AI może być obecna, zanim pojawi się projekt w budżecie
Pracownik otrzymuje długi dokument i chce szybko poznać jego najważniejsze punkty. Dodaje plik do aplikacji, z której korzysta prywatnie, a podsumowanie przekazuje przełożonemu. Z jego perspektywy to sposób na sprawniejsze wykonanie obowiązku. Z perspektywy organizacji powstają dodatkowe pytania: czy narzędzie było dopuszczone, czy wolno przetwarzać w nim ten materiał i czy ktoś sprawdził, czego brakuje w odpowiedzi.
Takie zastosowanie może nie pojawić się w rejestrze zakupów ani w projekcie IT. Dotyczy również funkcji AI wbudowanych w inne aplikacje, dodatków przeglądarkowych i usług do notatek ze spotkań. Dlatego ustalenie rzeczywistego użycia wymaga rozmowy o zadaniach, a nie wyłącznie o nazwach platform. Ten sam pracownik może korzystać z kilku usług i nie traktować ich jako jednej kategorii.
W raporcie KPMG o sztucznej inteligencji w Polsce opisano deklarowane zachowania użytkowników oraz ryzyka związane z oceną odpowiedzi. Badanie ankietowe nie pozwala rozpoznać stanu konkretnego przedsiębiorstwa. Jest jednak powodem, aby nie utożsamiać braku formalnej licencji z brakiem korzystania i sprawdzić, jak faktycznie powstają firmowe materiały.
Rozpoznaj zastosowania bez tworzenia atmosfery przesłuchania
Pierwsza rozmowa powinna dotyczyć tego, w czym AI pomaga i jakie materiały są wykorzystywane. Warto zapytać o dokumenty, wiadomości, spotkania i analizę danych. Użytkownik może pokazać przebieg pracy na przykładzie pozbawionym poufnych informacji. Dzięki temu firma poznaje zarówno użyteczne praktyki, jak i problemy, które skłaniają ludzi do sięgania po niezatwierdzone środowiska.
Jeżeli rozmowa zaczyna się od groźby konsekwencji, pracownicy mają mniej powodów, aby opisać sytuację. Trudniej wtedy ustalić, czego potrzebują i jaki sposób pracy należy zastąpić. Nie oznacza to rezygnacji z odpowiedzialności. Chodzi o oddzielenie rozpoznania stanu od decyzji dotyczących konkretnych naruszeń. Firma powinna jasno powiedzieć, po co zbiera informacje i jak je wykorzysta.
Użytecznym wynikiem diagnozy jest mapa zastosowań, danych i skutków działania. Pokazuje ona, gdzie AI przygotowuje jedynie roboczy materiał, a gdzie wynik trafia do klienta lub wpływa na decyzję. Dopiero taka wiedza pozwala dopasować zasady. Jedna ogólna instrukcja dla wszystkich przypadków może być zbyt restrykcyjna w prostych zadaniach i zbyt słaba tam, gdzie ryzyko jest duże.
Reguły powinny mówić, co zrobić w konkretnej sytuacji
Polityka korzystania z AI musi być zrozumiała dla osoby wykonującej zadanie. Powinna wyjaśniać, jakie narzędzie stosować, jakie materiały można dodać i jak postępować z odpowiedzią. Sama deklaracja odpowiedzialnego użycia jest zbyt ogólna. Pracownik potrzebuje rozpoznać, czy analizowany dokument należy do kategorii dopuszczonej i do kogo skierować pytanie w przypadku wątpliwości.
Pomagają krótkie przykłady związane z pracą działu. Inne zasady mogą dotyczyć publicznego opisu produktu, a inne wewnętrznego planu cenowego lub danych pracownika. Warto wskazać również, co zrobić, gdy aplikacja otrzymała materiał przez pomyłkę. Brak takiej ścieżki może prowadzić do ukrycia zdarzenia i utraty czasu potrzebnego na ocenę skutków.
Zasady powinny pozostawać dostępne w miejscu używanym przez zespół. Nowy pracownik nie może szukać ich w korespondencji sprzed kilku miesięcy. Potrzebna jest aktualna wersja i osoba odpowiedzialna za zmianę treści. Jeśli narzędzie dostaje nowe funkcje, trzeba ocenić, czy dotychczasowe uzgodnienia obejmują ich działanie, a następnie przekazać użytkownikom praktyczną informację.
Oceń narzędzie jako środowisko przetwarzania informacji
Firmy często pytają, czy wolno używać konkretnej marki aplikacji. Ważniejsze jest rozpoznanie rodzaju konta, konfiguracji i warunków przetwarzania. Dwa plany tej samej usługi mogą mieć różne możliwości zarządzania użytkownikami lub materiałami. Logo dostawcy nie odpowiada na pytanie o retencję danych, dostęp administracyjny, dalsze wykorzystanie treści i warunki zakończenia współpracy.
Przed zatwierdzeniem środowiska należy ustalić, kto ma dostęp do dodanych plików i rozmów, jakie integracje mogą je odczytać oraz jak usuwa się konto. Warto sprawdzić również zasady udostępniania linków. Materiał może zostać przygotowany w dopuszczonym systemie, a następnie nieprawidłowo udostępniony. Ocena powinna więc obejmować cały obieg, a nie tylko etap generowania odpowiedzi.
Pomocne są ramy zarządzania ryzykiem generatywnej AI NIST. To dobrowolne wytyczne, które mogą wspierać organizację pracy, ale nie zastępują analizy prawnej. Dopuszczenie aplikacji powinno dotyczyć określonych zastosowań i danych, a nie stanowić nieograniczonej zgody na każdą funkcję platformy.
Dane osobowe wymagają oceny celu i odpowiedzialności
Przetwarzanie informacji o osobach w systemie AI nie staje się automatycznie zgodne z prawem po usunięciu nazwiska. Treść dokumentu może zawierać inne dane pozwalające rozpoznać człowieka. Z drugiej strony nie każdy dokument z danymi osobowymi oznacza całkowity zakaz wykorzystania technologii. Znaczenie mają cel, podstawa przetwarzania, zakres informacji, role podmiotów i warunki użycia systemu.
W opinii EDPB 28/2024 dotyczącej modeli AI omówiono między innymi kwestie anonimowości i podstaw prawnych. To źródło interpretacyjne, które pokazuje potrzebę analizy konkretnego przypadku. Nie należy na jego podstawie formułować jednej obietnicy zgodności dla wszystkich narzędzi, klientów i procesów przedsiębiorstwa.
W praktyce osoba odpowiedzialna za ochronę danych powinna uczestniczyć w decyzjach o zastosowaniach obejmujących takie informacje. Może pomóc określić wymagania, zamiast oceniać gotowy projekt dopiero po zakupie. Współpraca z zespołem operacyjnym pozwala również zauważyć, że część danych nie jest potrzebna do zadania i może zostać wyłączona przed przetwarzaniem.
Kontrola wyniku musi mieć określony zakres
Polecenie „sprawdź odpowiedź” niewiele mówi pracownikowi, który nie zna materiału źródłowego. Potrzebuje wiedzieć, jakie elementy mogą być błędne i według czego je porównać. W ofercie będą to parametry, cena i warunki. W podsumowaniu dokumentu zakres zobowiązań i wyjątki. W zestawieniu liczbowym źródło danych, jednostki i sposób obliczenia.
Im poważniejsza konsekwencja, tym bardziej konkretna powinna być kontrola. Treść wysłana klientowi może tworzyć oczekiwania, których firma nie zamierzała przyjąć. Analiza wykorzystana w decyzji kadrowej lub finansowej wymaga innych kompetencji niż korekta stylu. Należy też ustalić, czy pracownik ma uprawnienie do zatwierdzenia, czy musi przekazać materiał dalej.
Weryfikacja człowieka działa wtedy, gdy osoba sprawdzająca ma wiedzę, źródła i czas na ocenę. Samo kliknięcie akceptacji nie dowodzi, że te warunki istnieją. Przy wdrażaniu trzeba uwzględnić koszt tej pracy i możliwość odrzucenia wyniku. Jeśli organizacja wymaga zatwierdzania bardzo wielu odpowiedzi w krótkim czasie, procedura może stać się formalnością.
Oddziel tworzenie propozycji od wykonywania działania
Narzędzie, które przygotowuje szkic wiadomości, i narzędzie, które samodzielnie ją wysyła, mają inny zakres odpowiedzialności. Podobnie jest z propozycją zmiany danych w CRM i rzeczywistym zapisem. Firma powinna wiedzieć, w którym momencie wynik modelu zaczyna oddziaływać na klienta, dokumentację lub system. To istotna granica przy projektowaniu kontroli.
W pierwszych zastosowaniach można pozostawić wykonanie działania po stronie pracownika. Model wspiera analizę, lecz decyzja przechodzi przez człowieka. Jeśli później zakres zostanie rozszerzony, potrzebne są dodatkowe uzgodnienia dotyczące uprawnień, logów i obsługi błędów. Nie powinno się traktować takiej zmiany jako zwykłego włączenia kolejnej opcji w konfiguracji.
Dostęp do narzędzi warto ograniczać do czynności potrzebnych w danym zadaniu. Jeżeli asystent wyszukuje instrukcje, nie musi mieć prawa zmiany rekordów klienta. Jeżeli przygotowuje szkic, nie potrzebuje wysyłać korespondencji. Taki podział ułatwia użytkownikom zrozumienie granic i ogranicza skutki błędnej interpretacji treści lub nieprawidłowego użycia integracji.
Kompetencje AI są częścią zarządzania ryzykiem
Pracownik powinien rozumieć, dlaczego określone zasady obowiązują. Wiedza o możliwym błędzie lub ujawnieniu informacji pozwala lepiej ocenić nową sytuację niż lista zakazów. Szkolenie warto oprzeć na typowych zadaniach firmy, wraz z materiałami, które można i których nie można używać. Powinno pokazywać również ścieżkę uzyskania odpowiedzi na pytanie.
Wyjaśnienia Komisji Europejskiej dotyczące AI literacy odnoszą rozwój kompetencji do roli organizacji i kontekstu użycia systemów. Program edukacyjny musi więc uwzględniać faktyczne zastosowania. Ukończenie kursu nie zastępuje pozostałych obowiązków wynikających z prawa, podobnie jak podpisanie polityki nie dowodzi opanowania praktycznych umiejętności.
W organizacji można połączyć wspólną część dotyczącą danych z ćwiczeniami dla poszczególnych działów. Szkolenie AI Safe jest przykładem oferty skierowanej na bezpieczne korzystanie. Dobór programu powinien wynikać z rozpoznanych zachowań i potrzeb. Przydatnym rezultatem jest umiejętność rozpoznania przypadku wymagającego przerwania pracy lub konsultacji.
Ustal, jak firma reaguje na pomyłkę
Sytuacja, w której pracownik dodał niewłaściwy plik albo wysłał niesprawdzoną odpowiedź, wymaga szybkiego przekazania informacji. Zespół powinien wiedzieć, do kogo zgłosić zdarzenie i jakie dane o nim zachować. Użytkownik nie zawsze potrafi sam określić skalę problemu. Dlatego procedura nie powinna wymagać od niego gotowej oceny prawnej lub technicznej.
Reakcja zależy od rodzaju zdarzenia. Czasem wystarczy poprawić dokument i poinformować odbiorcę. Innym razem potrzebna jest ocena bezpieczeństwa i ochrony danych. Nie należy automatycznie przypisywać wszystkim pomyłkom tej samej kategorii. Ważne jest zachowanie materiałów umożliwiających ustalenie, co przetworzono, kto miał dostęp i jakie działanie wykonano.
Po rozwiązaniu sprawy trzeba wrócić do przyczyny. Czy zasada była niejasna, narzędzie miało zbyt szerokie uprawnienia, a może pracownik nie dysponował potrzebnym dokumentem? Obsługa błędu powinna kończyć się poprawą sposobu pracy, jeśli problem może wystąpić ponownie. Samo przypomnienie o ostrożności nie naprawi wadliwej konfiguracji ani braku informacji.
Dostęp do AI powinien kończyć się wraz ze zmianą roli
Pracownik może mieć dostęp do firmowej bazy wiedzy przez aplikację, integrację i udostępniony folder. Gdy zmienia dział lub kończy współpracę, odebranie jednego konta nie zawsze usuwa pozostałe drogi. Warto uwzględnić AI w istniejącym procesie nadawania i odbierania uprawnień. Dotyczy to także współpracowników zewnętrznych, którzy otrzymali dostęp na czas projektu lub przygotowania materiałów.
Trzeba ustalić, które zasoby należą do organizacji. Instrukcje, pliki i konfiguracje przechowywane wyłącznie na prywatnym koncie mogą być niedostępne dla następnej osoby. Również historia odpowiedzi nie powinna automatycznie stawać się ogólnodostępną bazą. Może zawierać informacje z różnych spraw i klientów. Przejęcie materiałów wymaga rozpoznania ich charakteru oraz odpowiedniego zakresu dostępu.
Warto sprawdzić także aplikacje dodawane do konta przez użytkownika. Integracja może uzyskać odczyt dokumentów, choć sama firma zatwierdziła tylko podstawową usługę. Zespół potrzebuje wiedzieć, kto dopuszcza takie połączenia i jak usuwa niepotrzebne. Możliwość szybkiego uruchomienia funkcji nie oznacza, że jej wpływ na informacje i uprawnienia jest niewielki.
Zarządzanie dostępem nie wymaga tworzenia nieograniczonego nadzoru nad pracownikami. Firma powinna określić cel i zakres rejestrowania zdarzeń, a także to, kto może je analizować. W niektórych sprawach wystarczy wiedza o użytym źródle i wykonanej operacji, bez udostępniania całej treści każdej rozmowy. Zasady kontroli muszą uwzględniać również ochronę informacji znajdujących się w samych logach.
Uprawnienia, własność materiałów i możliwość odebrania dostępu są równie ważne jak instrukcja korzystania z modelu. Dzięki nim polityka działa przy zmianach kadrowych i organizacyjnych, a nie tylko w chwili podpisania dokumentu przez obecny zespół.
Zasady trzeba utrzymywać razem z rozwojem zastosowań
Lista dopuszczonych systemów wymaga właściciela i okresowego przeglądu. Narzędzia zmieniają funkcje, warunki współpracy i dostępne integracje. Zespół rozpoczyna pracę z innymi materiałami, a nowy dział wykorzystuje wynik w dodatkowym celu. Aktualizacja powinna uwzględniać takie zmiany i informować użytkowników, co konkretnie wpływa na ich czynności.
Warto zbierać informacje o zastosowaniach, które pracownicy chcieliby dodać. Firma może ocenić je przed uruchomieniem i wskazać bezpieczniejszy sposób. Pozwala to wykorzystać inicjatywę zespołu bez pozostawiania wszystkich decyzji indywidualnym użytkownikom. Potrzebna jest przewidywalna ścieżka, z terminem odpowiedzi i osobą odpowiedzialną za rozstrzygnięcie.
Przy szerszych zastosowaniach pomocne może być doradztwo dotyczące AI w organizacji. Rozmowa powinna zacząć się od istniejącej pracy, nie od uniwersalnego wzoru polityki. Pierwszym krokiem do kontroli jest ustalenie, jakie informacje trafiają do narzędzi i jakie decyzje wynikają z ich odpowiedzi. Na tej podstawie można tworzyć zasady, które zespół potrafi stosować.
Bibliografia
- KPMG, „Sztuczna inteligencja w Polsce. Krajobraz pełen paradoksów”, 2025.
- NIST, „Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile”, 2024.
- EDPB, „Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models”, 2024.
- Komisja Europejska, „AI Literacy: Questions & Answers”, dostęp 12 października 2026 r.