Czego NIE wolno wkleić do żadnego AI. Lista do powieszenia w biurze
Wyciek danych przez AI rzadko wygląda jak scena z filmu o hakerach. Wygląda tak: wtorek, 14:30, pracownik chce szybko poprawić pismo do klienta, wkleja całość do darmowego czatu — razem z danymi osobowymi, kwotami i numerem umowy. Bez złych intencji. Bez świadomości, że coś poszło nie tak. I najczęściej bez żadnego śladu w systemach bezpieczeństwa firmy.
Ten artykuł to praktyczna lista: co wolno, czego nie wolno i — najważniejsze — jak podejmować tę decyzję w pięć sekund, bo nikt nie będzie wertował regulaminu przed każdym promptem. Na końcu plakat A4 do pobrania i powieszenia przy biurkach.
Zasada czterech kategorii
Zamiast zapamiętywać dziesiątki przypadków, wystarczy jedna rama. Każda informacja w firmie należy do jednej z czterech kategorii — i każda kategoria ma prostą zasadę:
- PUBLICZNE — wolno wszędzie. Treści ze strony WWW, oferta publiczna, opublikowane materiały marketingowe. Skoro są w internecie, czat AI niczego nie zmienia.
- WEWNĘTRZNE — tylko narzędzia firmowe. Procedury, notatki, dokumenty robocze bez danych osobowych. W firmowym Copilocie czy firmowym koncie ChatGPT/Claude — tak. W prywatnym, darmowym narzędziu — nie.
- POUFNE — narzędzia firmowe, z głową. Dane klientów, umowy, dane finansowe, podstawowe dane kadrowe. Wolno w narzędziach firmowych klasy enterprise, ale zawsze z pytaniem: czy do tego zadania naprawdę potrzebuję pełnych danych, czy wystarczy fragment bez nazwisk i kwot?
- ŚCIŚLE POUFNE — nigdzie. Nigdy. Lista poniżej. Te dane nie trafiają do żadnego narzędzia AI — firmowego ani prywatnego — bez indywidualnej zgody IOD lub osoby odpowiedzialnej za bezpieczeństwo.
Lista „nigdzie, nigdy”
- Hasła, klucze API, dane dostępowe do systemów — w żadnej formie, nawet „do sprawdzenia, czy hasło jest mocne”
- Dane o zdrowiu — zwolnienia, orzeczenia, informacje o chorobach pracowników lub klientów
- Dane szczególnych kategorii RODO — pochodzenie, poglądy, wyznanie, dane biometryczne
- Numery PESEL, dokumentów tożsamości, pełne dane kart płatniczych
- Dokumenty objęte tajemnicą zawodową (adwokacką, lekarską, biegłego rewidenta) lub klauzulą poufności z umowy z klientem
- Informacje o planowanych transakcjach, przejęciach, sporach sądowych i strategii negocjacyjnej
- Dane wynagrodzeń i dokumenty kadrowe konkretnych, możliwych do zidentyfikowania osób
- Kod źródłowy i konfiguracje systemów bezpieczeństwa firmy
Trzy sytuacje, które mylą najczęściej
„Przecież usunąłem nazwisko”
Anonimizacja to więcej niż skasowanie imienia. „Dyrektor finansowy naszego największego klienta z branży meblarskiej z Wielkopolski” identyfikuje człowieka równie dobrze jak nazwisko. Zasada praktyczna: jeśli ktoś z branży mógłby odgadnąć, o kogo lub o którą firmę chodzi — to nie jest zanonimizowane.
„To tylko fragment umowy”
Fragment potrafi być gorszy niż całość, bo zawiera samo sedno: kwoty, kary umowne, warunki specjalne. Do pracy nad klauzulą zwykle wystarczy przepisać jej strukturę z podmienionymi wartościami: „kara umowna X% za opóźnienie powyżej Y dni” działa w prompcie tak samo dobrze jak prawdziwe liczby.
„Używam płatnej wersji, więc jest bezpiecznie”
Płatna wersja prywatna (indywidualny abonament opłacony prywatną kartą) to wciąż konto prywatne — bez umowy powierzenia danych z firmą i poza jakąkolwiek kontrolą organizacji. Granica nie przebiega między darmowym a płatnym, tylko między kontem prywatnym a firmowym z gwarancjami umownymi. Pisaliśmy o tym szerzej przy okazji polityki AI dwa tygodnie temu.
Pięciosekundowy test przed wklejeniem
Jedno pytanie, które załatwia 90% przypadków: „Czy czułbym się komfortowo, gdyby ta treść wisiała na tablicy ogłoszeń w biurowcu, w którym pracują też inne firmy?” Jeśli tak — kategoria publiczna lub wewnętrzna, działaj. Jeśli nie — zatrzymaj się i sprawdź kategorię. Jeśli się wahasz — zapytaj, zanim wkleisz, a nie po.
Dla pracodawcy: lista to początek, nie koniec
Plakat przy biurku działa tylko wtedy, gdy stoi za nim system: firmowe narzędzia jako legalna alternatywa (bez nich lista jest zakazem bez wyjścia), krótka polityka AI, przeszkolony zespół i ścieżka zgłaszania wpadek bez kar za szczerość. Każdy z tych elementów opisaliśmy w tym miesiącu na blogu — a wszystkie razem składają się na obowiązek kompetencji AI, który AI Act nakłada na firmy już od lutego 2025.
Pobierz plakat A4 „Zanim wkleisz — sprawdź” z czterema kategoriami i listą „nigdzie, nigdy” [formularz: e-mail → wysyłka PDF]. Chcesz przejść z zespołem przez realne przykłady z Waszej pracy? Zobacz warsztat bezpiecznego użycia AI: ite.pl/ite-ai-szkolenia
