Shadow AI w firmach: ile ryzyka niesie nieautoryzowane używanie AI

Shadow AI to korzystanie przez pracowników z narzędzi sztucznej inteligencji bez wiedzy i zgody działu IT lub zarządu, a według badania Tieto dotyczy już wielu firm. Oba przeanalizowane źródła podają te same liczby, więc można je traktować jako wiarygodne, a poniższy tekst zestawia je z praktycznymi wnioskami dla małej firmy.

Ile firm wykryło shadow AI w swoich strukturach?

Według badania Tieto 35% firm wykryło przypadki shadow AI, czyli nieautoryzowanego użycia AI w codziennej pracy. Ten sam wynik przytaczają Telix.pl i FOCUS ON Business, co czyni go jednym z najmocniej potwierdzonych faktów w tym zestawieniu.

Jeszcze poważniejsza jest druga liczba. Według tych samych źródeł aż 52% organizacji nie ma pełnego wglądu w to, gdzie i w jakim zakresie pracownicy korzystają z AI. Oznacza to, że znacznie więcej firm może mieć ten problem, tylko go nie widzi.

Czy firmy ufają wynikom sztucznej inteligencji?

Większość firm nie ufa wynikom AI bezwarunkowo. Według badania Tieto 55,7% firm deklaruje zaufanie warunkowe, czyli akceptuje analizy AI, ale pod warunkiem ich sprawdzenia.

Poziom zaufania do AI	Odsetek firm
Zaufanie warunkowe do analiz	55,7%
AI wyłącznie jako narzędzie pomocnicze	21,6%
Pełne zaufanie do wyników	17,5%

Zestawienie pokazuje, że tylko co piąta-szósta firma ufa AI w stopniu pozwalającym ograniczyć kontrolę. Dla małego przedsiębiorcy to sygnał, by traktować generowane teksty, zestawienia i rekomendacje jako wersję roboczą.

Dlaczego sam zakaz nie wystarcza?

Według FOCUS ON Business Paweł Wróblewski z Tieto ocenia, że shadow AI jest sygnałem braku jasnych procesów, a nie wyłącznie problemem dyscypliny pracowników. Zakaz zwykle przenosi korzystanie z AI poza kontrolę, zamiast je zatrzymać.

Telix.pl przytacza z kolei słowa tego samego eksperta dotyczące nadzoru człowieka: „Human in the loop nie może być sprowadzony do sytuacji, w której ktoś na końcu procesu klika „zaakceptuj”.” Chodzi więc o realną weryfikację, a nie o formalny podpis pod wynikiem.

FOCUS ON Business dodaje, że taka weryfikacja wymaga danych, kontekstu i kompetencji osoby sprawdzającej. Bez tych elementów człowiek nie jest w stanie ocenić poprawności odpowiedzi AI.

Które obszary są najbardziej wrażliwe na błędy AI?

Oba źródła wskazują te same obszary, w których błąd AI może kosztować najwięcej: finanse, compliance, HR, cyberbezpieczeństwo i zarządzanie ryzykiem. W tych dziedzinach wynik wymaga weryfikacji przez doświadczonego pracownika, zanim trafi do decyzji.

Telix.pl zwraca uwagę na dane, które są najbardziej zagrożone: dane klientów, kod źródłowy, dokumenty wewnętrzne i własność intelektualna. Trafiają one do narzędzi AI najłatwiej, często przy zwykłym kopiowaniu tekstu do okna czatu.

Jak wybierać dostawcę AI, zwracając uwagę na dane?

Miejsce i sposób przetwarzania danych nie są dla większości firm pierwszym kryterium. Według badania Tieto tylko 12% firm uznaje je za kluczowe przy wyborze dostawcy, 38% za istotne, ale nierozstrzygające, a 43% uwzględnia je w ograniczonym zakresie.

Znaczenie miejsca przetwarzania danych	Odsetek firm
Kluczowe przy wyborze dostawcy	12%
Istotne, ale nie decydujące	38%
Uwzględniane w ograniczonym zakresie	43%

Dla polskiego przedsiębiorcy ta luka jest ważna, bo przetwarzanie danych osobowych podlega RODO, niezależnie od tego, czy firma o tym pamięta przy wyborze narzędzia. Według FOCUS ON Business minimalne standardy powinny obejmować dostęp i retencję danych, trenowanie modeli, audytowalność oraz możliwość migracji.

FOCUS ON Business wymienia też typowe kryteria zakupowe: jakość, szybkość wdrożenia, koszty, integrację i regulacje. Warto dodać do nich standardy bezpieczeństwa, bo to właśnie one decydują o skutkach awarii lub wycieku.

Co to oznacza dla Ciebie?

Jeśli prowadzisz małą firmę, nie musisz czekać na duże wdrożenie, by uporządkować zasady korzystania z AI. Według badania Tieto większość firm wciąż działa bez pełnego wglądu w zjawisko, więc pierwszym krokiem jest prosta inwentaryzacja: które narzędzia AI już używa zespół i z jakimi danymi.

Następnie warto spisać krótką politykę: jakie dane wolno wprowadzać do AI, które procesy wymagają weryfikacji przez człowieka i kto za nią odpowiada. Dla finansów, rozliczeń i spraw kadrowych ta weryfikacja powinna być obowiązkowa, a nie opcjonalna. Dopiero na tym tle warto wybierać dostawcę według standardów, a nie wyłącznie ceny.