Według danych, na które powołał się Urząd Ochrony Danych Osobowych w czerwcowym komunikacie, więcej niż co drugi pracownik używający narzędzi AI nie mówi o tym swojemu pracodawcy. Jednocześnie 28 października 2026 r. zaczynają obowiązywać kolejne przepisy regulujące krajowy nadzór nad sztuczną inteligencją. Przed firmami stoi więc nie tylko zadanie dostosowania się do nowego prawa, lecz przede wszystkim ustalenia, w jakich miejscach pracownicy sięgają po AI, jakie informacje wprowadzają do tych narzędzi i w jakim stopniu wygenerowane wyniki wpływają na decyzje biznesowe.
Czym jest Shadow AI i dlaczego stanowi ryzyko dla firm?
Rekruterka porównuje życiorysy kandydatów za pomocą publicznie dostępnego narzędzia AI. Specjalista ds. zakupów prosi chatbota o analizę umowy z dostawcą, a księgowy przygotowuje z jego pomocą raport oparty na wewnętrznych danych firmy. Takie praktyki pozwalają zaoszczędzić czas, jednak często odbywają się bez wiedzy przełożonych. Skutek bywa taki, że poufne dane trafiają do zewnętrznych systemów, nad którymi organizacja nie ma żadnej kontroli.
To właśnie Shadow AI, czyli wykorzystywanie sztucznej inteligencji bez wiedzy firmy lub poza jej nadzorem. Z danych opublikowanych przez UODO w czerwcu 2026 r. wynika, że aż 54 proc. pracowników używających narzędzi AI nie zgłasza tego pracodawcy. Nie musi to od razu oznaczać incydentu bezpieczeństwa, ale dobrze ilustruje, jak trudno przedsiębiorstwom zapanować nad tym, w jaki sposób technologia jest faktycznie wykorzystywana.
Zakaz korzystania z niezatwierdzonych narzędzi AI nie rozwiąże problemu, jeśli pracownicy nadal będą potrzebowali sposobu na szybsze wykonywanie swoich obowiązków. Shadow AI bywa sygnałem, że oficjalne procesy nie nadążają za potrzebami zespołów. Zamiast koncentrować się wyłącznie na ograniczeniach, warto sprawdzić, które oddolne zastosowania rzeczywiście przynoszą korzyści i mogą zostać bezpiecznie włączone do sposobu działania organizacji – wskazuje dr Przemysław Sołdacki, CEO AMODIT, specjalizujący się w digitalizacji i automatyzacji procesów biznesowych.
Ustawa o systemach sztucznej inteligencji i AI Act. Co zmienia się 28 października?
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji obowiązuje w większości od 11 sierpnia. 28 października wchodzą w życie jej dalsze przepisy, dotyczące m.in. krajowego systemu nadzoru nad AI, przeprowadzania kontroli oraz nakładania administracyjnych kar pieniężnych. To następny krok we wdrażaniu w Polsce mechanizmów nadzorczych wynikających z unijnego rozporządzenia AI Act.
Wymagania nie są jednak takie same dla wszystkich firm, które korzystają ze sztucznej inteligencji. O zakresie obowiązków decydują m.in. typ systemu, cel, w jakim jest używany, oraz rola, jaką pełni dane przedsiębiorstwo. Samo sięgnięcie przez pracownika po niezatwierdzone narzędzie nie jest więc równoznaczne z naruszeniem AI Act.
Z perspektywy zarządu równie ważne jak spełnienie wymogów prawnych jest ograniczenie ryzyka biznesowego. Jeżeli AI bierze udział w jakimkolwiek procesie, organizacja powinna wiedzieć, do czego może doprowadzić błędny wynik, kto ma obowiązek go sprawdzić i w jaki sposób uniknąć podjęcia złej decyzji.
Błąd AI w podsumowaniu może kosztować firmę
Weźmy przykład z działu zakupów. Pracownik prosi narzędzie AI o zestawienie kilkunastu ofert od dostawców. W podsumowaniu brakuje jednak klauzuli, w której jeden z kontrahentów ogranicza swoją odpowiedzialność za opóźnienia. Firma, opierając się na niesprawdzonym zestawieniu, wybiera tę ofertę i godzi się na niekorzystne warunki.
Ten hipotetyczny scenariusz pokazuje, że kłopotem jest nie tylko to, że AI może się pomylić, ale również brak procedur, które pozwoliłyby wychwycić pomyłkę, zanim zapadnie decyzja.
Z podobnymi zagrożeniami trzeba się liczyć w działach HR i finansów. AI Act nakłada szczególne obowiązki na niektóre systemy wysokiego ryzyka, w tym na te stosowane w rekrutacji i przy części decyzji związanych z zatrudnieniem. Nie każde skorzystanie z chatbota oznacza jednak użycie systemu wysokiego ryzyka. Decydujące znaczenie mają cel narzędzia i sposób, w jaki się go wykorzystuje.
Nie każda czynność wykonana przez AI wymaga ręcznego zatwierdzenia. Jeśli jednak wynik działania systemu może wpłynąć na zobowiązanie firmy, decyzję finansową czy sytuację pracownika, trzeba jasno określić, gdzie kończy się automatyzacja, a zaczyna odpowiedzialność człowieka. Największe ryzyko powstaje wtedy, gdy rekomendacja AI staje się podstawą decyzji, choć nikt nie sprawdził informacji, na których została oparta – podkreśla dr Przemysław Sołdacki.
Jak kontrolować wykorzystanie AI w firmie?
Punktem wyjścia nie musi być pisanie kolejnych obszernych regulaminów. Najpierw warto ustalić, w których procesach pracownicy faktycznie korzystają ze sztucznej inteligencji i z jakim ryzykiem się to wiąże. Dopiero na tej podstawie można zdecydować, jakie dane mogą trafiać do narzędzi AI, które zadania wolno automatyzować i w jakich sytuacjach potrzebna jest dodatkowa weryfikacja.
Ważną rolę odgrywa także zarządzanie uprawnieniami. To, że pracownik ma dostęp do firmowego dokumentu, nie oznacza, że może wkleić jego treść do dowolnego narzędzia AI. W procesach o dużym znaczeniu dla biznesu warto też zadbać o możliwość odtworzenia, na jakich danych oparto wynik, kto go zweryfikował i kto zatwierdził ostateczną decyzję.
Najpoważniejszym zagrożeniem nie jest więc samo używanie AI, ale niewiedza o tym, w których obszarach technologia wpływa na funkcjonowanie firmy. Bez właściwego nadzoru organizacja może poznać prawdziwą skalę wykorzystania sztucznej inteligencji dopiero przy wyjaśnianiu błędu, incydentu lub nietrafionej decyzji biznesowej.
Źródła:
- Urząd Ochrony Danych Osobowych, komunikat dotyczący konferencji AI & MEDTECH CEE 2026, 10 czerwca 2026 r.: https://uodo.gov.pl/pl/138/4422
- Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 2026 r., poz. 1003: https://eli.gov.pl/eli/DU/2026/1003
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act): https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- National Institute of Standards and Technology (NIST), Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023: https://www.nist.gov/itl/ai-risk-management-framework
FAQ – najczęstsze pytania
Spis treści:
Co to jest Shadow AI?
Shadow AI to korzystanie przez pracowników z narzędzi sztucznej inteligencji bez wiedzy pracodawcy lub poza nadzorem organizacji. Przykładem jest wklejanie firmowych dokumentów, umów czy CV kandydatów do ogólnodostępnych chatbotów.
Dlaczego Shadow AI jest groźne dla firmy?
Największym ryzykiem jest utrata kontroli nad danymi. Poufne informacje mogą trafiać do zewnętrznych narzędzi, nad którymi firma nie ma kontroli. Dodatkowo niezweryfikowane wyniki AI mogą stać się podstawą błędnych decyzji biznesowych.
Ilu pracowników korzysta z AI bez wiedzy pracodawcy?
Według danych przytoczonych przez Urząd Ochrony Danych Osobowych w czerwcu 2026 r. 54 proc. pracowników korzystających z narzędzi AI nie informuje o tym pracodawcy.
Co zmienia się 28 października 2026 r.?
28 października 2026 r. wchodzą w życie kolejne przepisy ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji. Dotyczą one m.in. krajowego systemu nadzoru nad AI, kontroli oraz administracyjnych kar pieniężnych. Większość ustawy obowiązuje od 11 sierpnia 2026 r.
Czy korzystanie z niezatwierdzonego narzędzia AI narusza AI Act?
Nie automatycznie. Zakres obowiązków wynikających z AI Act zależy m.in. od rodzaju systemu, jego przeznaczenia i roli przedsiębiorstwa. Samo użycie niezatwierdzonego narzędzia nie przesądza o naruszeniu przepisów, ale może oznaczać ryzyko dla danych i decyzji firmy.
Czy chatbot używany w rekrutacji to system wysokiego ryzyka?
Nie zawsze. AI Act przewiduje szczególne wymagania dla systemów wysokiego ryzyka, m.in. wykorzystywanych w rekrutacji i niektórych decyzjach dotyczących zatrudnienia. O kwalifikacji decydują jednak przeznaczenie narzędzia i sposób jego użycia, a nie sam fakt korzystania z chatbota.
Czy wystarczy zakazać pracownikom korzystania z AI?
Sam zakaz zwykle nie rozwiązuje problemu, jeśli pracownicy nadal potrzebują szybszych narzędzi do pracy. Lepiej sprawdzić, które zastosowania AI przynoszą korzyści, i włączyć je do oficjalnych procesów z odpowiednimi zasadami bezpieczeństwa.
Od czego zacząć kontrolę nad AI w firmie?
Od ustalenia, w których procesach pracownicy faktycznie używają AI i jakie ryzyko się z tym wiąże. Na tej podstawie można określić, jakie dane wolno przekazywać do narzędzi AI, co można automatyzować, kto weryfikuje wyniki i kiedy potrzebna jest decyzja człowieka.
