To, że organizacja nie ma procedur ani oficjalnych zgód na korzystanie z narzędzi AI, wcale nie oznacza, że nikt z nich nie korzysta. Wprost przeciwnie – brak uregulowań zwykle oznacza, że pracownicy robią to po cichu, na własną rękę, bez nadzoru i świadomości ryzyka. Podejście w stylu „u nas nie ma zgody, więc problemu nie ma” to prosta droga do najpoważniejszych naruszeń bezpieczeństwa informacji i jakości procesów.
Modele językowe działające w chmurze – jak ChatGPT – są dziś dostępne jednym kliknięciem. Jeśli organizacja nie zarządza tym zjawiskiem, to AI zarządza organizacją.

ISO/IEC 27001
Bezpieczeństwo informacji w erze AI

ISO/IEC 27001 to podstawa bezpieczeństwa informacji. W świecie AI nabiera nowego znaczenia, zwłaszcza gdy pracownicy kuszeni są wygodą np. chata GPT.

Gdzie ryzyko? 

Dane firmowe wprowadzone do publicznego modelu językowego mogą wymknąć się spod kontroli. Przykład z życia: inżynierowie Samsunga wrzucali fragmenty kodu i notatki ze spotkań do chata GPT, co skończyło się potencjalnym wyciekiem własnościowego kodu (źródło: https://mashable.com/article/samsung-chatgpt-leak-details).  Na stronie iFirma.pl zamieszczony jest artykuł : AI transkrypcje i podsumowywanie audio (źródło: https://www.ifirma.pl/blog/ai-transkrypcje-i-podsumowywanie-audio/ ) opisujący zwiększenie efektywności pracy m.in poprzez :

• Transkrypcje i podsumowania rozmów z klientami dostarczają cennych informacji o ich potrzebach, obawach i opiniach,
• AI analizuje wywiady z kandydatami, wydobywając kluczowe kompetencje i ułatwiając ocenę dopasowania do stanowiska,
• Transkrypcje podcastów, webinarów czy wywiadów to bogaty zasób treści do wykorzystania w komunikacji marki,
• Transkrypcje i podsumowania spotkań projektowych pozwalają łatwo śledzić postępy, podejmowane decyzje i przydzielone zadania.

To spróbujmy dla wyżej wymienionych korzyści zrobić analizę ryzyka (w wersji bardzo ograniczonej):

1. Transkrypcje i podsumowania rozmów z klientami

2. Analiza wywiadów z kandydatami do pracy

3. Transkrypcje podcastów, webinarów, wywiadów

4. Transkrypcje i podsumowania spotkań projektowych

Do tych wszystkich ryzyk przeanalizujemy jeszcze jeden aspekt - spełnienie wymogów Rozporządzenia Parlamantu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024r. 

• Systemy AI wysokiego ryzyka to m.in. : Załącznik III pkt. 4 - Zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia, pkt.5 - Dostęp do podstawowych usług prywatnych oraz podstawowych usług i świadczeń publicznych, a także korzystanie z nich (m.in.  systemy AI przeznaczone do wykorzystywania do celów oceny zdolności kredytowej osób fizycznych lub 
  ustalenia ich scoringu kredytowego), 

Co to oznacza dla korzystających z AI. Jeżeli na którekolwiek z poniższych pytań odpowiedź brzmi tak, to mam system AI wysokiego ryzyka:

• Czy system podejmuje decyzje wpływające na prawa obywateli?
• Czy system służy do rekrutacji, profilowania, zarządzania personelem?
• Czy system przetwarza dane biometryczne lub wideo/audio?
• Czy system może zostać zakwalifikowany do jednego z obszarów z Załącznika III AI Act?

I tutaj zaczyna się cały obszar analizy, który wychodzi zdecydowanie poza temat, a który zapewne w najbliższym czasie spróbuję szerzej opisać.

Co robić?

ISO 27001 wymaga podejścia systemowego, więc włącz AI do istniejącego Systemu Zarządzania Bezpieczeństwem Informacji. Sporządź politykę korzystania z narzędzi AI – jasno określ, jakie dane wolno wysyłać do takich usług, a czego absolutnie nie (np. danych osobowych, tajemnic handlowych). Poinformuj załogę, że nawet prompt do ChatGPT to potencjalny transfer danych poza organizację. Wprowadź procedury autoryzacji: jeśli już musimy użyć AI do wrażliwych danych, niech to będzie decyzja świadoma, z oceną ryzyka i aprobatą przełożonych. Warto też rozważyć bezpieczniejsze alternatywy, np. ChatGPT Enterprise lub API, gdzie dostawca gwarantuje niewykorzystywanie danych do treningu modeli

Ostatecznie – edukacja, edukacja i jeszcze raz edukacja. Pracownik świadomy zagrożeń to najlepsza pierwsza linia obrony.

ISO 9001
Jakość zarządzania a algorytmy AI

ISO 9001 uczy nas, jak utrzymać jakość i powtarzalność procesów. Gdy w firmie pojawia się AI, np. do generowania raportów czy odpowiadania klientom, wyzwanie polega na tym, by nie zepsuć jakości tą nowinką. Co może pójść nie tak? Wyobraźmy sobie, że dział obsługi klienta korzysta z ChatGPT do pisania e-maili. Model pewnego dnia “halucynuje”, czyli zmyśla fakty – i klient dostaje błędną informację. Albo inny scenariusz: AI tworzy dokumentację, ale używa niesprawdzonej treści. Bez kontroli takie kwiatki trafią do procesu, psując jego jakość.

Brak przygotowania oznacza chaos w procesach. Pracownicy mogą pomijać ustalone procedury ("bo ChatGPT podpowiedział inaczej"), wersje dokumentów mogą wymykać się spod kontroli, a niespójność zacznie zagrażać ciągłości działania. Audytor ISO 9001 mógłby zapytać:

„Czy Wasze procesy są nadal pod kontrolą, czy steruje nimi AI na spontanie?“

Jeśli tu zabraknie odpowiedzi, o ISO-panika nietrudno.

Jak się zabezpieczyć? W ramach systemu jakości wprowadź reguły korzystania z AI w procesach. Traktuj AI jak nowego pracownika lub podwykonawcę – musi znać swoje miejsce w procedurze i mieć nadzór. Na przykład: jeśli używamy ChatGPT do tworzenia treści, ustalmy, że człowiek weryfikuje każdą odpowiedź przed wysłaniem do klienta. Dodaj krok akceptacji w procedurze – AI może coś zaproponować, ale ostateczna decyzja należy do doświadczonego pracownika. Uwzględnij to w zapisach jakości (np. w procedurach lub instrukcjach).

Ponadto, szkolenia to podstawa: pracownicy powinni rozumieć zarówno możliwości, jak i ograniczenia AI. ISO 9001:2015 kładzie nacisk na zarządzanie wiedzą i świadomość personelu – upewnij się, że zespół wie, kiedy zaufać AI, a kiedy zachować sceptycyzm. Pamiętaj też o zasadzie "Garbage in – garbage out"; jeśli nakarmimy model kiepskimi danymi lub pytaniami, dostaniemy kiepskie odpowiedzi. Jakość wejścia = jakość wyjścia, co jest całkiem zgodne z filozofią ciągłego doskonalenia.

ISO/IEC 42001
Zarządzanie sztuczną inteligencją

Na scenę wchodzi nowa norma: ISO/IEC 42001:2023, pierwszy na świecie standard zarządzania sztuczną inteligencją. Brzmi egzotycznie? Norma ta wyznacza wymagania dla Systemu Zarządzania AI, aby AI rozwijać odpowiedzialnie, etycznie i bezpiecznie. W praktyce ISO 42001 to zbiór wytycznych, jak okiełznać AI w organizacji: od nadzoru nad projektami AI, przez zapewnienie jakości danych do trenowania modeli, po ocenę ryzyka i zgodności z prawem.

Dlaczego warto się nią zainteresować? Po pierwsze, minimalizowanie ryzyka. Standard wymaga, by organizacja identyfikowała i oceniała ryzyka związane z AI oraz wdrażała środki kontroli. To jak połączenie najlepszych praktyk z ISO 27001 (bezpieczeństwo) i ISO 9001 (jakość), ale ukierunkowanych stricte na AI. Po drugie, zgodność z przepisami – AI coraz częściej trafia pod lupę regulatorów (np. AI Act). ISO 42001 pomaga przygotować się na wymagania prawne, choćby w zakresie ochrony danych osobowych i etycznego użycia algorytmów. 

Oczywiście, mało kto dziś ma ISO 42001. Nie trzeba od razu gnać po certyfikat, ale warto przejrzeć wymagania normy i zintegrować je z istniejącymi systemami. Dobra wiadomość: ISO 42001 jest zbudowana w oparciu o High Level Structure, podobnie jak 27001 czy 9001. To oznacza, że łatwo wpasować zarządzanie AI w już znane ramy (polityki, przeglądy zarządzania, ciągłe doskonalenie itp.). Innymi słowy, nie zaczynasz od zera – możesz nadbudować AI na swoim obecnym systemie zarządzania.

Praktyczne wskazówki, żeby nie panikować

Skoro wiemy, co nam grozi i jakie standardy podpowiadają rozwiązania, czas na konkretne działania. Oto krótka checklista anty-ISO-paniki dla decydentów wdrażających AI w organizacji:

• Polityka korzystania z AI: Stwórz jasną politykę czy regulamin, co wolno, a czego nie wolno robić z firmowymi danymi w narzędziach AI. Upewnij się, że każdy wie, iż dane wrzucone do publicznego modelu trafiają poza firmę – to często działa na wyobraźnię. 
• Świadomość i szkolenia: Przeprowadź szkolenia dla pracowników z naciskiem na bezpieczeństwo informacji i jakość. Uświadom zagrożenia (np. możliwość wycieku danych bez wiedzy firmy) oraz pokaż, jak mądrze korzystać z AI. 
• Ocena ryzyka AI: Włącz ryzyka związane z AI do swojej analizy ryzyk. 
• Procedury i nadzór: Dostosuj istniejące procedury ISO 9001/27001 tak, by uwzględniały AI. Jeśli masz procedurę obiegu dokumentów – dodaj zapis, co zrobić, gdy dokument jest tworzony z pomocą AI (np. dodatkowa weryfikacja). Jeżeli macie politykę bezpieczeństwa – dodaj sekcję o korzystaniu z usług chmurowych AI. Ustal też, kto nadzoruje zgodność użycia AI z tymi zasadami (np. IOD/Inspektor Ochrony Danych, dział IT lub nowo powołany Officer ds. AI).
• Technologie kontrolne: Jeśli AI ma być dużą częścią waszego biznesu, rozważ wdrożenie własnych modeli na danych lokalnych lub korzystanie z rozwiązań SaaS z gwarancją ochrony danych.

Na koniec, zachowaj zdrowy rozsądek. Sztuczna inteligencja oferuje ogromne możliwości – zwiększenie efektywności, automatyzację działań powtarzalnych. Normy ISO nie są po to, by studzić entuzjazm, lecz by nadawać ramy i zapewnić spokój ducha. Zamiast panikować, że "ISO tego nie przeżyje", lepiej zadać pytanie: "Co musimy zmienić w naszych politykach i procesach, by AI nam nie zaszkodziła?". Gdy wdrożymy powyższe kroki, audytorzy nie będą tacy straszni, a nasza organizacja uniknie zarówno spektakularnych wpadek, jak i ISO-paniki. Bo w dobrze zarządzanej firmie AI to nie chaos, a kolejne narzędzie – używane z głową i zgodnie ze standardami.

i jeszcze jedno - czytajmy za co i w jaki sposób odpowiadają dostawcy systemów AI.