W tym miejscu mogłabym Ci zrobić nudny wstęp o tym, że:
– bezpieczne AI w firmie jest kluczowe (skoro czytasz ten artykuł, to zakładam, że już o tym doskonale wiesz);
– ryzyka stosowania AI w biznesie są bardzo poważne (super, też odkrycie roku);
– firmy powinny wdrażać odpowiednie procedury, aby zminimalizować ryzyka (jakie procedury? gdzie? przez kogo? – tego już nikt nie doprecyzuje);
– AI powinno być wykorzystywane w sposób odpowiedzialny i transparentny, najlepiej „zgodnie z najlepszymi praktykami rynkowymi” (których nikt nigdy nie widział na oczy)…
…ale rzecz jasna nie zrobię. 😉 Doskonale wiem, że z takich wstępów nie wynika absolutnie nic, poza poczuciem lekkiego niepokoju. Po takiej lekturze rodzi się też najczęściej niechęć – albo do korzystania z rozwiązań AI, albo do robienia tego, jak należy.
Nie tędy droga! Powiedzmy sobie szczerze – od czytania o „poważnych ryzykach” jeszcze nikomu nie przybyło w firmie bezpiecznych procedur, a już na pewno nie ubyło odpowiedzialności prawnej.
Czytaj dalej, a udowodnię Ci na 5 przykładach, że AI-owych pułapek można uniknąć (surprise, surprise – podpowiem też, jak to zrobić).
AI dla biznesu czy biznes dla AI? Bezpieczne AI w firmie
Narzędzia AI poradzą sobie z każdym zadaniem, które im zlecisz. Napiszą ofertę, odpowiedzą klientowi, przygotują regulamin, wygenerują grafikę. Lepiej lub gorzej, ale jednak. Problem w tym, że AI nie ponosi żadnej odpowiedzialności za skutki tych działań. Odpowiedzialność prawie zawsze zostaje po Twojej stronie.
Tu pojawia się kluczowe pytanie: wykorzystujesz AI jako narzędzie wspierające Twój biznes? Czy może zaczynasz podporządkowywać sposób działania firmy temu, co akurat da się zrobić w Chacie czy innym Gemini?
Wiem, jak duże jest parcie na rozwój technologiczny i korzystanie ze sztucznej inteligencji wszędzie, gdzie tylko można. (To dopadło nawet mój prawniczy świat.) Tyle że – moim zdaniem – wcale nie chodzi o bezmyślne przyspieszenie procesów na maxa ani o bezrefleksyjne automatyzowanie wszystkiego, co możliwe.
W bezpiecznym korzystaniu z AI chodzi o coś znacznie bardziej przyziemnego: świadome decyzje. O to, co można delegować algorytmom, gdzie kończy się ich rola, jakie dane mogą być wykorzystywane i kto odpowiada za efekt końcowy.
Pułapki AI w firmie
Pułapki kojarzą się nam z czymś, czego bardzo nie chcemy – a w co wyjątkowo łatwo wpaść. Poniżej zebrałam 5 nieoczywistych AI-owych pułapek, w które dają się wkręcić przedsiębiorcy.
1. AI Act? Bezpieczne AI w firmie to problem big tech, nie mój
(czyli pułapka fałszywego poczucia, że Ciebie regulacje nie dotyczą)
„Przecież my nie tworzymy żadnych algorytmów”
„Korzystamy tylko z gotowych narzędzi”
„To chyba problem Google’a i OpenAI”
Niestety, mam dla Ciebie złe wieści: AI Act nie jest regulacją tylko dla gigantów z Doliny Krzemowej. Dotyczy każdego, kto zaprzęga sztuczną inteligencję do pracy w swojej firmie – od freelancera po dużą spółkę.
Co więcej, odpowiedzialność za AI nie kończy się na dostawcy narzędzia. Ona w dużej mierze spoczywa na użytkowniku, czyli na Tobie. Tłumaczenie w stylu „my tylko z tego korzystamy” działa przy kontroli mniej więcej tak, jak zasłanianie się tym, że nie czytałeś/aś umowy, bo przecież napisał ją ktoś inny. 🙂
Jeżeli używasz narzędzi AI w firmie (do rekrutacji, obsługi klienta, analizy danych, tworzenia treści, automatyzacji procesów) to jesteś uczestnikiem systemu regulacyjnego, niezależnie od wielkości biznesu i branży.
Dlatego koniecznie zadaj sobie pytania:
- Z jakiego systemu korzystasz?
- Do jakich konkretnie celów?
- Jakie decyzje podejmujesz z jego pomocą i jakie ryzyko to generuje?
Bez tej wiedzy wpadasz prosto w najciemniejszy zakamarek tej pułapki: brak klasyfikacji ryzyka. Jeśli nie zrobiłeś/aś audytu narzędzi, których używasz, to… zwyczajnie nie wiesz, w której lidze grasz. A to spory problem, bo AI Act dzieli systemy na kilka kategorii wg ryzyka – i przypisuje użytkownikom takich systemów odpowiednie obowiązki.
Konsekwencje są poważniejsze, niż myślisz
Przykładowo, za korzystanie z zakazanych systemów AI grożą kary do 35 mln euro (lub 7% obrotu). Za błędy przy systemach wysokiego ryzyka, np. brak wymaganej dokumentacji – do 15 mln euro (lub 3% obrotu).
W skrócie: Ignorowanie AI Act nie sprawia, że on przestaje Cię dotyczyć. Sprawia tylko, że stajesz się łatwiejszym celem.
2. Wrzucę do Chata, niech mi przeanalizuje
(czyli pułapka RODO, NDA i tajemnicy przedsiębiorstwa)
Jednym z najczęstszych (i najgroźniejszych) błędów przy korzystaniu z AI w firmie jest traktowanie publicznych modeli językowych jak prywatnego notatnika albo ulepszonej wersji Worda czy Excela.
W praktyce wygląda to bardzo niewinnie…
- wklejenie fragmentu umowy do sprawdzenia,
- wrzucenie maila od klienta/kontrahenta, by wygenerować odpowiedź,
- dodanie tabelki z danymi do analizy,
- załadowanie całej bazy danych (nazwiska, adresy e-mail, numery telefonów) do poukładania,
- podanie ofert cenowych lub strategii sprzedażowych do przeanalizowania,
- wprowadzenie know-how firmy do ulepszenia.
Problem w tym, że publiczne narzędzia AI nie działają w Twojej firmowej bańce, tylko na zewnętrznych serwerach dostawcy. Raz wprowadzone tam dane wymykają się spod Twojej kontroli.
Od strony prawnej to prosta droga do:
- naruszeń RODO (brak umowy powierzenia, brak podstawy prawnej, brak DPIA – czyli oceny skutków dla ochrony danych),
- złamania umów o poufności
- ujawnienia tajemnicy przedsiębiorstwa,
- problemów biznesowych, jeśli w grę wchodzą strategie, marże czy dane klientów.
W skrócie: Bezpieczne AI w firmie zaczyna się nie od technologii, tylko od postawienia granic.
3. Tylko sprawdzę
(czyli pułapka “kopiuj-wklej”)
Na pierwszy rzut oka wszystko wygląda dobrze. Tekst jest logiczny, wnioski brzmią sensownie. Problem w tym, że ładnie napisane ≠ prawdziwe.
Sztuczna inteligencja ma tendencję do generowania tzw. halucynacji. “Wypluwa” informacje, które brzmią wiarygodnie, ale nie mają żadnego oparcia w faktach. Używa cytatów z nieistniejących raportów i korzysta z “badań”, które nigdy nie zostały przeprowadzone. Podaje czasami też podstawy prawne, które… w rzeczywistości nie istnieją. A co gorsza – wszystko to robi z pełnym przekonaniem.
Słyszałeś o historii raportu Deloitte? Dokument, który kosztował setki tysięcy, został przygotowany z wykorzystaniem AI i zawierał fikcyjne dane. Przypomnę tylko, że mówimy o globalnej firmie doradczej, nie o małym start-upie.
W mniejszych firmach skutki bywają mniej medialne, ale równie dotkliwe:
- błędne oferty dla klientów,
- raporty oparte na nieprawdziwych danych,
- decyzje biznesowe podjęte na podstawie fikcyjnych analiz, a nie faktów.
Nieprzypadkowo unijny AI Act kładzie tak duży nacisk na tzw. human-in-the-loop, czyli obowiązkowy nadzór człowieka nad działaniem systemów AI. Wdrożenie AI bez mechanizmu kontroli jest trochę jak jazda na rowerze bez hamulców. Wszystko jest super – do pierwszego zakrętu.
Do tego wszystkiego dochodzi jeszcze jedno: forma, która usypia czujność. AI świetnie „skleja” teksty z cudzych blogów i poradników. To łatwa droga do naruszeń praw autorskich czy problemów ze znakami towarowymi (np. przy generowaniu logo).
Rozsądne i bezpieczne AI w firmie opiera się na bardzo prostej i dobrze nam znanej zasadzie ograniczonego zaufania. Każdy wynik wygenerowany przez AI powinien przejść ludzką weryfikację.
4. Shadow AI, czyli co robi Twoja asystentka, kiedy nie patrzysz
(czyli pułapka AI w firmie – bez AI w firmie)
Wielu przedsiębiorców żyje w błogiej nieświadomości, myśląc: „U nas nie ma problemu z AI, bo przecież nie kupiliśmy żadnej subskrypcji ani nie wdrożyliśmy żadnego systemu”.
Zmartwię Cię: to, że nie dostałeś/aś faktury od dostawcy AI, wcale nie oznacza, że w Twojej firmie sztucznej inteligencji nie ma.
Zjawisko to znane jest jako shadow AI – czyli sytuacja, w której Twoi pracownicy (albo Ty sam/a, działając w pośpiechu) używają prywatnych, darmowych kont do załatwiania służbowych spraw.
Mechanizm pozornych oszczędności a bezpieczne AI w firmie
Motywacja jest zwykle szlachetna: chęć zwiększenia produktywności. Pracownik chce szybciej odpisać na maile, grafik chce w minutę wygenerować grafikę, a social media menadżerka potrzebuje „na wczoraj” postu na firmowe konto. Nie mają oficjalnych narzędzi, logują się więc na prywatne konta Chat GPT czy Gemini. I gotowe.
Problem polega na tym, że pracownik często wierzy, że czatuje z „prywatnym asystentem”. A jak już wiesz z punktu 2 – to tak nie działa. Zaoszczędzenie jego pół dnia pracy w ten sposób może skutkować karą za wyciek danych, co czyni taką „oszczędność” skrajnie nieopłacalną.
Shadow AI a jednoosobowa działalność
Tak, tak – w jednoosobowym biznesie nie ma „shadow AI” w klasycznym ujęciu. Jest za to coś znacznie gorszego: AI używane bez żadnej refleksji, bo „przecież to tylko ja”. Tyle że odpowiedzialność nie znika tylko dlatego, że działasz solo.
5. Mój dostawca AI się tym zajmie
(czyli pułapka vendor lock-in i umów, których nikt nie czyta)
Skoro korzystasz z gotowego narzędzia, masz regulamin i fakturę, to odpowiedzialność powinna leżeć po stronie dostawcy. Prawda?
Tutaj znów muszę Cię zmartwić. W praktyce wygląda to tak, że dostawca AI sprzedaje Ci technologię, ale całą odpowiedzialność za jej użycie zostawia raczej Tobie. W dodatku robi to bardzo skutecznie – głównie za pomocą umów, których nie czytasz (proszę, powiedz, że się mylę).
Umowy, które nie nadążają za AI
Klasyczne umowy IT kompletnie nie przystają do realiów sztucznej inteligencji, co rodzi kilka problemów.
- Po pierwsze: Twoje dane. Jeśli umowa nie mówi wprost, że dostawca nie może trenować modelu na Twoich danych, promptach czy know-how, to… może. I często to robi. W efekcie informacje, które traktujesz jak tajemnicę przedsiębiorstwa, stają się paliwem dla cudzej technologii.
- Po drugie: wyniki pracy AI. W Polsce treści wygenerowane wyłącznie przez AI nie są objęte prawem autorskim. Jeśli umowa nie reguluje tego wprost, możesz mieć problem z dalszym wykorzystaniem wyników, które zyskujesz.
- Po trzecie: odpowiedzialność. Dostawcy AI bardzo sprytnie ją ograniczają, często do wysokości miesięcznego abonamentu. Jeśli algorytm się „pomyli”, wygeneruje szkodliwą treść, naruszy czyjeś prawa albo doprowadzi do błędnej decyzji biznesowej, to Ty tłumaczysz się przed klientem, organem lub sądem. Nie oni.
Vendor lock-in, czyli jak zostać zakładnikiem własnego narzędzia AI
Z dostawcami AI jest jeszcze jeden problem: łatwo uzależnić się tylko od jednego z nich. Z reguły wygląda to tak, że na początku wszystko działa świetnie. Potem pojawiają się dziwne podwyżki cen, nagłe problemy z integracją narzędzia czy też zmiany regulaminu, na które nie masz żadnego wpływu. Migracja danych? Teoretycznie możliwa. Praktycznie – kosztowna i w zasadzie nierealna.
Wiele firm wdraża AI tak, jakby miało ono zostać z nimi „na zawsze”. Bez refleksji, co stanie się z danymi, procesami i wynikami pracy algorytmu, gdy współpraca z dostawcą będzie musiała się skończyć.
Bezpieczne AI w firmie to kwestia świadomych umów, kontroli i planu B. Jeśli ich nie masz, to nie Ty korzystasz z AI. Wtedy raczej AI, wraz ze swoim dostawcą, korzysta z Ciebie.
Bezpieczne AI w firmie, czyli jakie tak konkretnie?
Ostatnio na jednym z lifestyle’owych profili na Instagramie (BTW ja też taki profil mam, tylko dla przedsiębiorców 😀) przeczytałam, że w życiu nie wystarczy wiedzieć, czego się NIE CHCE. Trzeba jeszcze wiedzieć, czego się CHCE.
Skoro wiesz już, czego nie chcesz przy korzystaniu z AI w biznesie i gdzie AI zastawiło na Ciebie sidła, czas na konkretne rozwiązania. Dobra wiadomość jest taka, że bezpieczne AI w firmie nie jest żadną magią, a raczej dobrze poukładanymi procesami. Trochę jak z przepisami BHP – niby nudne, dopóki nie uratują Ci skóry.
Jeśli nie chcesz, żeby Twoja firma stała się głównym bohaterem nagłówków o wyciekach danych lub karach z AI Act, spróbuj wdrożyć te zasady:
1. Sklasyfikuj ryzyko
Przeprowadź audyt w celu przypisania stosowanych narzędzi do kategorii ryzyka wg AI Act (zakazane, wysokiego, ograniczonego lub minimalnego ryzyka).
2. Zrób porządek w “papierach” (i go utrzymaj)
W przypadku systemów wysokiego ryzyka niezbędne jest prowadzenie szczegółowej dokumentacji technicznej i rejestrowanie zdarzeń. Przy systemach o mniejszym ryzyku także warto prowadzić choćby podstawową dokumentację – co wdrażasz, jak, dlaczego.
3. Rozważ wdrożenie standardu ISO 42001
Certyfikacja w zakresie zarządzania sztuczną inteligencją pomaga uporządkować procesy i zapewnić zgodność z międzynarodowymi wymogami. Dobrze działa też wizerunkowo.
4. Stosuj anonimizację i pseudonimizację
Bezwzględne usuwaj danych osobowych i wrażliwych informacji przed wprowadzeniem ich do publicznych modeli AI.
5. Umowy powierzenia danych z dostawcami
Zawieraj umowy powierzenia przetwarzania danych – dzięki temu zapewnisz zgodność z RODO.
6. Przeprowadź ocenę skutków dla ochrony danych (DPIA):
Przeprowadzenie formalnej analizy ryzyka dla praw osób fizycznych przed wdrożeniem systemu to Twój must-have!
7. Stosuj “human-in-the-loop” (nadzór człowieka)
Każdy wynik wygenerowany przez AI musi zostać sprawdzony!
8. Przeprowadzaj audyty (regularnie!)
Regularną weryfikację algorytmów pod kątem uprzedzeń (bias), dyskryminacji oraz poprawności merytorycznej traktuj jako priorytet!
9. Zachowaj transparentność
Wyraźnie informuj klientów, że korzystasz w pracy ze sztucznej inteligencji. Do umów dodaj klauzulę, zgodnie z którą druga strona wyrazi na to zgodę.
10. Przygotuj i zaplanuj wdrożenie polityki AI
Opracuj zbiór jasnych zasad określających, które narzędzia są w Twojej firmie dopuszczalne i w jaki sposób można z nich korzystać.
11. Powołaj Ambasadora AI (w miarę możliwości)
Wyznacz osobę odpowiedzialną za edukację zespołu, monitorowanie narzędzi i zgłaszanie incydentów.
12. Szkol pracowników
Podnieś świadomość pracowników (jeśli takich masz) w zakresie cyberbezpieczeństwa i prawnych aspektów korzystania z AI.
13. Zadbaj w umowach o zapisy o własności intelektualnej
Wyraźnie ureguluj w umowie z dostawcą AI, kto ma prawo do wyników (output) oraz wprowadź zakaz trenowania modeli dostawcy na danych, które dostarczasz.
14. Wprowadź tzw. klauzule indemnizacyjne do umów z dostawcami
Wynegocjuj zobowiązanie dostawcy do pokrycia szkód wynikających z naruszeń praw autorskich lub bezpieczeństwa danych przez jego system.
15. Miej przygotowaną strategię wyjścia
Zagwarantuj sobie w umowie dostęp do logów, dokumentacji i danych w formacie umożliwiającym migrację do innego dostawcy.
Podsumowanie – bezpieczne wykorzystanie sztucznej inteligencji w firmie
Legalne i bezpieczne wdrożenie AI w biznesie to proces, który musi wykraczać poza samą fascynację nową technologią. Proces ten opiera się na trzech filarach:
- świadomości regulacyjnej (AI Act, RODO),
- dopracowanych procedurach wewnętrznych (polityka AI) oraz
- precyzyjnych zapisach w umowach z dostawcami AI.
To wymaga włożenia nieco wysiłku, ale zapewniam Cię, że warto!
Potrzebujesz wsparcia we wdrożeniu bezpiecznego AI?
Jeśli chcesz sprawdzić swoje umowy, przygotować politykę AI lub potrzebujesz audytu zgodności z AI Act – daj znać. Razem upewnijmy się, że Twoja firma korzysta z technologii jutra na solidnych prawnych fundamentach!
SKONTAKTUJ SIĘ ZE MNĄ – Adwokatem z doświadczeniem w branży IT – mailowo lub telefonicznie:
📥 [email protected]
📲 +48 572 885 655
Q&A: Stosowanie AI a obowiązki prawne firm
1. AI w firmie – na co uważać?
Na dane, odpowiedzialność i złudne poczucie bezpieczeństwa. Najczęściej problemem nie jest samo narzędzie, tylko to, co do niego wprowadzasz, jak korzystasz z wyników i jakie umowy masz z dostawcą AI.
2. Jak legalnie wdrożyć sztuczną inteligencję w firmie?
Najpierw ustal, z jakich systemów AI faktycznie korzystasz i do jakich celów, a potem oceń ryzyko pod kątem AI Act i RODO. Legalne wdrożenie to nie kliknięcie „akceptuję regulamin”, tylko audyt, dokumentacja i jasne zasady korzystania z AI.
3. Jak bezpiecznie korzystać z AI w firmie?
Bezpiecznie znaczy z granicami. Niech ważne dane nie trafiają do publicznych modeli, każdy wynik AI przechodzi ludzką weryfikację, a odpowiedzialność za decyzje zostaje po stronie człowieka – a nie algorytmu.
Zerknij też do innych artykułów na moim blogu – ostatnio opublikowałam krótką lekcję legalnego influencer marketingu.
