Poza jednorazowym szkoleniem warto mieć spisany, zwięzły zestaw zasad bezpiecznego korzystania z AI, do którego pracownicy mogą wracać w codziennej pracy, bez konieczności pamiętania wszystkiego ze szkolenia.

Objaw

Zgłoszenia dotyczą firm chcących sformalizować dotychczas nieformalne, ustne zasady korzystania z AI w spisany dokument, dostępny dla wszystkich pracowników i łatwy do przekazania nowym osobom dołączającym do zespołu.

Możliwe przyczyny

Typowa sytuacja: zasady korzystania z AI zostały omówione podczas szkolenia, ale nigdy nie zostały spisane, przez co z czasem zacierają się w pamięci zespołu, a nowi pracownicy nie mają skąd się ich dowiedzieć bez ponownego, indywidualnego tłumaczenia.

Co robimy

Przygotowywany jest zwięzły, praktyczny zestaw zasad dopasowany do specyfiki danej firmy, obejmujący: jakich danych nie wolno wprowadzać do narzędzi AI, z jakich zatwierdzonych narzędzi zespół może korzystać, kiedy konieczna jest weryfikacja wygenerowanej odpowiedzi przez człowieka przed jej wykorzystaniem, oraz do kogo zgłaszać wątpliwości lub problemy związane z korzystaniem z tych narzędzi. Dokument tworzony jest w prostym, zrozumiałym języku, bez zbędnego żargonu technicznego.

Ile to trwa

Przygotowanie zestawu zasad to zwykle kilka dni pracy, wraz z konsultacją z osobami zarządzającymi poszczególnymi działami firmy.

Co można zrobić samemu, zanim przyjedzie serwisant

Warto zebrać dotychczasowe, nieformalne ustalenia dotyczące korzystania z AI w firmie — nawet jeśli nigdy nie zostały spisane, stanowią dobry punkt wyjścia do sformalizowania zasad.

Czego nie robić: nie warto tworzyć zbyt długiego, szczegółowego dokumentu, którego nikt nie przeczyta w codziennej pracy — zwięzłość i praktyczność są tu ważniejsze niż wyczerpujące omówienie każdego możliwego scenariusza.

Warunki

Przygotowanie zasad wyceniane jest indywidualnie, zależnie od zakresu i liczby konsultowanych działów firmy.

Kluczowe filary bezpieczeństwa w codziennym kontakcie ze sztuczną inteligencją

Dokument wdrożeniowy regulujący pracę z modelami generatywnymi skupia się na kilku podstawowych obszarach operacyjnych. Każdy z tych elementów zabezpiecza firmę przed innym typem ryzyka informatycznego i prawnego:

Ochrona poufności i zapobieganie wyciekom informacji (data leakage) — wprowadzanie do publicznych asystentów językowych fragmentów umów, baz klientów czy danych finansowych może skutkować włączeniem tych treści do zbiorów treningowych dostawcy modelu. Zasady precyzują, które dane podlegają bezwzględnej blokadzie przed wklejaniem w okno czatu.
Zjawisko halucynacji (hallucination) i obowiązkowa kontrola merytoryczna — modele językowe generują odpowiedzi na podstawie prawdopodobieństwa występowania słów, co oznacza, że mogą tworzyć nieistniejące przepisy prawne, błędne wyliczenia matematyczne lub fałszywe cytaty w sposób sprawiający wrażenie w pełni poprawnego tekstu. Zasady określają obowiązek weryfikacji każdego wyniku przez pracownika przed wysłaniem materiału do klienta lub kontrahenta.
Prawa autorskie i licencjonowanie kodu oraz grafik — korzystanie z generatorów obrazów czy asystentów programistycznych (coding assistants, czyli wtyczek do środowisk programistycznych podpowiadających linie kodu) wiąże się z ryzykiem powielenia fragmentów objętych restrykcyjnymi licencjami open source lub prawami osób trzecich. Wytyczne definiują dopuszczalny zakres generowania zasobów komercyjnych.
Podatność na ataki typu wstrzykiwanie promptu (prompt injection) — zjawisko polegające na zmanipulowaniu asystenta AI za pomocą złośliwego polecenia ukrytego w analizowanym dokumencie lub wiadomości e-mail. Zasady instruują pracowników, aby nie powierzali modelom automatycznego podejmowania decyzji o wysyłce plików czy zmianie uprawnień bez nadzoru człowieka.

Warianty problemu w zależności od struktury przedsiębiorstwa

Zapotrzebowanie na regulacje i sposób korzystania z narzędzi uczenia maszynowego zależy od profilu działalności oraz struktury technicznej organizacji:

Działy programistyczne i techniczne: Inżynierowie oprogramowania korzystają z asystentów pisania kodu w celu przyspieszenia pracy. Ryzyko polega na przypadkowym przekazaniu w zapytaniu kluczy dostępowych API (Application Programming Interface, czyli interfejsu programistycznego łączącego aplikacje), haseł do baz danych lub poufnych algorytmów handlowych. W takich zespołach spisany dokument określa precyzyjne reguły anonimizacji kodu oraz listę dopuszczonych wtyczek do środowiska programistycznego.

Działy marketingu, sprzedaży i obsługi klienta: W tych sekcjach generowane są treści na stronę internetową, posty społecznościowe oraz odpowiedzi na zapytania ofertowe. Główne zagrożenie stanowi powielanie błędów merytorycznych oraz naruszenie praw do wizerunku. Zasady określają, w jaki sposób redagować zapytania bez podawania nazwisk klientów oraz jak sprawdzać oryginalność wygenerowanych tekstów.

Działy księgowości, kadr i zarząd: Analiza raportów finansowych, podsumowań sprzedaży i dokumentacji pracowniczej niesie ze sobą ryzyko naruszenia tajemnicy przedsiębiorstwa oraz przepisów o ochronie danych osobowych. Spisana instrukcja jasno wskazuje, że pliki zawierające numery PESEL, zarobki czy wyciągi bankowe nie mogą być przetwarzane w modelach chmurowych bez odpowiednich umów powierzenia przetwarzania danych.

Środowiska pracy hybrydowej i urządzenia prywatne (model BYOD): Gdy pracownicy wykonują obowiązki na własnych laptopach poza siecią biurową (Bring Your Own Device, czyli korzystanie z prywatnego sprzętu do celów służbowych), ryzyko niekontrolowanego użycia niesprawdzonych wtyczek i aplikacji AI gwałtownie rośnie. Dokumentacja ujednolica wymagania niezależnie od miejsca świadczenia pracy.

Błędy popełniane przy próbie samodzielnego regulowania AI

Próby opanowania chaosu informacyjnego bez przygotowania metodycznego często prowadzą do powtarzających się błędów:

Wprowadzenie całkowitego zakazu korzystania z AI — całkowity zakaz administracyjny rzadko jest skuteczny. W praktyce prowadzi do zjawiska określanego jako shadow AI (nieoficjalne, ukryte korzystanie z prywatnych kont i darmowych narzędzi na telefonach lub komputerach domowych), co całkowicie pozbawia organizację wglądu w to, jakie dane trafiają do sieci.
Tworzenie wielostronicowych, hermetycznych regulaminów — skomplikowany dokument prawniczy liczący kilkadziesiąt stron zazwyczaj nie jest czytany przez zespół. Zasady bezpieczeństwa muszą mieć formę zwartej listy kontrolnej i zwięzłych punktów, które można powiesić przy stanowisku pracy lub przypiąć w komunikatorze firmowym.
Brak konfiguracji ustawień prywatności na kontach firmowych — wykupienie licencji biznesowej bez wyłączenia funkcji uczenia modeli na danych wejściowych (tzw. mechanizm data retention lub opt-out) nie gwarantuje pełnego bezpieczeństwa. Konieczne jest fizyczne zweryfikowanie parametrów administracyjnych każdego konta.
Uznawanie zgody ustnej za wystarczającą — przekazywanie instrukcji podczas luźnych rozmów powoduje, że nowo zatrudnione osoby operują według własnych, często błędnych nawyków wyniesionych z poprzednich miejsc pracy lub z użytku prywatnego.

Trójstopniowa klasyfikacja danych w zapytaniach do asystentów AI

Praktyczny dokument dla pracowników opiera się na przejrzystym podziale przetwarzanych informacji według poziomu poufności:

Kategoria zielona (dane bezpieczne): Informacje powszechnie dostępne w internecie, oficjalne komunikaty prasowe, ogólne koncepcje logiczne, szablony dokumentów pozbawione konkretnych danych liczbowych i osobowych, a także publiczna dokumentacja techniczna. Dane te można swobodnie wprowadzać do zatwierdzonych narzędzi.

Kategoria żółta (dane wewnętrzne z ograniczeniem): Wewnętrzne procedury robocze, szkice artykułów blogowych, ogólne podsumowania spotkań bez wzmianek o kwotach i nazwiskach. Wprowadzenie tych danych wymaga wcześniejszej anonimizacji (zastąpienia nazw własnych i liczb identyfikatorami ogólnymi) oraz korzystania wyłącznie z kont o zweryfikowanym statusie prywatności.

Kategoria czerwona (dane krytyczne — bezwzględny zakaz): Bazy danych klientów, dane medyczne i kadrowe, numery kart płatniczych, dane dostępowe do serwerów i paneli administracyjnych, pliki źródłowe objęte tajemnicą produkcyjną, nieopublikowane sprawozdania finansowe oraz korespondencja prawna. Tych informacji nie wolno wprowadzać do żadnych zewnętrznych modeli generatywnych pod żadnym pozorem.

Kiedy samo spisanie zasad nie wystarcza

Dokument określający zasady stanowi warstwę organizacyjną, która powinna współdziałać z technicznymi zabezpieczeniami sieci i komputerów w firmie:

W sytuacji, gdy organizacja przetwarza dane podlegające szczególnym rygorom prawnym (np. RODO – ogólne rozporządzenie o ochronie danych osobowych czy wymogi unijnego aktu o sztucznej inteligencji, znanego jako AI Act), same wytyczne na papierze mogą okazać się niewystarczające w razie kontroli lub audytu. Konieczne staje się wdrożenie rozwiązań technicznych, takich jak filtrowanie zapytań DNS (blokowanie dostępu do niesprawdzonych portali AI na poziomie routera) oraz systemów DLP (Data Loss Prevention, czyli oprogramowania chroniącego przed kopiowaniem wrażliwych plików poza bezpieczny obszar roboczy).

Jeżeli w firmie zachodzi podejrzenie, że na stacjach roboczych zainstalowano nieautoryzowane wtyczki lub złośliwe rozszerzenia przeglądarek podszywające się pod asystentów AI, niezbędne jest przeprowadzenie audytu bezpieczeństwa komputerów bezpośrednio na miejscu.

Najczęściej zadawane pytania

Czym różni się darmowe konto w serwisie AI od wersji komercyjnej dla firm?

W darmowych wersjach konsumenckich regulamin zazwyczaj przewiduje prawo dostawcy do wykorzystywania wprowadzanych zapytań i przesyłanych plików do dalszego trenowania algorytmów. Wersje biznesowe z reguły gwarantują poufność sesji, brak wykorzystywania danych klienta w procesie uczenia modeli oraz możliwość centralnego zarządzania uprawnieniami przez administratora organizacji.

Czy pracownik może używać AI do poprawiania błędów w służbowej poczcie elektronicznej?

Tak, pod warunkiem że treść wiadomości e-mail nie zawiera danych osobowych odbiorcy, numerów telefonów, stawek finansowych ani poufnych ustaleń handlowych. W zasadach bezpieczeństwa zaleca się kopiowanie do okna czatu jedynie wyizolowanego fragmentu tekstu wymagającego korekty gramatycznej lub stylistycznej, a nie całego wątku korespondencji wraz z nagłówkami.

Jak postąpić, jeśli pracownik przypadkowo wkleił poufny dokument do publicznego czatu AI?

Należy niezwłocznie usunąć daną konwersację z historii konta (jeśli interfejs na to pozwala), zgłosić incydent osobie odpowiedzialnej za bezpieczeństwo IT w firmie oraz sprawdzić w ustawieniach platformy możliwość złożenia wniosku o wyczyszczenie danych sesji. Zgłoszenie zdarzenia pozwala ocenić stopień ryzyka i podjąć stosowne kroki formalne.

Czy generowanie kodu programistycznego przez asystenta AI jest bezpieczne dla stabilności systemu?

Kod wygenerowany przez sztuczną inteligencję może zawierać ukryte luki bezpieczeństwa, przestarzałe biblioteki lub błędy logiczne. Zasady firmowe powinny nakładać obowiązek przeprowadzenia procedury code review (przeglądu kodu przez drugiego programistę) oraz wykonania testów jednostkowych przed wdrożeniem skryptu do środowiska produkcyjnego.

W jakich odstępach czasu należy aktualizować dokument z zasadami korzystania z AI?

Z uwagi na szybki rozwój technologii oraz regularne zmiany regulaminów dostawców oprogramowania zaleca się przegląd spisanego dokumentu przynajmniej raz na pół roku lub przy każdym wdrożeniu nowego narzędzia programowego w strukturach firmy.

Wdrożenie zasad i audyt bezpieczeństwa stacji roboczych na miejscu w firmie

Przygotowanie dokumentu dopasowanego do rzeczywistych procesów biznesowych pozwala wyeliminować niepewność wśród pracowników i zabezpieczyć wrażliwe informacje przed niekontrolowanym ujawnieniem. Zamiast teoretycznych zakazów zespół otrzymuje jasną instrukcję postępowania, która wspiera efektywność bez narażania stabilności przedsiębiorstwa.

W ramach wsparcia technicznego specjaliści dojeżdżają bezpośrednio do siedziby klienta z biura przy Al. Stanów Zjednoczonych 72 w Warszawie, obsługując firmy na terenie całej Warszawy oraz okolicznych gmin. Możliwa jest bezpośrednia weryfikacja konfiguracji stacji roboczych, przegląd zainstalowanych wtyczek i kont użytkowników oraz przeprowadzenie instruktażu na miejscu. Kontakt telefoniczny pod numerem 22 378 48 09 funkcjonuje całą dobę, przez 7 dni w tygodniu, co ułatwia sprawne zaplanowanie wizyty serwisowej.

22 378 48 09

Zasady bezpiecznego korzystania z AI dla pracowników