AI w urzędzie bez nadzoru. Jak zyskać widoczność tego, co już działa

Wdrożenia AI w organizacjach wyprzedziły zarządzanie nimi. Pracownicy sięgają po narzędzia AI samodzielnie, bez konsultacji z działem IT, bez oceny ryzyka, bez ewidencji. Czasem to nieszkodliwy asystent do redakcji maili. Czasem narzędzie, do którego trafiają dane osobowe albo informacje objęte tajemnicą. Nikt nie wie, bo nikt nie patrzy.

Problem nie polega na tym, że AI jest niebezpieczne. Problem polega na tym, że organizacja nie ma widoczności - nie wie, jakie narzędzia działają, kto ich używa, jakie dane przez nie przepływają. Tradycyjne systemy monitorowania infrastruktury IT po prostu nie były projektowane z myślą o śledzeniu aktywności AI. Luka się pogłębia.

Co to oznacza dla polskich urzędów i instytucji publicznych

W polskiej administracji ten problem ma kilka dodatkowych wymiarów. Urzędy podlegają RODO, przepisom o ochronie informacji niejawnych, regulacjom sektorowym. Do tego AI Act UE nakłada konkretne obowiązki dokumentacyjne na zastosowania AI w sektorze publicznym. Trudno spełnić wymogi dokumentacyjne wobec narzędzi, o których istnieniu się nie wie.

Co konkretnie grozi instytucji, która nie ma tej widoczności:

• Niekontrolowany przepływ danych osobowych do zewnętrznych serwisów AI - ryzyko naruszenia RODO i obowiązek notyfikacyjny do UODO.
• Brak śladu audytowego przy decyzjach wspomaganych przez AI - nie można udowodnić ani obalić, co i dlaczego AI sugerowało.
• Niemożność oceny ryzyka wymaganej przez AI Act dla systemów wysokiego ryzyka - bez inwentaryzacji nie wiadomo, które narzędzia w ogóle do tej kategorii trafiają.
• Shadow AI jako nowy shadow IT - ten sam problem co przed dekadą z aplikacjami chmurowymi, teraz z modelem językowym w roli głównej.

Punkt startowy jest jeden: inwentaryzacja. Zanim instytucja zdecyduje o polityce AI, zanim wdroży jakikolwiek system zarządzania, musi wiedzieć, co już działa. Nie chodzi o to, żeby zakazać - zakazy przy narzędziach tak dostępnych po prostu nie działają. Chodzi o to, żeby zobaczyć.

Widoczność to nie projekt technologiczny. To decyzja organizacyjna: ktoś musi być odpowiedzialny za zadanie pytania "jakich narzędzi AI używamy i do czego". W wielu instytucjach to pytanie jeszcze nie padło. A powinno paść jako pierwsze.

Jeśli chcecie zacząć od diagnozy - co już działa w waszej instytucji i gdzie są luki w nadzorze - zapraszamy na bezpłatny audyt.