Koniec z samowolką? Instrukcja dla bota

Tylko połowa firm opracowała politykę regulującą stosowanie AI. A chodzi o kwestie bezpieczeństwa, choć nie tylko – za rok wszystkie przedsiębiorstwa używające sztucznej inteligencji będą musiały wskazać, jakie narzędzia stosują i czy są one zgodne z wymogami UE.

Popularność systemów sztucznej inteligencji jest gigantyczna, podobnie jak różnorodność narzędzi, po które sięga biznes. Problem w tym, że często pracodawcy nie mają jakiejkolwiek kontroli ani nawet wiedzy, jaka technologia jest wykorzystywana, w jakich zadaniach, a nawet jakimi firmowymi danymi jest ona „karmiona”. O skali problemu mogą świadczyć dane z raportu KPMG: 69 proc. Polaków używa AI regularnie, ale tylko 29 proc. przeszło jakiekolwiek szkolenie w tym zakresie. Co więcej, niemal 90 proc. osób sięgających po AI w pracy wybiera ogólnodostępne narzędzia, a nie te – o ile takie w ogóle w firmie są – dostarczone przez pracodawcę.

Firmy mają problem z AI „w cieniu”

Statystyki pokazują, że używanie sztucznej inteligencji „w cieniu” (z ang. shadow AI) to rosnące wyzwanie. Badania dowodzą, że więcej niż co drugi respondent nad Wisłą, używając AI w pracy, nie ujawnia, że z niej korzysta. Problem jest tym większy, że jak dotąd, zaledwie połowa firm opracowała i wdrożyła wewnętrzną politykę regulującą stosowanie takich rozwiązań. Eksperci nie mają wątpliwości, że to będzie musiało się zmienić. Powód? Z jednej strony chodzi o kontrolę nad narzędziami i wykorzystaniem firmowych danych, a w konsekwencji zwiększenie bezpieczeństwa przedsiębiorstwa, zaś z drugiej – o wymóg regulacyjny. Już za rok wszystkie przedsiębiorstwa korzystające ze sztucznej inteligencji będą musiały umieć wskazać, jakich narzędzi używają i czy robią to zgodnie z wymogami unijnego AI Act. Specjaliści już teraz ostrzegają: im więcej punktowych rozwiązań, tym trudniej będzie firmom spełnić nowe warunki.

Unia Europejska przyjęła rozporządzenie AI Act w 2024 r., a dokument ten reguluje wykorzystanie sztucznej inteligencji na całym terenie Wspólnoty. Będzie on obowiązywał każde państwo członkowskie bezpośrednio, niezależnie od tempa wdrażania lokalnych przepisów. Regulacje obejmują zarówno dostawców rozwiązań bazujących na AI, jak i podmioty, które ich używają. Większość nowych zasad zacznie obowiązywać już w sierpniu 2026 r. To oznacza, że polskie firmy mają niewiele czasu na przygotowania. A te będą wymagające, bo skala wykorzystania AI przez pracowników w Polsce już dziś jest wyższa niż średnia światowa. Ale entuzjastyczne podejście do sztucznej inteligencji widać też w decyzjach zarządów. Według raportu EY, już co czwarta firma w Polsce wdrożyła sztuczną inteligencję, a 59 proc. traktuje implementację takich narzędzi jako jeden ze swoich priorytetów.

Michał Rykiert, chief evangelist w firmie Webcon, zauważa, że w tej sytuacji kluczem jest wdrożenie w firmach polityk korzystania z wewnętrznych i ogólnodostępnych narzędzi AI.

– Zastosowanie narzędzi AI otwiera przed firmami szerokie możliwości – od przyspieszania pracy operacyjnej, przez wspieranie decyzji opartych na danych, po automatyzację powtarzalnych zadań. Jednak realna wartość rozwiązań AI zależy bezpośrednio od jakości i bezpieczeństwa danych, na których są trenowane i używane. Wysoki stopień wykorzystania narzędzi AI przy braku wiedzy pracowników na temat zasad ich bezpiecznego używania, może prowadzić do niekontrolowanego i często nieświadomego udostępniania poufnych informacji – tłumaczy. I zaznacza, że dotyczy to zwłaszcza ogólnodostępnych modeli językowych.

– Firmy nie powinny zwlekać z wprowadzeniem ujednoliconych narzędzi bazujących na AI. Tylko wtedy będą miały możliwość bezpiecznego i kontrolowanego wykorzystania sztucznej inteligencji – wyjaśnia Rykiert. – Kolejnym krokiem powinno być opracowanie wewnętrznych polityk i szkoleń podnoszących świadomość zespołów – kontynuuje ekspert.

Biznes potrzebuje strategii dla AI

AI Act reguluje wykorzystanie narzędzi AI w oparciu o ich dostęp do danych oraz wpływ na decyzje istotne dla człowieka. Firmy często wdrażają pojedyncze rozwiązania wyspecjalizowane w konkretnym zadaniu – np. chatboty wspierające obsługę klienta – nie muszą się obawiać, bo zgodnie z założeniami rozporządzenia, wiele takich rozwiązań będzie klasyfikowanych jako stwarzające niskie lub minimalne ryzyko. W takim przypadku przedsiębiorstwa będą miały jednak obowiązek poinformowania użytkownika, że ma on do czynienia ze sztuczną inteligencją, a nie człowiekiem.

Dużo więcej obowiązków będą miały jednak firmy wykorzystujące narzędzia, w których AI albo ma dostęp do wrażliwych danych, albo może wpływać na decyzje o istotnym znaczeniu dla człowieka. Dotyczy to np. wykorzystania AI do selekcji kandydatów w procesie rekrutacyjnym czy analizy ryzyka kredytowego. W takich przypadkach rozwiązania będą kwalifikowane jako te o wysokim ryzyku. AI Act przewiduje wówczas szereg obowiązków, m.in. zapewnienie nadzoru nad wykorzystaniem takich narzędzi czy możliwości ich audytu. Kary za nieprzestrzeganie przepisów mogą sięgać nawet 35 mln euro lub 7 proc. globalnego obrotu.

– By bezpiecznie korzystać z możliwości AI, warto opracować strategię, która po pierwsze pomoże określić, w których obszarach ma ona szanse przynieść największe korzyści biznesowe, a po drugie – wskaże kierunek rozwoju technologii, w którym powinna podążać firma. W korzystaniu z AI kluczowe jest przygotowanie – komentuje Michał Rykiert.

Na razie wygląda to słabo. Szacuje się, iż tylko 2 proc. firm spełnia pełne standardy tzw. RAI (z ang. responsible artificial intelligence – odpowiedzialnej sztucznej inteligencji). Raport Infosys Knowledge Institute 2025 ujawnia, że aż 95 proc. kadry zarządzającej w ciągu ostatnich dwóch lat doświadczyło negatywnych konsekwencji związanych z użyciem AI, począwszy od naruszeń prywatności po błędne przewidywania i niezgodności regulacyjne. Eksperci przekonują: przedsiębiorcy muszą zdać sobie sprawę, że te incydenty mogą prowadzić do strat finansowych, reputacyjnych i prawnych (już 40 proc. poszkodowanych określa te szkody jako „poważne”).