Shadow AI i AI Act: jak zapanować nad AI, z którego pracownicy już korzystają (2026)

Największe wdrożenie AI w Twojej firmie już się wydarzyło. Nikt go nie zatwierdził, nikt nie policzył jego ryzyka i najpewniej nie ma go w żadnym rejestrze. Nazywa się shadow AI.

Twoi ludzie już dziś wklejają fragmenty umów, dane klientów i firmowy kod do prywatnych kont ChatGPT, Gemini czy Claude, bo to im pomaga w pracy. To nie sabotaż, to inicjatywa. Problem w tym, że w 2026 roku ta inicjatywa staje się tematem na biurko zarządu i działu prawnego: od 2 sierpnia obowiązują kolejne przepisy AI Act, a od 11 sierpnia obowiązuje polska ustawa o systemach sztucznej inteligencji.

WeAreFuture to polska firma doradczo-wdrożeniowa AI z Warszawy. Prowadzimy średnie i duże organizacje przez transformację AI od diagnozy po wdrożenie. Ten artykuł jest o tym, jak zapanować nad shadow AI, nie zabijając przy tym produktywności, którą Twoi ludzie już sobie zbudowali, oraz o tym, co AI Act znaczy dla firmy w drugiej połowie 2026 roku. Piszemy z perspektywy doradczej, nie prawnej (to nie jest porada prawna), i skupiamy się na tym, co możesz zrobić.

Czym jest shadow AI

Shadow AI to niekontrolowane korzystanie z narzędzi AI i przetwarzanie w nich firmowych danych poza wiedzą i polityką organizacji. To odpowiednik „shadow IT” sprzed dekady, tyle że szybszy i znacznie trudniejszy do wykrycia, bo nie wymaga instalacji ani zgody działu IT. Wystarczy przeglądarka i prywatne konto.

Dlaczego się pojawia? Z trzech bardzo racjonalnych (z perspektywy pracownika) powodów. Po pierwsze, oficjalne narzędzie albo nie istnieje, albo jest niewygodne. Po drugie, AI skraca pracę, więc ludzie sięgają po to, co działa, tu i teraz. Po trzecie, nie ma jasnej polityki, więc obowiązuje domyślne „skoro nikt nie zabronił”. To nie jest złośliwość ani ignorancja, to naturalna reakcja ludzi, którzy chcą pracować szybciej.

Wygląda to zwykle niewinnie. Handlowiec wkleja cennik i dane klienta do prywatnego czatu, żeby w pięć minut przygotować ofertę. Analityk wrzuca fragment bazy, żeby szybciej znaleźć wzorzec. Prawnik streszcza umowę, marketing generuje grafiki i teksty w kolejnych narzędziach, a zespół IT używa asystentów do pisania kodu. Każda z tych rzeczy z osobna jest drobna i sensowna. Razem tworzą obraz, w którym firmowa wiedza codziennie wypływa na zewnątrz w kilkunastu miejscach naraz, a nikt tego nie widzi ani nie liczy.

Skala zjawiska: co mówią dane

Shadow AI jest w większości organizacji normą, a nie wyjątkiem. Cztery liczby, które wystarczą na slajd dla zarządu:

Wniosek jest prosty: pytanie nie brzmi „czy mamy u siebie shadow AI”, tylko „ile o nim wiemy i co z tym robimy”. Jeśli sądzisz, że Twoja firma jest wyjątkiem, to najprawdopodobniej jesteś w tych 68%, które nie mają jak tego sprawdzić.

W 2026 roku zjawisko przyspiesza, nie zwalnia. Modele są coraz lepsze i tańsze, pojawiają się narzędzia agentowe i asystenci do kodu, a AI wchodzi do programów, których zespoły i tak używają na co dzień. Im bardziej AI staje się użyteczne, tym silniejsza pokusa, żeby sięgnąć po nie „na szybko”, bez pytania. Dlatego shadow AI nie jest przejściową modą, którą da się przeczekać. To trwały stan, którym trzeba zarządzić.

Dlaczego to problem, a nie paranoja IT

Shadow AI ma cztery konkretne koszty, które prędzej czy później trafiają na biurko zarządu.

Wyciek danych i utrata IP. Dane klientów, fragmenty umów, kod, plany, tajemnice handlowe trafiają do zewnętrznych usług. W zależności od narzędzia i jego ustawień treść bywa przechowywana lub wykorzystywana do dalszego rozwoju modeli, a Ty tracisz kontrolę i ślad tego, co gdzie poszło. Raz ujawnionego kontekstu nie da się cofnąć. Według raportu IBM Cost of a Data Breach 2026 naruszenia z udziałem shadow AI kosztowały średnio 5,39 mln USD, a 49% z nich skończyło się utratą lub kompromitacją danych.

Zgodność: RODO i AI Act. Jeśli nie wiesz, jakie dane, do jakich narzędzi i po co trafiają, nie jesteś w stanie wykazać zgodności. RODO obowiązuje niezależnie od AI Act i nakłada się na dokładnie to samo zjawisko. Brak widoczności to brak zgodności, kropka. Konsekwencje nie są teoretyczne: IBM podaje, że w około jednym na pięć incydentów z shadow AI organizacja zapłaciła karę regulacyjną.

Jakość i błędne decyzje. Niekontrolowane wyniki, bez weryfikacji i bez wspólnych standardów, oznaczają halucynacje, które trafiają do ofert, raportów, a czasem prosto do klienta. Bez wspólnego kontekstu każdy dostaje inną jakość, a firma nie ma nad tym żadnej kontroli.

Ryzyko bez korzyści skali. To najbardziej podstępny koszt. Skoro ludzie i tak używają AI, firma ponosi całe ryzyko, ale nie czerpie żadnej korzyści skali: nie ma wspólnych standardów, wspólnego kontekstu ani skilli, o których pisaliśmy przy plikach kontekstowych i skillach. Płacisz „podatek od ryzyka” i nie dostajesz w zamian dźwigni.

AI Act w pigułce dla zarządu (stan na sierpień 2026)

To nie jest porada prawna, a skrót doradczy: co AI Act oznacza dla firmy, która korzysta z AI. Konkretną klasyfikację i obowiązki dla Waszych przypadków potwierdźcie z prawnikiem, a szybki przegląd sytuacji zrobicie w naszym AI Act check.

Unijny AI Act (Rozporządzenie 2024/1689) obowiązuje od sierpnia 2024 i jest wdrażany etapami. Ostatnie 12 miesięcy przyniosły dwie duże zmiany: reformę na poziomie UE i wejście w życie polskiej ustawy wykonawczej. Najważniejsze punkty z perspektywy typowej firmy:

• Co obowiązuje od dawna. Od 2 lutego 2025 stosuje się zakaz praktyk niedozwolonych oraz obowiązek kompetencji AI (tzw. AI literacy). Od 2 sierpnia 2025 obowiązują reguły dla modeli ogólnego przeznaczenia (GPAI).

• Co weszło 2 sierpnia 2026. Zaczął się stosować art. 50, czyli obowiązki przejrzystości: informowanie użytkownika, że rozmawia z systemem AI, oznaczanie treści generowanych syntetycznie, ujawnianie deepfake'ów. To dotyczy praktycznie każdej firmy, która ma chatbota na stronie albo generuje treści marketingowe przy pomocy AI. Ten etap już trwa, nie jest przed nami.

• Digital Omnibus jest już prawem. Rozporządzenie (UE) 2026/1744 zostało opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 i weszło w życie 27 lipca 2026. To nie jest już projekt ani porozumienie polityczne, to obowiązujący akt.

• Systemy wysokiego ryzyka: więcej czasu. Omnibus przesunął stosowanie obowiązków dla systemów wysokiego ryzyka z Aneksu III na 2 grudnia 2027, a dla AI wbudowanej w produkty regulowane (Aneks I) na 2 sierpnia 2028. Sama architektura oparta na ryzyku (cztery poziomy, ścieżka GPAI, ocena zgodności) się nie zmieniła.

• Oznaczanie treści: okres przejściowy do 2 grudnia 2026. Dostawcy systemów generujących treści syntetyczne, które trafiły na rynek przed 2 sierpnia 2026, mają czas do 2 grudnia 2026 na wdrożenie maszynowo odczytywalnego oznaczania. Uwaga: to wąski wyjątek dotyczący jednego ustępu art. 50, a nie odroczenie całych obowiązków przejrzystości.

• AI literacy: obowiązek przepisany, nie zniesiony. Omnibus zmienił brzmienie art. 4. Wcześniej dostawcy i podmioty stosujące AI miały „zapewnić wystarczający poziom” kompetencji AI. Teraz mają „podjąć działania wspierające rozwój” tych kompetencji, przy wyraźnym zastrzeżeniu, że nie muszą gwarantować konkretnego poziomu u konkretnej osoby. Obowiązek starannego działania został, ciężar dowodu zelżał. Dla firmy zmienia to niewiele: nadal musisz umieć pokazać, co zrobiłeś.

• Kary są wysokie. Do 35 mln euro lub 7% światowego obrotu za praktyki zakazane oraz do 15 mln euro lub 3% obrotu za naruszenia dotyczące systemów wysokiego ryzyka. Rozporządzenie ma przy tym zasięg eksterytorialny, więc dotyczy też firm spoza UE działających na rynku unijnym.

Jest tu jednak pułapka. Przesunięcie terminów dla wysokiego ryzyka bywa czytane jako „mamy więcej czasu, można odpuścić”. To błąd i pisaliśmy o nim szerzej, gdy omnibus był jeszcze projektem: AI Act przesunięty o 18 miesięcy, co to oznacza dla firm. Najtrudniejsza i najwolniejsza część zgodności to nie wypełnienie szablonu dokumentacji, lecz ustalenie, z jakich systemów AI w ogóle korzystasz, do czego i z jakim ryzykiem. Shadow AI sprawia, że tej mapy po prostu nie masz, a bez niej nie zbudujesz żadnej zgodności, niezależnie od tego, kiedy zapadną konkretne terminy.

Do tego dochodzi obowiązek kompetencji AI, który dotyczy praktycznie każdej firmy już dziś. Łączy się to wprost z tematem adopcji i ze szkoleniami AI dla firm, bo polityka bez zrozumienia jej sensu przez zespół pozostaje martwym dokumentem.

Polska ustawa o systemach AI i KRiBSI: co się zmieniło w sierpniu 2026

Polska ma już własną ustawę wykonawczą do AI Act. Ustawa o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026, a jej zasadnicza część weszła w życie 11 sierpnia 2026. To zmienia sytuację w jednym istotnym punkcie: AI Act przestał być abstrakcją bez adresata w Polsce.

Organem nadzoru rynku AI została Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), nowy podmiot obsługiwany organizacyjnie przez Ministerstwo Cyfryzacji, z udziałem przedstawicieli między innymi Prezesa UOKiK, KNF, KRRiT i Prezesa UKE. KRiBSI prowadzi postępowania w sprawach naruszeń, wydaje opinie i interpretacje, prowadzi piaskownice regulacyjne i działalność edukacyjną.

Trzy daty, które warto mieć w kalendarzu:

• 11 sierpnia 2026 - zasadnicza część ustawy obowiązuje.

• 28 października 2026 - zaczynają się stosować przepisy o kontrolach, postępowaniach i karach. To moment, od którego nadzór przestaje być deklaratywny.

• Październik i listopad 2026 - powołanie przewodniczącego i skompletowanie składu Komisji, czyli faktyczny start jej pracy.

Dla firmy oznacza to jedno: okno na spokojne uporządkowanie tematu zamyka się w tym kwartale, a nie w 2027 roku. Po 28 października pytanie „z jakich systemów AI korzystacie i kto za nie odpowiada” można dostać od organu, a nie tylko od klienta w procedurze zakupowej. Firma, która ma rejestr, właściciela i politykę, odpowiada w tydzień. Firma z samym shadow AI nie odpowiada w ogóle.

Kto w firmie odpowiada za shadow AI

Najczęstsza odpowiedź brzmi: nikt. Shadow AI wisi w próżni między działami. IT mówi, że to temat biznesu, biznes, że to temat IT, dział prawny dowiaduje się ostatni, a zarząd zakłada, że „ktoś to ogarnia”. W efekcie nie ogarnia tego nikt, i dokładnie dlatego zjawisko rośnie. Dane IBM to potwierdzają: tylko 19% organizacji raportuje koordynację między zespołami odpowiedzialnymi za ład AI i za bezpieczeństwo.

Uporządkowanie zaczyna się od jednej decyzji: wskazania właściciela tematu. Najlepiej działa układ, w którym jedna osoba odpowiada za temat, a wspierają ją bezpieczeństwo lub IT (od strony danych i narzędzi), dział prawny lub compliance (od strony RODO i AI Act) oraz właściciel tematu AI (od strony wdrożeń i adopcji), przy sponsoringu zarządu. Nie chodzi o powołanie komitetu, który spotyka się raz na kwartał. Chodzi o osobę, która odpowiada za to, żeby firma wiedziała, z czego korzysta, i miała bezpieczną alternatywę.

Bez tego kroku każdy kolejny (polityka, szkolenia, rejestr) zawiśnie w tej samej próżni, co samo zjawisko.

Czego NIE robić: zakaz nie działa

Pierwszy odruch wielu zarządów brzmi „to zakażmy AI”. To najgorsza możliwa reakcja i pogarsza sytuację z trzech powodów naraz. Shadow AI schodzi jeszcze głębiej, na prywatne telefony, konta i urządzenia, więc tracisz resztki widoczności. Zabijasz produktywność, którą ludzie już zbudowali. I wysyłasz sygnał, że firma nie rozumie narzędzia, z którego korzysta reszta rynku.

Liczby mówią to samo. Skoro 48% pracowników przyznaje, że używa AI wbrew polityce firmy, a 57% ukrywa korzystanie z niego, to kolejny zakaz nie zmienia zachowania, tylko poziom ukrycia.

To prohibicja, nie governance. Dobrą analogią są zasady BHP: nie zakazujesz pracy z maszynami, tylko ustalasz, jak robić to bezpiecznie. Zakaz nie usuwa zjawiska, tylko spycha je w cień, gdzie jest jeszcze groźniejsze. Cel to nie eliminacja AI, tylko wyjęcie go z cienia na światło.

Jak zapanować nad shadow AI: pięć kroków

Uporządkowanie shadow AI to nie jednorazowa akcja, tylko pięć kroków, które warto zrobić w tej kolejności.

1. Zinwentaryzuj, bez polowania na czarownice. Zapytaj wprost, z czego ludzie korzystają i do czego. To ma być amnestia, nie audyt karny, bo inaczej wszyscy się schowają i zostaniesz z fałszywym obrazem. Cel to mapa faktycznego użycia i potrzeb, a nie lista winnych.

2. Daj sankcjonowaną, wygodną alternatywę. Ludzie używają shadow AI, bo ono działa. Udostępnij bezpieczne, firmowe narzędzie: dostęp przez firmowe konta i logowanie (SSO), ustawienia bez wykorzystywania danych do trenowania modeli, a dla danych wrażliwych sandbox lub środowisko on-premise (patrz: wdrożenia AI). Firmowe i biznesowe plany głównych narzędzi AI dają dziś kontrole administracyjne (zarządzanie dostępem, brak treningu na Twoich danych, logi), których z definicji nie ma na prywatnym, darmowym koncie. Zasada jest prosta: jeśli oficjalne narzędzie jest lepsze i wygodniejsze niż prywatne, shadow AI znika samo, bez żadnego zakazu.

3. Napisz krótką politykę korzystania z AI. Co wolno, czego nie, jakie dane w jakich narzędziach. Jedna strona zrozumiała dla każdego pracownika, a nie trzydziestostronicowy regulamin, którego nikt nie przeczyta. Polityka, której nie da się stosować, jest tylko listkiem figowym dla zarządu.

4. Zbuduj kompetencje (AI literacy). To jednocześnie wymóg AI Act i warunek, żeby polityka miała sens. Ludzie muszą rozumieć, dlaczego pewne dane nie mogą trafić do prywatnego czatu i jak korzystać z AI odpowiedzialnie. Tu wprost wchodzą programy adopcji AI, bo świadomy zespół jest tańszym i skuteczniejszym zabezpieczeniem niż jakikolwiek zakaz.

5. Ustaw governance i widoczność. Rejestr używanych systemów AI, przypisany właściciel, klasyfikacja ryzyka i okresowy przegląd. To dokładnie ta sama dyscyplina, co przy wspólnym kontekście i skillach: wspólny zasób pod kontrolą, a nie dziki zachód. Rejestr systemów AI to dodatkowo pierwszy krok w stronę zgodności z AI Act i pierwsza rzecz, o którą zapyta organ nadzoru.

Quick win na jeden, dwa tygodnie: jednostronicowa polityka AI plus krótka, amnestyjna ankieta „z czego dziś korzystasz i do czego”. Dostajesz natychmiast dwie rzeczy: mapę faktycznego użycia oraz jasny sygnał w organizacji, że firma traktuje temat poważnie, zamiast udawać, że problemu nie ma.

Trzy pytania, które zarząd powinien umieć sobie zadać jutro rano:

1. Czy wiemy, z jakich narzędzi AI korzystają nasi ludzie i do czego? Jeśli nie, nie mamy ani kontroli, ani zgodności.

2. Czy mamy jednostronicową politykę korzystania z AI i czy ktokolwiek poza działem prawnym ją zna?

3. Czy dajemy ludziom bezpieczną, wygodną alternatywę, czy tylko zakazy? Bo jeśli tylko zakazy, to znaczy, że wybraliśmy niewiedzę zamiast kontroli.

Jeśli na którekolwiek z tych pytań odpowiedź brzmi „nie”, wiesz już, od czego zacząć.

Shadow AI to symptom, nie choroba

Shadow AI pojawia się dokładnie tam, gdzie jest popyt na AI, a nie ma uporządkowanego wdrożenia. To sygnał, że ludzie są już gotowi, a organizacja jeszcze nie nadążyła.

Dlatego to nie jest przede wszystkim problem do ukarania, tylko darmowe badanie potrzeb. Shadow AI pokazuje czarno na białym, gdzie w Twojej firmie AI pomaga i gdzie warto wdrażać w pierwszej kolejności. Zamiast gasić, zamień ten cień w priorytetyzowany backlog wdrożeń.

Governance wokół shadow AI to część fundamentu, na którym stoi dojrzałe korzystanie z AI. Ład i adopcję układamy w naszej metodyce AI SYSTEM, a cały ten obszar jest jednym z wymiarów szerszej transformacji AI w firmie. Ta sama logika, co przy wdrożeniach AI od chaosu do uporządkowania: najpierw porządek, potem skala.

Firmy, które zrobią to pierwsze, zyskują podwójnie: zdejmują z siebie ryzyko i jednocześnie dowiadują się, gdzie AI daje im największą dźwignię. To rzadki przypadek, w którym ograniczanie ryzyka i budowanie przewagi to dokładnie ta sama praca.

Jeśli chcesz zamienić shadow AI z ukrytego ryzyka w uporządkowaną przewagę, od tego zaczynamy współpracę. Szybki przegląd zgodności i faktycznego użycia zrobisz w AI Act check, a całość poukładamy w AI SYSTEM.

Najczęściej zadawane pytania (FAQ)

Czym jest shadow AI?
To niekontrolowane korzystanie z narzędzi AI i przetwarzanie w nich firmowych danych poza oficjalną wiedzą i polityką organizacji, na przykład wklejanie danych klientów czy fragmentów umów do prywatnych kont ChatGPT, Gemini czy Claude. To odpowiednik dawnego „shadow IT”, tyle że szybszy i trudniejszy do wykrycia, bo wystarczy przeglądarka. Według raportu IBM Cost of a Data Breach 2026 incydenty z udziałem shadow AI dotknęły 43% naruszonych organizacji, wobec 20% rok wcześniej.

Czy shadow AI jest nielegalne?
Samo korzystanie z narzędzi AI nie jest nielegalne. Problemem jest niekontrolowane przetwarzanie danych, które może naruszać RODO, obowiązki wynikające z AI Act, umowy z klientami lub tajemnicę przedsiębiorstwa. Ryzyko nie polega więc na „używaniu AI”, tylko na braku kontroli nad tym, jakie dane i gdzie trafiają. To nie jest porada prawna, konkretną ocenę warto potwierdzić z prawnikiem.

Czy powinniśmy po prostu zakazać ChatGPT i innych narzędzi AI?
Nie. Zakaz spycha shadow AI jeszcze głębiej (prywatne telefony i konta), odbiera resztki widoczności i zabija produktywność. Badanie KPMG i Uniwersytetu w Melbourne pokazuje, że 48% pracowników i tak używa AI wbrew polityce firmy, a 57% ukrywa jego użycie. Skuteczniejsze jest danie sankcjonowanej, wygodnej alternatywy, napisanie krótkiej polityki i przeszkolenie ludzi. Jeśli oficjalne narzędzie jest lepsze niż prywatne, shadow AI znika samo.

Co z AI Act obowiązuje w sierpniu 2026?
AI Act obowiązuje etapami. Od 2 lutego 2025 stosuje się zakaz praktyk niedozwolonych oraz obowiązek kompetencji AI, od 2 sierpnia 2025 reguły dla modeli ogólnego przeznaczenia (GPAI), a od 2 sierpnia 2026 obowiązki przejrzystości z art. 50, w tym informowanie o interakcji z AI i oznaczanie treści generowanych syntetycznie. Digital Omnibus, czyli Rozporządzenie (UE) 2026/1744, wszedł w życie 27 lipca 2026 i przesunął obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 (Aneks III) oraz 2 sierpnia 2028 (produkty regulowane, Aneks I). Dla systemów generujących treści syntetyczne wprowadzonych na rynek przed 2 sierpnia 2026 obowiązek maszynowego oznaczania stosuje się od 2 grudnia 2026.

Czy polska ustawa o systemach AI już obowiązuje?
Tak. Ustawa o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026, a jej zasadnicza część weszła w życie 11 sierpnia 2026. Organem nadzoru rynku AI w Polsce jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Przepisy o kontrolach, postępowaniach i karach zaczynają się stosować od 28 października 2026, a skład Komisji ma być skompletowany w październiku i listopadzie 2026.

Czy korzystanie z ChatGPT to „system wysokiego ryzyka” w rozumieniu AI Act?
Zwykłe, codzienne korzystanie z asystenta AI zazwyczaj nie jest samo w sobie zastosowaniem wysokiego ryzyka. Klasyfikacja zależy od konkretnego zastosowania, a nie od samego narzędzia. Niezależnie od tego obowiązują Cię RODO, obowiązki przejrzystości z art. 50 oraz kompetencje AI, a przede wszystkim musisz wiedzieć, do czego i z jakimi danymi AI jest u Ciebie używane. To nie jest porada prawna.

Co grozi za brak zgodności z AI Act?
Kary są wysokie: do 35 mln euro lub 7% światowego obrotu za praktyki zakazane oraz do 15 mln euro lub 3% obrotu za naruszenia dotyczące systemów wysokiego ryzyka. Rozporządzenie ma zasięg eksterytorialny, więc obejmuje także firmy spoza UE działające na rynku unijnym. Poza sankcjami z AI Act w grę wchodzą też RODO i inne przepisy sektorowe. Według IBM w około jednym na pięć incydentów z udziałem shadow AI organizacja zapłaciła karę regulacyjną.

Jak napisać politykę korzystania z AI?
Zacznij od jednej strony, zrozumiałej dla każdego: które narzędzia są dozwolone, a które nie, jakie dane wolno w nich przetwarzać, jakie są sankcjonowane alternatywy dla danych wrażliwych oraz kto jest właścicielem tematu i do kogo zgłaszać pytania. Politykę trzeba połączyć ze szkoleniem, bo dokument bez zrozumienia jego sensu nie zmienia zachowań.

Od czego zacząć?
Od amnestyjnej inwentaryzacji („z czego dziś korzystamy i do czego”), udostępnienia bezpiecznego, wygodnego narzędzia, napisania jednostronicowej polityki, przeszkolenia zespołu i założenia prostego rejestru używanych systemów AI z właścicielem. To pięć kroków, które w kilka tygodni zamieniają cień w uporządkowany, mierzalny obszar.

Jakie dane nie powinny trafiać do publicznych narzędzi AI?
Dane osobowe klientów i pracowników, tajemnice handlowe, chroniony kod źródłowy, dane objęte umowami poufności oraz niepubliczne dane finansowe. Prosta heurystyka dla zespołu: jeśli nie wysłałbyś danej treści mailem do przypadkowej osoby spoza firmy, nie wklejaj jej do publicznego, darmowego czatu. Do takich danych służą sankcjonowane narzędzia z kontrolą administracyjną albo środowisko on-premise.

Źródła

• IBM, Cost of a Data Breach Report 2026 (badanie na 602 organizacjach, naruszenia od marca 2025 do lutego 2026).

• KPMG i Uniwersytet w Melbourne, Trust, attitudes and use of artificial intelligence: A global study 2025 (48 000 respondentów w 47 krajach).

• Microsoft i LinkedIn, Work Trend Index 2024: AI at Work Is Here. Now Comes the Hard Part (31 000 pracowników wiedzy w 31 krajach).

• Rozporządzenie (UE) 2024/1689 (AI Act), EUR-Lex.

• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), EUR-Lex.

• Komisja Europejska, AI Omnibus enters into force, 27 lipca 2026.

• Ministerstwo Cyfryzacji, Ustawa o systemach AI: bezpieczny rozwój sztucznej inteligencji w Polsce.