Brak pełnej mapy użycia AI
Na początku organizacja nie wiedziała, w ilu procesach i w jakim zakresie pracownicy rzeczywiście wykorzystują narzędzia AI.
Case study / AI & AI Act
Jak wdrożyliśmy bezpieczne korzystanie z AI w dużej organizacji
Klient zakładał, że sztuczna inteligencja jest wykorzystywana głównie do prostych działań marketingowych. Audyt pokazał szerszą skalę użycia, w tym shadow AI. W około dwa miesiące uporządkowaliśmy narzędzia, ryzyka, zasady korzystania z AI i przygotowaliśmy organizację do dalszego, świadomego wykorzystywania tej technologii.
Sedno wdrożenia
Klient nie chciał blokować AI. Chciał korzystać z niego szeroko, ale w sposób kontrolowany i zgodny z prawem. Dlatego nie tworzyliśmy dokumentu „do szuflady”, tylko proces obejmujący ludzi, narzędzia, dane i konkretne zastosowania.
Najważniejsza zmiana była organizacyjna: firma przestała pytać „czy wolno używać AI?”, a zaczęła wiedzieć gdzie, jak i na jakich zasadach może go używać.
Punkt wyjścia
AI było w firmie szerzej, niż organizacja zakładała
Duży przedsiębiorca korzystał z AI w wielu procesach, ale nie miał pełnego obrazu skali wykorzystania technologii. Kluczowym problemem nie był brak narzędzi, tylko brak jednej mapy zastosowań, zasad i odpowiedzialności.
Shadow AI
Audyt ujawnił narzędzia i sposoby korzystania z AI funkcjonujące poza formalnym obiegiem organizacji. To oznaczało ryzyka, których wcześniej nie dało się skutecznie zarządzać.
Niejasne licencje i subskrypcje
Trzeba było sprawdzić, czy wykorzystywane plany licencyjne odpowiadają rzeczywistemu sposobowi korzystania z narzędzi. Przy okazji wykryliśmy także niepotrzebne subskrypcje.
Pracownicy bez jasnych zasad
Zespół nie miał jednolitej odpowiedzi na pytania: jakie dane można wprowadzać do AI, jakie treści można wykorzystywać i kiedy potrzebny jest dodatkowy nadzór.
Ryzyko
Największym problemem nie było samo AI. Był nim brak kontroli nad jego użyciem
AI Act był tylko jedną warstwą. Każdy realny use case trzeba było ocenić także przez pryzmat danych osobowych, praw autorskich, warunków licencyjnych i ryzyk operacyjnych.
01
Dane osobowe i poufne informacje
Nieuporządkowane korzystanie z AI mogło prowadzić do wprowadzania do narzędzi danych, które wymagały dodatkowej oceny na gruncie RODO, poufności lub wewnętrznych zasad bezpieczeństwa.
02
Prawa autorskie i licencje
Sposób wykorzystania wygenerowanych treści oraz materiałów wejściowych wymagał oceny prawnoautorskiej i sprawdzenia warunków konkretnych narzędzi i planów licencyjnych.
03
Transparentność i reputacja
Brak przygotowania do obowiązków dotyczących przejrzystości określonych zastosowań AI mógł oznaczać nie tylko ryzyko prawne, ale także utratę zaufania klientów i partnerów.
04
Brak odpowiedzialności za decyzje
Bez jasnych zasad organizacja nie wiedziała, kto zatwierdza konkretne zastosowania, kiedy potrzebna jest kontrola człowieka i które użycia powinny być zakazane albo ograniczone.
Wdrożony proces
Od audytu do stałych zasad AI governance
Przyjęliśmy strategię minimalizacji ryzyka, ale z jednym ważnym założeniem: AI ma dalej pracować dla biznesu. Nie szukaliśmy powodów, żeby je blokować. Szukaliśmy sposobu, żeby organizacja mogła używać go świadomie i w sposób powtarzalny.
01
Mapowanie rzeczywistego użycia AI
Przeprowadziliśmy pełny audyt narzędzi i procesów. Rozmowy z zespołem pozwoliły ustalić nie tylko oficjalne zastosowania, ale również zjawisko shadow AI.
02
Audyt licencji i kosztów
Sprawdziliśmy plany licencyjne wykorzystywanych narzędzi, ich dopasowanie do zastosowań biznesowych oraz subskrypcje, które nie były już realnie potrzebne.
03
Ocena use case'ów
Każde istotne zastosowanie oceniliśmy w kilku warstwach: AI Act, RODO, prawa autorskie i warunki licencyjne. Efektem była jasna kwalifikacja: dozwolone, dozwolone z dodatkowym nadzorem albo wymagające zmiany.
04
Regulamin korzystania z AI
Przygotowaliśmy wewnętrzne zasady korzystania ze sztucznej inteligencji dopasowane do faktycznych procesów klienta, zamiast uniwersalnego dokumentu oderwanego od organizacji.
05
Szkolenie i wdrożenie w zespole
Regulamin został przełożony na praktykę poprzez szkolenia. Zespół otrzymał konkretne zasady dotyczące danych, treści, narzędzi, akceptacji nowych zastosowań i sytuacji wymagających dodatkowej konsultacji.
Pełny obraz
Organizacja dowiedziała się, gdzie naprawdę używa AI
Audyt uporządkował oficjalne i nieformalne zastosowania. Shadow AI przestało być niewidocznym ryzykiem, które istnieje poza wiedzą osób odpowiedzialnych za compliance i zarządzanie.
Zasady
Powstał jeden standard podejmowania decyzji o AI
Regulamin określił, które zastosowania są akceptowalne, kiedy potrzebny jest dodatkowy nadzór i jakie zasady obowiązują pracowników korzystających z narzędzi AI.
Najważniejsza zmiana
AI przestało być zbiorem indywidualnych eksperymentów. Stało się zarządzanym procesem organizacyjnym.
Efekt biznesowy
Kontrola ryzyka bez blokowania technologii
Klient może dalej rozwijać wykorzystanie AI, mając jednocześnie procedurę oceny nowych narzędzi i use case'ów. Dodatkowo audyt ujawnił niepotrzebne licencje na niewykorzystywane narzędzia, które można było wyeliminować.
Wniosek dla organizacji
Najpierw sprawdź, jak AI jest używane naprawdę
Regulamin AI ma sens dopiero wtedy, gdy odpowiada na rzeczywiste zachowania zespołu. Największym ryzykiem jest często nie to AI, które zarząd widzi, ale to, którego organizacja w ogóle nie ma na swojej mapie.
Najczęstsze pytania
Regulamin AI, shadow AI i AI Act w firmie
01Czy każda firma musi mieć regulamin korzystania z AI?×
Nie istnieje ogólny przepis, który nakazywałby każdej firmie posiadanie dokumentu o nazwie „regulamin AI”. W praktyce wewnętrzna polityka lub regulamin pomaga jednak przypisać odpowiedzialność, opisać dozwolone zastosowania i kontrolować ryzyka wynikające z AI Act, RODO, praw autorskich i umów licencyjnych.
02Co daje regulamin AI w firmie?×
Przede wszystkim wspólny standard działania. Pracownicy wiedzą, z jakich narzędzi mogą korzystać, jakich danych nie powinni do nich wprowadzać, które zastosowania wymagają dodatkowej akceptacji i gdzie zgłaszać nowy use case.
03Co powinno znaleźć się w regulaminie korzystania z AI?×
Zakres zależy od organizacji, ale zwykle obejmuje dopuszczone narzędzia, zasady pracy z danymi i treściami, kwestie poufności, prawa autorskiego, odpowiedzialności za wynik, nadzoru człowieka, transparentności oraz proces zgłaszania nowych zastosowań AI.
04Co to jest shadow AI?×
To wykorzystywanie narzędzi AI poza oficjalnym procesem organizacji - na przykład przez pracowników korzystających z własnych kont lub aplikacji, których firma nie zatwierdziła. Problem polega na tym, że organizacja może ponosić ryzyka związane z użyciem, o którym formalnie nie wie.
05Czy przy wdrożeniu AI wystarczy sprawdzić tylko AI Act?×
Nie. Ten sam use case może równocześnie dotykać RODO, praw autorskich, tajemnicy przedsiębiorstwa, warunków licencyjnych narzędzia albo regulacji branżowych. Dlatego ocenialiśmy konkretne zastosowania wielowarstwowo, a nie wyłącznie przez jeden akt prawny.
06Kiedy zaczęły obowiązywać kolejne wymogi przejrzystości AI Act?×
Co do zasady rozporządzenie AI Act stosuje się od 2 sierpnia 2026 r., a od tej daty zaczęły stosować się m.in. obowiązki przejrzystości z art. 50 dotyczące określonych systemów i treści generowanych lub manipulowanych przez AI. Zakres konkretnego obowiązku zawsze trzeba ocenić dla danego zastosowania.
Wiedza i następny krok
Pogłęb temat
Case study pokazuje praktykę. Poniższe materiały rozwijają zasady, które stoją za zastosowanym rozwiązaniem.
Zespół wdrożeniowy
Piotr Kantorowski
Wspólnik / radca prawny / AI i nowe technologie
Projekt realizował wspólnie z Pawłem Głąbem i Patrycją Myśliwiec. Zespół połączył analizę AI Act z RODO, prawem autorskim i warunkami licencyjnymi narzędzi, a następnie przełożył wyniki audytu na regulamin oraz praktyczne szkolenie dla organizacji.
Profil Piotra ↗AI jest już w Twojej organizacji?
Najpierw sprawdź, gdzie i jak jest używane
Możemy przeprowadzić audyt rzeczywistego wykorzystania AI, ocenić narzędzia i use case'y, zidentyfikować shadow AI oraz przygotować zasady i szkolenie dopasowane do sposobu działania Twojej organizacji.
Porozmawiaj z prawnikiem ↗