OpenClaw w firmie – ryzyko shadow AI i jak je kontrolować

OpenClaw to darmowy agent AI o otwartym kodzie, który użytkownik instaluje na własnym komputerze lub serwerze. Sam nie jest modelem AI – łączy się z modelami zewnętrznych dostawców (np. OpenAI czy Anthropic) przez klucz API, czyli hasło do płatnego konta u dostawcy, i na ich podstawie wykonuje zadania. Steruje się nim przez komunikatory: wiadomość na WhatsAppie czy Telegramie wystarczy, żeby agent przeszukał pocztę, przygotował odpowiedź, otworzył plik albo uruchomił polecenie w systemie.

Projekt powstał pod koniec 2025 r. jako narzędzie hobbystyczne Petera Steinbergera i kilka razy zmieniał nazwę (m.in. Clawdbot i Moltbot), zanim pod koniec stycznia 2026 r. przyjął obecną. W ciągu kilku tygodni stał się jednym z najszybciej rosnących projektów na GitHubie. W lutym 2026 r. jego twórca dołączył do OpenAI, a dalszy rozwój przejęła fundacja OpenClaw Foundation.

Możliwości agenta rozszerza się dodatkami (skills), najczęściej pobieranymi z publicznego katalogu ClawHub. Dodatek to w praktyce instrukcja i kod, które agent wykonuje z uprawnieniami użytkownika.

Klasyczne shadow AI to pracownik, który wkleja fragment umowy do prywatnego czatu AI. Szkoda jest realna, ale ograniczona do tego, co ktoś świadomie skopiował. Agent taki jak OpenClaw działa inaczej: dostaje stały dostęp do skrzynki, plików i komunikatorów, a potem sam decyduje, co przeczytać i co wysłać.

Instalacja zajmuje kilka minut. Pracownik podłącza firmową pocztę albo Slacka, bo chce, żeby agent porządkował mu skrzynkę czy przygotowywał podsumowania spotkań. Z perspektywy działu IT nic się nie zmienia – aż do pierwszego incydentu.

Dochodzi problem kontroli nad tym, co agent robi. Wykonuje on polecenia także z treści, które czyta – maila, strony internetowej, dokumentu. Spreparowana wiadomość może więc nakłonić go do przesłania plików albo danych logowania na zewnątrz (tzw. prompt injection), choć pracownik niczego nie kliknął.

OpenClaw nie jest zagrożeniem teoretycznym. W pierwszych miesiącach 2026 r. badacze bezpieczeństwa opisali kilka poważnych problemów, które dotyczą każdej firmy, w której ktoś go zainstalował.

W marcu 2026 r. chińskie władze ograniczyły używanie OpenClaw na komputerach biurowych w przedsiębiorstwach państwowych i urzędach. W Polsce ostrzeżenia przed złośliwymi dodatkami publikował m.in. CERT Orange Polska.

Jeśli agent z dostępem do firmowej poczty wyśle dane klientów lub pracowników poza organizację, firma ma do czynienia z naruszeniem ochrony danych osobowych. Gdy niesie ono ryzyko dla osób, trzeba je zgłosić Prezesowi Urzędu Ochrony Danych Osobowych (UODO) w ciągu 72 godzin od wykrycia (art. 33 RODO). Obowiązek ten nie znika dlatego, że narzędzia nikt oficjalnie nie wdrożył.

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne muszą zarządzać ryzykiem na swoich urządzeniach i zgłaszać poważne incydenty – wczesne ostrzeżenie w ciągu 24 godzin. Niekontrolowany agent z dostępem do systemów to dokładnie ten rodzaj ryzyka, o który zapyta audytor.

AI Act od 2 lutego 2025 r. wymaga, by firma używająca AI podejmowała działania wspierające wiedzę pracowników o AI (art. 4). Krótkie szkolenie, które wyjaśnia, dlaczego agent z dostępem do poczty to coś innego niż czat, jest prostym sposobem, żeby ten obowiązek realnie wypełnić.

Pierwszy krok to inwentaryzacja – bez niej każda polityka pozostaje deklaracją. W środowisku Microsoft większość tej pracy da się wykonać narzędziami, które firma zwykle już ma.

Rozsądna decyzja domyślna dla większości firm brzmi: OpenClaw i podobni agenci nie mogą działać na urządzeniach z dostępem do firmowych danych. Sam zakaz nie wystarczy – trzeba go wymusić technicznie i jasno powiedzieć, czym narzędzie zastąpić.

Jeśli dział IT albo zespół rozwoju chce testować agentów, lepiej wyznaczyć mu bezpieczne środowisko testowe niż udawać, że problem nie istnieje.

Pracownicy sięgają po agentów, bo chcą odciążyć się od poczty, notatek i powtarzalnych zadań. Jeśli firma nie da im narzędzia, które to robi, zakaz przesunie problem na prywatne telefony i komputery.

W firmach pracujących na Microsoft 365 naturalnym wyborem jest Microsoft 365 Copilot – działa w granicach uprawnień i zabezpieczeń firmowego środowiska, a administrator kontroluje, kto z niego korzysta. Organizacje do 300 użytkowników mogą wybrać tańszy wariant Microsoft 365 Copilot Business (cena katalogowa 21 USD za użytkownika miesięcznie przy płatności rocznej, stan na październik 2026 r.). Agentów do konkretnych procesów, np. obsługi zgłoszeń czy dokumentów, buduje się w Copilot Studio – z kontrolą dostępu i zapisem działań.

Tam, gdzie dane są szczególnie wrażliwe, rozwiązaniem jest tzw. private AI: modele i agenci uruchamiani w kontrolowanym środowisku firmy, np. w Azure, z jasno opisanym zakresem uprawnień.

Uporządkowanie tematu zajmuje zwykle około miesiąca i nie wymaga dużego projektu. Ważna jest kolejność: najpierw wiedza o skali zjawiska, potem zasady, na końcu narzędzie, które realnie zastępuje to, czego ludzie szukali.