Bezpieczeństwo AI w firmie: co wolno, czego nie i jak się zabezpieczyć

Ten artykuł to nie straszak. To praktyczny przewodnik po tym co wolno, czego nie wolno i jak zabezpieczyć firmę bez blokowania ludziom dostępu do narzędzi które zwiększają ich produktywność.

Dlaczego to jest ważne właśnie teraz?

AI nie czeka na decyzje zarządu. Badania pokazują że ponad 70% pracowników używa AI w pracy — niezależnie od tego czy firma oficjalnie to zatwierdziła. Różnica między firmą która "zakazuje AI" a firmą która "zarządza AI" jest taka: w pierwszej pracownicy używają go ukradkiem, na prywatnych kontach, bez żadnych zasad.

Lepiej wiedzieć co się dzieje i to kontrolować.

Czym różni się AI bezpieczne od ryzykownego?

Nie wszystkie narzędzia AI są równie bezpieczne dla danych firmowych. Kluczowy podział:

Bezpieczne dla danych firmowych ✅

Google Gemini w Workspace (Business Standard+) Twoje dane NIE są używane do trenowania modeli AI. Google działa jako procesor danych zgodnie z umową korporacyjną. Dane pozostają w ekosystemie Google Workspace — tym samym do którego masz już podpisaną umowę powierzenia.

Microsoft Copilot (Microsoft 365) Analogicznie — dane przetwarzane w ramach umowy korporacyjnej Microsoft, bez trenowania modeli na Twoich danych.

ChatGPT Enterprise / ChatGPT Team (z wyłączonym treningiem) W wersji Enterprise dane nie są używane do trenowania. W wersji Team można wyłączyć historię konwersacji. W wersji Plus (prywatna) — domyślnie dane mogą być używane, chyba że wyłączysz to w ustawieniach.

Ryzykowne dla danych firmowych ⚠️

Darmowy ChatGPT (chat.openai.com bez konta) Rozmowy mogą być używane do ulepszania modeli OpenAI. Nie podpisałeś umowy powierzenia danych.

Darmowy Gemini (gemini.google.com — prywatne konto) Podobnie — bez umowy korporacyjnej, dane mogą trafić do trenowania.

Niezweryfikowane wtyczki AI do przeglądarek Duże ryzyko — często przesyłają treść strony do serwerów firm które nie mają żadnych umów z Twoją firmą.

Aplikacje AI "za darmo" nieznanych producentów Jeśli nie wiesz jak zarabiają i gdzie idą dane — jest to poważne ryzyko.

Co absolutnie nie powinno trafiać do AI (żadnego)

Nawet w bezpiecznych narzędziach korporacyjnych obowiązuje zasada: nie wklejaj czegoś czego nie mógłbyś wysłać mailem do zaufanego partnera zewnętrznego.

Nigdy, bez wyjątku:

• Numery PESEL, numery paszportów, numery dowodów osobistych
• Numery kart kredytowych i danych płatniczych
• Hasła i dane dostępowe (do systemów, kont, VPN)
• Dane medyczne pracowników lub klientów
• Nieopublikowane dane finansowe (wyniki przed ogłoszeniem, prognozy)

Ostrożnie (tylko w bezpiecznym korporacyjnym AI):

• Dane osobowe klientów z imieniem i nazwiskiem — można używać anonimizowanych wersji ("klient z branży X", nie "Jan Kowalski z firmy Y")
• Warunki umów z klientami — lepiej parafrazować lub anonimizować
• Informacje o planowanych przejęciach, fuzjach, zwolnieniach
• Kod źródłowy własnych produktów jeśli jest tajemnicą handlową

Bezpiecznie:

• Ogólne pytania o pracę, pisanie maili, tworzenie dokumentów
• Anonimizowane dane (np. "firma z branży logistycznej, 200 pracowników")
• Publiczne informacje i research
• Własne drafty i teksty które nie zawierają poufnych danych

Jak stworzyć politykę AI dla firmy (bez prawniczego bełkotu)

Polityka AI nie musi mieć 30 stron. Pracownicy potrzebują jasnych zasad które rozumieją i pamiętają. Dobra polityka AI dla MŚP mieści się na jednej stronie A4.

Struktura prostej polityki AI:

1. Jakich narzędzi używamy oficjalnie Wymień konkretne narzędzia które firma zatwierdziła (np. Gemini w Workspace, Copilot). Jasno powiedz że inne narzędzia do pracy firmowej wymagają zgody.

2. Czego nie wklejamy do AI Konkretna lista — nie ogólne "danych poufnych" ale: PESEL, dane kart, hasła, wyniki finansowe przed publikacją, dane osobowe klientów z imieniem.

3. Jak oznaczamy treści AI Czy pracownicy muszą informować że dany dokument był tworzony z pomocą AI? Dla wielu firm wystarczy zasada "możesz użyć AI, ale odpowiadasz za treść tak samo jak bez AI".

4. Co zrobić jeśli popełnisz błąd Nikt nie może się bać zgłosić że przypadkowo wkleił coś poufnego. Opisz procedurę zgłoszenia incydentu — szybka eskalacja do IT lub RODO officer'a.

5. Kto zarządza narzędziami AI Jedna osoba lub dział odpowiedzialny za aktualizowanie listy zatwierdzonych narzędzi i szkolenia.

RODO a sztuczna inteligencja — co faktycznie grozi firmie?

RODO nie zakazuje używania AI. Zakazuje nieuprawnionego przetwarzania danych osobowych — a to może się zdarzyć przez AI pośrednio.

Scenariusz ryzyka 1: Pracownik wkleja do darmowego ChatGPT bazę mailingową z imionami i adresami klientów żeby "posortować". OpenAI może to przetworzyć bez Twojej umowy powierzenia. To naruszenie RODO.

Scenariusz ryzyka 2: Używasz AI do podejmowania decyzji kadrowych (np. ocena CV) bez informowania kandydatów. Art. 22 RODO wymaga informowania o automatycznych decyzjach.

Scenariusz ryzyka 3: AI generuje treści na podstawie dokumentów zawierających dane osobowe, a te treści trafiają do systemu który nie ma odpowiednich zabezpieczeń.

Co grozi? Kara od UODO do 20 milionów euro lub 4% rocznego obrotu (wyższa kwota). W praktyce dla MŚP — kilkanaście do kilkuset tysięcy złotych plus reputacja.

Co zrobić? Używaj AI korporacyjnego (z umową powierzenia), anonimizuj dane osobowe przed wklejeniem do AI, dokumentuj które decyzje są wspierane przez AI.

AI Act — co zmienia się w Polsce od 2026?

Unia Europejska wdrożyła AI Act (rozporządzenie 2024/1689) — pierwsze przepisy wchodzą w życie w 2025, pełne wdrożenie do 2027.

Co to oznacza dla polskich firm biurowych?

Systemy AI "wysokiego ryzyka" — jeśli używasz AI do decyzji kadrowych (ocena pracowników, rekrutacja), kredytowych lub w edukacji — masz dodatkowe obowiązki: przejrzystość, rejestracja w systemie UE, ocena ryzyka.

Zakaz niektórych zastosowań AI — AI do manipulacji ludźmi, masowego rozpoznawania twarzy w przestrzeni publicznej, systemy "scoringu społecznego" są zakazane.

Dla większości firm biurowych używających AI do pisania maili i dokumentów — AI Act nie zmienia nic szczególnego. To nie jest ryzykowny AI.

Dokodu regularnie monitoruje zmiany AI Act i pomaga firmom dostosować polityki. Zapytaj nas →

5 kroków do bezpiecznego wdrożenia AI w firmie

Krok 1: Zinwentaryzuj co już używają pracownicy Zanim zaczniesz tworzyć politykę — zapytaj co ludzie już robią. Anonimowa ankieta da Ci obraz rzeczywistości.

Krok 2: Zatwierdź bezpieczne narzędzia Wybierz 1-2 narzędzia z umową korporacyjną (np. Gemini w Workspace) i ogłoś je jako oficjalny wybór firmy.

Krok 3: Napisz prostą politykę AI (1 strona) Bez prawniczego żargonu. Konkretne zasady które pracownik przeczyta i zapamięta.

Krok 4: Przeszkol ludzi Nie "uważajcie na AI" ale "oto jak bezpiecznie używać AI w waszej pracy". Konkretne scenariusze i przykłady.

Krok 5: Monitoruj i aktualizuj AI zmienia się szybko. Raz na 6 miesięcy przejrzyj politykę i dostosuj do nowych narzędzi i przepisów.

Podsumowanie

Bezpieczeństwo AI w firmie to nie kwestia zakazów — to kwestia świadomości i odpowiednich narzędzi. Firmy które zbudują zdrowe nawyki teraz, będą miały mniejsze problemy z RODO, AI Act i bezpieczeństwem danych w przyszłości.

Trzy zasady które możesz wdrożyć od zaraz:

1. Używaj AI korporacyjnego (Gemini w Workspace) zamiast darmowych kont
2. Nie wklejaj danych osobowych klientów w formie możliwej do identyfikacji
3. Poinformuj pracowników co wolno a czego nie — ustnie lub prostą notką

Chcesz przeprowadzić szkolenie z bezpiecznego używania AI dla swojego zespołu? Pomagamy firmom zbudować dobre nawyki od podstaw. Porozmawiajmy →