Bezpieczne AI w firmie B2B: jak chronić dane klientów

Bezpieczne AI w firmie B2B zaczyna się od jednego pytania: dokąd trafiają dane, które Twój zespół wkleja do czatu? Oferta dla kluczowego klienta, fragment umowy, lista kontaktów albo projekt kampanii to informacje, za które odpowiadasz przed kontrahentem, przed RODO i przed własną reputacją. W tym poradniku pokazujemy, jak korzystać ze sztucznej inteligencji tak, żeby przyspieszała pracę, a nie tworzyła nowych ryzyk.

Krótka odpowiedź: korzystanie z AI w firmie jest bezpieczne, gdy masz spisaną politykę AI, umowę powierzenia z dostawcą, przeszkolony zespół i zasadę, że człowiek zatwierdza każdy wynik. Dane objęte tajemnicą zawodową lub handlową przetwarzaj w modelu działającym na własnej infrastrukturze, np. w polskim Bieliku.

Dlaczego bezpieczeństwo AI w firmie to dziś temat dla zarządu

Jeszcze dwa lata temu AI było ciekawostką. Dziś pracownicy piszą z nim maile, streszczają dokumenty i przygotowują oferty, często bez wiedzy przełożonych. To dobrze, bo rośnie produktywność. Ryzyko pojawia się wtedy, gdy nikt nie ustalił zasad.

Pracownicy już korzystają z AI, pytanie tylko jak

Zjawisko nazywa się „shadow AI”: zespół używa prywatnych kont w darmowych narzędziach, bo tak jest szybciej. Firma nie wie, jakie dane wyszły na zewnątrz, na jakich warunkach są przechowywane i czy nie posłużą do trenowania modelu. Zakaz rzadko pomaga, bo ludzie i tak znajdą sposób. Skuteczniejsze jest danie zespołowi bezpiecznego narzędzia i jasnych reguł.

Przepisy: RODO i AI Act

Jeśli do narzędzia AI trafiają dane osobowe, obowiązuje Cię RODO: dostawca staje się podmiotem przetwarzającym, a Ty odpowiadasz za odpowiednie zabezpieczenia (art. 32). Do tego dochodzi unijny AI Act, czyli rozporządzenie 2024/1689. Od 2 lutego 2025 r. jego art. 4 wymaga, by firmy korzystające z systemów AI dbały o kompetencje w zakresie AI swoich pracowników. Ten obowiązek dotyczy firm każdej wielkości, nie tylko korporacji.

Zaufanie klientów B2B

Coraz więcej firm pyta dostawców, jak korzystają z AI. Pytania o narzędzia, przechowywanie danych i procedury pojawiają się w ankietach bezpieczeństwa i przy podpisywaniu umów. Agencja, kancelaria czy software house, które mają na to gotową odpowiedź, wygrywają przetargi z tymi, które dopiero zaczynają się nad tym zastanawiać.

Jakie dane są najbardziej narażone

Nie wszystko, co trafia do czatu, jest tak samo ryzykowne. Szczególnej ostrożności wymagają:

• dane osobowe klientów i pracowników: imiona, adresy, numery telefonów, dane z CV,
• informacje objęte tajemnicą zawodową, np. adwokacką, radcowską czy lekarską,
• tajemnice handlowe: cenniki, marże, warunki umów, strategie i plany produktów,
• dane uwierzytelniające: hasła, klucze API i dostępy do systemów,
• materiały niepublikowane: kampanie przed premierą, wyniki finansowe, informacje o fuzjach.

7 zasad bezpiecznego korzystania z AI w B2B

Te zasady stosujemy w każdym wdrożeniu. Podzieliliśmy je na trzy obszary: dane i dostawców, ludzi i procesy oraz technologię.

Dane i dostawcy

1. Sprawdź, gdzie trafiają dane

Wybieraj plany firmowe, w których dane nie służą do trenowania modelu. Przeczytaj warunki usługi i sprawdź, jak długo przechowywane są rozmowy, w jakim kraju stoją serwery i czy możesz usunąć historię. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, upewnij się, że transfer ma podstawę prawną. Darmowe konta prywatne zostaw do zadań, w których nie ma danych klientów.

2. Podpisz umowę powierzenia

Jeśli narzędzie przetwarza dane osobowe, potrzebujesz umowy powierzenia zgodnej z art. 28 RODO. Większość dostawców planów firmowych udostępnia gotowy dokument (DPA). Dopisz dostawcę AI do rejestru czynności przetwarzania i sprawdź, czy umowy z Twoimi klientami pozwalają na korzystanie z podwykonawców.

Ludzie i procesy

3. Spisz politykę AI

Jedna strona wystarczy. Wpisz w nią, jakie narzędzia są dozwolone, czego nie wolno do nich wklejać (dane osobowe, hasła, treść umów) i kto odpowiada za nowe wdrożenia. Taki dokument przyda się też wtedy, gdy klient zapyta, jak chronisz jego informacje.

4. Przeszkol zespół

Pokaż na przykładach, jak anonimizować dane („klient z branży budowlanej” zamiast nazwy firmy), jak pisać bezpieczne polecenia i jak rozpoznać zmyśloną odpowiedź modelu. Omów też manipulację poleceniami (prompt injection): ukryte instrukcje w dokumencie lub na stronie mogą zmienić zachowanie asystenta. Krótkie szkolenie raz na kwartał daje więcej niż jeden zakaz w regulaminie i pozwala spełnić wymóg art. 4 AI Act.

5. Człowiek zatwierdza wynik

Tekst, analiza czy odpowiedź dla klienta przygotowana przez AI zawsze przechodzi przez weryfikację eksperta. Modele potrafią podać nieistniejący przepis albo pomylić liczby, a pisać przy tym bardzo pewnie. Odpowiedzialność za treść wysłaną klientowi zawsze ponosi firma, nie narzędzie.

Technologia

6. Dane wrażliwe przetwarzaj w modelu lokalnym

Gdy w grę wchodzi tajemnica zawodowa lub handlowa, najbezpieczniej uruchomić model na własnym serwerze. Polski, otwarty model Bielik może działać w Twojej infrastrukturze, więc dane nie opuszczają firmy. Takie rozwiązanie wdrażamy m.in. kancelariom w ramach usługi narzędzia AI dla firm.

7. Kontroluj dostęp i zapisuj historię

Konta firmowe zamiast prywatnych, logowanie przez firmowe konto (SSO), uprawnienia według ról i dziennik zapytań pozwalają sprawdzić, kto, kiedy i co przetwarzał. Gdy pracownik odchodzi z firmy, jego dostęp znika razem z kontem.

Chmura czy model lokalny? Jak wybrać

Nie każde zadanie wymaga własnego serwera. W praktyce najlepiej sprawdza się model mieszany:

• Narzędzie chmurowe w planie firmowym wybierz do treści marketingowych, tłumaczeń, burzy mózgów i pracy na dokumentach publicznych. Zalety: najwyższa jakość, szybki start i brak kosztów sprzętu.
• Model lokalny wybierz do akt, umów, danych medycznych i finansowych oraz wszystkiego, co objęte tajemnicą. Zalety: pełna kontrola nad danymi i brak transferu na zewnątrz.

Granicę wyznacza polityka AI: zespół wie, które zadanie trafia do którego narzędzia.

Najczęstsze błędy przy wdrażaniu AI w firmie

Pracując z firmami usługowymi, widzimy wciąż te same potknięcia. Większość z nich łatwo naprawić, jeśli wychwyci się je na czas:

• Całkowity zakaz zamiast zasad. Zespół i tak korzysta z AI, tylko po cichu i na prywatnych kontach. Ryzyko rośnie, a firma traci nad nim kontrolę.
• Jedno konto dla całego działu. Wspólny login oznacza, że nie wiadomo, kto co wprowadził. Nie da się też odebrać dostępu jednej osobie.
• Wklejanie całych dokumentów. Do streszczenia umowy rzadko potrzebne są dane stron. Wystarczy wersja zanonimizowana albo opis problemu.
• Brak weryfikacji wyników. Tekst wygenerowany przez AI trafia do klienta bez sprawdzenia, razem z błędnymi danymi albo nieaktualnym przepisem.
• Wdrożenie „na zawsze”. Narzędzia i ich regulaminy zmieniają się co kilka miesięcy, więc politykę AI warto przeglądać raz na kwartał.

Od czego zacząć: plan na 30 dni

1. Tydzień 1: zapytaj zespół, z jakich narzędzi AI korzysta i do czego. Bez oceniania, chodzi o pełny obraz.
2. Tydzień 2: wybierz narzędzie firmowe, podpisz umowę powierzenia i spisz politykę AI na jednej stronie.
3. Tydzień 3: przeprowadź szkolenie z bezpiecznego korzystania z AI i udostępnij zespołowi gotowe polecenia do najczęstszych zadań.
4. Tydzień 4: zdecyduj, czy potrzebujesz modelu lokalnego dla danych wrażliwych, i zaplanuj przegląd zasad co kwartał.

Jak robimy to w SPACE PR

Od trzech lat pracujemy na własnych narzędziach AI i stosujemy wszystkie opisane zasady u siebie. Asystent AI na naszej stronie odpowiada na pytania o ofertę, ale nie prosi o dane wrażliwe. Kancelariom wdrażamy Bielika lokalnie, bo tajemnica adwokacka i radcowska wyklucza wysyłanie akt do zewnętrznych usług. Zespołom prowadzimy też szkolenia z praktycznego wykorzystania AI.

Więcej o ochronie firmy w sieci przeczytasz w poradniku Jak być bezpiecznym w internecie, a o AI w komunikacji z klientem we wpisie Chatboty w PR.

Najczęstsze pytania