Shadow AI w HR: czego nie wolno wpisywać do ChatGPT i innych narzędzi AI?

Shadow AI to jedno z najważniejszych, a jednocześnie najmniej widocznych ryzyk w organizacjach. Oznacza sytuację, w której pracownicy korzystają z narzędzi sztucznej inteligencji bez wiedzy, zgody albo kontroli firmy. W HR problem jest szczególnie istotny, bo codzienna praca opiera się na danych osobowych kandydatów i pracowników.

Rekruter, specjalista kadr, HR business partner albo menedżer może użyć narzędzia AI, żeby przyspieszyć pracę: streścić CV, przygotować odpowiedź do kandydata, przeanalizować dane z ankiety, porównać opisy stanowisk albo napisać komunikat do pracowników. Samo korzystanie z AI nie musi być błędem. Błędem jest wklejanie do publicznych narzędzi danych, których organizacja nie powinna przekazywać poza kontrolowane środowisko.

Czym jest shadow AI?

Shadow AI to nieautoryzowane lub nieuregulowane korzystanie z narzędzi AI w pracy. Może dotyczyć darmowych czatów, wtyczek do przeglądarki, generatorów dokumentów, narzędzi do analizy PDF, systemów transkrypcji, aplikacji do streszczania spotkań albo rozszerzeń działających w tle.

Największy problem polega na tym, że organizacja często nie wie, jakie dane są tam wpisywane, gdzie są przetwarzane, jak długo są przechowywane, czy służą do trenowania modelu i kto może mieć do nich dostęp po stronie dostawcy.

Dlaczego shadow AI jest szczególnie ryzykowne w HR?

HR pracuje z informacjami, które pozwalają zidentyfikować konkretne osoby i opisać ich sytuację zawodową, finansową lub osobistą. CV zawiera dane kontaktowe, historię zatrudnienia, wykształcenie, często zdjęcie i dodatkowe informacje. Dokumenty kadrowe mogą zawierać PESEL, adres, numer rachunku bankowego, informacje o wynagrodzeniu, nieobecnościach, benefitach czy relacjach służbowych.

Wklejenie takich danych do niezatwierdzonego narzędzia AI może oznaczać niezamierzone ujawnienie informacji poza organizację. Z perspektywy bezpieczeństwa nie ma znaczenia, czy pracownik zrobił to w dobrej wierze i z chęci przyspieszenia pracy. Liczy się fakt, że dane opuściły kontrolowany proces.

Czego nie wolno wpisywać do publicznych narzędzi AI?

• Pełnych CV kandydatów zawierających imię, nazwisko, dane kontaktowe, historię zatrudnienia i inne informacje identyfikujące.
• Dokumentów kadrowych, umów, świadectw pracy, zaświadczeń, skanów dokumentów i korespondencji pracowniczej.
• Danych płacowych, tabel wynagrodzeń, premii, numerów kont bankowych i informacji o benefitach przypisanych do osób.
• Informacji o zwolnieniach, konfliktach, skargach, absencjach, ocenach okresowych lub działaniach dyscyplinarnych.
• Danych klientów, projektów rekrutacyjnych, stawek, ofert handlowych i poufnych ustaleń biznesowych.
• Fragmentów wewnętrznych procedur, które pokazują luki w zabezpieczeniach lub sposób działania organizacji.

Czy można wkleić CV do ChatGPT?

Bezpieczna odpowiedź brzmi: nie w pełnej, możliwej do identyfikacji formie i nie bez zasad przyjętych przez organizację. CV zawiera dane osobowe, a często także informacje, których kandydat nie spodziewa się zobaczyć poza procesem rekrutacyjnym. Jeżeli HR chce użyć AI do analizy profilu, powinien najpierw usunąć dane identyfikujące i pracować na zanonimizowanym opisie kompetencji.

Zamiast wklejać pełne CV, można przygotować bezpieczniejszy prompt: „Przeanalizuj poniższy anonimowy opis doświadczenia kandydata pod kątem dopasowania do roli project managera w branży produkcyjnej. Nie oceniaj cech osobistych, wieku, płci ani pochodzenia. Skup się na kompetencjach, narzędziach i typach projektów”. Następnie należy wkleić opis pozbawiony imienia, nazwiska, adresu e-mail, telefonu, nazw obecnych pracodawców, numerów dokumentów i innych danych identyfikujących.

Jak anonimizować dane przed użyciem AI?

1. Usuń imię, nazwisko, dane kontaktowe, numer telefonu, e-mail, adres i zdjęcie.
2. Usuń PESEL, numery dokumentów, numery kont, identyfikatory pracownicze i inne unikalne oznaczenia.
3. Zamień nazwy firm na neutralne opisy, np. „międzynarodowa firma produkcyjna” lub „spółka z sektora usług finansowych”.
4. Usuń informacje o konkretnych datach, jeśli pozwalają łatwo rozpoznać osobę.
5. Nie wpisuj danych wrażliwych ani informacji o zdrowiu, absencjach, sytuacji rodzinnej czy sporach pracowniczych.
6. Sprawdź, czy po anonimizacji nadal nie da się łatwo ustalić, o kogo chodzi na podstawie kontekstu.

Polityka korzystania z AI w HR

Organizacja nie powinna zostawiać decyzji o używaniu AI wyłącznie indywidualnym pracownikom. Potrzebna jest prosta, praktyczna polityka, która odpowiada na pytania: z jakich narzędzi można korzystać, czego nie wolno wpisywać, jak anonimizować dane, kto zatwierdza nowe narzędzia i gdzie zgłaszać wątpliwości.

Dobra polityka AI nie powinna być dokumentem zakazów oderwanym od codziennej pracy. Jej celem jest umożliwienie bezpiecznego korzystania z technologii. Pracownicy będą używać AI, jeśli widzą w niej realną korzyść. Rolą organizacji jest stworzenie warunków, w których mogą robić to odpowiedzialnie.

Checklist: zanim wpiszesz dane do AI

• Czy narzędzie jest zatwierdzone przez firmę?
• Czy wiem, gdzie dane będą przetwarzane i jak długo przechowywane?
• Czy dane zostały zanonimizowane?
• Czy nie wpisuję danych osobowych, płacowych, poufnych lub biznesowo wrażliwych?
• Czy wynik AI będzie zweryfikowany przez człowieka?
• Czy wykorzystanie AI jest zgodne z celem, dla którego dane zostały zebrane?
• Czy wiem, komu zgłosić wątpliwość lub incydent?

AI w HR wymaga zasad, nie chaosu

Największym ryzykiem nie jest sama sztuczna inteligencja. Największym ryzykiem jest używanie jej bez polityki, anonimizacji, świadomości i kontroli. HR może korzystać z AI, ale powinien robić to w sposób zgodny z bezpieczeństwem danych, zasadami ochrony prywatności i odpowiedzialnością wobec kandydatów oraz pracowników.

FAQ – najczęściej zadawane pytania

Co to jest shadow AI?

To korzystanie z narzędzi sztucznej inteligencji bez wiedzy, zgody lub kontroli organizacji.

Czy można wkleić CV kandydata do ChatGPT?

Nie należy wklejać pełnego CV zawierającego dane osobowe do publicznych narzędzi AI. Bezpieczniejszym rozwiązaniem jest anonimizacja i korzystanie wyłącznie z narzędzi zatwierdzonych przez organizację.

Czy dane płacowe można analizować w AI?

Tylko wtedy, gdy są odpowiednio zanonimizowane, narzędzie jest zatwierdzone, a organizacja zna zasady przetwarzania i retencji danych.

Co powinna zawierać polityka AI w firmie?

Listę dozwolonych narzędzi, zakazane typy danych, zasady anonimizacji, role odpowiedzialne za zatwierdzanie narzędzi, sposób dokumentowania użycia AI i procedurę zgłaszania incydentów.

Czy zablokowanie AI w firmie rozwiązuje problem?

Nie zawsze. Blokada może ograniczyć ryzyko techniczne, ale bez edukacji i alternatywnych bezpiecznych narzędzi pracownicy mogą szukać obejść.