Minimalne zasady korzystania z AI przed wdrożeniem polityki AI w organizacji

Cel i zakres: tymczasowe zasady korzystania z AI w firmie

Niniejsze zasady mają charakter tymczasowy i obowiązują do momentu przyjęcia pełnej polityki AI w organizacji. Ich celem jest umożliwienie bezpiecznego, rozsądnego i spójnego korzystania z narzędzi opartych na sztucznej inteligencji w codziennej pracy, bez blokowania działań, które mogą realnie wspierać efektywność zespołów.

Zakres tych zasad obejmuje korzystanie z AI przez pracowników, współpracowników oraz inne osoby działające na rzecz organizacji, o ile używają takich narzędzi w związku z wykonywaniem obowiązków służbowych. Dotyczy to zarówno samodzielnego używania aplikacji AI, jak i funkcji opartych na AI dostępnych w wykorzystywanym oprogramowaniu.

W praktyce AI może służyć jako narzędzie wspierające, a nie zastępujące odpowiedzialność człowieka. Może pomagać między innymi w:

• redagowaniu, porządkowaniu i skracaniu treści,
• tworzeniu wstępnych wersji materiałów roboczych,
• streszczaniu informacji i przygotowywaniu notatek,
• tłumaczeniu lub upraszczaniu komunikacji,
• wsparciu pracy analitycznej i organizacyjnej na poziomie pomocniczym.

Jednocześnie należy odróżnić dopuszczalne wykorzystanie AI do działań o charakterze roboczym, pomocniczym i operacyjnym od zastosowań, które mogą wpływać na istotne interesy organizacji, klientów, partnerów lub pracowników. Tymczasowe zasady mają na celu przede wszystkim wyznaczenie bezpiecznego minimum: kiedy AI może być używana jako wsparcie, a kiedy potrzebna jest szczególna ostrożność.

Przy korzystaniu z AI należy kierować się następującymi zasadami ogólnymi:

• używać AI wyłącznie w celach związanych z pracą i zgodnych z interesem organizacji,
• traktować wyniki AI jako materiał pomocniczy, wymagający oceny przez użytkownika,
• zachować ostrożność przy wykorzystaniu AI w zadaniach mających znaczenie biznesowe, prawne, finansowe, wizerunkowe lub organizacyjne,
• unikać stosowania AI w sposób automatyczny, bez refleksji nad kontekstem i skutkami użycia.

Zasady te obejmują wszystkie podstawowe formy korzystania z AI w firmie, niezależnie od tego, czy narzędzie generuje tekst, obrazy, podsumowania, rekomendacje, odpowiedzi na pytania czy inne rezultaty. Istotne jest nie tyle techniczne nazewnictwo rozwiązania, ile fakt, że system wpływa na sposób tworzenia treści, przetwarzania informacji lub wykonywania zadań.

Celem tej sekcji jest więc wyznaczenie wspólnego punktu wyjścia: AI może przynosić wartość, jeśli jest używana świadomie, pomocniczo i w granicach odpowiedzialnego zastosowania w środowisku firmowym.

2. Dozwolone narzędzia i integracje: używaj tylko zatwierdzonych rozwiązań

Do czasu przyjęcia pełnej polityki AI w organizacji pracownicy powinni korzystać wyłącznie z narzędzi i integracji dopuszczonych przez firmę. Oznacza to, że użycie rozwiązań AI musi odbywać się w ramach środowiska, które zostało wcześniej sprawdzone pod kątem zgodności organizacyjnej, technicznej i operacyjnej. Zasada ta dotyczy zarówno samych aplikacji AI, jak i wszelkich połączeń z innymi systemami, wtyczek, rozszerzeń oraz automatyzacji.

Podstawowa różnica dotyczy tu rozwiązań zatwierdzonych i nieautoryzowanych. Narzędzia zatwierdzone to takie, które zostały dopuszczone do użytku służbowego przez organizację, nawet jeśli ich zakres wykorzystania jest ograniczony do konkretnych zadań, zespołów lub procesów. Narzędzia nieautoryzowane to wszystkie usługi, dodatki i integracje używane bez wcześniejszej akceptacji, niezależnie od tego, czy są darmowe, popularne lub łatwo dostępne.

Podczas szkoleń Cognity ten temat wraca regularnie, dlatego zdecydowaliśmy się omówić go również tutaj. W praktyce dozwolone mogą być na przykład rozwiązania używane do wsparcia redagowania tekstów, porządkowania informacji, tworzenia roboczych podsumowań czy pomocy w pracy koncepcyjnej, o ile zostały formalnie zaakceptowane. Czym innym są natomiast narzędzia, które łączą się bezpośrednio z pocztą, komunikatorami, dokumentami, dyskami, systemami CRM, narzędziami programistycznymi lub przeglądarką użytkownika. Takie integracje wymagają szczególnej ostrożności i nie mogą być uruchamiane samodzielnie bez zgody organizacji.

Zakazane jest instalowanie i używanie nieautoryzowanych dodatków, w szczególności:

• rozszerzeń do przeglądarki wykorzystujących AI,
• wtyczek do edytorów tekstu, arkuszy, poczty i komunikatorów,
• botów i asystentów podłączanych do narzędzi zespołowych,
• zewnętrznych integracji łączących AI z systemami firmowymi,
• automatyzacji przesyłających dane między aplikacjami bez akceptacji,
• narzędzi instalowanych lokalnie lub używanych na prywatnych kontach do celów służbowych.

Powodem tego ograniczenia nie jest wyłącznie kwestia techniczna, ale także potrzeba zachowania kontroli nad tym, jakie rozwiązania są wykorzystywane, do czego służą i z jakimi systemami się łączą. Nawet pozornie proste dodatki mogą uzyskiwać szeroki dostęp do treści roboczych, dokumentów, skrzynek pocztowych lub interfejsów innych aplikacji. Dlatego każda integracja powinna być traktowana jako osobne ryzyko i podlegać wcześniejszej ocenie.

Jeżeli pracownik chce skorzystać z nowego narzędzia AI, powinien najpierw upewnić się, czy znajduje się ono na liście rozwiązań dopuszczonych przez organizację. Jeśli nie ma takiego potwierdzenia, należy przyjąć, że narzędzie nie jest dopuszczone do użytku służbowego. Dotyczy to również sytuacji, w których dane rozwiązanie jest dostępne w wersji bezpłatnej, testowej lub reklamowane jako standard branżowy.

Minimalne zasady korzystania z zatwierdzonych narzędzi obejmują:

• używanie ich wyłącznie w zakresie przewidzianym przez organizację,
• korzystanie z firmowych kont i firmowych sposobów dostępu, jeśli zostały wskazane,
• unikanie samodzielnego podłączania dodatkowych funkcji i usług,
• nieomijanie ograniczeń ustawionych przez dział IT lub administratorów,
• zgłaszanie potrzeby nowego narzędzia zamiast wdrażania go we własnym zakresie.

Warto odróżnić samodzielne użycie narzędzia od integracji z ekosystemem firmy. Narzędzie wykorzystywane do prostych zadań roboczych w odseparowanym środowisku nie jest tym samym co rozwiązanie połączone z obiegiem dokumentów, repozytorium wiedzy, systemem obsługi klientów lub aplikacjami codziennej pracy. Im większy zakres połączeń, tym większa potrzeba formalnej zgody i nadzoru.

W organizacji powinno obowiązywać podejście: najpierw akceptacja, potem użycie. Dzięki temu firma ogranicza przypadkowe wdrażanie narzędzi, których działania, uprawnienia lub skutki nie zostały wcześniej ocenione. Tymczasowe zasady powinny więc jasno wskazywać, że tylko zatwierdzone rozwiązania mogą być wykorzystywane w pracy, a wszelkie nieautoryzowane dodatki, wtyczki i integracje pozostają zabronione.

3. Dane i prywatność: zakaz danych poufnych, minimalizacja danych, anonimizacja

Tymczasowe zasady korzystania z AI w organizacji powinny w pierwszej kolejności chronić informacje, które mogą naruszać prywatność, tajemnicę przedsiębiorstwa albo obowiązki regulacyjne. Z tego powodu do narzędzi AI nie należy wprowadzać danych poufnych ani danych osobowych, jeśli nie jest to wyraźnie dopuszczone i zabezpieczone zgodnie z wymaganiami organizacji.

W praktyce oznacza to prostą regułę: jeżeli dana informacja nie powinna trafić do zewnętrznego odbiorcy, nie powinna też trafiać do systemu AI bez odpowiednich zabezpieczeń. Dotyczy to zarówno treści wpisywanych ręcznie, jak i plików, zrzutów ekranu, nagrań, logów, fragmentów umów czy danych klientów.

Jakich danych nie należy wprowadzać do AI

• Danych poufnych organizacji, takich jak niepubliczne strategie, wyniki finansowe, warunki handlowe, informacje o produktach przed premierą, dokumentacja wewnętrzna czy dane dostępowe.
• Danych osobowych, zwłaszcza gdy możliwa jest identyfikacja konkretnej osoby bez wyraźnej potrzeby biznesowej i odpowiednich podstaw.
• Danych objętych tajemnicą zawodową lub umowną, w tym informacji przekazanych przez klientów, partnerów lub dostawców.
• Danych wrażliwych, na przykład dotyczących zdrowia, finansów, spraw pracowniczych, postępowań, ocen lub sytuacji prywatnej.

Minimalizacja danych

Minimalizacja danych oznacza przekazywanie do AI tylko takiego zakresu informacji, jaki jest niezbędny do wykonania konkretnego zadania. Zamiast wklejać cały dokument, lepiej użyć krótkiego opisu problemu, wybranych fragmentów albo danych uogólnionych.

• Podawaj minimum treści potrzebne do uzyskania odpowiedzi.
• Usuwaj elementy zbędne, takie jak pełne dane identyfikacyjne, numery kont, adresy, identyfikatory spraw, szczegóły umów.
• Jeśli cel można osiągnąć na podstawie streszczenia, użyj streszczenia zamiast oryginału.
• Nie przesyłaj całych baz, raportów ani korespondencji, gdy wystarczy pojedynczy, odseparowany przypadek.

Anonimizacja i pseudonimizacja

Przed użyciem AI należy, tam gdzie to możliwe, usuwać lub zastępować dane pozwalające rozpoznać osobę, klienta, projekt albo kontrahenta. Najbezpieczniejszym podejściem jest anonimizacja, czyli takie przetworzenie danych, by nie dało się powiązać ich z konkretną osobą lub podmiotem. W praktyce często stosuje się też pseudonimizację, czyli zastąpienie identyfikatorów neutralnymi oznaczeniami.

Przykładowo, zamiast wpisywać pełną treść wiadomości od klienta wraz z podpisem i numerem sprawy, lepiej użyć wersji uproszczonej: opis problemu, ogólny kontekst i usunięte identyfikatory. Celem jest zachowanie użyteczności materiału przy ograniczeniu ryzyka ujawnienia informacji.

Praktyczna zasada przed wysłaniem danych

• Czy ta informacja zawiera dane osobowe lub poufne?
• Czy można osiągnąć ten sam cel, podając mniej danych?
• Czy da się usunąć nazwy, identyfikatory, adresy, numery i szczegóły pozwalające na rozpoznanie?
• Czy zamiast dokumentu źródłowego można użyć opisu, streszczenia albo przykładu syntetycznego?

Jeżeli odpowiedź na któreś z tych pytań budzi wątpliwość, należy przyjąć bardziej zachowawcze podejście i nie przekazywać danych do narzędzia AI w ich pierwotnej formie.

4. Jakość i odpowiedzialność: obowiązkowa weryfikacja wyników, kontrola człowieka, ograniczenia decyzyjne

Wyniki generowane przez AI należy traktować jako materiał pomocniczy, a nie jako gotową, pewną lub ostateczną odpowiedź. Systemy AI mogą przyspieszać analizę, redagowanie, porządkowanie informacji i tworzenie roboczych propozycji, ale mogą również popełniać błędy, upraszczać kontekst albo przedstawiać nieprawdziwe treści w przekonującej formie.

Dlatego w organizacji obowiązuje zasada, że każdy rezultat użycia AI musi zostać zweryfikowany przez człowieka przed jego wykorzystaniem w pracy, przekazaniem dalej, publikacją lub użyciem jako podstawy działania. W Cognity wierzymy, że dobre zrozumienie tego tematu to podstawa efektywnej pracy z narzędziami cyfrowymi.

Obowiązkowa weryfikacja wyników

• Sprawdzaj poprawność merytoryczną — upewnij się, że odpowiedź jest zgodna z faktami, dokumentami źródłowymi, danymi wejściowymi i celem zadania.
• Weryfikuj kompletność — AI może pominąć ważne zastrzeżenia, wyjątki, warunki lub elementy kontekstu.
• Oceń adekwatność — sprawdź, czy wynik rzeczywiście odpowiada na zadane pytanie i nadaje się do konkretnego zastosowania biznesowego.
• Wychwytuj ryzyka błędnej interpretacji — zwłaszcza w treściach podsumowujących, rekomendacjach, tłumaczeniach i klasyfikacjach.
• Poprawiaj styl i ton — treści wygenerowane przez AI powinny być dostosowane do standardów organizacji i odbiorcy.

Zakres weryfikacji powinien być proporcjonalny do wagi zastosowania: im większy wpływ wynik ma na klienta, pracownika, partnera, decyzję operacyjną lub zgodność działania, tym wyższy poziom kontroli jest wymagany.

Kontrola człowieka

Za końcowe wykorzystanie wyniku AI zawsze odpowiada pracownik korzystający z narzędzia albo osoba zatwierdzająca efekt pracy. AI nie przejmuje odpowiedzialności za treść, ocenę sytuacji ani skutki podjętych działań.

• Człowiek powinien rozumieć cel użycia AI i potrafić ocenić, czy wynik jest sensowny.
• Człowiek powinien mieć możliwość odrzucenia, poprawienia lub uzupełnienia odpowiedzi AI.
• Nie należy bezrefleksyjnie akceptować odpowiedzi tylko dlatego, że brzmią profesjonalnie, spójnie lub pewnie.
• W przypadku niejasności należy przyjąć zasadę ostrożności i nie używać wyniku bez dodatkowego sprawdzenia.

Ograniczenia decyzyjne

AI może wspierać przygotowanie materiałów, wariantów, streszczeń lub propozycji, ale nie powinna samodzielnie podejmować decyzji w sprawach, które wywołują istotne skutki dla działalności organizacji lub innych osób.

Bez wyraźnego nadzoru człowieka nie należy opierać się wyłącznie na AI przy:

• podejmowaniu decyzji wobec pracowników, kandydatów, klientów lub kontrahentów,
• ocenie zgodności, ryzyka lub odpowiedzialności,
• tworzeniu ostatecznych interpretacji przepisów, umów lub zobowiązań,
• akceptacji działań wywołujących skutki finansowe, prawne lub reputacyjne,
• formułowaniu jednoznacznych rekomendacji tam, gdzie potrzebna jest wiedza ekspercka lub ocena kontekstu.

Praktyczne rozróżnienie zastosowań

Minimalna zasada operacyjna

Użyj AI do wsparcia pracy, ale nie do zastąpienia odpowiedzialnej oceny. Każdy wynik należy sprawdzić, a każda istotna decyzja musi pozostać pod kontrolą człowieka.

5. Transparentność: oznaczanie treści tworzonych przy wsparciu AI i zasady cytowania/źródeł

W organizacji należy jasno rozróżniać treści w pełni opracowane przez człowieka od materiałów przygotowanych przy wsparciu AI. Celem tej zasady jest zapewnienie przejrzystości wobec odbiorców wewnętrznych i zewnętrznych, ułatwienie oceny wiarygodności materiału oraz ograniczenie ryzyka wprowadzania w błąd co do sposobu jego powstania.

Oznaczenie wsparcia AI powinno być stosowane zawsze wtedy, gdy narzędzie miało istotny wpływ na treść, strukturę, podsumowanie, tłumaczenie, redakcję lub opracowanie materiału. Nie chodzi o techniczne śledzenie każdego drobnego użycia, lecz o uczciwe ujawnienie, że AI uczestniczyła w przygotowaniu efektu końcowego.

• Oznaczaj treści wspierane przez AI w sposób prosty i zrozumiały, np. „opracowano przy wsparciu narzędzia AI” lub „treść przygotowana z pomocą AI, następnie zweryfikowana przez autora”.
• Nie przedstawiaj treści wygenerowanych przez AI jako w pełni autorskich, jeżeli AI miała znaczący udział w ich powstaniu.
• Nie przypisuj AI roli źródła faktów – narzędzie może wspierać redakcję lub syntezę, ale nie zastępuje wiarygodnego źródła informacji.
• Zachowuj rozróżnienie między autorstwem a wsparciem: odpowiedzialność za finalną treść pozostaje po stronie człowieka.

W praktyce warto przyjąć prostą zasadę: jeżeli odbiorca mógłby uznać, że materiał został w całości przygotowany samodzielnie przez autora, a faktycznie powstał przy istotnym wsparciu AI, należy to oznaczyć.

Kiedy oznaczenie jest wymagane

Zasady cytowania i wskazywania źródeł

Treści przygotowane przy wsparciu AI muszą opierać się na sprawdzalnych źródłach, jeśli zawierają fakty, dane, statystyki, interpretacje przepisów, opisy badań lub odniesienia do cudzych materiałów. Samo wskazanie, że użyto AI, nie zastępuje cytowania źródeł.

• Cytuj źródła pierwotne lub wiarygodne opracowania, a nie odpowiedzi wygenerowane przez AI.
• Weryfikuj, czy źródło rzeczywiście istnieje i czy potwierdza wskazaną informację.
• Nie powołuj się na fikcyjne publikacje, linki lub autorów podsuniętych przez narzędzie.
• Oddzielaj cytat, parafrazę i streszczenie, aby nie zacierać granicy między cudzą treścią a własnym opracowaniem.
• Przy materiałach zewnętrznych stosuj zasady cytowania właściwe dla danego formatu, np. raportu, prezentacji, artykułu lub dokumentu roboczego.

Jeżeli AI pomaga zebrać lub uporządkować informacje, należy traktować jej odpowiedź jako materiał pomocniczy, a nie jako końcowe źródło odniesienia. W finalnym materiale powinny znaleźć się odwołania do rzeczywistych dokumentów, publikacji, stron lub danych, z których pochodzą informacje.

Przykładowe formy oznaczenia

• „Dokument opracowano przy wsparciu narzędzia AI; treść została zweryfikowana i zatwierdzona przez autora.”
• „Prezentacja przygotowana częściowo z użyciem AI w zakresie struktury i redakcji tekstu.”
• „Grafika wygenerowana z pomocą AI.”
• „Podsumowanie przygotowane przy wsparciu AI na podstawie wskazanych źródeł.”

Forma oznaczenia może być dostosowana do rodzaju materiału, ale powinna pozostać czytelna, zwięzła i niewprowadzająca w błąd.

Minimalne reguły transparentności

• Informuj o istotnym wykorzystaniu AI w tworzeniu treści.
• Nie traktuj AI jako autora ani jako samodzielnego źródła wiedzy.
• Podawaj rzeczywiste, możliwe do sprawdzenia źródła informacji.
• Nie ukrywaj udziału AI tam, gdzie ma on znaczenie dla oceny materiału.
• Zawsze zachowuj odpowiedzialność człowieka za finalną wersję treści.

6. Konsultacje i eskalacja: jak postępować przy wątpliwych zastosowaniach i ryzykach prawnych/etycznych

Do czasu przyjęcia pełnej polityki AI w organizacji należy stosować prostą zasadę: jeśli pojawia się wątpliwość co do legalności, etyki, wpływu na klienta, pracownika lub reputację firmy, użycie AI trzeba wstrzymać i skonsultować. Celem tej sekcji jest wskazanie, kiedy zwykła ostrożność nie wystarcza i konieczne jest zaangażowanie właściwej osoby lub funkcji w organizacji.

Nie każde użycie AI wymaga formalnej zgody, ale każda sytuacja niejednoznaczna powinna zostać oceniona przed wdrożeniem, publikacją lub podjęciem działania na podstawie wygenerowanego wyniku. Dotyczy to zwłaszcza przypadków, w których narzędzie AI może wpływać na prawa osób, zobowiązania umowne, zgodność regulacyjną albo wizerunek organizacji.

Kiedy konsultacja jest obowiązkowa

• gdy nie ma pewności, czy planowane użycie AI jest zgodne z obowiązującymi przepisami, regulacjami branżowymi lub warunkami umownymi,
• gdy wynik AI ma być wykorzystany w komunikacji zewnętrznej, materiałach oficjalnych lub dokumentach o skutkach formalnych,
• gdy AI ma wspierać ocenę osób, rekomendacje dotyczące zatrudnienia, współpracy, dostępu, wynagrodzenia lub innych decyzji mogących wpływać na jednostkę,
• gdy istnieje ryzyko dyskryminacji, stronniczości, nierównego traktowania lub błędnej klasyfikacji,
• gdy nie da się jasno wyjaśnić, w jaki sposób wynik AI zostanie użyty i kto bierze za niego odpowiedzialność,
• gdy pojawiają się zastrzeżenia dotyczące praw autorskich, licencji, wykorzystania cudzych materiałów lub zgodności z ograniczeniami kontraktowymi,
• gdy zastosowanie AI może wywołać istotne skutki reputacyjne, operacyjne lub finansowe dla organizacji.

Jak odróżnić zwykłe użycie od sytuacji wymagającej eskalacji

Minimalna ścieżka postępowania przy wątpliwościach

1. Zatrzymaj użycie – nie publikuj, nie wdrażaj i nie podejmuj decyzji wyłącznie na podstawie wyniku AI.
2. Opisz przypadek – krótko wskaż cel użycia, rodzaj zadania, planowany efekt i powód wątpliwości.
3. Oceń możliwy wpływ – ustal, czy sprawa może dotyczyć zgodności, etyki, praw osób, zobowiązań wobec klientów lub reputacji firmy.
4. Skonsultuj z właściwą osobą – w pierwszej kolejności z przełożonym lub wyznaczoną funkcją odpowiedzialną za obszar prawny, compliance, bezpieczeństwo, HR albo komunikację.
5. Udokumentuj decyzję – zapisz, kto ocenił przypadek, jaki był wynik konsultacji i jakie ograniczenia lub warunki zostały wskazane.

Do kogo eskalować

Ścieżka eskalacji powinna być możliwie prosta i oparta na charakterze ryzyka. Jeżeli organizacja nie wyznaczyła jeszcze formalnych ról dla AI, należy przyjąć zasadę kierowania sprawy do osoby odpowiedzialnej za dany obszar biznesowy oraz do przełożonego.

• Przełożony lub właściciel procesu – gdy nie jest jasne, czy użycie AI mieści się w celu biznesowym i dopuszczalnym sposobie pracy.
• Dział prawny lub compliance – gdy istnieją wątpliwości dotyczące zgodności z przepisami, umowami, regulacjami lub odpowiedzialnością organizacji.
• HR – gdy użycie AI dotyczy kandydatów, pracowników, ocen, rekomendacji lub komunikacji personalnej.
• Osoba odpowiedzialna za etykę, ryzyko lub nadzór – gdy problem dotyczy uczciwości, wpływu społecznego, stronniczości albo trudnych do uzasadnienia skutków działania.
• Dział komunikacji lub osoby zatwierdzające publikacje – gdy wynik AI ma być ujawniony na zewnątrz lub może wpływać na reputację organizacji.

Przykłady sytuacji wątpliwych

• narzędzie AI ma pomóc uszeregować kandydatów lub pracowników według „dopasowania”,
• wynik AI ma zostać wykorzystany jako podstawa odpowiedzi do klienta w sprawie sporu, reklamacji lub roszczenia,
• AI przygotowuje interpretację zapisów umownych, regulaminów lub obowiązków wynikających z prawa,
• narzędzie sugeruje działania wobec konkretnej osoby, ale nie da się wyjaśnić logiki rekomendacji,
• materiał wygenerowany przez AI ma zostać opublikowany jako stanowisko organizacji lub dokument oficjalny.

Minimalny zakres zgłoszenia do konsultacji

Aby przyspieszyć ocenę, zgłoszenie powinno być krótkie, ale konkretne. Wystarczy wskazać:

• jaki jest cel użycia AI,
• czego dotyczy wynik i kto ma z niego skorzystać,
• czy wynik wpływa na ludzi, decyzje, zobowiązania lub komunikację zewnętrzną,
• na czym polega wątpliwość prawna, etyczna lub organizacyjna,
• jaki termin działania jest planowany.

Temat: Konsultacja użycia AI
Cel: przygotowanie materiału / oceny / odpowiedzi
Planowane użycie wyniku: wewnętrzne / zewnętrzne / decyzyjne
Zakres wątpliwości: prawne / etyczne / reputacyjne / organizacyjne
Wpływ: na klienta / pracownika / kandydata / partnera / firmę
Termin: pilne / standardowe

Zasada ostrożności przy braku odpowiedzi

Jeżeli nie można szybko uzyskać jednoznacznej oceny, należy przyjąć podejście zachowawcze: nie używać AI w sposób, który może wywołać skutki prawne, etyczne lub reputacyjne. Brak jasnej zgody nie powinien być interpretowany jako zgoda dorozumiana. W razie sporu organizacja musi móc wykazać, że użytkownik działał odpowiedzialnie i nie rozszerzał zastosowania AI samodzielnie.

Najważniejsza zasada

W razie wątpliwości: zatrzymaj, opisz, skonsultuj, udokumentuj. Tymczasowe zasady mają ograniczać ryzyko wynikające z pośpiesznego lub nieprzemyślanego użycia AI, szczególnie tam, gdzie konsekwencje wykraczają poza zwykłe wsparcie robocze.

7. Bezpieczeństwo dostępu: ochrona kont, haseł, uprawnień i konfiguracji

Nawet tymczasowe korzystanie z narzędzi AI wymaga zachowania podstawowych zasad bezpieczeństwa dostępu. Celem jest ograniczenie ryzyka przejęcia konta, nieautoryzowanego użycia usług, utraty kontroli nad konfiguracją oraz przypadkowego nadania zbyt szerokich uprawnień. Ta sekcja dotyczy przede wszystkim tego, kto ma dostęp do narzędzi AI, w jaki sposób się loguje i na jakich zasadach korzysta z kont oraz integracji.

W praktyce należy odróżnić kilka obszarów. Ochrona kont i haseł dotyczy zabezpieczenia logowania i zapobiegania przejęciu dostępu. Uprawnienia odnoszą się do zakresu działań, jakie może wykonywać użytkownik lub zespół. Konfiguracja obejmuje ustawienia usługi, integracji i sposobu udostępniania narzędzia w organizacji. Każdy z tych elementów pełni inną funkcję i wymaga osobnej kontroli.

• Korzystaj wyłącznie z firmowych kont lub kont wyraźnie dopuszczonych przez organizację. Nie należy używać prywatnych adresów e-mail ani współdzielonych kont, jeśli nie zostały formalnie zatwierdzone.
• Stosuj silne, unikalne hasła dla każdego narzędzia AI oraz włączaj uwierzytelnianie wieloskładnikowe, jeżeli jest dostępne. Ponowne używanie tych samych haseł w wielu usługach zwiększa ryzyko naruszenia bezpieczeństwa.
• Nie udostępniaj danych logowania innym osobom. Dostęp powinien być przypisany do konkretnego użytkownika, tak aby możliwe było rozliczalne i bezpieczne korzystanie z narzędzia.
• Nadawaj uprawnienia zgodnie z zasadą minimalnego dostępu. Użytkownik powinien mieć tylko taki zakres uprawnień, jaki jest niezbędny do wykonywania swoich obowiązków, bez zbędnych praw administracyjnych.
• Regularnie przeglądaj dostęp i usuwaj nieaktualne uprawnienia. Dotyczy to zwłaszcza osób zmieniających rolę, kończących współpracę lub tracących potrzebę korzystania z danego rozwiązania.
• Zwracaj uwagę na ustawienia integracji i połączeń z innymi systemami. Każda integracja może rozszerzać zakres dostępu do danych lub funkcji, dlatego powinna być włączana wyłącznie wtedy, gdy jest potrzebna i zatwierdzona.
• Ograniczaj możliwość samodzielnej zmiany ustawień bezpieczeństwa i konfiguracji. Szczególnie istotne jest to w przypadku opcji eksportu danych, udostępniania historii, wtyczek, połączeń z chmurą oraz funkcji administracyjnych.
• Wylogowuj się z narzędzi AI na urządzeniach współdzielonych lub publicznych i nie zapisuj haseł w nieautoryzowanych przeglądarkach oraz dodatkach.
• Zgłaszaj podejrzane logowania, nietypowe komunikaty i nieautoryzowane zmiany konfiguracji niezwłocznie do odpowiedzialnej osoby lub zespołu wsparcia.

Minimalne zasady bezpieczeństwa dostępu powinny być stosowane niezależnie od skali użycia AI w organizacji. Nawet przy prostych zastosowaniach brak kontroli nad kontami, hasłami i uprawnieniami może prowadzić do incydentów, których skutki wykraczają poza samo narzędzie AI.

8. Incydenty i rozwój: reagowanie na naruszenia oraz regularne aktualizowanie wiedzy

Nawet przy minimalnych zasadach korzystania z AI trzeba założyć, że mogą wystąpić błędy, naruszenia lub użycia niezgodne z przyjętymi regułami. Dlatego organizacja powinna przyjąć prosty model reagowania na incydenty oraz stałego podnoszenia świadomości pracowników. Celem nie jest wyłącznie wykrywanie problemów, ale także ograniczanie ich skutków, wyciąganie wniosków i zmniejszanie ryzyka powtórzenia podobnych sytuacji.

Za incydent związany z AI można uznać w szczególności nieuprawnione użycie narzędzia, wprowadzenie do systemu danych, których nie wolno przetwarzać, wykorzystanie wyniku AI w sposób powodujący błąd operacyjny, prawny lub wizerunkowy, a także każdą sytuację, w której działanie narzędzia budzi uzasadnione wątpliwości co do zgodności, rzetelności albo bezpieczeństwa. Nie każdy incydent ma ten sam ciężar: część wymaga jedynie korekty i omówienia, a część powinna zostać niezwłocznie zgłoszona osobom odpowiedzialnym za bezpieczeństwo, zgodność lub zarządzanie ryzykiem.

Podstawowa zasada brzmi: każdy zauważony problem należy zgłosić szybko, rzetelnie i bez ukrywania okoliczności. Reagowanie powinno obejmować możliwie szybkie przerwanie niewłaściwego działania, zabezpieczenie istotnych informacji o zdarzeniu, ocenę potencjalnych skutków oraz wdrożenie działań naprawczych. W praktyce oznacza to przede wszystkim, że pracownik nie powinien samodzielnie bagatelizować problemu ani zakładać, że błędny lub ryzykowny rezultat „sam się rozmyje” bez konsekwencji.

Równie ważny jest rozwój kompetencji. Narzędzia AI, ich funkcje, ograniczenia i ryzyka zmieniają się szybko, dlatego jednorazowe zapoznanie się z zasadami nie wystarcza. Organizacja powinna regularnie przypominać pracownikom o podstawowych regułach, aktualizować wewnętrzne wskazówki oraz przekazywać informacje o nowych zagrożeniach, typowych błędach i dobrych praktykach. Z perspektywy pracownika oznacza to obowiązek śledzenia komunikatów wewnętrznych, udziału w wymaganych szkoleniach i stosowania aktualnych wytycznych zamiast dawnych przyzwyczajeń.

Minimalne zasady w tym obszarze powinny rozróżniać dwa praktyczne zastosowania: reakcję na zdarzenie oraz ciągłe uczenie się. Reakcja służy ograniczeniu szkody wtedy, gdy problem już wystąpił. Rozwój wiedzy ma zapobiegać podobnym sytuacjom w przyszłości. Oba elementy są konieczne: samo zgłaszanie incydentów bez poprawy praktyk nie zmniejsza ryzyka, a same szkolenia bez jasnej ścieżki zgłoszeń nie pozwalają skutecznie opanować naruszeń.

W Cognity łączymy teorię z praktyką – dlatego ten temat rozwijamy także w formie ćwiczeń na szkoleniach.

10-punktowy kodeks pracownika

• 1. Reaguj natychmiast – jeśli zauważysz błąd, nadużycie lub ryzykowny efekt działania AI, nie ignoruj sytuacji i nie odkładaj reakcji na później.
• 2. Wstrzymaj dalsze użycie – gdy istnieje ryzyko szkody, przerwij korzystanie z danego rozwiązania lub procesu do czasu wyjaśnienia sprawy.
• 3. Zgłaszaj incydenty właściwą ścieżką – korzystaj z ustalonego w firmie sposobu zgłaszania problemów, tak aby informacja trafiła do odpowiednich osób.
• 4. Opisuj fakty, nie domysły – przy zgłoszeniu podawaj, co się wydarzyło, kiedy, w jakim kontekście i jaki mógł być skutek.
• 5. Zachowuj materiały pomocne w analizie – zabezpiecz istotne informacje o zdarzeniu, o ile jest to zgodne z wewnętrznymi zasadami i nie zwiększa ryzyka.
• 6. Nie ukrywaj pomyłek – przypadkowe naruszenie również wymaga zgłoszenia; szybka informacja zwykle pozwala ograniczyć skutki.
• 7. Współpracuj przy wyjaśnianiu sprawy – odpowiadaj na pytania, uzupełniaj informacje i stosuj się do zaleceń dotyczących działań naprawczych.
• 8. Ucz się na błędach – po incydencie zapoznaj się z wnioskami i zmień sposób pracy, jeśli wskazano potrzebę korekty.
• 9. Aktualizuj swoją wiedzę – śledź komunikaty firmy, zmiany zasad i nowe ryzyka związane z korzystaniem z AI.
• 10. Korzystaj z AI odpowiedzialnie każdego dnia – traktuj zasady nie jako formalność, lecz jako stały element bezpiecznej i profesjonalnej pracy.

Dobrą praktyką jest także okresowe przypominanie tego kodeksu w komunikacji wewnętrznej oraz włączanie go do onboardingu, materiałów instruktażowych i krótkich szkoleń przypominających. Dzięki temu zasady reagowania i rozwoju wiedzy stają się nie tylko dokumentem, ale rzeczywistym standardem postępowania.

10 pułapek w Power BI, przez które Twoje miary DAX i raporty działają gorzej niż powinny 21 lipca 2026

cognity: Power BI średniozaawansowany – najczęstsze błędy w raportach i jak ich unikać 19 lipca 2026