Shadow AI to sytuacja, w której pracownicy używają darmowych chatbotów do firmowych zadań bez wiedzy zarządu i bez żadnych reguł. I dzieje się to już w Twojej firmie, nawet jeśli o tym nie wiesz. Z tego wpisu dowiesz się, co dokładnie ląduje w darmowym ChatGPT, ile taki incydent może kosztować i jak to zamknąć bez zakazywania AI w firmie.
Czym jest shadow AI i skąd się bierze w firmach 10–50 osób?
Shadow AI to każde użycie sztucznej inteligencji do pracy, o którym firma nie wie i nad którym nie ma kontroli. Ktoś z Twojego zespołu wkleja treść oferty do darmowego chata, żeby ładniej brzmiała. Ktoś inny wrzuca umowę i prosi o streszczenie. Nikt nie robi tego ze złej woli.
I to jest właściwie najważniejsza rzecz w całym temacie: to nie jest problem złośliwych pracowników, tylko brak polityki. Ludzie chcą pracować szybciej, a firma nie dała im ani bezpiecznego narzędzia, ani jednej strony reguł. Gdybyś dał zespołowi służbowe auto i nigdy nie powiedział, że nie wolno nim wozić mebli z castoramy, to meble pojadą. I nikt nie uzna, że robi coś złego.
ChatGPT w firmie to już nie jest pytanie „czy ktoś używa", tylko „jak używa i z jakimi danymi". Im szybciej to nazwiesz, tym taniej to ogarniesz.
Co dokładnie ląduje w darmowym ChatGPT?
Najczęściej lądują tam rzeczy, których nikt by nie powiesił na billboardzie przed firmą:
- oferty z cenami, rabatami i marżami,
- dane klientów: nazwiska, maile, telefony, NIP-y,
- umowy wrzucone „żeby streścić na jedną stronę",
- fragmenty kodu albo dokumentacji technicznej,
- wewnętrzne zestawienia sprzedaży i płac.
Problem w tym, że w darmowej wersji takie treści mogą być wykorzystane do uczenia modelu. Wklejasz raz i dane już tam zostają. Nie ma przycisku „wycofaj".
Z researchu do tego wpisu mam cytat, który idealnie pokazuje skalę zjawiska. Znalazłem go na Wykopie, w wątku o ChatGPT w pracy: „Mój szef [bip] się GPT przez 2 tygodnie wklejając snippety na firmowego chata. Kazał ludziom wymyślać zastosowania." Zwróć uwagę: to szef sam wprowadził chat do firmy. Bez reguł, bez kontroli, „na entuzjazmie". Po dwóch tygodniach entuzjazm minął, a dane zostały.
W rozmowach z właścicielami firm najczęściej słyszę takie marzenie: „Chcę żeby mój zespół mógł korzystać z AI, ale żeby dane moich klientów nie wyciekły. I żebym ja o tym wiedział, a nie dowiadywał się od UODO." To jest dokładnie ta intencja, pod którą warto ustawić porządek, a nie zakaz.
Ile kosztuje incydent z danymi w MŚP?
Średni koszt incydentu bezpieczeństwa danych w małej i średniej firmie to 80 000–200 000 PLN. Do tego Polska jest na pierwszym miejscu w Europie pod względem liczby ataków ransomware w pierwszej połowie 2025 roku (raport ESET; koszty incydentów za raportami Sharp Europe i ESET 2025).
Uczciwie dodam jedno: wyciek przez ChatGPT to inny mechanizm niż ransomware. Nikt Cię tu nie zaszyfruje i nie zażąda okupu. Ale oba ryzyka mają wspólny mianownik: brak kontroli nad tym, gdzie firmowe dane są i kto ma do nich dostęp. Wyciek z chata kończy się zwykle ciszej: zgłoszeniem do UODO, telefonem od klienta albo ofertą konkurencji, która dziwnie przypomina Twoją.
Nie piszę tego, żeby straszyć. Piszę, żeby pokazać rząd wielkości, bo „coś może się stać" to zły materiał do decyzji, a kwota 80 000 PLN to już konkret. Straty na niewykorzystanych licencjach i czasie zespołu policzysz zresztą w naszym kalkulatorze, ryzyko danych policzysz trudniej, ale oba tematy zaczynają się od tego samego: wiedzy, co się w firmie naprawdę dzieje.
Jak sprawdzić, czy w Twojej firmie jest shadow AI?
Nie potrzebujesz do tego audytora ani specjalnego oprogramowania. Wystarczy pięć pytań:
- Zapytaj zespołu wprost, bez karania. „Kto używa ChatGPT do pracy? Nikt nie dostanie reprymendy, chcę to po prostu ogarnąć." Pierwsza odpowiedź będzie niepewna, druga już szczera.
- Czy ktoś prosił o budżet na ChatGPT Plus na firmę? Jeśli tak, to znaczy, że ludzie już używają i chcą robić to porządnie. To dobra wiadomość.
- Czy macie jakikolwiek zapisany dokument o używaniu AI? Jedna strona wystarczy. Jeśli nie ma nic, to reguły tworzą pracownicy, każdy swoje.
- Czy zespół wie, które dane są tajemnicą firmy? Jeśli nie potrafisz wymienić tej listy z pamięci, oni też nie potrafią.
- Czy wiesz, co dzieje się z danymi po wklejeniu do darmowego chata? Jeśli nie, to jest pierwsza rzecz do nadrobienia, zanim ktokolwiek wklei następną ofertę.
Jeśli przy dwóch lub więcej pytaniach odpowiedź brzmi „nie wiem", masz shadow AI. Spokojnie, ma je większość firm, które znam.
Do takiej samodzielnej diagnozy przygotowałem checklistę 20 punktów audytu M365, którą pobierzesz tutaj. Bezpieczeństwo danych jest w niej osobnym blokiem, więc przejdziesz go w kwadrans.
Zakazać AI czy dać ludziom bezpieczne narzędzie?
Zakaz nie działa. Pracownik, który chce skrócić sobie raport, użyje chata na prywatnym telefonie i tylko stracisz wiedzę o tym, że to robi. Działa natomiast zestaw trzech prostych elementów.
Pierwszy: jednostronicowa polityka AI. Co wolno wklejać, czego nie wolno, na jakich kontach można pracować z AI. Jedna strona, napisana po ludzku, omówiona na zebraniu. Koniec dokumentu.
Drugi: narzędzie z kontrolą danych. Firmowe konto z umową o przetwarzaniu danych, gdzie treści nie idą do uczenia modelu. Po polsku: ten sam chat, ale dane zostają pod Twoją kontrolą. W świecie Microsoft 365 do pełnej kontroli dochodzą jeszcze etykiety wrażliwości i reguły DLP w Microsoft Purview, czyli automat, który blokuje wysłanie lub wklejenie danych oznaczonych jako wrażliwe. W moim pakiecie PREMIUM wdrażam właśnie taką politykę AI jako gotowy jednostronicowy dokument wraz z konfiguracją Purview. Mówię o tym, żeby pokazać, jak wygląda cel, a nie żeby Ci tu cokolwiek sprzedać: pierwszy krok zrobisz sam, bez żadnego pakietu.
Trzeci: rozmowa z zespołem. Piętnaście minut: pokazujesz politykę, mówisz dlaczego powstała i pytasz, czego ludziom brakuje. Zespół, który dostał dobre narzędzie i jasne reguły, nie musi kombinować.
Od czego zacząć w tym tygodniu?
Trzy kroki, wszystkie do zrobienia przed piątkiem:
- Porozmawiaj z zespołem. Piętnaście minut, pytania z sekcji wyżej, zero oceniania. Dowiesz się więcej niż z jakiegokolwiek raportu.
- Wypisz dane, których nie wolno wklejać. Ceny i marże, dane klientów, umowy, płace. Zawieś listę tam, gdzie ludzie pracują. To jest zalążek polityki AI.
- Przejdź checklistą. Pobierz checklistę 20 punktów audytu M365 i odhacz, co masz ogarnięte. Blok o bezpieczeństwie danych pokaże Ci dokładnie, gdzie są dziury.
A jak checklista pokaże, że dziur jest sporo, to na darmowym audycie (60 minut, online) przechodzimy przez te punkty razem, na Twojej firmie, nie na slajdach. Daj znać, jak Ci wyszło z pięcioma pytaniami.