Korzystanie z AI przez pracowników w codziennej pracy stało się już czymś powszechnym. Świadczy o tym między innymi rozwój przepisów regulujących wykorzystanie AI. Jednocześnie, jak pokazuje praktyka, pracownicy niekoniecznie otrzymują pozwolenie, a nawet nie informują pracodawcy o tym, że podczas wykonywania obowiązków korzystają z systemów sztucznej inteligencji. Od pewnego czasu takie zjawisko określa się mieniem „Shadow AI”. Według danych opublikowanych przez Prezesa UODO w 2026 roku 54% pracowników korzystających z narzędzi AI nie informowało o tym swoich pracodawców, a „95,9 % organizacji ocenia się jako niegotowych lub niepewnych co do gotowości do stosowania przepisów RODO w kontekście wykorzystania AI”.
Problem pojawia się przede wszystkim wtedy, gdy pracownik wprowadza do publicznie dostępnego narzędzia AI dane, których administratorem jest jego pracodawca. Shadow AI powoduje zatem bezpośrednie zagrożenia dla firmy, które polegają na tym że dane trafiają poza infrastrukturę podmiotu – przy czym firma nie wie jakie to dane, gdzie trafiają i w jaki sposób są przetwarzane. W tych okolicznościach wyraźnie wzrasta ryzyko naruszenia ochrony danych osobowych. Mamy tu też zagrożenie naruszenia kluczowej zasady – rozliczalności. Ponieważ administrator danych powinien być w stanie gwarantować, że przetwarzanie danych odbywa się zgodnie z zasadami określonymi w RODO i być w stanie to wykazać. Poza tym niemożliwa jest pełna ocena skutków dla ochrony danych. Jeżeli sposób wykorzystania AI jest związany z wysokim ryzykiem dla praw i wolności osób fizycznych, firma powinna ocenić takie ryzyko jeszcze przed rozpoczęciem przetwarzania danych.
Administrator danych osobowych nie może zatem pozostawać obojętny wobec zjawiska shadow AI – musi ocenić ryzyko shadow AI i powinien podjąć działania, aby ograniczyć możliwość niekontrolowanego korzystania przez pracowników z takich narzędzi.
Samo wprowadzenie zakazu korzystania nie gwarantuje usunięcia problemu shadow AI i braku zgodności z RODO. Pracodawca powinien wiedzieć jakie narzędzia AI są udostępniane personelowi, jakie dane są do nich wprowadzane i w jakich celach. Firma musi zatem stworzyć takie ramy żeby pracownik wiedział, z jakich narzędzi AI może korzystać, jakie dane może do nich wprowadzać i jakie konsekwencje wiążą się z naruszeniem tych zasad.
Obowiązek zapewnienia odpowiedniego poziomu AI literacy, wynikający z art. 4 AI Act, oznacza również konieczność zadbania o odpowiednią wiedzę i umiejętności osób korzystających z systemów AI. Poza tym w 2026 roku wchodzi w życie Ustawa o systemach sztucznej inteligencji (główna część 11 sierpnia, pełne stosowanie – 28 października), która wprowadza mechanizm kontroli wdrażania zasad AI Actu na terenie Polski, wyznacza organ kontroli stosowania systemów AI, jego kompetencje i obszar współpracy z Prezesem UODO. Jednocześnie Prezes UODO zwraca uwagę na to, że „będzie sprawował nadzór nad modelami AI wysokiego ryzyka tj. m.in. tam gdzie przetwarzane będą dane medyczne i biometryczne”.
Oprócz umiejętności korzystania z AI pracownicy muszą wiedzieć o kwestiach wynikających z zastosowania AI w kontekście RODO, do czego mogą służyć ustalone przez firmę polityki i prowadzone instruktaże.
Shadow AI nie jest więc wyłącznie problemem technologicznym, lecz także istotnym wyzwaniem prawnym i organizacyjnym. Powoduje to, że wdrążanie narzędzi systemów sztucznej inteligencji albo wprowadzenie zakazu lub ograniczeń z ich korzystania musi opierać się na połączeniu odpowiednich procedur, środków technicznych i organizacyjnych oraz edukacji pracowników.