Shadow AI to sytuacja, w której pracownicy używają darmowych chatbotów do firmowych zadań bez wiedzy zarządu i bez żadnych reguł. Sprawdź, czy dotyczy to także Twojego zespołu. Pokażę Ci, o co zapytać ludzi i jak ustalić zasady bez zakazywania AI w firmie.
Czym jest shadow AI i skąd się bierze w firmach 10-50 osób?
Shadow AI to każde użycie sztucznej inteligencji do pracy, o którym firma nie wie i nad którym nie ma kontroli. Ktoś z Twojego zespołu wkleja treść oferty do darmowego chata, żeby ładniej brzmiała. Ktoś inny wrzuca umowę i prosi o streszczenie. Nikt nie robi tego ze złej woli.
I to jest właściwie najważniejsza rzecz w całym temacie: to nie jest problem złośliwych pracowników, tylko brak polityki. Ludzie chcą pracować szybciej, a firma nie dała im ani bezpiecznego narzędzia, ani jednej strony reguł. Gdybyś dał zespołowi służbowe auto i nigdy nie powiedział, że nie wolno nim wozić mebli z castoramy, to meble pojadą. I nikt nie uzna, że robi coś złego.
ChatGPT w firmie to już nie jest pytanie „czy ktoś używa", tylko „jak używa i z jakimi danymi". Im szybciej to nazwiesz, tym taniej to ogarniesz.
Co dokładnie ląduje w darmowym ChatGPT?
Najczęściej lądują tam rzeczy, których nikt by nie powiesił na billboardzie przed firmą:
- oferty z cenami, rabatami i marżami,
- dane klientów: nazwiska, maile, telefony, NIP-y,
- umowy wrzucone „żeby streścić na jedną stronę",
- fragmenty kodu albo dokumentacji technicznej,
- wewnętrzne zestawienia sprzedaży i płac.
Sposób przetwarzania rozmów zależy od usługi, planu i ustawień. Samo płatne konto nie gwarantuje zasad odpowiednich dla firmowych danych. Przed wklejeniem dokumentu sprawdź warunki dostawcy i reguły swojej firmy.
Z researchu do tego wpisu mam cytat, który idealnie pokazuje skalę zjawiska. Znalazłem go na Wykopie, w wątku o ChatGPT w pracy: „Mój szef [bip] się GPT przez 2 tygodnie wklejając snippety na firmowego chata. Kazał ludziom wymyślać zastosowania." „Snippety” to krótkie fragmenty kodu lub tekstu. Zwróć uwagę: to szef sam wprowadził chat do firmy. Bez reguł, bez kontroli, „na entuzjazmie". Po dwóch tygodniach entuzjazm minął, a dane zostały.
W rozmowach z właścicielami firm najczęściej słyszę takie marzenie: „Chcę żeby mój zespół mógł korzystać z AI, ale żeby dane moich klientów nie wyciekły. I żebym ja o tym wiedział, a nie dowiadywał się od UODO." UODO to Urząd Ochrony Danych Osobowych. Taki porządek zaczyna się od jasnych zasad pracy z danymi.
Co może kosztować brak kontroli nad danymi?
Nie podam jednej kwoty dla każdej firmy. Skutek zależy od tego, jakie dane udostępniono, komu i czy można ograniczyć dalszy dostęp.
Oferta z cenami, lista klientów i fragment publicznej instrukcji nie mają tej samej wrażliwości. Zacznij od ustalenia, co ludzie wklejają i na jakich kontach pracują. To daje podstawę do decyzji, zamiast straszenia kwotą wyrwaną z innego rodzaju incydentu.
Jak sprawdzić, czy w Twojej firmie jest shadow AI?
Nie potrzebujesz do tego audytora ani specjalnego oprogramowania. Wystarczy pięć pytań:
- Zapytaj zespołu wprost, bez karania. „Kto używa ChatGPT do pracy? Nikt nie dostanie reprymendy, chcę to po prostu ogarnąć." Pierwsza odpowiedź będzie niepewna, druga już szczera.
- Czy ktoś prosił o budżet na ChatGPT Plus na firmę? Jeśli tak, to znaczy, że ludzie już używają i chcą robić to porządnie. To dobra wiadomość.
- Czy macie jakikolwiek zapisany dokument o używaniu AI? Jedna strona wystarczy. Jeśli nie ma nic, to reguły tworzą pracownicy, każdy swoje.
- Czy zespół wie, które dane są tajemnicą firmy? Jeśli nie potrafisz wymienić tej listy z pamięci, oni też nie potrafią.
- Czy wiesz, co dzieje się z danymi po wklejeniu do darmowego chata? Jeśli nie, to jest pierwsza rzecz do nadrobienia, zanim ktokolwiek wklei następną ofertę.
Jeśli nie znasz odpowiedzi, masz obszar do sprawdzenia. Same pytania nie dowodzą wycieku ani tego, że pracownicy używają AI bez zgody.
Do takiej samodzielnej diagnozy przygotowałem checklistę 20 punktów audytu M365, którą pobierzesz tutaj. Bezpieczeństwo danych jest w niej osobnym blokiem, więc przejdziesz go w kwadrans.
Zakazać AI czy dać ludziom bezpieczne narzędzie?
Zakaz nie działa. Pracownik, który chce skrócić sobie raport, użyje chata na prywatnym telefonie i tylko stracisz wiedzę o tym, że to robi. Działa natomiast zestaw trzech prostych elementów.
Pierwszy: jednostronicowa polityka AI. Co wolno wklejać, czego nie wolno, na jakich kontach można pracować z AI. Jedna strona, napisana po ludzku, omówiona na zebraniu. Koniec dokumentu.
Drugi: narzędzie z kontrolą danych. Sprawdź warunki przetwarzania, uprawnienia i zasady przechowywania rozmów. Na przykład OpenAI domyślnie nie używa danych z firmowego obszaru ChatGPT Business do trenowania modeli. To nie zastępuje kontroli dostępu ani reguł firmy. OpenAI opisuje ochronę danych obszarów firmowych.
W Microsoft 365 pomagają etykiety poufności i reguły zapobiegania utracie danych, czyli DLP, w Microsoft Purview. Reguły mogą ostrzegać lub blokować wybrane działania. Ich zakres zależy od licencji, konfiguracji i obsługiwanych miejsc pracy z danymi. Sama etykieta nie blokuje automatycznie każdego wklejenia. Microsoft wyjaśnia działanie reguł DLP. W moim pakiecie PREMIUM wdrażam właśnie taką politykę AI jako gotowy jednostronicowy dokument wraz z konfiguracją Purview. Mówię o tym, żeby pokazać, jak wygląda cel, a nie żeby Ci tu cokolwiek sprzedać: pierwszy krok zrobisz sam, bez żadnego pakietu.
Trzeci: rozmowa z zespołem. Piętnaście minut: pokazujesz politykę, mówisz dlaczego powstała i pytasz, czego ludziom brakuje. Zespół, który dostał dobre narzędzie i jasne reguły, nie musi kombinować.
Od czego zacząć w tym tygodniu?
Trzy kroki, wszystkie do zrobienia przed piątkiem:
- Porozmawiaj z zespołem. Piętnaście minut, pytania z sekcji wyżej, zero oceniania. Dowiesz się więcej niż z jakiegokolwiek raportu.
- Wypisz dane, których nie wolno wklejać. Ceny i marże, dane klientów, umowy, płace. Zawieś listę tam, gdzie ludzie pracują. To jest zalążek polityki AI.
- Przejdź checklistą. Pobierz checklistę 20 punktów audytu M365 i odhacz, co masz ogarnięte. Blok o bezpieczeństwie danych pokaże Ci dokładnie, gdzie są dziury.
A jak checklista pokaże, że dziur jest sporo, to na darmowym audycie (60 minut, online) przechodzimy przez te punkty razem, na Twojej firmie, nie na slajdach. Daj znać, jak Ci wyszło z pięcioma pytaniami.