AI jest już w Twojej firmie. Pytanie nie brzmi “czy”, tylko “czy wiesz, gdzie i na jakich danych”. Bo w większości firm nikt tego nie kontroluje.
Twoi ludzie już używają AI
Z badania ESET/DAGMA “Cyberportret 2026” (1026 osób) wynika, że 62% pracowników używa AI w pracy. Ale tylko 27% firm spisało zasady korzystania z tych narzędzi, a jedynie 25% w jakikolwiek sposób monitoruje wyciek danych do modeli AI.
Innymi słowy: dwie trzecie ludzi wkleja firmowe treści do ChatGPT, Gemini czy Copilota, a trzy czwarte organizacji nie ma nawet spisanej reguły, co wolno, a czego nie. To nie jest przyszłe ryzyko. To dzieje się teraz, codziennie, poza jakąkolwiek kontrolą. Nazywa się to shadow AI: użycie narzędzi AI bez wiedzy i zgody działu IT czy bezpieczeństwa.
Bariera numer jeden to nie technologia, to strach
Firmy to czują. Badanie PARP i Uniwersytetu Jagiellońskiego na próbie 1822 pracodawców pokazuje, że bezpieczeństwo i prywatność danych to najczęstsza bariera wdrażania AI: wskazuje ją 65% firm. Wśród organizacji, które już AI używają, 47% obawia się wycieku danych.
A jednocześnie kompleksowe procedury bezpieczeństwa ma tylko 41% z nich.
Zestaw te liczby obok siebie:
65% firm boi się o bezpieczeństwo danych. 47% już używających AI boi się wycieku. Ale mniej niż połowa ma kompletne procedury, a tylko co czwarta spisała zasady użycia AI.
To jest luka governance. Strach jest realny i powszechny, ale odpowiedź na niego, czyli konkretne procedury i architektura, jest w mniejszości.
Dlaczego sam zakaz nie działa
Naturalny odruch zarządu brzmi: “to zablokujmy AI”. Problem w tym, że zakaz nie usuwa użycia, tylko spycha je do podziemia. Pracownik, który ma dostarczyć wynik, i tak wklei dokument do narzędzia na prywatnym koncie, z prywatnego telefonu, poza logami firmy. Zakaz bez alternatywy produkuje dokładnie to, czego miał uniknąć: shadow AI, tyle że niewidoczne.
Skoro 62% już używa, realny wybór nie jest między “AI” a “brak AI”. Jest między AI kontrolowanym a AI niekontrolowanym.
Dlaczego sam produkt też nie wystarczy
Druga pokusa to kupić narzędzie i uznać temat za zamknięty. Ale wniosek z danych ESET jest jednoznaczny: sam produkt bez procedur nie zamyka problemu. Najlepsze narzędzie do anonimizacji czy prywatny model nic nie dadzą, jeśli nikt nie ustalił, kiedy się ich używa, kto odpowiada za dane i jak wygląda proces.
Działa dopiero para: narzędzie plus zasady. Technologia, która egzekwuje politykę, i polityka, którą technologia potrafi wyegzekwować.
Governance przez architekturę
Najskuteczniejsza governance nie jest zapisana w PDF-ie, którego nikt nie czyta. Jest wbudowana w to, jak dane przepływają. To podejście governance przez architekturę:
- Dane fizycznie nie wychodzą. Wrażliwe treści są przetwarzane lokalnie albo w środowisku pod kontrolą firmy, nie na cudzej chmurze.
- PII zdejmowane przed AI. Dane osobowe i tajemnice są usuwane lub pseudonimizowane, zanim cokolwiek trafi do modelu.
- Model tam, gdzie dane. Zamiast wysyłać dane do modelu, model działa przy danych, na warunkach organizacji.
Przy takim ustawieniu zgodność z RODO i AI Act nie jest obietnicą w regulaminie, tylko właściwością systemu. Wyciek jest trudny nie dlatego, że go zakazano, ale dlatego, że architektura go nie dopuszcza.
Od czego zacząć
Nie od dużego projektu, tylko od trzech ruchów:
- Zmierz shadow AI. Sprawdź, jakich narzędzi ludzie faktycznie używają i do czego. Zwykle jest tego więcej, niż zakłada zarząd.
- Spisz minimalne zasady. Jedna prosta reguła (co wolno, czego nie, z jakimi danymi) bije nieistniejący dziesięciostronicowy regulamin.
- Daj bezpieczną alternatywę. Ludzie porzucą shadow AI tylko wtedy, gdy dostaną legalną drogę, która jest równie wygodna.
Firmy, które robią te trzy rzeczy, przestają wybierać między produktywnością a bezpieczeństwem. Dostają jedno i drugie.
Shadow AI to zresztą tylko jedno z pięciu ryzyk, które warto mieć na radarze. Pozostałe cztery rozbieram w mapie największych ryzyk AI w firmie.
Chcesz sprawdzić, gdzie Twoja firma stoi z shadow AI i governance? Zrób darmowy self-check w 2 minuty albo napisz do mnie, zrobimy krótki audyt.