzystania ze sztucznej inteligencji poza wiedzą lub odpowiednim nadzorem organizacji. Jak wynika z informacji opublikowanych przez Urząd Ochrony Danych Osobowych w czerwcu 2026 r., 54 proc. pracowników korzystających z narzędzi AI nie informuje o tym swoich pracodawców. Nie oznacza to automatycznie naruszenia bezpieczeństwa, ale pokazuje, jak trudno firmom kontrolować rzeczywisty sposób wykorzystania technologii.
– Zakaz korzystania z niezatwierdzonych narzędzi AI nie rozwiąże problemu, jeśli pracownicy nadal będą potrzebowali sposobu na szybsze wykonywanie swoich obowiązków. Shadow AI bywa sygnałem, że oficjalne procesy nie nadążają za potrzebami zespołów. Zamiast koncentrować się wyłącznie na ograniczeniach, warto sprawdzić, które oddolne zastosowania rzeczywiście przynoszą korzyści i mogą zostać bezpiecznie włączone do sposobu działania organizacji – wskazuje dr Przemysław Sołdacki, CEO AMODIT, specjalizujący się w digitalizacji i automatyzacji procesów biznesowych.
AI Act a Shadow AI. Jakie obowiązki mają przedsiębiorstwa?
Polska ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji weszła zasadniczo w życie 11 sierpnia. Od 28 października zaczną obowiązywać kolejne jej przepisy, dotyczące m.in. krajowego systemu nadzoru nad AI, kontroli i administracyjnych kar pieniężnych. To kolejny etap wdrażania krajowych mechanizmów nadzoru związanych z unijnym AI Act.
Nie każda firma korzystająca ze sztucznej inteligencji podlega jednak identycznym wymaganiom. Zakres obowiązków zależy m.in. od rodzaju systemu, jego przeznaczenia i roli przedsiębiorstwa. Samo korzystanie z niezatwierdzonego narzędzia nie oznacza automatycznie naruszenia AI Act.
Dla zarządów równie istotne jak zgodność z przepisami jest ograniczanie ryzyka biznesowego. Jeśli AI uczestniczy w realizacji procesu, firma powinna wiedzieć, jakie konsekwencje może mieć błędny wynik, kto odpowiada za jego weryfikację i jak można zapobiec podjęciu niewłaściwej decyzji.
Jedno błędne podsumowanie może zmienić decyzję biznesową
Wyobraźmy sobie sytuację w dziale zakupów. Pracownik wykorzystuje AI do porównania kilkunastu ofert dostawców. Narzędzie pomija w podsumowaniu zapis ograniczający odpowiedzialność jednego z nich za opóźnienia. Na podstawie niezweryfikowanego zestawienia firma wybiera ofertę i akceptuje niekorzystne warunki umowy.
Ten hipotetyczny przykład pokazuje, że problemem nie jest wyłącznie możliwość popełnienia błędu przez AI, lecz także brak mechanizmów pozwalających wychwycić go przed podjęciem decyzji.
Podobne ryzyka występują w HR czy finansach. Unijny AI Act przewiduje szczególne wymagania dla określonych systemów wysokiego ryzyka, m.in. wykorzystywanych w rekrutacji i niektórych decyzjach dotyczących zatrudnienia. Nie każde użycie chatbota oznacza jednak automatycznie zastosowanie systemu wysokiego ryzyka. Kluczowe są przeznaczenie narzędzia i sposób jego wykorzystania.
– Nie każda czynność wykonana przez AI wymaga ręcznego zatwierdzenia. Jeśli jednak wynik działania systemu może wpłynąć na zobowiązanie firmy, decyzję finansową czy sytuację pracownika, trzeba jasno określić, gdzie kończy się automatyzacja, a zaczyna odpowiedzialność człowieka. Największe ryzyko powstaje wtedy, gdy rekomendacja AI staje się podstawą decyzji, choć nikt nie sprawdził informacji, na których została oparta – podkreśla dr Przemysław Sołdacki.
Kontrola nad AI zaczyna się od rzeczywistego przebiegu pracy
Przedsiębiorstwa nie muszą zaczynać od tworzenia kolejnych rozbudowanych regulaminów. Pierwszym krokiem powinno być sprawdzenie, w których procesach wykorzystywana jest sztuczna inteligencja i jakie ryzyko wiąże się z jej zastosowaniem. Na tej podstawie można określić, jakie dane wolno przekazywać do narzędzi AI, które czynności mogą być automatyzowane i kiedy konieczna jest dodatkowa kontrola.
Istotne jest również zarządzanie uprawnieniami. Sam dostęp pracownika do firmowego dokumentu nie oznacza, że może on przekazać jego treść do dowolnego narzędzia AI. W procesach o większym znaczeniu biznesowym warto także zapewnić możliwość ustalenia, jakie informacje wykorzystano, kto zweryfikował wynik i kto zatwierdził ostateczną decyzję.
Największym zagrożeniem nie jest samo korzystanie z AI, lecz brak wiedzy o tym, gdzie technologia wpływa na działalność firmy. Bez odpowiedniego nadzoru organizacja może poznać rzeczywistą skalę jej wykorzystania dopiero podczas wyjaśniania błędu, incydentu lub niekorzystnej decyzji biznesowej.
Źródła:
- Urząd Ochrony Danych Osobowych, komunikat dotyczący konferencji AI & MEDTECH CEE 2026, 10 czerwca 2026 r.: https://uodo.gov.pl/pl/138/4422
- Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 2026 r., poz. 1003: https://eli.gov.pl/eli/DU/2026/1003
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act): https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- National Institute of Standards and Technology (NIST), Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023: https://www.nist.gov/itl/ai-risk-management-framework