Shadow AI. Jak w kilku krokach sprawić, aby pracownicy świadomie korzystali z narzędzi AI

Shadow AI „czerpie garściami” z powszechnego zjawiska korzystania z nieautoryzowanych narzędzi przez pracowników organizacji. Wszyscy mamy świadomość tej powszechności, ale zazwyczaj przymykamy na to oko lub nie mamy odpowiednich mechanizmów „naprawy”.

W rezultacie nasza organizacja znajduje się w stanie permanentnego „napięcia” i ryzyka, które mogą nieoczekiwanie się zmaterializować. O ile korzystanie z bardziej zaawansowanych rozwiązań IT wymagać może większych kompetencji technicznych, o tyle narzędzia AI, jak asystenci (NotebookLM, ChatGPT, Claude) i systemy multiagentowe, zazwyczaj są po prostu… proste.

Ta prostota i obietnica szybkiej nagrody w postaci wykonanej (za nas) pracy powoduje, że coraz więcej pracowników korzysta z tych narzędzi nie tylko dla swoich potrzeb, ale także po to, aby skrócić czas na realizację obowiązków służbowych. No bo skoro kolega czy koleżanka z pokoju korzysta, to czemu ja nie mogę?

I tu dochodzimy do ważnego momentu naszej „rozmowy”, czyli decyzji właśnie o tym „MOGĘ”. W wielu organizacjach jesteśmy dopiero na początku drogi do zrozumienia, że nie o „NIE MOGĘ” chodzi, ale o „MOGĘ” w ściśle określonych ramach. Zakazywanie wszystkiego nie doprowadzi do tego, że uchronimy się przed ryzykami. Taka natura ludzka. Nawet dla eksperymentu, który może zakończyć się bolesną lekcją.

Czytaj także: Projekty AI & Data. Czy 2026 będzie rokiem technologicznego compliance?

Cyberbezpieczeństwo a korzystanie z narzędzi AI

Pracuję z wieloma organizacjami. Zarówno z tymi, które mają nad sobą „regulacyjny bicz”, jak i tymi, które po prostu dużo przetwarzają, ale także i tymi, które nie „widzą żadnych przeszkód, bo ich biznes jest bezpieczny”. Są więc też różne podejścia.

Są takie, w których mamy politykę „no go” i pełen zakres ograniczeń – przysłowiowy „ban”. Są takie, które kształtują swoją politykę korzystania z narzędzi AI, ale na dość dużym poziomie ogólności i takie, które podchodzą do tego jako ważnej części budowania ich AI Governance, czyli swoistych szyn, po których pędzi pociąg z napisem „AI”.

Przejdźmy jednak do rzeczy. Co powinieneś zrobić jako osoba odpowiedzialna za obszar AI w organizacji?

– nakreśl swoją strategię w zakresie wykorzystywania AI; musisz wiedzieć, gdzie płyniesz, a nie dryfować po wodach, które nie zawsze są dobrze rozpoznane i raczej nieprzewidywalne,

– określ politykę, która jest „wykonalna” i nie stanowi absolutnego zakazu wszystkiego, ale racjonalne podejście do wykorzystywania narzędzi AI – jasne, nie możesz pozwolić na „wrzucanie” tajemnic przedsiębiorstwa, know-how czy danych osobowych klientów do „AI”, ale jest kilka opcji co może poprawić jakość pracy i nie narażać nas na ryzyka, a dodatkowo musimy „uczulić” ludzi na ograniczenia AI, 

– zakomunikuj tę politykę w odpowiedni sposób – daj wyraźny sygnał, że idziecie do przodu, ale w określonych i bezpiecznych ramach; uwzględnij sposób w jaki ludzie przyswajają wiedzę, np. jedni wolą „papier”, inni prezentację, a jeszcze inni mogą chcieć krótkiego „shorta” (wideo), które rozjaśni im „o co chodzi”,

– monitoruj, bo każda polityka bez nadzoru jest tylko papierem; wyciągaj wnioski z niewłaściwego jej stosowania i w egzekwuj; nie chodzi o strach, ale o zapewnienie spójnego podejścia do AI,

– wykorzystaj to, że ludzie korzystają z narzędzi AI do szukania innowacji i obszarów, w których można wprowadzić zmiany w samych procesach; stwórz kanał komunikacji do zbierania uwag, które potem przekujesz w dodatkową wartość.

Zarządzanie cyberryzykiem na wielu poziomach

Czy to brzmi sensownie? To nie jest łatwa droga, bo wymaga ona, abyśmy zaakceptowali fakt występowania ryzyka i konieczność nim zarządzania na wielu poziomach organizacji.

To jednak jedyna sensowna droga, jeżeli nie chcemy wypaść z obiegu i pozostać innowacyjni (a kto wie czy to nie będzie po prostu „new normal”).

Sam zajmuję się takimi „programami”, więc jeżeli chcesz skorzystać z mojego doświadczenia, to umów się na rozmowę. Znajdziemy rozwiązanie!