10 proc. pracowników objętych badaniem ESET i DAGMA Bezpieczeństwo IT deklaruje, że udostępnia wrażliwe dane firmowe otwartym modelom sztucznej inteligencji – wynika z raportu „Cyberportret polskiego biznesu 2026”. Badanie objęło osoby pracujące przy komputerze co najmniej trzy dni w tygodniu. Korzystanie z AI bez wiedzy lub zgody pracodawcy, określane jako Shadow AI, może wiązać się nie tylko z ryzykiem ujawnienia poufnych informacji, ale również z dodatkowymi kosztami dla przedsiębiorstwa. Gdzie mogą powstawać takie straty?
Niezatwierdzone narzędzia AI mogą generować realne straty
Prognozy sprzedaży, analizy finansowe czy prezentacje dla zarządu – sztuczna inteligencja może znacznie przyspieszyć ich przygotowanie. Jeśli jednak pracownik wykorzystuje niezatwierdzone narzędzie i przekazuje mu poufne informacje, pojawia się ryzyko, którego firma może nawet nie być świadoma.
Z tego samego raportu wynika, że 35 proc. użytkowników AI deklaruje, iż próbowałoby obejść firmowe blokady dostępu do preferowanych narzędzi, gdyby pracodawca je wprowadził. Nie oznacza to, że rzeczywiście obchodzą obowiązujące zasady, ale pokazuje, dlaczego samo ograniczenie dostępu do wybranych aplikacji może nie wystarczyć.
Ryzyko pojawia się również wtedy, gdy organizacja nie określiła, jakie informacje wolno przekazywać zewnętrznym narzędziom AI. Wprowadzenie do modelu danych o klientach, warunkach kontraktów czy planowanych transakcjach może oznaczać udostępnienie informacji poza środowisko kontrolowane przez przedsiębiorstwo. Konsekwencje zależą od rodzaju danych, konfiguracji narzędzia i zasad ich przetwarzania.
– Najbardziej kosztowne zastosowania AI nie zawsze są tymi, za które firma płaci najwięcej. Znacznie większym problemem może okazać się wykorzystanie niezatwierdzonego narzędzia do pracy na poufnych informacjach. Wtedy pozorna oszczędność czasu może prowadzić do strat, których wcześniej nikt nie uwzględnił – wyjaśnia dr Przemysław Sołdacki, CEO AMODIT, specjalizujący się w digitalizacji i automatyzacji procesów biznesowych.
Błędna prognoza to także koszt
Wyobraźmy sobie hipotetyczną sytuację: pracownik działu sprzedaży wykorzystuje niezatwierdzone narzędzie AI do przygotowania prognozy na kolejny kwartał. Przekazuje mu dane o klientach, marżach i planowanych kontraktach. Otrzymana analiza sugeruje wzrost przychodów, ale nie uwzględnia opóźnienia jednej z dużych umów. Firma zwiększa zakupy lub zatrudnienie, a później okazuje się, że prognoza była zbyt optymistyczna.
Ten przykład pokazuje dwa odrębne zagrożenia. Pierwsze dotyczy bezpieczeństwa informacji przekazywanych do niezatwierdzonego narzędzia. Drugie wiąże się z podejmowaniem decyzji na podstawie niezweryfikowanych analiz. Ten drugi problem może wystąpić również wtedy, gdy firma korzysta z oficjalnie wdrożonych systemów AI.
Koszty nie zawsze są od razu widoczne w firmowych raportach. Mogą obejmować czas potrzebny na ponowne przygotowanie dokumentacji, poprawienie błędnych analiz, a także konsekwencje decyzji podjętych na podstawie nieprawidłowych danych. W przypadku poważniejszych incydentów dochodzą również wydatki związane z wyjaśnieniem naruszenia bezpieczeństwa informacji. Dlatego oszczędność czasu na pojedynczym zadaniu nie musi oznaczać poprawy efektywności całego procesu.
Jak ograniczyć ryzyko i ukryte koszty AI?
Pierwszym krokiem jest ustalenie, w jakich procesach pracownicy wykorzystują AI, z jakich narzędzi korzystają i jakie informacje do nich przekazują. Szczególnej uwagi wymagają zadania związane z poufnymi dokumentami, analizą marż czy prognozowaniem sprzedaży.
Poziom kontroli powinien zależeć od ryzyka. Przygotowanie szkicu prezentacji to inna sytuacja niż analiza warunków umów czy rekomendowanie decyzji finansowych. W przypadku pracy z poufnymi informacjami przedsiębiorstwo powinno określić, jakie narzędzia są dopuszczone do użytku i jakie dane wolno do nich przekazywać. Gdy AI wspiera decyzje o istotnych skutkach finansowych, potrzebna jest również osoba odpowiedzialna za weryfikację wyników.
Warto także sprawdzać, czy AI rzeczywiście przynosi oszczędności. Pomocne może być porównanie czasu realizacji zadań przed zastosowaniem technologii i po jej wprowadzeniu, z uwzględnieniem liczby błędów oraz czasu potrzebnego na ich poprawienie.
– Największym wyzwaniem nie jest samo ustalenie, z jakich narzędzi AI mogą korzystać pracownicy, ale włączenie ich w sposób działania firmy. Jeśli analiza przygotowana przez AI staje się podstawą decyzji biznesowej, organizacja musi wiedzieć, kto zweryfikował jej wyniki i kto odpowiada za dalsze działania. Bez tego trudno ocenić zarówno rzeczywiste korzyści z technologii, jak i koszty ewentualnych błędów – podkreśla dr Przemysław Sołdacki.
Znaczenie mają również obowiązki prawne. Wymagania wynikające z AI Act zależą m.in. od roli przedsiębiorstwa, przeznaczenia systemu i kategorii ryzyka. Nie każde zastosowanie sztucznej inteligencji podlega takim samym obowiązkom. Z kolei RODO obowiązuje przy przetwarzaniu danych osobowych niezależnie od tego, czy firma korzysta z AI. Wykorzystanie nowych narzędzi wymaga więc również oceny, czy zapewniono odpowiednie bezpieczeństwo przetwarzanych informacji.
O rzeczywistej wartości AI dla przedsiębiorstwa nie decyduje liczba wygenerowanych analiz ani czas zaoszczędzony na pojedynczej czynności. Znaczenie ma to, czy technologia usprawnia cały proces, pomaga podejmować trafniejsze decyzje i nie generuje przy tym nieproporcjonalnych kosztów oraz ryzyka.
Źródła:
- ESET / DAGMA Bezpieczeństwo IT, „Cyberportret polskiego biznesu 2026”, badanie zrealizowane przez ARC Rynek i Opinia w marcu 2026 r., N=1026, CAWI:
https://www.eset.com/pl/about/newsroom/press-releases/news/co-trzeci-uzytkownik-ai-w-polskiej-firmie-obejdzie-zakaz-zeby-nie-rezygnowac-z-ulubionego-narzedzia-raport/ - Komisja Europejska, „AI Act – Regulatory Framework for Artificial Intelligence”:
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai - Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO):
https://eur-lex.europa.eu/eli/reg/2016/679/oj