Jak zrobić rejestr narzędzi AI w firmie? Prosty krok do kontroli nad ryzykiem

Firmy coraz częściej korzystają z AI w codziennej pracy — czasem oficjalnie, a czasem zupełnie nieformalnie. Pracownicy używają narzędzi do pisania tekstów, streszczania maili, analizy dokumentów, generowania grafik, tworzenia kodu, obsługi klienta, rekrutacji czy marketingu. Problem pojawia się wtedy, gdy organizacja nie wie, jakie narzędzia są używane, kto z nich korzysta i jakie dane do nich trafiają.

Rejestr narzędzi AI to prosty sposób, aby uporządkować ten obszar. Nie musi być skomplikowanym dokumentem. Na początku może mieć formę praktycznej tabeli, która pokazuje, z jakich systemów AI korzysta firma, w jakim celu, na jakich danych i z jakim poziomem ryzyka.

To jeden z pierwszych kroków do ograniczenia Shadow AI w firmie, czyli sytuacji, w której pracownicy korzystają z narzędzi AI bez wiedzy i kontroli organizacji.

Po co firmie rejestr narzędzi AI?

Rejestr narzędzi AI pozwala odpowiedzieć na podstawowe pytanie: gdzie w naszej organizacji faktycznie wykorzystywana jest sztuczna inteligencja? Bez takiej wiedzy trudno ocenić ryzyko, sprawdzić dostawców, przygotować dokumentację, przeszkolić pracowników albo zdecydować, które narzędzia można stosować, a które powinny zostać ograniczone.

AI Act opiera się na podejściu zależnym od ryzyka, dlatego firma powinna wiedzieć, jakie systemy AI stosuje i w jakim kontekście. Bez rejestru trudno mówić o realnym nadzorze nad wykorzystaniem AI w organizacji. ¹

Rejestr jest szczególnie przydatny wtedy, gdy AI pojawia się w wielu działach jednocześnie: marketingu, HR, sprzedaży, obsłudze klienta, księgowości, administracji lub IT. Właśnie tam najczęściej dochodzi do nieformalnego testowania nowych narzędzi.

Od czego zacząć tworzenie rejestru?

Najlepiej zacząć od prostego przeglądu narzędzi używanych przez pracowników. Nie chodzi wyłącznie o systemy kupione przez dział IT. W rejestrze powinny znaleźć się również aplikacje wykorzystywane przez poszczególne zespoły, nawet jeśli są używane testowo lub w darmowej wersji.

Dobrym rozwiązaniem jest krótka ankieta wewnętrzna. Można zapytać pracowników, z jakich narzędzi AI korzystają, do jakich zadań ich używają, czy wpisują do nich dane klientów, pracowników lub kontrahentów oraz czy wgrywają dokumenty, maile, pliki lub załączniki.

Taki przegląd nie powinien być przedstawiany jako kontrola pracowników, ale jako uporządkowanie zasad bezpieczeństwa. Celem nie jest blokowanie AI, lecz sprawdzenie, czy firma korzysta z niej świadomie.

Co powinno znaleźć się w rejestrze narzędzi AI?

Rejestr powinien być praktyczny. Jeśli będzie zbyt rozbudowany, szybko przestanie być aktualizowany. Jeśli będzie zbyt ogólny, nie pomoże w ocenie ryzyka. Najlepiej zacząć od prostego układu, który pozwala odpowiedzieć na cztery pytania: jakie narzędzie jest używane, po co, na jakich danych i z jaką decyzją firmy.

Prosty wzór rejestru narzędzi AI

Poniższy układ można wykorzystać jako bazę do arkusza kalkulacyjnego albo wewnętrznej tabeli compliance.

W praktyce warto dodać jeszcze informację o tym, czy dane mogą być przekazywane poza Europejski Obszar Gospodarczy, czy dostawca wykorzystuje dane do trenowania modelu, czy podpisano umowę powierzenia i czy potrzebna jest dodatkowa analiza ryzyka.

Taki rejestr nie zastępuje całej dokumentacji RODO, ale pomaga ustalić, które procesy wymagają dalszego sprawdzenia. Jeżeli narzędzie AI przetwarza dane osobowe, firma powinna ocenić, czy trzeba zaktualizować rejestr czynności przetwarzania, klauzule informacyjne, umowy powierzenia albo procedury bezpieczeństwa.

Jak ocenić ryzyko narzędzia AI?

Nie każde narzędzie AI generuje takie samo ryzyko. Generator grafik używany do tworzenia neutralnych materiałów marketingowych będzie oceniany inaczej niż system analizujący CV kandydatów, maile klientów albo dane zdrowotne.

Ryzyko zwykle jest niższe, gdy narzędzie nie przetwarza danych osobowych, nie ma dostępu do informacji poufnych i nie wpływa na decyzje wobec ludzi. Rośnie natomiast wtedy, gdy AI analizuje dane klientów, pracowników lub kandydatów, wspiera decyzje kadrowe, klasyfikuje osoby, przetwarza dane szczególnej kategorii albo działa w zewnętrznym środowisku chmurowym.

W przypadku narzędzi AI przetwarzających dane osobowe trzeba pamiętać o zasadach RODO, w tym o rozliczalności, bezpieczeństwie, minimalizacji danych oraz konieczności oceny ryzyka. Przy bardziej ryzykownych procesach konieczna może być także ocena skutków dla ochrony danych. ²

Kiedy rejestr pokazuje, że potrzebna jest DPIA?

Samo wpisanie narzędzia do rejestru nie oznacza jeszcze, że trzeba wykonać DPIA. Rejestr pomaga jednak wychwycić sytuacje, w których zwykła tabela już nie wystarczy i potrzebna jest głębsza ocena.

DPIA może być konieczna szczególnie wtedy, gdy AI profiluje klientów lub pracowników, wspiera ocenę kandydatów do pracy, analizuje zachowanie użytkowników na dużą skalę, przetwarza dane szczególnej kategorii albo może istotnie wpływać na sytuację konkretnej osoby.

UODO zwraca uwagę, że ocena skutków dla ochrony danych może być wymagana w przypadku operacji z użyciem nowych technologii, w tym systemów AI, jeśli przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. ³

Jak dobrze opisać cel użycia AI?

Jednym z najważniejszych pól w rejestrze jest cel użycia AI. Nie wystarczy wpisać „automatyzacja pracy” albo „wsparcie pracowników”. Cel powinien być konkretny, bo od niego zależy ocena ryzyka, zakres danych i wymagane zabezpieczenia.

Lepszym opisem będzie na przykład: „tworzenie roboczych wersji tekstów marketingowych bez danych osobowych”, „klasyfikowanie zgłoszeń klientów w systemie helpdesk”, „przygotowywanie propozycji odpowiedzi na zapytania klientów” albo „analiza CV kandydatów pod kątem wymagań stanowiska”.

Takie doprecyzowanie ma znaczenie praktyczne. Inaczej ocenimy narzędzie używane do tworzenia opisów produktów, a inaczej system, który analizuje CV, korespondencję klientów albo dokumentację pracowniczą.

Jak ustalić, jakie dane trafiają do AI?

Firma powinna wiedzieć, czy do narzędzia trafiają dane osobowe, dane szczególnej kategorii, tajemnica przedsiębiorstwa, dane kontrahentów, dane finansowe, dokumenty wewnętrzne albo informacje objęte poufnością.

Nie warto ograniczać się do pytania, czy narzędzie jest „bezpieczne”. Trzeba sprawdzić, jakie dane realnie są do niego wprowadzane, czy można je anonimizować, kto ma dostęp do wyników i czy dostawca wykorzystuje je do trenowania modelu.

EDPB w opinii dotyczącej modeli AI podkreśla znaczenie oceny, czy model lub jego użycie wiąże się z przetwarzaniem danych osobowych, w tym kwestię anonimizacji, uzasadnionego interesu oraz konsekwencji bezprawnego przetwarzania danych w kontekście AI. ⁴

Kto powinien odpowiadać za rejestr narzędzi AI?

Rejestr narzędzi AI nie powinien być wyłącznie dokumentem działu IT. AI dotyka wielu obszarów: danych osobowych, bezpieczeństwa informacji, HR, marketingu, obsługi klienta, sprzedaży, compliance i zarządzania ryzykiem.

Najlepiej, aby każda pozycja w rejestrze miała właściciela biznesowego. To osoba, która wie, po co dane narzędzie jest używane, jakie dane są przetwarzane i jak wygląda proces w praktyce. Nad całością może czuwać dział compliance, IOD, osoba odpowiedzialna za ochronę danych, dział prawny lub zespół odpowiedzialny za AI Governance.

Jak często aktualizować rejestr?

Rejestr narzędzi AI powinien być aktualizowany zawsze wtedy, gdy firma wdraża nowe narzędzie, zmienia sposób jego użycia albo rozszerza zakres danych. Nie wystarczy przygotować tabeli raz i odłożyć jej do folderu z dokumentacją.

Dobrym rozwiązaniem jest okresowy przegląd, na przykład raz na kwartał, oraz zasada, że nowe narzędzie AI powinno zostać zgłoszone przed rozpoczęciem używania w pracy. Dzięki temu firma może szybko ocenić, czy rozwiązanie jest niskiego ryzyka, czy wymaga głębszej analizy.

AI Act przewiduje również obowiązki związane z kompetencjami osób korzystających z systemów AI. Komisja Europejska wyjaśnia, że dostawcy i podmioty stosujące AI powinni zapewniać odpowiedni poziom AI literacy, uwzględniając wiedzę, doświadczenie, szkolenie, kontekst użycia systemów oraz osoby, wobec których AI jest stosowana. ⁵

Najczęstsze błędy przy tworzeniu rejestru AI

Największym błędem jest ograniczenie rejestru tylko do narzędzi kupionych przez dział IT. W praktyce ryzyko często powstaje w narzędziach używanych oddolnie: darmowych generatorach tekstu, aplikacjach do transkrypcji, narzędziach do tłumaczeń, wtyczkach do przeglądarki albo systemach do automatyzacji maili.

Problemem jest także brak właściciela procesu, brak informacji o danych wprowadzanych do narzędzia, pominięcie narzędzi testowych i brak decyzji, czy dane rozwiązanie jest dopuszczone do użycia. Rejestr ma sens tylko wtedy, gdy jest powiązany z realnymi zasadami korzystania z AI.

Rejestr AI jako element AI Governance

Rejestr narzędzi AI to nie tylko tabela. To część szerszego podejścia do zarządzania sztuczną inteligencją w firmie. Pomaga połączyć technologię, RODO, cyberbezpieczeństwo, odpowiedzialność zarządu, szkolenia i kontrolę dostawców.

W Biurze Porad Prawnych Zacharski wspieramy organizacje w obszarze AI Governance, oceny ryzyka, dokumentacji i zasad wykorzystywania systemów AI. Pomagamy ustalić, jakie narzędzia są używane w firmie, które z nich wymagają analizy ryzyka, jak przygotować rejestr, jak opisać zasady korzystania z AI i jak przeszkolić pracowników.

Dzięki temu firma nie musi blokować AI. Może korzystać z nowych narzędzi w sposób bardziej świadomy, uporządkowany i bezpieczny.

Czy rejestr narzędzi AI wystarczy?

Sam rejestr nie rozwiązuje wszystkich problemów. To punkt wyjścia. Dopiero na jego podstawie można zdecydować, które narzędzia są bezpieczne, które wymagają dodatkowych zabezpieczeń, gdzie trzeba wykonać analizę ryzyka, gdzie potrzebna jest DPIA, a które rozwiązania powinny zostać wycofane.

Dobrze prowadzony rejestr daje firmie konkretną przewagę: organizacja wie, gdzie korzysta z AI, jakie dane są przetwarzane i kto odpowiada za dany proces. Bez tego wdrażanie sztucznej inteligencji łatwo staje się chaotyczne, a ryzyko naruszeń rośnie niezauważenie.

Rejestr narzędzi AI – FAQ

Źródła:

1. AI Act – Rozporządzenie UE 2024/1689.
2. RODO – Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679.
3. UODO – Kiedy trzeba przeprowadzić ocenę skutków dla ochrony danych.
4. EDPB – Opinia 28/2024 dotycząca wybranych aspektów ochrony danych przy modelach AI.
5. Komisja Europejska – AI Literacy.