Firma zakazała ChatGPT. Pracownicy dalej z niego korzystają, tylko teraz na prywatnym telefonie, po cichu, i przesyłają wynik na firmową skrzynkę, jakby to była pocztówka z wakacji, nie naruszenie polityki bezpieczeństwa, której i tak nikt nie spisał.

Firma zakazała ChatGPT. Pracownicy przestali go używać na firmowym komputerze. Zaczęli na prywatnym telefonie, z wynikiem wklejanym do maila służbowego. Zakaz zadziałał: teraz nikt tego nie widzi.

62% polskich pracowników korzysta dziś z AI w codziennej pracy, ale tylko 27% firm ma spisaną politykę korzystania z tych narzędzi, wynika z marcowego badania ESET i DAGMA na 1026 osobach. Reszta improwizuje, i to dosłownie każdy z osobna.

Poniżej sprawdzam, czy polityka korzystania z AI w firmie to faktycznie coś, co zmienia zachowanie ludzi, czy kolejny dokument do podpisania przy onboardingu, obok regulaminu parkingu, którego też nikt nie czyta.

Dlaczego zakaz AI w pracy nie działa, tylko chowa problem

Sora Shimazaki / Pexels

Zakaz brzmi jak rozwiązanie, dopóki nie sprawdzisz, co robią ludzie zaraz po jego wprowadzeniu. 35% pracowników korzystających z AI przyzna wprost, że obejdzie firmową blokadę, żeby dalej używać ulubionego narzędzia, wynika z tego samego badania. Nie "rozważy". Obejdzie.

26% zrobi to najprostszym możliwym sposobem: wygeneruje treść na prywatnym telefonie i prześle ją na firmową skrzynkę, jakby to była pocztówka z wakacji, a nie obejście polityki bezpieczeństwa.

Jeszcze gorzej: 10% pracowników przyznaje, że wysłało już dane wrażliwe firmy do publicznego modelu AI. Nie dlatego, że chcieli zaszkodzić pracodawcy. Dlatego, że nikt im nie powiedział, gdzie jest granica, a ChatGPT nie pyta o klauzulę poufności, zanim wkleisz do niego fragment umowy.

Firmy nie mają zresztą jak tego złapać na gorącym uczynku. Tylko 38% zainwestowało w firmowe licencje AI, a tylko 25% wdrożyło narzędzia monitorujące przepływ danych. Trzy na cztery firmy nie mają więc nawet technicznego sposobu, żeby się dowiedzieć, że ich dane właśnie wyjechały do chmury konkurenta w formie promptu.

Co musi się znaleźć w polityce AI, żeby ktoś ją przeczytał

RDNE Stock project / Pexels

Dobra polityka AI nie ma 50 stron. Ma tyle, ile trzeba, żeby pracownik po przeczytaniu wiedział dokładnie, co wolno, a czego nie, zamiast zgadywać to samodzielnie o 23:00 nad raportem na jutro.

Cztery elementy robią różnicę między dokumentem a listą pobożnych życzeń: lista konkretnych dozwolonych narzędzi, nie ogólne słowo "AI", lista danych, których nigdy nie wolno wklejać do żadnego modelu, tryb zgłaszania pomyłki, i osoba, która faktycznie odpowiada za pytania, nie skrzynka HR z automatyczną odpowiedzią "sprawdzimy i wrócimy", jak podpowiada zestawienie kluczowych elementów polityki AI.

Reszta, czyli akapity o transformacji cyfrowej i wartościach organizacji, można pominąć. Nikt tego nie czyta. A jeśli czyta, robi to tak, jak regulamin aplikacji: przewijając prosto do przycisku "akceptuję".

Weź prostą sytuację: dział marketingu chce przetłumaczyć opisy produktów na hiszpański. Bez polityki ktoś sprawdza to metodą prób i błędów, wklejając dane klientów do pierwszego lepszego narzędzia z Google. Z polityką sprawdza listę, widzi nazwę zatwierdzonego narzędzia, i kończy zadanie w 10 minut, bez telefonu do działu prawnego.

Kto ma to egzekwować, skoro prawie nikt nie sprawdza

Spisana polityka bez osoby odpowiedzialnej za nadzór to plan biznesowy oparty na nadziei. Prawo zresztą tego oczekuje: artykuł 4 AI Act wymaga od firm zapewnienia pracownikom odpowiednich kompetencji AI od lutego 2025 roku. Spisana polityka to najprostszy dowód, że firma w ogóle próbowała.

Rozwijałem ten wątek przy okazji tekstu o tym, czy szkolenia z AI dla pracowników faktycznie działają: dokumentacja bez realnego wdrożenia to checklista, nie ochrona. Polityka AI ma dokładnie ten sam problem, tylko o jeden dokument wcześniej w łańcuchu.

Realne ryzyko kontroli jest dziś niskie, bo polski regulator KRiBSI dopiero uczy się chodzić i uprawnienia kontrolne dostanie 28 października 2026 roku, o czym pisałem w tekście o tym, czy kary z AI Act to realne ryzyko. Niskie ryzyko kontroli to jednak nie to samo, co niskie ryzyko wycieku danych klienta wklejonych do darmowego modelu przez kogoś, kto się śpieszył przed spotkaniem.

Ostatni test: czy ktoś to w ogóle czytał

Najprostszy sposób sprawdzenia, czy polityka działa: zapytaj 3 losowych pracowników, jakiego narzędzia AI wolno im używać do pracy z danymi klienta. Jeśli odpowiedzą trzy różne rzeczy, dokument istnieje tylko na dysku, nie w głowach ludzi, którzy mieli go stosować.

To ten sam mechanizm, który opisywałem przy audycie wdrożonego AI po pół roku: łatwiej mieć dokument, który dobrze wygląda w segregatorze, niż sprawdzić, czy ktokolwiek faktycznie się do niego stosuje.

Moim zdaniem polityka, która tylko zakazuje, przegrywa z definicji, bo 35% ludzi i tak ją obejdzie. Polityka, która mówi wprost, z czego wolno korzystać i jak, ma szansę, bo nie każe nikomu wybierać między własną wydajnością a przepisem firmowym, który i tak przegra.

Podpis pod polityką AI nie oznacza, że ktoś ją przeczytał. Oznacza, że ktoś podpisał dokument.