Zanim zespół zacznie korzystać z narzędzia AI, warto jasno określić, jakie dane można do niego wprowadzać, a jakie ze względu na poufność powinny pozostać poza jego zasięgiem.

Na czym polega ta usługa

Usługa obejmuje przegląd rodzajów danych, którymi posługuje się firma, i przygotowanie prostej klasyfikacji wskazującej, które z nich mogą trafiać do narzędzi AI, a które powinny być z tego wyłączone.

Dla kogo ma sens

Usługa jest przydatna dla firm wdrażających AI do codziennej pracy, które chcą mieć jasne zasady dotyczące tego, jakie dane wolno wprowadzać do narzędzia.

Ile to trwa

Klasyfikacja danych mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Dlaczego klasyfikacja danych przed wdrożeniem AI jest konieczna

Narzędzia oparte na sztucznej inteligencji, w tym modele językowe LLM (Large Language Model – duży model językowy przetwarzający i generujący tekst naturalny), działają w oparciu o zapytania wysyłane przez użytkowników. Każdy wprowadzony prompt (tekstowa instrukcja lub zapytanie wpisywane przez pracownika do okna dialogowego) trafia na serwery dostawcy usługi. W przypadku bezpłatnych lub podstawowych wersji narzędzi chmurowych wprowadzone informacje mogą być zapisywane w logach systemowych (rejestrach zdarzeń i historii operacji) oraz wykorzystywane do dalszego trenowania algorytmów.

Brak jednoznacznych reguł wewnątrz przedsiębiorstwa prowadzi do sytuacji, w której pracownicy zaczynają traktować internetowy asystent jako uniwersalny kalkulator lub edytor dokumentów. Do zewnętrznych systemów trafiają wówczas całe fragmenty baz danych, zestawienia finansowe z programów takich jak Comarch ERP Optima, Subiekt GT czy Symfonia, a także treści poufnych umów handlowych. Jeżeli w zapytaniu znajdą się marże, cenniki dla kluczowych kontrahentów lub dane osobowe podlegające przepisom RODO (Rozporządzenie o Ochronie Danych Osobowych – europejskie prawo regulujące przetwarzanie danych osób fizycznych), dochodzi do naruszenia bezpieczeństwa informacji i tajemnicy przedsiębiorstwa.

Uporządkowanie i sklasyfikowanie zasobów informacyjnych pozwala podzielić wszystkie dokumenty i bazy na jednoznaczne grupy. Dzięki temu pracownicy dokładnie wiedzą, jakie operacje mogą zlecać algorytmom, a które dane wymagają wcześniejszej modyfikacji lub całkowitego zakazu przetwarzania w chmurze zewnętrznej.

Cztery poziomy wrażliwości informacji w firmie

Podczas przygotowywania audytu i zasad bezpieczeństwa stosujemy przejrzysty podział zasobów na cztery podstawowe kategorie. Taki układ jest zrozumiały dla całego personelu i nie utrudnia codziennej pracy operacyjnej:

Poziom 1: Dane publiczne (kategoria otwarta) – obejmuje informacje, które są już oficjalnie opublikowane na stronie internetowej firmy, w materiałach reklamowych, katalogach produktowych czy oficjalnych komunikatach prasowych. Dane z tej grupy mogą być bez ograniczeń wprowadzane do dowolnych narzędzi AI w celu tworzenia artykułów, postów marketingowych, tłumaczeń językowych czy korekty stylistycznej.
Poziom 2: Dane wewnętrzne o niskim ryzyku (kategoria robocza) – ogólne instrukcje stanowiskowe, szablony pism biurowych pozbawione danych konkretnych klientów, anonimowe konspekty szkoleń oraz ogólne procedury organizacyjne. Mogą być przetwarzane przez sztuczną inteligencję pod warunkiem, że treść nie zdradza unikalnych metod działania przedsiębiorstwa (know-how – wiedzy technicznej i handlowej stanowiącej przewagę rynkową).
Poziom 3: Dane poufne i biznesowe (kategoria chroniona) – szczegółowe raporty sprzedaży wygenerowane z systemów WAPRO Mag, InsERT nexo lub enova365, analizy rentowności projektów, kody źródłowe oprogramowania, plany przetargowe oraz korespondencja negocjacyjna. Informacje te nie mogą trafiać do publicznych modeli AI. Ich analiza jest dopuszczalna wyłącznie po pełnym usunięciu danych identyfikujących kontrahentów lub w dedykowanych środowiskach zamkniętych.
Poziom 4: Dane krytyczne i zastrzeżone prawnie (kategoria bezwzględnie wyłączona) – baza numerów PESEL (Powszechny Elektroniczny System Ewidencji Ludności – unikalny identyfikator obywatela), numery rachunków bankowych, dane kadrowo-płacowe z programu Płatnik ZUS, hasła dostępowe, poświadczenia do usług Active Directory (usługi katalogowej Microsoft zarządzającej użytkownikami w sieci firmowej) oraz klucze API (Application Programming Interface – interfejs programistyczny pozwalający na łączenie różnych aplikacji). Wprowadzanie tych danych do jakichkolwiek modeli chmurowych jest całkowicie zabronione.

Najczęstsze błędy personelu przy pracy z narzędziami sztucznej inteligencji

Brak wdrożonej klasyfikacji oraz brak podstawowych wytycznych technicznych sprzyja powstawaniu ryzykownych nawyków wśród pracowników biurowych i technicznych. Do najczęściej obserwowanych problemów należą:

Wklejanie pełnych zrzutów z arkuszy kalkulacyjnych – pracownik próbujący szybko przygotować wykres lub podsumowanie wkleja cały arkusz zawierający nie tylko sumy, ale również nazwiska klientów, numery NIP (Numer Identyfikacji Podatkowej – identyfikator podatnika) oraz stawki prowizji handlowców.
Analizowanie logów błędów serwera bez czyszczenia danych – programiści lub administratorzy wklejają do okna AI komunikaty błędów systemowych z serwerów Microsoft SQL Server lub systemów Linux, które zawierają w swojej treści rzeczywiste ścieżki dostępowe, nazwy baz danych, wewnętrzne adresy IP (Internet Protocol – adres identyfikujący urządzenie w sieci) oraz zaszyte tokeny uwierzytelniające.
Zjawisko Shadow IT – korzystanie z prywatnych, darmowych kont w narzędziach AI na służbowych komputerach bez wiedzy i zgody osób odpowiedzialnych za infrastrukturę IT. Na darmowych kontach regulaminy usługodawców z reguły wprost zezwalają na wykorzystywanie wpisywanych zapytań do uczenia modeli.
Pozorna anonimizacja danych – pracownik usuwa nazwę firmy z treści zapytania, lecz pozostawia dokładny opis unikalnego zamówienia, daty, kwoty oraz specyfikację techniczną, co pozwala na bezproblemową identyfikację podmiotu na podstawie kontekstu.
Udostępnianie haseł i poświadczeń konfiguracyjnych – proszenie asystenta AI o przygotowanie skryptu automatyzacji poprzez wklejenie całego pliku konfiguracyjnego z zapisanymi jawnym tekstem hasłami administracyjnymi.

Kiedy sama klasyfikacja nie wystarcza i konieczne są zmiany w infrastrukturze IT

Opracowanie dokumentu opisującego zasady wprowadzania danych jest fundamentem, jednak w wielu przedsiębiorstwach problemem okazuje się niewłaściwa konfiguracja samych uprawnień na stacjach roboczych i serwerach. Warto odróżnić sytuację organizacyjną od technicznych luk w zabezpieczeniach:

Jeżeli pracownik ma swobodny dostęp do zasobów sieciowych innych działów (na przykład pracownik marketingu ma wgląd do folderów działu księgowości na serwerze plików Windows Server), ryzyko niekontrolowanego przekazania tych informacji do zewnętrznych narzędzi rośnie niezależnie od spisanych procedur. W takich przypadkach konieczne jest wdrożenie prawidłowych uprawnień NTFS (New Technology File System – system plików w środowiskach Windows z precyzyjną kontrolą praw dostępu) oraz uporządkowanie grup użytkowników w usłudze Active Directory.

W większych strukturach biurowych zaleca się również wdrożenie systemów DLP (Data Loss Prevention – oprogramowanie do wykrywania i blokowania nieautoryzowanego przesyłania wrażliwych danych poza sieć firmową). Oprogramowanie tego typu potrafi automatycznie zablokować wklejenie do formularza w przeglądarce ciągu cyfr o strukturze numeru karty płatniczej, numeru PESEL lub numeru rachunku bankowego IBAN (International Bank Account Number – międzynarodowy standard numeracji kont bankowych).

Jak przebiega proces audytu i przygotowania klasyfikacji

Prace realizujemy bezpośrednio w siedzibie klienta na terenie Warszawy lub okolicznych powiatów. Cały proces zorganizowany jest w czterech uporządkowanych etapach:

1. Identyfikacja zasobów i oprogramowania – sprawdzamy, z jakich aplikacji biznesowych korzysta przedsiębiorstwo. Weryfikujemy obecność systemów takich jak InsERT GT lub nexo, WAPRO ERP, Comarch ERP Optima, Sage Symfonia, RAKS, platform księgowych czy baz Microsoft SQL Server. Ustalamy, jakie typy plików są generowane przez poszczególne działy.

2. Opracowanie matrycy dozwolonego przetwarzania – tworzymy przejrzystą tabelę przypisującą konkretne typy dokumentów do jednego z czterech poziomów wrażliwości. Dokument zawiera praktyczne wytyczne dla pracowników, pokazujące przykłady poprawnych oraz zabronionych promptów.

3. Przygotowanie instrukcji bezpiecznej anonimizacji – definiujemy procedurę zastępowania danych wrażliwych wartościami ogólnymi (zastępowanie nazwisk etykietami typu „Klient A”, usuwanie kwot i numerów identyfikacyjnych przed wysłaniem zapytania do modelu).

4. Weryfikacja techniczna stacji roboczych – w ramach bezpłatnego przeglądu środowiska IT sprawdzamy stan zabezpieczeń systemów Windows i Linux, poprawność aktualizacji oraz konfigurację zapór sieciowych na komputerach firmowych.

Pytania i odpowiedzi dotyczące klasyfikacji danych i bezpiecznego AI

Czy darmowe wersje narzędzi AI uczą się na wpisywanych zapytaniach?

Tak, w przypadku większości publicznych, bezpłatnych narzędzi AI regulamin usługi wprost wskazuje, że wprowadzane treści oraz przesłane pliki mogą być analizowane przez personel dostawcy i wykorzystywane do trenowania przyszłych modeli językowych. Oznacza to, że poufny cennik lub umowa wprowadzona do takiego narzędzia staje się częścią zewnętrznego zbioru danych. W wersjach płatnych lub biznesowych (Enterprise) dostawcy z reguły gwarantują brak wykorzystywania zapytań do uczenia modeli, jednak nawet wtedy obowiązuje bezwzględny zakaz wprowadzania danych krytycznych bez odpowiedniej umowy powierzenia przetwarzania.

Czym różni się anonimizacja od pseudonimizacji przed wysłaniem zapytania do AI?

Anonimizacja to proces nieodwracalnego przekształcenia danych w taki sposób, że nie można ich przypisać do konkretnej osoby lub podmiotu nawet przy użyciu dodatkowych informacji (na przykład zastąpienie wszystkich nazw firm ogólnym sformułowaniem „przedsiębiorstwo produkcyjne”). Pseudonimizacja polega na zastąpieniu rzeczywistych identyfikatorów sztucznymi symbolami (na przykład „Kontrahent_01”, „Pracownik_X”), przy czym klucz powiązań pozostaje wyłącznie wewnątrz firmy. Obie metody pozwalają na bezpieczne wykorzystanie analitycznych możliwości AI bez ujawniania tożsamości stron.

Jak bezpiecznie przetwarzać zestawienia z programów Subiekt, Optima lub WAPRO?

Przed wklejeniem tabeli lub eksportu z systemu ERP (Enterprise Resource Planning – zintegrowany system do planowania zasobów przedsiębiorstwa) należy usunąć z arkusza kolumny zawierające numery NIP, numery kont, nazwiska osób kontaktowych, adresy dostaw oraz indywidualnie wynegocjowane rabaty. Sztuczna inteligencja potrzebuje do analizy trendów jedynie liczb, kategorii produktowych oraz okresów czasowych, a nie danych personalnych kontrahentów.

Czy wdrożenie zasad klasyfikacji danych wymaga instalacji dodatkowego oprogramowania?

Sama klasyfikacja danych to zbiór przejrzystych reguł organizacyjnych, matrycy danych oraz instrukcji postępowania dla pracowników, które nie wymagają zakupu licencji. Jednak w celu wymuszenia przestrzegania tych reguł zaleca się weryfikację uprawnień użytkowników w systemie operacyjnym Windows, uporządkowanie folderów sieciowych oraz ewentualną konfigurację wbudowanych zasad bezpieczeństwa w przeglądarkach internetowych i systemach pocztowych.

Czy przed przystąpieniem do analizy danych firmowych podpisywana jest umowa o zachowaniu poufności?

Tak, na życzenie klienta bezpłatnie podpisujemy umowę NDA (Non-Disclosure Agreement – prawnie wiążącą umowę o zachowaniu poufności informacji). Gwarantuje to pełne bezpieczeństwo wszelkich tajemnic przedsiębiorstwa, struktur baz danych oraz procedur organizacyjnych weryfikowanych podczas audytu środowiska informatycznego.

Spójne zasady ochrony danych w warszawskich przedsiębiorstwach

Wdrożenie sztucznej inteligencji w codziennej pracy biurowej pozwala znacząco przyspieszyć tworzenie dokumentów, analizę statystyk i obsługę korespondencji, jednak powinno odbywać się na jasnych i bezpiecznych zasadach. Przygotowanie przejrzystej klasyfikacji danych chroni firmę przed wyciekiem tajemnic handlowych, karami administracyjnymi oraz utratą zaufania kontrahentów. Zapewniamy pełne wsparcie techniczne na miejscu w siedzibie klienta na terenie Warszawy oraz w powiatach podwarszawskich: grodziskim, legionowskim, otwockim, piaseczyńskim, pruszkowskim, warszawskim zachodnim i wołomińskim. Wszelkie prace związane z przeglądem środowiska IT, analizą uprawnień oraz przygotowaniem reguł bezpieczeństwa realizujemy z dojazdem, oferując bezpłatną diagnozę wstępną, bezpłatną umowę NDA na życzenie oraz gwarancję na wykonane usługi do 12 miesięcy.

22 378 48 09

Klasyfikacja danych firmowych przed wdrożeniem AI