Bezpieczne wdrożenie AI w firmie

01AI już jest w Twojej firmie

Nawet jeśli nikt go nie wdrażał. Ktoś streszcza w ChatGPT umowę, ktoś inny prosi czatbota o poprawienie maila do klienta, a księgowość wkleja zestawienie, żeby szybciej znaleźć błąd. Często z prywatnego, darmowego konta, o którym firma nic nie wie.

Problem nie polega na tym, że ludzie używają AI. Robią to, bo to działa. Problem w tym, że nikt nie ustalił, jakie dane mogą trafić do jakiego narzędzia, na jakich warunkach dostawca je przetwarza i gdzie. Tego nie widać do dnia, w którym zapyta o to klient.

Ten etap przeszliśmy u siebie: zanim zaczęliśmy doradzać klientom, spisaliśmy zasady korzystania z AI dla własnego zespołu.

02Jak bezpiecznie wdrożyć AI w firmie – 6 kroków

Kolejność ma znaczenie: najpierw porządek w danych i kontach, dopiero potem nowe narzędzia. Tak prowadzimy każde wdrożenie i tak możesz zacząć samodzielnie.

1. Sprawdź, czego zespół już używa. Spisz narzędzia AI i konta, z których korzystają ludzie: firmowe czy prywatne. Logi logowania Microsoft 365 i ruch w sieci zwykle pokazują więcej niż ankieta.
2. Podziel dane na klasy. Publiczne, wewnętrzne, poufne dane klientów, dane osobowe i dane szczególnie chronione. Dla każdej klasy ustal, do jakiego narzędzia może trafić.
3. Wybierz narzędzia z umową albo model u siebie. Wersje firmowe z umową powierzenia i bez trenowania modeli na Twoich danych. Sprawdź, gdzie dostawca przetwarza zapytania. Jeżeli dane nie mogą wyjść z firmy, rozważ lokalny model.
4. Spisz politykę AI. Krótko i konkretnie: dozwolone narzędzia, czego nie wklejać, kto odpowiada za wynik i co zrobić, gdy coś trafi tam, gdzie nie powinno.
5. Ustaw to technicznie. Konta firmowe zamiast prywatnych, logowanie przez Microsoft 365, uporządkowane uprawnienia do plików przed włączeniem Copilota albo podłączeniem dokumentów do lokalnego modelu, blokada niezatwierdzonych narzędzi tam, gdzie się da.
6. Przeszkol zespół i zostaw ślad. Szkolenie dopasowane do stanowisk, lista obecności i materiały. To najprostszy dowód działań, których wymaga art. 4 AI Act.

W kancelariach, gabinetach i biurach rachunkowych przed krokiem trzecim dochodzi pytanie, czy wystarczy chmura w UE, czy potrzebny jest model uruchomiony na serwerze w firmie. Piszemy o tym niżej, w części AI dla kancelarii i gabinetów lekarskich.

03Co wdrażamy: od polityki AI i Copilota po model na Waszym serwerze

• Polityka AI, która działa także technicznie. Spisujemy, z jakich narzędzi korzysta zespół i jakie dane mogą do nich trafiać. Tam, gdzie się da, zasady wymuszamy konfiguracją: konta firmowe zamiast prywatnych, logowanie przez Microsoft 365, blokada narzędzi, których nie zatwierdziliście. Nie kończy się na dokumencie do podpisu.
• Szkolenie zespołu z AI. Praktyczne, na przykładach z Waszej pracy: co można wkleić, czego nie, jak sprawdzać odpowiedzi, które brzmią pewnie, a są błędne. Zostawiamy listę obecności i materiały, bo art. 4 AI Act wymaga od firm podejmowania działań wspierających kompetencje w zakresie AI, a dokumentacja szkolenia jest najprostszym dowodem, że je podjęliście.
• Microsoft 365 Copilot bez niespodzianek. Copilot widzi wszystko, do czego pracownik ma dostęp, także folder, który ktoś kiedyś udostępnił całej firmie przez pomyłkę. Przed włączeniem porządkujemy uprawnienia w SharePoint i OneDrive, ustawiamy etykiety poufności i sprawdzamy, gdzie Microsoft przetwarza zapytania.
• Lokalny model AI na Twoim serwerze. Gdy dane nie mogą wyjść z firmy, uruchamiamy otwarty model językowy, na przykład Qwen, Llamę, Mistrala albo polskiego Bielika, na serwerze w Twojej siedzibie lub w wybranym centrum danych w Polsce. Zaczynamy od testu na Twoich dokumentach, a nie od zakupu sprzętu: porównujemy kilka modeli w różnych rozmiarach i sprawdzamy, który odpowiada wystarczająco dobrze. Od tego zależy, ile pamięci musi mieć karta graficzna. Potem stawiamy serwer z oprogramowaniem do obsługi modelu, dostęp przez przeglądarkę z logowaniem kontem Microsoft 365 i wyszukiwanie w dokumentach, które pokazuje pracownikowi tylko to, do czego ma uprawnienia. Treść zapytań zostaje na Waszym serwerze, a my aktualizujemy model i oprogramowanie, gdy pojawi się lepsza wersja albo poprawka bezpieczeństwa.

04AI dla kancelarii i gabinetów lekarskich

Dane o zdrowiu to szczególna kategoria danych osobowych w rozumieniu art. 9 RODO, a informacje objęte tajemnicą adwokacką i radcowską wymagają ochrony także wtedy, gdy trafiają do narzędzi AI. Samorządy zawodowe nie zakazują AI w chmurze, ale wymagają realnej ochrony. Krajowa Rada Radców Prawnych w rekomendacjach z maja 2025 r. mówi o odpowiednich zabezpieczeniach umownych i technicznych. Naczelna Rada Adwokacka w czerwcu 2026 r. dodała do zasad etyki § 23e: adwokat może korzystać z AI wyłącznie pomocniczo i tak, żeby nie naruszyć tajemnicy zawodowej.

Nasza rola jest techniczna: dobieramy narzędzie, konfigurujemy je, dokumentujemy, dokąd trafiają dane, i szkolimy zespół. Ocenę prawną zostawiamy Twojemu prawnikowi albo inspektorowi ochrony danych i chętnie z nim współpracujemy.

05Sześć pytań przed wdrożeniem AI w firmie

Warto znać odpowiedzi, zanim zapyta o nie klient, audytor albo inspektor ochrony danych.

1. Z jakich narzędzi AI korzystają dziś pracownicy i z jakich kont: firmowych czy prywatnych?
2. Czy dostawca może wykorzystywać wpisywane treści do trenowania swoich modeli?
3. Gdzie przetwarzane są zapytania: w Unii Europejskiej czy poza nią, także w godzinach szczytu?
4. Czy Copilot albo inny asystent pokaże pracownikowi dokumenty, do których ma dostęp tylko przez pomyłkę?
5. Czy masz spisane zasady, co wolno wkleić do narzędzia AI, a czego nie?
6. Czy potrafisz pokazać, że zespół został przeszkolony?

Jeżeli na dwa z tych pytań nie znasz odpowiedzi, to dobry moment na rozmowę.

06Czego nie robimy

Nie sprzedajemy serwera AI, gdy wystarczy dobrze ustawiona chmura. Nie wdrażamy czatbota tylko dlatego, że wypada. Jeżeli problem rozwiąże zwykła automatyzacja, powiemy to.

Nie straszymy karami. Szkolenie ma sens, bo ludzie przestają wklejać do czatbota rzeczy, których wklejać nie powinni. I nie piszemy opinii prawnych, od tego jest prawnik.

07Kto to robi

Dwaj założyciele BITESOFT, każdy z ponad dwunastoletnim stażem. Jeden odpowiada za infrastrukturę, Microsoft 365, Intune i audyty bezpieczeństwa, drugi za aplikacje i integracje. Z AI pracujemy na co dzień przy kodzie, dokumentacji i administracji, więc znamy te narzędzia od strony użytkownika, a nie z prezentacji.

08Jak zaczynamy

• Rozmowa. Bezpłatna. Pytamy, z jakich narzędzi korzysta zespół, jakie dane przetwarzacie i co AI ma Wam ułatwić.
• Zakres i kwota na piśmie. Co robimy, w jakiej kolejności i ile to kosztuje. Przed rozpoczęciem pracy, nie na fakturze.
• Przegląd i konfiguracja. Microsoft 365, uprawnienia do plików, konta i narzędzia, z których ludzie faktycznie korzystają. Jeżeli w grę wchodzi lokalny model, najpierw robimy pilotaż na Twoich dokumentach i dopiero po nim rekomendujemy sprzęt.
• Polityka i szkolenie. Zasady spisane prostym językiem, szkolenie zespołu i dokumentacja, którą pokażesz klientowi albo audytorowi.

09Najczęstsze pytania o AI w firmie