Dlaczego każda firma potrzebuje polityki użycia AI przed kolejnym wdrożeniem narzędzia

Większość firm pisze swoją politykę użycia AI tak samo, jak większość polityk: dopiero po tym, jak coś pójdzie nie tak. To nie uogólnienie - to wzorzec widoczny wśród jednych z najbardziej zaawansowanych firm technologicznych na świecie.

W 2023 roku Samsung odkrył, że inżynierowie wklejali poufny kod źródłowy do ChatGPT - według Bloomberga doszło do co najmniej trzech takich przypadków. Firma zareagowała, ograniczając narzędzie już po fakcie i zapowiadając budowę własnych, wewnętrznych rozwiązań. W tym samym roku Apple ograniczyło korzystanie z ChatGPT z tego samego powodu: pracownik mógł po cichu przenieść poufną pracę do narzędzia, którego nikt nie zatwierdził. Amazon wydał podobne ostrzeżenie dla pracowników, gdy okazało się, że korzystają z ChatGPT w codziennej pracy. Trzy z największych firm technologicznych świata trafiły na tę samą ścianę w tym samym roku, z tego samego powodu: nikt wcześniej nie zdecydował, co jest dozwolone.

Shadow AI to problem większy niż dane jednej firmy

To nie jest problem wyłącznie dużych korporacji. W Polsce wyciekło około 101 tysięcy skradzionych loginów do ChatGPT - liczba, która istnieje tylko dlatego, że aż tylu ludzi przenosiło wystarczająco dużo swojej pracy (i danych pracodawcy) na prywatne konta ChatGPT, by kradzież loginów w ogóle się komuś opłacała. Jeśli nie masz polityki, masz lukę, w której Shadow AI może się kiedyś pojawić.

Co zawiera polityka, która faktycznie działa

Rozwiązaniem w każdym z powyższych przypadków nie był dokument prawny - była nim krótka, konkretna odpowiedź na trzy pytania: co jest zatwierdzone, co wymaga akceptacji i co jest niedozwolone przy wrażliwych danych. Polityka, której się faktycznie przestrzega, jest konkretna: które narzędzia są zatwierdzone dla jakich danych, kto akceptuje próbę nowego narzędzia i jak wygląda eskalacja, gdy coś pójdzie nie tak. Jest napisana dla poszczególnych ról, a nie jako jeden dokument próbujący obsłużyć jednocześnie prawo, inżynierię i sprzedaż - błąd, który mogli popełnić pracownicy Amazona i Apple, nie był złośliwy, był po prostu niezdefiniowany.

Polityka to nie dokument jednorazowy

Narzędzia zmieniają się co kilka miesięcy, a polityka, do której nikt nie wraca, staje się dokładnie tym segregatorem na półce, który jest ignorowany przy pierwszej niedogodności. Traktuj ją jako żywy dokument z właścicielem, a nie projekt z datą zakończenia.

Regulatorzy już się temu przyglądają

To nie jest ryzyko, na które firmy mogą po prostu poczekać. Polski regulator ochrony danych wszczął formalne postępowanie przeciwko OpenAI w sprawie tego, jak ChatGPT przetwarza dane osobowe, a osobno publicznie zaapelował o zabezpieczenia AI w rekrutacji, zanim padła pierwsza kara. Uwaga regulatorów skierowana na to, jak firmy korzystają z AI, a nie tylko jak dostawcy je budują, tylko rośnie - co sprawia, że „politykę napiszemy później” z każdym rokiem staje się coraz droższym zakładem. To nie jest porada prawna - to powód, by rozmowę z prawnikiem i pracę nad polityką AI prowadzić razem, a nie jedna po drugiej.

Jeśli Twój zespół już korzysta z narzędzi AI bez polityki - a powyższy wzorzec sugeruje, że tak jest w większości firm - rozwiązaniem nie jest zablokowanie wszystkiego. To spisanie tego, co faktycznie się dzieje, ustalenie, co jest dopuszczalne, i ułatwienie ludziom przestrzegania tych zasad.