Co to jest shadow AI?

Shadow AI to niekontrolowane używanie narzędzi sztucznej inteligencji przez pracowników bez wiedzy i zgody pracodawcy. Pracownicy wysyłają do tych systemów firmowe dane, sekrety handlowe i informacje poufne, narażając organizację na zagrożenia bezpieczeństwa.

Jakie są konsekwencje shadow AI dla firmy?

Niekontrolowane używanie AI grozi wyciekiem danych, naruszeniem RODO, utraty konkurencyjnych informacji oraz problemami z bezpieczeństwem IT. Może też prowadzić do braku zgodności z regulacjami unijnymi.

Ile firm w Polsce ma problemy z shadow AI?

W Polsce dwie na trzy inicjatywy bazujące na AI zatrzymują się na początkowym etapie, a większość firm nie ma właściwego nadzoru nad wdrażaniem technologii AI, co sprzyja niekontrolowanemu użytkowaniu.

Jak kontrolować shadow AI w firmie?

Firmy powinny wdrożyć politykę użytkowania AI, szkolić pracowników, monitorować przepływ danych do systemów AI oraz zapewnić specjalistów bezpieczeństwa IT zdolnych do obserwacji takich zagrożeń.

Shadow AI w firmach: jak pracownicy wymykają się kontroli

Q: Ile pracowników używa AI bez wiedzy pracodawcy?

Ponad połowa pracowników korzysta z narzędzi AI bez wiedzy pracodawców. W ciągu roku liczba użytkowników generatywnej AI w organizacjach wzrosła trzykrotnie, a liczba wysyłanych promptów sześciokrotnie.

Shadow AI to niekontrolowane używanie narzędzi AI przez pracowników. Dowiedz się, jakie ryzyko niesie dla danych firmy i jak to kontrolować.

Niekontrolowane używanie narzędzi sztucznej inteligencji przez pracowników bez wiedzy pracodawcy — zwane shadow AI — staje się jednym z kluczowych zagrożeń bezpieczeństwa w polskich firmach. Pracownicy wysyłają do ChatGPT, Claude’a, Geminiego i innych systemów firmowe dane, sekrety handlowe i informacje poufne, narażając organizacje na wyciek informacji i naruszenia RODO.

Skala problemu: pracownicy wyprzedzają firmy w adopcji AI

Choć 72 procent Polaków korzysta z narzędzi AI, większość używa ich w celach prywatnych. Problem w tym, że tylko 24 procent firm zapewnia pracownikom oficjalny dostęp do takich rozwiązań. To oznacza, że pozostałe trzy czwarte przedsiębiorstw nie kontroluje, jakie narzędzia AI są w ich biurach.

Statystyki ujawniają skalę zjawiska: w ciągu roku liczba użytkowników generatywnej AI w organizacjach wzrosła trzykrotnie, a liczba wysyłanych do nich promptów sześciokrotnie — z 3 tysięcy do 18 tysięcy miesięcznie w przeliczeniu na jedną firmę lub instytucję. W jednej czwartej największych firm to już ponad 70 tysięcy zapytań miesięcznie, a w skrajnych przypadkach nawet ponad 1,4 miliona.

Analitycy z raportu Netskope podsumowują to krótko: „pracownika sprawdzamy tygodniami, a AI wpuszczamy do firmy w kilka minut”. To pokazuje fundamentalną asymetrię w podejściu firm do bezpieczeństwa — podczas gdy rekrutacja przechodzi wieloetapowy proces weryfikacji, narzędzia AI trafiają do organizacji praktycznie bez żadnych zabezpieczeń.

Dlaczego pracownicy sięgają po shadow AI?

Przyczyn tego zjawiska jest kilka. Przede wszystkim — niedobór wykwalifikowanych specjalistów AI w polskich firmach. Dwie na trzy inicjatywy bazujące na sztuczną inteligencję zatrzymują się na początkowym etapie realizacji i ostatecznie nie są wdrażane. Te, które uda się zaimplementować, rozczarowują — aż 75 procent dużych firm nad Wisłą będzie realizować projekty związane z zaawansowaną analityką i AI w 2025 roku, ale przynajmniej większość założonych korzyści osiągnęło ledwie 43 procent z nich.

W takich warunkach pracownicy zaczęli sami eksperymentować z dostępnymi publicznie narzędziami. Nie czekają na decyzje kadry zarządzającej — sami próbują rozwiązywać problemy, przesyłając do AI dane, które mają pod ręką. Nikt ich do tego nie zmusza, ale też nikt nie zakazuje. Brakuje bowiem świadomości zagrożeń i jasnych wytycznych.

Ryzyko dla bezpieczeństwa danych i RODO

Shadow AI to nie tylko problem organizacyjny — to poważne zagrożenie prawne i bezpieczeństwa. Sztuczna inteligencja stała się nowym wyzwaniem dla RODO. Kiedy pracownik wysyła dane osobowe (np. imiona i nazwiska klientów, numery PESEL, adresy e-mail) do publicznie dostępnego narzędzia AI, narusza przepisy Ogólnego Rozporządzenia o Ochronie Danych.

Wiele z tych systemów przechowuje dane na serwerach poza Unią Europejską, co dodatkowo komplikuje kwestię zgodności z regulacjami. Ponadto — dane przesłane do takich narzędzi mogą zostać wykorzystane do trenowania modeli AI, co stanowi dalsze zagrożenie dla poufności informacji.

Firmy mogą być karzone przez unijne organy ochrony danych za tego rodzaju naruszenia. BigTechy w UE już zapłacą krocie za niezgodne z regulacjami używanie sztucznej inteligencji — a jeśli pracownicy wysyłają dane do systemów bez szyfrowania i bez kontroli pracodawcy, to właśnie taka sytuacja.

Brak kadr do monitorowania zagrożeń

Kacper Szczepaniuk, observability specialist w Linux Polska, potwierdza: „Na rynku brakuje zarówno specjalistów bezpieczeństwa, monitoringu i obserwacji IT, jak i ekspertów sztucznej inteligencji”. To oznacza, że większość firm nie ma nawet możliwości technicznych, aby wykryć shadow AI w swoich systemach.

Specjaliści ds. bezpieczeństwa IT zarabiają dziś średnio 56 procent więcej niż pracownicy bez kompetencji AI. Miesięczne zarobki w branży sięgają 50 tysięcy złotych brutto. Na stanowiskach takich jak AI solutions architect — specjaliście projektującym całościowe systemy AI — widełki to 32–50 tysięcy złotych miesięcznie na etacie, a na kontraktach B2B seniorzy zarabiają nawet 300 złotych netto za godzinę.

Taka podaż talentów jest zdecydowanie niewystarczająca. Agencja rekrutacyjna Devire przeanalizowała ponad 1000 rekrutacji przeprowadzonych w ciągu ostatniego półrocza. Ogłoszenia na stanowiska AI engineera, AI developera czy data scientista przyciągały średnio od kilkunastu do kilkudziesięciu aplikacji, podczas gdy dla porównania na stanowisko specjalisty ds. mailowej obsługi klienta kandydaci przesłali niemal 2,3 tysiąca CV.

Jak kontrolować shadow AI: praktyczne kroki

Choć problem jest poważny, firmy mogą podejmować konkretne działania, aby ograniczyć ryzyko:

1. Opracowanie polityki użytkowania AI Pierwszym krokiem jest stworzenie jasnych wytycznych — które narzędzia AI są dozwolone, a które zakazane. Pracownicy powinni wiedzieć, jakie dane mogą i nie mogą przesyłać do systemów AI. Polityka powinna być dostępna dla wszystkich i regularnie aktualizowana.

2. Szkolenia dla pracowników Większość pracowników nie zdaje sobie sprawy z zagrożeń związanych z shadow AI. Szkolenia dotyczące bezpieczeństwa danych, RODO i ryzyk związanych z narzędziami AI powinny być obowiązkowe dla wszystkich.

3. Monitorowanie przepływu danych Firmy powinny wdrożyć narzędzia do monitorowania, jakie dane opuszczają sieć firmową. Systemy DLP (Data Loss Prevention) mogą wykrywać, kiedy pracownik próbuje wysłać dane do niezatwierdzonych systemów.

4. Oficjalny dostęp do narzędzi AI Zamiast zakazywać AI, lepiej zapewnić pracownikom oficjalny dostęp do wybranych narzędzi — najlepiej do wersji enterprise, które oferują lepszą ochronę danych i zgodność z RODO. Wtedy pracownicy będą mieli narzędzia, ale pod kontrolą firmy.

5. Zatrudnianie specjalistów bezpieczeństwa Choć na rynku brakuje takich osób, inwestycja w specjalistę ds. bezpieczeństwa IT i observability jest konieczna. Może to być osoba na pełny etat lub konsultant zewnętrzny.

Co to oznacza dla Ciebie

Jeśli pracujesz w firmie, shadow AI dotyczy Ciebie bezpośrednio. Pracownicy, którzy wysyłają dane do niezatwierdzonych systemów AI, mogą być odpowiedzialni za naruszenia bezpieczeństwa. Pracodawca może ponieść konsekwencje prawne i finansowe, co może wpłynąć na stabilność zatrudnienia i wynagrodzenia.

Jeśli zarządzasz firmą, ignorowanie shadow AI to zagrożenie dla całej organizacji. Niekontrolowane używanie AI może prowadzić do wycieków danych, kar od organów ochrony danych, utraty zaufania klientów i szkód wizerunkowych. Wdrożenie kontroli nad AI nie jest kwestią przyszłości — to konieczność już dzisiaj.