Shadow AI w firmie – jak sprawdzić, z jakich narzędzi AI korzystają pracownicy, i bezpiecznie je zastąpić

Angielskie określenie shadow AI oznacza korzystanie z AI poza wiedzą i kontrolą firmy. Weźmy hipotetyczną firmę produkcyjną zatrudniającą 150 osób, która nie udostępniła pracownikom żadnego narzędzia AI. Handlowiec wkleja do prywatnego ChatGPT cennik z rabatami, żeby szybciej napisać ofertę. Pracownica kadr prosi inne narzędzie o porównanie dwóch CV, a kierownik zakupów o streszczenie umowy z dostawcą.

Nikt z nich nie chce zaszkodzić firmie. Narzędzie jest dostępne w przeglądarce w pięć minut, pomaga szybciej skończyć pracę, a nikt nie powiedział, czego robić nie wolno. Zjawisko przypomina dawne prywatne konta Dropbox do przesyłania plików – tyle że teraz do usługi trafia treść dokumentów.

Skala jest duża. W badaniu Work Trend Index 2024 trzy czwarte pracowników umysłowych przyznało, że korzysta z AI w pracy. Spośród nich 78% używa narzędzi, których nie zapewnił pracodawca.

Ryzyko nie wynika z tego, że ChatGPT czy Claude są „niebezpieczne”. Wynika z warunków, na jakich działa prywatne konto. Usługa konsumencka to umowa między dostawcą a pracownikiem, nie firmą. Firma nie ma wglądu w to, co trafiło do narzędzia, i nie może tego usunąć, gdy pracownik odchodzi.

Konkretne skutki wypisujemy poniżej. W tabeli na końcu sekcji porównujemy prywatne i firmowe wersje tych samych narzędzi – różnica dotyczy umowy, uczenia modeli i kontroli administratora, a nie jakości odpowiedzi.

Zanim cokolwiek zablokujesz albo kupisz, dowiedz się, kto korzysta z AI, do czego i z jakimi danymi. Wystarczą na to dwa–trzy tygodnie i trzy źródła informacji. Najważniejsze jest pierwsze, bo mówi także, czego ludzie potrzebują.

Ankietę ogłoś jako rozpoznanie, nie jako szukanie winnych. Jeśli pierwszą reakcją firmy będzie kara, ludzie przestaną mówić prawdę, a z AI będą korzystać nadal – tylko ostrożniej.

Skuteczna odpowiedź na shadow AI to firmowe narzędzie, które jest co najmniej tak wygodne jak prywatne konto. Jeśli firma pracuje na Microsoft 365, pierwszy krok może nie kosztować nic. Microsoft Copilot Chat jest dostępny bez dopłaty dla użytkowników z kontem służbowym i ma te same zabezpieczenia umowne co poczta i pliki w Microsoft 365.

Copilot Chat w wersji bez dopłaty pracuje na tym, co pracownik wklei lub załączy, oraz na wynikach z internetu. Żeby asystent sam przeszukiwał firmowe dokumenty, maile i spotkania, potrzebna jest płatna licencja. Według cennika Microsoft (płatność roczna, październik 2026 r.) Microsoft 365 Copilot Business dla firm do 300 użytkowników kosztuje 21 USD miesięcznie, a do 31 grudnia 2026 r. promocyjnie 18 USD. Microsoft 365 Copilot bez limitu użytkowników kosztuje 30 USD.

Firmowe wersje mają też inne narzędzia: ChatGPT Business i Enterprise oraz Claude Team i Enterprise. Wybierz jedno główne narzędzie dla całej firmy, a nie po jednym dla każdego działu. Przed włączeniem płatnego Copilota przejrzyj uprawnienia w SharePoint i Teams. Asystent nie uczy się na danych firmy, ale widzi wszystko, do czego dany użytkownik ma dostęp – także foldery otwarte omyłkowo dla całej firmy.

Pełny podział danych na klasy i dozwolone narzędzia opisujemy w tekście o zasadach korzystania z AI. Na co dzień pracownik potrzebuje jednak czegoś prostszego. Wystarczą trzy pytania, które warto wydrukować i powiesić przy biurkach albo przypiąć w kanale Teams:

Najlepiej działa jasny komunikat: firma chce, żebyś korzystał z AI, ale w tym konkretnym narzędziu i według tych zasad. Ogłoś okres przejściowy, w którym pracownicy przenoszą pracę z prywatnych kont bez konsekwencji. Poproś ich, żeby przy okazji usunęli z prywatnej historii rozmowy z danymi firmowymi.

Krótkie szkolenie z przykładami z pracy Twoich działów daje więcej niż e-learning o sztucznej inteligencji ogólnie. Lista obecności i materiały ze szkolenia to też dowód, że firma realizuje art. 4 AI Act, czyli podejmuje działania wspierające wiedzę pracowników o AI. Zebrane w ankiecie zastosowania zamień w listę gotowych przykładów: „jak przygotować ofertę”, „jak streścić umowę”.

Dodaj jeden punkt do procedury odejścia pracownika z firmy. Przy zwrocie sprzętu zapytaj o prywatne konta AI używane do pracy i poproś o usunięcie firmowych treści.

Dla większości zadań – pisania maili, streszczania dokumentów, pomocy w analizie danych – wystarczy firmowa wersja popularnego narzędzia i proste zasady. Są jednak sytuacje, w których trzeba pójść dalej. Najczęściej chodzi o trzy przypadki:

W średniej firmie uporządkowanie shadow AI to zwykle kilka tygodni pracy jednej osoby odpowiedzialnej, wspieranej przez IT i prawnika. Najczęstsze błędy to zakaz bez alternatywy, zakup licencji bez zasad i blokada stron bez wyjaśnienia ludziom, dlaczego. Każdy z nich kończy się tym samym: pracownicy przenoszą się na prywatne telefony, a firma widzi jeszcze mniej niż wcześniej.

Kolejność ma znaczenie: najpierw rozpoznanie, potem narzędzie, na końcu zasady i szkolenie. Kroki, od których warto zacząć: