Bezpieczne wdrożenie AI w firmie

01AI już jest w Twojej firmie

Nawet jeśli nikt go nie wdrażał. Ktoś streszcza w ChatGPT umowę, ktoś inny prosi czatbota o poprawienie maila do klienta, a księgowość wkleja zestawienie, żeby szybciej znaleźć błąd. Często z prywatnego, darmowego konta, o którym firma nic nie wie.

Problem nie polega na tym, że ludzie używają AI. Robią to, bo to działa. Problem w tym, że nikt nie ustalił, jakie dane mogą trafić do jakiego narzędzia, na jakich warunkach dostawca je przetwarza i gdzie. Tego nie widać do dnia, w którym zapyta o to klient.

02Jak bezpiecznie wdrożyć AI w firmie – 6 kroków

Kolejność ma znaczenie: najpierw porządek w danych i kontach, dopiero potem nowe narzędzia. Tak prowadzimy każde wdrożenie i tak możesz zacząć samodzielnie.

1. Sprawdź, czego zespół już używa. Spisz narzędzia AI i konta, z których korzystają ludzie: firmowe czy prywatne. Logi logowania Microsoft 365 i ruch w sieci zwykle pokazują więcej niż ankieta.
2. Podziel dane na klasy. Publiczne, wewnętrzne, poufne dane klientów, dane osobowe i dane szczególnie chronione. Dla każdej klasy ustal, do jakiego narzędzia może trafić.
3. Wybierz narzędzia z umową. Wersje firmowe z umową powierzenia i bez trenowania modeli na Twoich danych. Sprawdź, gdzie dostawca przetwarza zapytania.
4. Spisz politykę AI. Krótko i konkretnie: dozwolone narzędzia, czego nie wklejać, kto odpowiada za wynik i co zrobić, gdy coś trafi tam, gdzie nie powinno.
5. Ustaw to technicznie. Konta firmowe zamiast prywatnych, logowanie przez Microsoft 365, uporządkowane uprawnienia do plików przed włączeniem Copilota, blokada niezatwierdzonych narzędzi tam, gdzie się da.
6. Przeszkol zespół i zostaw ślad. Szkolenie dopasowane do stanowisk, lista obecności i materiały. To najprostszy dowód działań, których wymaga art. 4 AI Act.

W kancelariach, gabinetach i biurach rachunkowych przed krokiem trzecim dochodzi pytanie, czy wystarczy chmura w UE, czy potrzebny jest model uruchomiony na serwerze w firmie. Piszemy o tym w sekcji 04.

03Polityka AI, szkolenie zespołu i Copilot

• Polityka AI, która działa także technicznie. Spisujemy, z jakich narzędzi korzysta zespół i jakie dane mogą do nich trafiać. Tam, gdzie się da, zasady wymuszamy konfiguracją: konta firmowe zamiast prywatnych, logowanie przez Microsoft 365, blokada narzędzi, których nie zatwierdziliście. Nie kończy się na dokumencie do podpisu.
• Szkolenie zespołu z AI. Praktyczne, na przykładach z Waszej pracy: co można wkleić, czego nie, jak sprawdzać odpowiedzi, które brzmią pewnie, a są błędne. Zostawiamy listę obecności i materiały, bo art. 4 AI Act wymaga od firm działań rozwijających kompetencje w zakresie AI, a dokumentacja szkolenia jest najprostszym dowodem, że je podjęliście.
• Microsoft 365 Copilot bez niespodzianek. Copilot widzi wszystko, do czego pracownik ma dostęp, także folder, który ktoś kiedyś udostępnił całej firmie przez pomyłkę. Przed włączeniem porządkujemy uprawnienia w SharePoint i OneDrive, ustawiamy etykiety poufności i sprawdzamy, gdzie Microsoft przetwarza zapytania.
• Dane, które nie mogą wyjść z firmy. Najpierw sprawdzamy, czy wystarczy chmura w UE z właściwą umową i konfiguracją. Jeżeli nie, uruchamiamy model językowy na serwerze w Twojej siedzibie, bez wysyłania treści na zewnątrz.

04AI dla kancelarii i gabinetów lekarskich

Dane o zdrowiu to szczególna kategoria danych osobowych w rozumieniu art. 9 RODO, a informacje objęte tajemnicą adwokacką i radcowską wymagają ochrony także wtedy, gdy trafiają do narzędzi AI. Samorządy zawodowe nie zakazują AI w chmurze, ale wymagają realnej ochrony. Krajowa Rada Radców Prawnych w rekomendacjach z maja 2025 r. mówi o odpowiednich zabezpieczeniach umownych i technicznych. Naczelna Rada Adwokacka w czerwcu 2026 r. dopisała do zasad etyki zakaz wprowadzania informacji objętych tajemnicą do narzędzi, które nie zapewniają ich właściwej ochrony.

Nasza rola jest techniczna: dobieramy narzędzie, konfigurujemy je, dokumentujemy, dokąd trafiają dane, i szkolimy zespół. Ocenę prawną zostawiamy Twojemu prawnikowi albo inspektorowi ochrony danych i chętnie z nim współpracujemy.

05Sześć pytań przed wdrożeniem AI w firmie

Warto znać odpowiedzi, zanim zapyta o nie klient, audytor albo inspektor ochrony danych.

1. Z jakich narzędzi AI korzystają dziś pracownicy i z jakich kont: firmowych czy prywatnych?
2. Czy dostawca może wykorzystywać wpisywane treści do trenowania swoich modeli?
3. Gdzie przetwarzane są zapytania: w Unii Europejskiej czy poza nią, także w godzinach szczytu?
4. Czy Copilot albo inny asystent pokaże pracownikowi dokumenty, do których ma dostęp tylko przez pomyłkę?
5. Czy masz spisane zasady, co wolno wkleić do narzędzia AI, a czego nie?
6. Czy potrafisz pokazać, że zespół został przeszkolony?

Jeżeli na dwa z tych pytań nie znasz odpowiedzi, to dobry moment na rozmowę.

06Czego nie robimy

Nie sprzedajemy serwera AI, gdy wystarczy dobrze ustawiona chmura. Nie wdrażamy czatbota tylko dlatego, że wypada. Jeżeli problem rozwiąże zwykła automatyzacja, powiemy to.

Nie straszymy karami. Szkolenie ma sens, bo ludzie przestają wklejać do czatbota rzeczy, których wklejać nie powinni. I nie piszemy opinii prawnych, od tego jest prawnik.

07Kto to robi

Dwaj założyciele BITESOFT, każdy z ponad dwunastoletnim stażem. Jeden odpowiada za infrastrukturę, Microsoft 365, Intune i audyty bezpieczeństwa, drugi za aplikacje i integracje. Z AI pracujemy na co dzień przy kodzie, dokumentacji i administracji, więc znamy te narzędzia od strony użytkownika, a nie z prezentacji.

08Jak zaczynamy

• Rozmowa. Bezpłatna. Pytamy, z jakich narzędzi korzysta zespół, jakie dane przetwarzacie i co AI ma Wam ułatwić.
• Zakres i kwota na piśmie. Co robimy, w jakiej kolejności i ile to kosztuje. Przed rozpoczęciem pracy, nie na fakturze.
• Przegląd i konfiguracja. Microsoft 365, uprawnienia do plików, konta i narzędzia, z których ludzie faktycznie korzystają.
• Polityka i szkolenie. Zasady spisane prostym językiem, szkolenie zespołu i dokumentacja, którą pokażesz klientowi albo audytorowi.

09Najczęstsze pytania o AI w firmie