AI a dane firmowe: co wolno wkleić, a czego nie

Skąd bierze się ryzyko

W większości firm, które pytają nas o bezpieczeństwo AI, narzędzia są już w użyciu — po prostu nikt o tym oficjalnie nie wie. Ludzie korzystają z darmowych kont na prywatnych adresach, bo to szybsze niż czekanie na decyzję. Zakaz tego nie zatrzymuje, tylko przenosi poza zasięg wzroku.

Dlatego pierwszym krokiem nie jest zakaz, tylko ustalenie stanu faktycznego: z czego zespół korzysta i do czego.

Trzy poziomy danych

Najprostsza zasada, która działa w praktyce, dzieli dane na trzy kategorie:

• Zielone — treści, które i tak są publiczne albo nie identyfikują nikogo: teksty marketingowe, opisy produktów, ogólne pytania techniczne. Tu nie ma problemu.
• Żółte — dane wewnętrzne, nieosobowe: procedury, dokumentacja, dane zagregowane. Można, ale w narzędziu firmowym, z umową powierzenia, nie na prywatnym koncie.
• Czerwone — dane osobowe, dane objęte tajemnicą, umowy z klientami, dokumentacja medyczna, dane kadrowe i finansowe pojedynczych osób. Nie trafiają do zewnętrznego modelu w formie, która pozwala kogokolwiek zidentyfikować.

Ta jedna kartka, rozesłana zespołowi, załatwia więcej niż godzinna prezentacja o bezpieczeństwie.

Co zrobić z czerwonymi, jeśli naprawdę są potrzebne

Są trzy wyjścia i wszystkie bywają sensowne.

Anonimizacja przed wysłaniem. Dane osobowe zostają w firmie, do modelu idzie pytanie z zamaskowanymi identyfikatorami. Tak działa SOWA Privacy — warstwa, która wykrywa dane osobowe w polu tekstowym i maskuje je, zanim prompt opuści firmę, dostrojona do polskiej i niemieckiej odmiany nazwisk i nazw firm, z którą anglocentryczne narzędzia sobie nie radzą.

Model lokalny. Działa na Waszym sprzęcie, dane fizycznie nie wychodzą. Słabszy od największych modeli komercyjnych, ale do streszczania, wyszukiwania w dokumentach i klasyfikacji w zupełności wystarcza.

Umowa i konfiguracja. Plan biznesowy z zapisem o niewykorzystywaniu danych do trenowania, umowa powierzenia, przetwarzanie w EOG, wyłączona historia rozmów. To minimum dla danych żółtych, ale samo w sobie rzadko wystarcza dla czerwonych.

Co musi być na papierze

Niezależnie od wybranej drogi: rejestr narzędzi AI używanych w firmie, umowa powierzenia z każdym dostawcą przetwarzającym dane osobowe, zapis w polityce ochrony danych, informacja dla użytkownika, że rozmawia z maszyną — to obowiązek wynikający z AI Act od 2 sierpnia 2026 — i potwierdzenie przeszkolenia zespołu.

Brzmi jak dużo. W firmie, która używa dwóch narzędzi, jest to kilka stron i jedno popołudnie.

Od czego zacząć w tym tygodniu

1. Spytajcie zespołu, z czego korzysta. Bez konsekwencji — chodzi o stan faktyczny.
2. Rozpiszcie trzy kategorie danych na jednej kartce i roześlijcie.
3. Wskażcie jedno narzędzie firmowe, za które firma bierze odpowiedzialność, i dajcie do niego dostęp.
4. Dopiero wtedy rozmawiajcie o zakazach — będzie czego zakazywać na rzecz czegoś.

Jeśli chcecie ustawić to raz a porządnie, zamiast gasić pożary — napiszcie do nas. Zobaczcie też, jak wygląda wdrożenie AI krok po kroku.