Ponad połowa pracowników korzysta z AI bez wiedzy szefów, polska aplikacja ma to zmienić

Ponad połowa pracowników w Polsce wkleja dane firmowe do publicznych narzędzi AI i nie mówi o tym nikomu w pracy. Zastępca prezesa Urzędu Ochrony Danych Osobowych alarmuje, że problem wymyka się spod kontroli szybciej, niż firmy nadążają z regulaminami. Odpowiedzią ma być polska aplikacja Anonimizer, która maskuje wrażliwe dane, zanim dokument w ogóle opuści komputer pracownika.

Skala niekontrolowanego użycia

Zjawisko określane jako shadow AI polega na tym, że pracownicy sięgają po chatboty i generatory bez wiedzy działu IT czy przełożonych. Wklejają do nich fragmenty umów, dane kontrahentów, CV kandydatów czy wewnętrzną korespondencję, licząc na szybszą analizę lub gotowy tekst. Problem w tym, że nikt w organizacji nie wie, gdzie te dane trafiają dalej ani czy są wykorzystywane do trenowania modeli.

Zastępca prezesa UODO Konrad Komornicki przywołuje dane, według których 54 procent pracowników korzystających z narzędzi AI nie informuje o tym swoich pracodawców. To oznacza, że w większości firm decyzje o tym, jakie dane trafiają do zewnętrznych systemów, zapadają faktycznie na poziomie pojedynczego stanowiska pracy, a nie polityki bezpieczeństwa całej organizacji.

Dlaczego to problem z RODO

Wklejenie nieoczyszczonego dokumentu do publicznego modelu AI może oznaczać przekazanie danych osobowych podmiotowi, z którym firma nie ma podpisanej umowy powierzenia przetwarzania wymaganej przez RODO. Jeśli w dokumencie znajdują się dane klientów, pracowników albo tajemnice handlowe, organizacja traci nad nimi kontrolę w momencie kliknięcia przycisku wysyłania. Konsekwencje sięgają dalej niż wizerunkowa wpadka: RODO przewiduje kary do 20 milionów euro albo 4 procent globalnego rocznego obrotu firmy, w zależności od tego, która kwota jest wyższa.

Jeżeli do narzędzia trafia nieoczyszczona umowa, dokument procesowy albo korespondencja zawierająca dane osobowe i tajemnicę przedsiębiorstwa, organizacja może stracić kontrolę nad informacją - Paweł Sokołowski, radca prawny, kancelaria IT Legal

75 procent firm bez eksperta

Z danych przywołanych w artykule wynika, że 75 procent organizacji nie dysponuje osobą przygotowaną do rozmowy z regulatorem na temat wykorzystania AI, a 89 procent firm nie ma realnego wglądu w to, jak pracownicy korzystają z tych narzędzi na co dzień. Aż 70 procent interakcji z AI odbywa się wprawdzie na sprzęcie służbowym, ale z prywatnych, niekontrolowanych przez firmę kont.

Wśród polskich małych i średnich firm 42 procent deklaruje plany inwestycji w AI, ale dokładnie tyle samo, również 42 procent, wskazuje bezpieczeństwo danych jako swoją główną obawę. Te dwie liczby pokazują, że firmy chcą korzystać z AI, ale nie wiedzą, jak zrobić to bezpiecznie, więc pracownicy najczęściej rozwiązują ten dylemat sami, po cichu.

Jak działa Anonimizer

Odpowiedzią na ten problem ma być Anonimizer, polska aplikacja stworzona przez Wojciecha Chmiela i Jakuba Dolatę. Narzędzie działa lokalnie na komputerze użytkownika, jeszcze przed wysłaniem dokumentu do zewnętrznego modelu AI. System automatycznie wykrywa dane wrażliwe w tekście, maskuje je, a użytkownik widzi oznaczone fragmenty i może je zatwierdzić, odrzucić albo poprawić ręcznie.

Kluczowa różnica w porównaniu z typowymi filtrami korporacyjnymi polega na tym, że oryginalny plik nigdy nie opuszcza urządzenia w formie nieprzetworzonej, a odtworzenie zamaskowanych danych, czyli deanonimizacja odpowiedzi z AI, również odbywa się lokalnie. Do modelu trafia więc wyłącznie wersja pozbawiona danych osobowych i tajemnic firmowych.

Prawnicy podkreślają, że samo narzędzie techniczne nie zastąpi jednak polityki wewnętrznej. Karol Sikorski, prezes Wielkopolskiej Izby Gospodarczej, zwraca uwagę, że firmy potrzebują jasnych zasad postępowania, a nie tylko oprogramowania.

Firmy potrzebują prostych zasad: czego nie wolno wklejać do AI, które dane trzeba usunąć, kto odpowiada za weryfikację wyniku i kiedy konieczna jest konsultacja prawna albo techniczna - Karol Sikorski, prezes Wielkopolskiej Izby Gospodarczej

Co to oznacza dla polskich firm

Dla działów prawnych i IT w Polsce sygnał jest jasny: zakaz używania AI w regulaminie pracy nie rozwiązuje problemu, skoro ponad połowa pracowników i tak korzysta z tych narzędzi bez pytania o zgodę. Skuteczniejsze okazuje się połączenie technicznego zabezpieczenia, takiego jak maskowanie danych przed wysyłką, z prostą, zrozumiałą procedurą, która mówi wprost, jakie dokumenty są objęte zakazem.

UODO zapowiada też większy nacisk na edukację, skoro aż 91 procent respondentów badania chciało otrzymywać od regulatora materiały wyjaśniające zasady korzystania z AI w kontekście ochrony danych. To sugeruje, że urząd zamierza w najbliższych miesiącach częściej publikować wytyczne branżowe, zamiast czekać na pierwsze kontrole i kary.