Czy MŚP naprawdę potrzebuje polityki korzystania z AI w firmie?

Wstęp

Sztuczna inteligencja coraz częściej staje się częścią codziennej pracy przedsiębiorstw. Pracownicy wykorzystują ją do przygotowywania ofert, analizowania dokumentów, utworzenia treści marketingowych, opracowania raportów czy wyszukiwania informacji. W wielu firmach korzystanie z AI rozpoczęło się jednak spontanicznie, bez wcześniejszego ustalenia zasad i określenia, jakie informacje można przekazywać zewnętrznym narzędziom.

Dopóki sztuczna inteligencja pomaga przygotować ogólny tekst lub uporządkować pomysły, ryzyko może wydawać się niewielkie. Sytuacja zmienia się, gdy pracownik wprowadza do aplikacji dane klienta, fragmenty umów, informacje finansowe albo dokumentację techniczną. Pojawia się wtedy pytania, kto odpowiada za bezpieczeństwo tych informacji i poprawność rezultatów generowanych przez AI.

Czy niewielkie przedsiębiorstwo rzeczywiście potrzebuje osobnej polityki korzystania ze sztucznej inteligencji? A może wystarczy zdrowy rozsądek pracowników i kilka podstawowych zasad?

AI w firmie może pojawić się bez decyzji zarządu

Wdrożenie nowego systemu informatycznego zazwyczaj wymaga określonego budżetu, wyboru dostawcy i przygotowania pracowników. W przypadku generatywnej sztucznej inteligencji sytuacja wygląda inaczej. Wiele narzędzi jest dostępnych bezpośrednio przez przeglądarkę internetową, a rozpoczęcie korzystania z nich zajmuje zaledwie kilka minut.

Pracownik działu sprzedaży może używać AI do przygotowania ofert, specjalista ds. marketingu do utworzenia treści, a osoba odpowiedzialna za administrację do podsumowania dokumentów. Każdy korzysta z innego narzędzia, często na własnym koncie, a przedsiębiorstwo nie zawsze wie, jakie informacje są w ten sposób przetwarzane.   

Takie zjawisko określa się mianem Shadow AI, czyli korzystania ze sztucznej inteligencji poza oficjalnym nadzorem organizacji. Nie musi ono wynikać z lekceważenia zasad bezpieczeństwa. Pracownicy często chcą po prostu szybciej wykonywać swoje obowiązki, a dostępne narzędzia rzeczywiście mogą im w tym pomóc. Brak wspólnych ustaleń sprawia jednak, że każdy samodzielnie decyduje, gdzie przebiega granica bezpiecznego wykorzystania technologii.

Czy mała firma potrzebuje formalnego dokumentu?

Polityka korzystania z AI może kojarzyć się z rozbudowaną dokumentacją przygotowaną przez duże przedsiębiorstwa. W MŚP nie musi jednak przyjmować takiej formy. Dla niewielkiego zespołu dobrym początkiem może być krótki dokument opisujący dozwolone zastosowania, zasady ochrony informacji oraz sposób weryfikowania rezultatów.

Nie istnieje ogólny obowiązek posiadania odrębnych dokumentu zatytułowanego „Polityka korzystania z AI”, który dotyczyłby każdego MŚP wyłącznie z powodu używania sztucznej inteligencji. Nie oznacza to jednak braku odpowiedzialności. W zależności od zastosowania przedsiębiorstwo musi uwzględniać przepisy dotyczące ochrony danych osobowych, poufności informacji, praw autorskich oraz wymagania wynikające z unijnego rozporządzenia AI Act.

W praktyce warto więc rozróżnić obowiązki prawne od wewnętrznych zasad organizacyjnych. Polityka AI pomaga uporządkować sposób korzystania z technologii, ograniczyć ryzyko i jasno określić odpowiedzialność. Jej zakres powinien odpowiadać rzeczywistym zastosowaniom sztucznej inteligencji w przedsiębiorstwie.

Jakie dane można przekazywać sztucznej inteligencji?

Jednym z najważniejszych zagadnień, które powinny zostać uregulowane, jest sposób postępowania z informacji firmowych. Narzędzia AI mogą wykorzystać przesłane treści zgodnie z warunkami określonymi przez dostawcę, a zasady przechowywania i dalszego przetwarzania danych mogą różnić się w zależności od usługi i wybranego planu.

Wyobraźmy sobie pracownika, który chce szybko przeanalizować umowę z kontrahentem. Kopiuje cały dokument do ogólnodostępnego narzędzia AI i prosi o wskazanie najważniejszych zasobów. Otrzymuje przydatne podsumowanie, ale wcześniej przekazał zewnętrznej usłudze informacje, które mogą być objęte obowiązkiem poufności.

Podobny problem może dotyczyć list klientów, danych pracowników, niepublicznych wyników finansowych czy dokumentacji konstrukcyjnej. Dlatego polityka powinna określać, które kategorie informacji można przetwarzać w zatwierdzonych narzędziach, jakie zabezpieczenia są wymagane oraz których danych nie wolno przekazywać bez odpowiedniej oceny i zgody.

Samo usunięcie imienia i nazwiska z dokumentu nie zawsze wystarczy, aby zapewnić anonimowość informacji. Czasami inne szczegóły pozwalają zidentyfikować osobę, konkretny projekt. Z tego powodu zasady powinny uwzględniać nie tylko dane osobowe, ale również tajemnicę przedsiębiorstwa i zobowiązania wobec klientów.

Kto odpowiada za błędy wygenerowane przez AI?

Sztuczna inteligencja potrafi przygotować przekonująco brzmiącą odpowiedź, która zawiera nieprawdziwe informacje. Może błędnie zinterpretować dokument, przywołać nieistniejący przepis, pomylić dane liczbowe albo pominąć ważny fragment analizowanego materiału.

Jeżeli pracownik wykorzysta taki rezultat bez sprawdzenia, konsekwencje poniesie przedsiębiorstwo. Błędna ofiara może prowadzić do nieporozumień z klientem, nieprawidłowe obliczenia mogą wpłynąć na decyzję biznesową, a niezweryfikowane informacje prawne mogą stać się podstawą niewłaściwego działania.

Wewnętrzne zasady powinny więc wskazywać, w jakich sytuacjach wynik AI wymaga sprawdzenia oraz kto odpowiada za jego zatwierdzenie. Szczególnej ostrożności wymagają zastosowania związane z finansami, sprawami pracowniczymi, bezpieczeństwem, dokumentacją techniczną i decyzjami mającymi istotny wpływ na klientów.

Korzystanie z AI nie zwalnia pracownika ani przedsiębiorstwa z odpowiedzialności za podejmowane działania. Technologia może przygotować analizę lub rekomendację, ale sposób jej wykorzystania powinien podlegać odpowiedniej kontroli.

AI Act a obowiązki przedsiębiorców

W dyskusji o firmowych zasadach korzystania ze sztucznej inteligencji coraz częściej pojawiają się unijne rozporządzenia AI Act. Jego wymagania zależą między innymi od roli przedsiębiorstwa, rodzaju wykorzystywanego systemu oraz ryzyka związanego z jego zastosowaniem. Inne obowiązki mogą dotyczyć firmy korzystającej z gotowego narzędzia do przygotowania treści marketingowych, a inne przedsiębiorstwa rozwijającego system AI wykorzystywane do oceny kandydatów do pracy.

Znaczenie ma również art. 3 AI Act, dotyczący kompetencji w zakresie sztucznej inteligencji. Przewiduje on podejmowanie działań wspierających rozwój wiedzy i umiejętności osób korzystających z systemów AI w imieniu organizacji. Przepisy nie narzucają jednego programu szkoleniowego ani określonego poziomu wiedzy każdego pracownika. Działania powinny być dostosowane do wykorzystywanych systemów, doświadczenia użytkowników i związanego z nimi ryzyka.

Wewnętrzna polityka może pomóc przedsiębiorstwu uporządkować te działania, ale samo jej opracowanie nie oznacza automatycznie spełnienia wszystkich wymagań prawnych. Ważne jest również to, czy pracownicy rozumieją zasady i stosują je podczas codziennej pracy.

Jak powinna wyglądać polityka AI w małej firmie?

W niewielkim przedsiębiorstwie nie ma potrzeby utworzenia kilkudziesięciostronicowego dokumentu, którego nikt nie będzie czytał. Znacznie bardziej przydatne mogą okazać się krótkie, zrozumiałe zasady odnoszące się do rzeczywistych sytuacji występujących w firmie.

Przedsiębiorstwo powinno przede wszystkim określić, z jakich narzędzi pracownicy mogą korzystać służbowo i w jakich celach. Warto ustalić, czy AI może być wykorzystywana do utworzenia ofert, analizy dokumentów, opracowania raportów lub obsługi klientów oraz jakie ograniczenia obowiązują w poszczególnych zastosowaniach.

Osobnego uregulowania wymagają kwestie związane z danymi. Pracownicy powinny wiedzieć, które informacje mogą przekazywać narzędziom AI, jak postępować z dokumentami poufnymi oraz do kogo zwrócić się w razie wątpliwości. Polityka powinna również określać sposób sprawdzania wyników, zasady zatwierdzenia treści wykorzystywanych na zewnątrz firmy i postępowania w przypadku błędów lub podejmowania ujawnienia informacji.

Warto także wyznaczyć osobę odpowiedzialną za aktualizowanie zasad. Nie musi to oznaczać utworzenia nowego stanowiska. W małym przedsiębiorstwie zadanie może zostać przypisane osobie, która już odpowiada za organizację pracy, bezpieczeństwo informacji lub wdrożenia narzędzi cyfrowych.

Sam dokument nie wystarczy

Nawet najlepiej przygotowana polityka nie będzie skuteczna, jeśli pracownicy nie zrozumieją, dlaczego wprowadzono określone ograniczenia. Sam zakaz przekazywania poufnych informacji do narzędzi AI może okazać się niewystarczający, jeśli użytkownicy nie potrafią rozpoznać, które dane mają taki charakter.

Dlatego wprowadzeniu zasad powinno towarzyszyć praktyczne przygotowanie zespołu. Dobrym rozwiązaniem może być omówienie kilku sytuacji z codziennej pracy: przygotowania oferty na podstawie danych klienta analizy dokumentu, utworzenia materiałów marketingowych czy wykorzystania AI do opracowania zestawienia finansowego.

Pracownicy powinni również znać ograniczenie technologii. Warto pokazać im przykładu błędnych odpowiedzi, wyjaśnić znaczenie weryfikacji źródeł oraz omówić zasady bezpiecznego korzystania z informacji. Szkolenie będzie bardziej przydatne, jeśli zostanie dopasowane do obowiązków konkretnych osób, zamiast ograniczać się do ogólnego przedstawienia możliwości sztucznej inteligencji.

Gdzie zdobyć wiedzę o bezpiecznym wykorzystaniu AI?

Przedsiębiorcy nie muszą samodzielnie opracowywać całego programu edukacyjnego. Dobrym punktem wyjścia mogą być szkolenia dostępne w Akademii PARP, które pozwalają lepiej zrozumieć możliwości sztucznej inteligencji, jej ograniczenia oraz kwestie prawne.

Osobom rozpoczynającym korzystanie z AI warto polecić kurs AI w biznesie - kurs I stopnia . Obejmuje on podstawy działania sztucznej inteligencji, zastosowania generatywnej AI w codziennej pracy oraz zagadnienia etyczne i prawne. Materiał jest przeznaczony między innymi dla przedsiębiorców, menedżerów i pracowników, którzy nie posiadają zaawansowanej wiedzy technicznej.

Dla firm planujących szersze wykorzystanie tej technologii przygotowano również AI w biznesie - kurs II stopnia. Program dotyczy planowania wdrożeń, oceny kosztów i ryzyka, projektowania rozwiązań AI oraz regulacji prawnych. Zdobyta wiedza może pomóc przedsiębiorstwu nie tylko przygotować wewnętrzne zasady, ale również podejmować bardziej świadome decyzje dotyczące wyboru u wykorzystywania narzędzi.

Polityka AI powinna zmieniać się razem z firmą

Zasady opracowane na początku korzystania ze sztucznej inteligencji mogą po pewnym czasie okazać się niewystarczające. Przedsiębiorstwo, które początkowo wykorzystywało AI wyłącznie do redagowania tekstów, może zacząć stosować ją do analizy danych, automatyzacji procesów lub wspierania decyzji biznesowych. Każde nowe zastosowanie może wiązać się z innymi zagrożeniami i wymaganiami.

Dlatego polityka nie powinna być dokumentem przygotowanym raz i odłożonym do firmowego archiwum. Warto wracać do niej przy wdrożeniu kolejnych narzędzi, zmianie dostawcy, rozszerzeniu zakresu przetwarzanych danych lub pojawieniu się nowych wymagań prawnych.

Regularny przegląd pozwala również usunąć ograniczenia, które przestały być potrzebne oraz doprecyzowywać zasady budzące wątpliwości pracowników. Dzięki temu dokument pozostaje przydatny i nie staje się kolejną formalnością utrudniającą codzienną pracę.

Podsumowanie

Małe i średnie przedsiębiorstwa nie muszą utworzyć rozbudowanych regulaminów tylko dlatego, że pracownicy zaczęli korzystać ze sztucznej inteligencji. Potrzebują jednak jasnych ustaleń dotyczących bezpieczeństwa informacji, dopuszczalnych zastosowań AI, odpowiedzialności za wyniki oraz sposobu postępowania w przypadku problemów.

Wewnętrzna polityka może mieć zaledwie kilka stron, pod warunkiem, że odpowiada na rzeczywiste potrzeby przedsiębiorstwa i jest zrozumiała dla pracowników. Jej przygotowanie warto połączyć z rozwijaniem kompetencji zespołu oraz przeglądem narzędzi wykorzystywanych w firmie.

Sztuczna inteligencja może ułatwiać codzienną pracę, ale przedsiębiorstwo powinno wiedzieć, w jaki sposób jest wykorzystywana i jakie informacje trafiają do poszczególnych systemów. Dobrze przygotowania z technologii. Powinna pomagać pracownikom korzystać z niej świadomie i bezpiecznie.