Shadow AI, ISO 42001 i AI Act – właściwe podejście do ładu AI

Spis treści

    Shadow AI to sytuacja, w której pracownicy korzystają z generatywnych narzędzi AI oraz różnych „funkcji AI” bez formalnej zgody i nadzoru organizacji. Zjawisko to stało się ryzykiem na poziomie strategicznym, a nie jedynie uciążliwością dla działu IT. Z badania Gartnera przeprowadzonego w 2025 roku wśród liderów cyberbezpieczeństwa wynika, że 69% organizacji podejrzewa lub posiada dowody na to, iż pracownicy korzystają z niedozwolonych, publicznie dostępnych narzędzi GenAI. Gartner prognozuje ponadto, że do 2030 roku ponad 40% przedsiębiorstw doświadczy incydentów związanych z bezpieczeństwem lub zgodnością, powiązanych z nieautoryzowanym wykorzystaniem Shadow AI.

    To, co czyni Shadow AI szczególnie niebezpiecznym – w porównaniu z klasycznym shadow IT – to połączenie przetwarzania danych z automatycznym wnioskowaniem i generowaniem treści. Wrażliwe dane wejściowe mogą zostać ujawnione (dane osobowe, tajemnice handlowe, informacje objęte regulacjami), wynikom działania modeli można zaufać zbyt szybko („zaufanie do maszyny”), a wykorzystanie systemów agentowych lub półautonomicznych może na dużą skalę wzmacniać błędy lub ułatwiać nadużycia.

    W tym kontekście norma ISO/IEC 42001 – pierwszy międzynarodowy standard systemu zarządzania poświęcony sztucznej inteligencji – staje się praktycznym sposobem wdrażania ładu AI: budowy Systemu Zarządzania Sztuczną Inteligencją (AIMS), zapewnienia przejrzystości wykorzystania AI, przypisania odpowiedzialności, zarządzania ryzykiem w całym cyklu życia rozwiązań AI oraz ciągłego doskonalenia mechanizmów kontrolnych.

    1. Dlaczego Shadow AI stało się ryzykiem na poziomie zarządu

    Shadow AI rozprzestrzenia się z tych samych powodów, dla których wcześniej rozwijało się shadow IT: jest szybkie, wygodne i często postrzegane jako „tańsze” niż oczekiwanie na formalne procedury zakupowe, przegląd bezpieczeństwa czy zatwierdzenie architektury. Dynamiczny rozwój generatywnej sztucznej inteligencji dodatkowo przyspieszył ten proces. Wczesne wdrożenia często odbywały się poza kontrolą działów IT, pozostawiając CIO i CISO w sytuacji, w której muszą odzyskać widoczność i kontrolę nad narzędziami już zakorzenionymi w codziennych operacjach organizacji.

    Ryzyko biznesowe jest znacznie szersze niż same „wycieki danych”. W praktyce Shadow AI może generować wiele równoczesnych obciążeń i zagrożeń:

    • Utrata poufności i własności intelektualnej w sytuacji, gdy pracownicy wklejają do narzędzi pozostających poza kontrolą organizacji dane regulowane lub informacje stanowiące tajemnicę przedsiębiorstwa.
    • Ekspozycja na ryzyko bezpieczeństwa (w tym nowe „powierzchnie ataku”), gdy narzędzia AI wchodzą w interakcje z tożsamościami użytkowników, interfejsami API oraz infrastrukturą wewnętrzną w sposób, którego nie obejmują istniejące mechanizmy kontrolne.
    • Ryzyko decyzyjne w sytuacji, gdy wyniki działania AI wpływają na decyzje wobec klientów, w obszarze prawnym, HR lub finansowym bez odpowiedniego nadzoru człowieka, testów oraz możliwości odtworzenia, jak powstała rekomendacja lub decyzja.

    Kluczowym wyzwaniem dla kadry zarządzającej jest to, że „zakaz korzystania z AI” w praktyce rzadko przynosi oczekiwany efekt; zazwyczaj prowadzi jedynie do dalszego ukrywania jej wykorzystania. Coraz częściej rekomendowanym podejściem jest kontrolowane dopuszczenie korzystania z AI: zatwierdzone narzędzia, jasne polityki, audyty, monitorowanie oraz edukacja użytkowników – tak, aby pracownicy mogli wprowadzać innowacje w ramach ustalonych zasad, a nie poza nimi.

    Shadow AI Risk Management Cycle

    2. Co wnosi ISO/IEC 42001, czego brakuje większości inicjatyw AI

    ISO/IEC 42001 to międzynarodowy standard określający wymagania dotyczące ustanowienia, wdrożenia i utrzymania oraz ciągłego doskonalenia Systemu Zarządzania Sztuczną Inteligencją (AIMS) w organizacji – niezależnie od tego, czy tworzy ona rozwiązania AI, wdraża je, czy realizuje oba te działania jednocześnie.
    Dla kadry zarządzającej oraz osób odpowiedzialnych za zakupy technologii kluczowe są dwa praktyczne aspekty:

    • Po pierwsze, ISO/IEC 42001 opiera się na podejściu systemu zarządzania – porównywalnym pod względem struktury i założeń do innych norm ISO – dlatego została zaprojektowana tak, aby działać spójnie z istniejącymi ramami ładu organizacyjnego, takimi jak ISO/IEC 27001 (bezpieczeństwo informacji) czy ISO/IEC 27701 (ochrona prywatności).
    • Po drugie, standard nie jest jedynie „papierową polityką”. Wytyczne praktyków podkreślają, że certyfikacja wymaga spełnienia uporządkowanego zestawu mechanizmów kontrolnych i celów (często podsumowywanych jako 38 kontroli w ramach 9 obszarów kontroli), obejmujących m.in. ocenę ryzyka i wpływu, zarządzanie cyklem życia AI oraz ład danych.
    ISO 42001

    W kontekście Shadow AI norma ISO/IEC 42001 przesuwa organizację z etapu „reagowania na wykorzystanie AI” do zarządzania AI jako kontrolowaną zdolnością organizacyjną: określania zakresu zastosowań, przypisywania odpowiedzialności, zarządzania ryzykiem, monitorowania efektywności oraz ciągłego doskonalenia mechanizmów kontrolnych – tak, aby nieznane wykorzystanie AI było wykrywalnym odstępstwem od ładu, a nie niewidoczną normą.

    3. Jak ISO 42001 przekształca Shadow AI w kontrolowane wykorzystanie AI

    Shadow AI rozwija się tam, gdzie w organizacji brakuje czterech podstawowych elementów: widoczności, dyscypliny zarządzania ryzykiem, kontroli cyklu życia oraz nadzoru. Wartość ISO/IEC 42001 polega na tym, że przekształca te obszary w powtarzalne procesy operacyjne, a nie doraźne działania interwencyjne.

    Widoczność staje się mierzalnym rezultatem. W praktyce ład AI zaczyna się od jasnej inwentaryzacji miejsc, w których wykorzystywana jest sztuczna inteligencja, danych, które są przetwarzane, oraz decyzji, na które wpływa. Wytyczne TTMS dotyczące certyfikacji i ładu organizacyjnego ujmują to właśnie w ten sposób – najpierw inwentaryzacja, następnie mechanizmy kontrolne, a na końcu zapewnienie audytowalności.

    Widocznym trendem wśród wczesnych organizacji, które wdrożyły normę ISO/IEC 42001 jest tworzenie formalnych rejestrów zasobów i modeli AI. Przykładowo CM.com informuje o ustanowieniu „AI Artifact Resource Registry”, czyli rejestru dokumentującego wykorzystywane modele AI w ramach programu ISO 42001. Pokazuje to operacyjne oczekiwanie, że wykorzystanie AI ma być ewidencjonowane i zarządzane, a nie pozostawione domysłom.

    Zarządzanie ryzykiem przestaje być opcjonalne. Rekomendacje Gartnera dotyczące ograniczania Shadow AI obejmują m.in. polityki korzystania z AI w całej organizacji, regularne audyty aktywności związanej z Shadow AI oraz uwzględnianie oceny ryzyka GenAI w analizach dostawców SaaS. Działania te są spójne z logiką systemu zarządzania ISO/IEC 42001 (polityka -> wdrożenie -> audyt -> doskonalenie).

    Kontrola cyklu życia zastępuje „rozproszenie narzędzi”. W interpretacjach ISO/IEC 42001 konsekwentnie podkreśla się znaczenie dyscypliny w całym cyklu życia AI – od projektowania i wytwarzania, przez walidację i wdrożenie, aż po monitorowanie i wycofanie z użycia. Dzięki temu komponenty AI podlegają takiej samej kontroli jak inne systemy krytyczne, z zapewnieniem dowodów działań i jednoznacznej odpowiedzialności za zmiany.

    Nadzór człowieka staje się elementem modelu operacyjnego. Jednym z najbardziej niebezpiecznych wzorców Shadow AI jest „cicha delegacja”, w której pracownicy polegają na wynikach AI bez jasno określonych progów weryfikacji czy ścieżek eskalacji. Nowoczesne ramy ładu AI podkreślają, że odpowiedzialne wykorzystanie sztucznej inteligencji wymaga jasno zdefiniowanych ról, kompetencji, szkoleń oraz zakresów odpowiedzialności – tak, aby nadzór był realny, a nie wyłącznie deklaratywny.

    Praktyczny wniosek dla kadry zarządzającej jest prosty: jeżeli organizacja nie potrafi jednoznacznie odpowiedzieć na pytania „gdzie wykorzystywana jest AI, przez kogo, na jakich danych i w ramach jakich mechanizmów kontrolnych”, to w praktyce funkcjonuje już w obszarze Shadow AI – a ISO/IEC 42001 jest jednym z najbardziej przejrzystych operacyjnych narzędzi, które pozwalają ten stan uporządkować.

    4. Presja AI Act: Shadow AI jako problem zgodności i odpowiedzialności

    AI Act wdrażany jest etapami. AI Act Service Desk przedstawia harmonogram stopniowego wejścia w życie przepisów, zakładający „pełne wdrożenie do 2 sierpnia 2027 roku”, w tym: obowiązek zapewnienia kompetencji w zakresie AI od 2 lutego 2025 roku; obowiązki w obszarze ładu oraz ogólnego przeznaczenia modeli AI (GPAI) od 2 sierpnia 2025 roku; a także obowiązki dotyczące systemów wysokiego ryzyka z załącznika III (wraz z kluczowymi wymogami przejrzystości) od 2 sierpnia 2026 roku.

    Dla zarządów i kadry kierowniczej Shadow AI staje się szczególnie ryzykowne w kontekście AI Act z dwóch powodów:

    • Jeżeli w ramach Shadow AI wykorzystywany jest system wysokiego ryzyka, organizacja może automatycznie zostać objęta dodatkowymi obowiązkami regulacyjnymi. Zgodnie z podsumowaniem art. 26 przedstawionym przez AI Act Service Desk, obowiązki te obejmują m.in. korzystanie z systemów zgodnie z instrukcją, zapewnienie kompetentnego nadzoru człowieka, monitorowanie działania, zarządzanie danymi wejściowymi, prowadzenie rejestrów (co najmniej przez sześć miesięcy), zgłaszanie ryzyk i incydentów dostawcom oraz organom, a także informowanie pracowników i ich przedstawicieli o wykorzystywaniu systemów w miejscu pracy.
    • Koszt błędu ma charakter odstraszający. Komunikaty Komisji Europejskiej dotyczące AI Act wskazują na możliwość nałożenia najwyższych kar w wysokości do 35 mln euro lub 7% globalnego rocznego obrotu (w zależności od tego, która kwota jest wyższa) w przypadku najpoważniejszych naruszeń, przy czym również niższe progi kar pozostają istotne z perspektywy biznesowej.

    Należy również – szczególnie w kontekście planowania działań na 2026 rok – uwzględnić niepewność regulacyjną dotyczącą harmonogramu wdrożenia. 19 listopada 2025 roku Komisja Europejska zaproponowała ukierunkowane zmiany („Digital Omnibus on AI”), mające na celu ułatwienie implementacji przepisów. Zgodnie z informacjami przedstawionymi w ramach Legislative Train Parlamentu Europejskiego, propozycja zakłada powiązanie stosowania przepisów dotyczących systemów wysokiego ryzyka z dostępnością zharmonizowanych norm i narzędzi wsparcia (z maksymalnym terminem 2 grudnia 2027 roku dla systemów z załącznika III oraz 2 sierpnia 2028 roku dla systemów z załącznika I).

    Równolegle we wspólnej opinii EDPB i EDPS opisano przesunięcie kluczowych dat rozpoczęcia stosowania przepisów dotyczących systemów wysokiego ryzyka oraz wydłużenie wybranych terminów przejściowych, w tym tzw. dat granicznych („grandfathering”), przykładowo z 2 sierpnia 2026 roku na 2 grudnia 2027 roku w logice proponowanych zmian.

    Niezależnie od ostatecznych terminów kierunek zmian jest jednoznaczny: Europa formalizuje oczekiwania w zakresie zarządzania ryzykiem AI, przejrzystości, dokumentowania procesów i nadzoru – czyli dokładnie w tych obszarach, w których Shadow AI jest najsłabsze. Analiza TTMS dotycząca wdrażania AI Act wskazuje kluczowe kamienie milowe (w tym Kodeks Postępowania dla modeli GPAI oraz etapy obowiązywania przepisów do 2027 roku) i podkreśla, że zgodność to nie tylko kwestia prawna, lecz również zagadnienie przywództwa i reputacji.

    Komisja Europejska opisuje Kodeks Postępowania dla modeli ogólnego przeznaczenia (opublikowany 10 lipca 2025 roku) jako dobrowolne narzędzie wspierające dostawców w realizacji obowiązków wynikających z AI Act w zakresie przejrzystości, praw autorskich oraz bezpieczeństwa.

    5. Dlaczego TTMS jest predestynowane do roli lidera w obszarze ładu AI

    TTMS traktuje ład AI jako element modelu operacyjnego, a nie hasło marketingowe. Jest on wbudowany w sposób projektowania, dostarczania i monitorowania rozwiązań opartych na sztucznej inteligencji.

    W lutym 2026 roku TTMS jako pierwsza firma w Polsce uzyskała certyfikat ISO/IEC 42001 dla Systemu Zarządzania Sztuczną Inteligencją (AIMS), po przeprowadzeniu niezależnego audytu przez TÜV Nord Poland. Certyfikacja ta potwierdza, że projekty AI realizowane przez TTMS funkcjonują w ramach uporządkowanego systemu ładu obejmującego ocenę ryzyka, kontrolę cyklu życia, jednoznaczne przypisanie odpowiedzialności oraz mechanizmy ciągłego doskonalenia.

    ISO AI certificate

    Dla klientów oznacza to wymierne ograniczenie ryzyka. Rozwiązania AI są projektowane i wdrażane w oparciu o jasno zdefiniowane mechanizmy nadzoru, udokumentowane procesy oraz audytowalne kontrole. W kontekście AI Act oraz rosnącej presji regulacyjnej daje to decydentom większą pewność, że inicjatywy związane ze sztuczną inteligencją nie przekształcą się w niekontrolowane ryzyko braku zgodności.

    Z perspektywy zakupowej certyfikat ISO/IEC 42001 upraszcza również proces due diligence. Przedsiębiorstwa oraz podmioty działające w sektorach regulowanych coraz częściej traktują formalne certyfikacje jako kryterium wstępnej kwalifikacji dostawców. Współpraca z partnerem funkcjonującym w ramach akredytowanego systemu zarządzania AI zmniejsza obciążenie audytowe, skraca proces oceny dostawcy i pozwala lepiej dopasować realizację projektów AI do istniejących ram ładu i zgodności.

    6. AI pod kontrolą – z TTMS

    Jeżeli odpowiadasz za inwestycje w sztuczną inteligencję, Shadow AI jest wyraźnym sygnałem, że potrzebujesz operacyjnego modelu ładu AI – a nie jedynie kolejnych narzędzi. ISO/IEC 42001 zapewnia uporządkowane i audytowalne podejście do budowy takiego modelu, podczas gdy AI Act systematycznie podnosi koszt nieudokumentowanego i niekontrolowanego wykorzystania AI.

    Dla decydentów, którzy chcą działać szybko, nie wpadając w pułapkę Shadow AI, TTMS przygotowało praktyczne materiały biznesowe wyjaśniające znaczenie AI Act oraz kierunek jego wdrażania, w tym przegląd regulacji i aktualizację z 2025 roku dotyczącą kodeksu postępowania, egzekwowania przepisów i harmonogramu zmian. Zespołom zakupowym TTMS przedstawia również zestaw certyfikacji, które coraz częściej definiują zdolność dostawcy do realizacji projektów na poziomie „gotowości do wdrożeń enterprise”, w tym ISO/IEC 42001.

    Poniżej przedstawiamy portfolio rozwiązań AI TTMS – zaprojektowanych tak, aby odpowiadać na konkretne potrzeby biznesowe i jednocześnie wpisywać się w podejście „governance first”:

    • AI4Legal – rozwiązania AI dla kancelarii prawnych automatyzujące m.in. analizę dokumentów sądowych, generowanie umów z szablonów oraz przetwarzanie transkrypcji, zwiększając efektywność i ograniczając ryzyko błędów.
    • AI4Content (AI Document Analysis Tool)> – bezpieczne, konfigurowalne narzędzie do analizy dokumentów, generujące uporządkowane podsumowania i raporty, z możliwością przetwarzania lokalnego lub w kontrolowanej chmurze oraz wykorzystaniem mechanizmów RAG dla zwiększenia precyzji.
    • AI4E-learning – platforma do tworzenia materiałów szkoleniowych oparta na AI, przekształcająca wewnętrzne treści w profesjonalne kursy oraz eksportująca gotowe pakiety SCORM do systemów LMS.
    • AI4Knowledge – system zarządzania wiedzą stanowiący centralne repozytorium procedur i wytycznych, umożliwiający pracownikom zadawanie pytań i uzyskiwanie odpowiedzi zgodnych ze standardami organizacji.
    • AI4Localisation – platforma tłumaczeniowa oparta na AI, dostosowana do kontekstu branżowego i stylu komunikacji, zapewniająca spójność terminologii oraz kontrolę tonu przekazu.
    • AML Track – oprogramowanie wspierające procesy AML, automatyzujące weryfikację klientów względem list sankcyjnych, generowanie raportów oraz prowadzenie ścieżek audytowych w obszarze przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.
    • AI4Hire – rozwiązanie AI do analizy CV i wsparcia alokacji zasobów, umożliwiające pogłębioną ocenę kandydatów wykraczającą poza dopasowanie słów kluczowych oraz generowanie rekomendacji opartych na danych.
    • QATANA – narzędzie do zarządzania testami wspierane przez AI, usprawniające cały cykl testowy dzięki automatycznemu tworzeniu przypadków testowych oraz bezpiecznym opcjom wdrożenia on-premise.

    FAQ

    Czym jest Shadow AI i dlaczego stanowi poważne ryzyko dla przedsiębiorstw?

    Shadow AI to wykorzystywanie generatywnych narzędzi AI, funkcji AI wbudowanych w platformy SaaS lub systemów agentowych bez formalnej zgody, udokumentowania i nadzoru. Dla przedsiębiorstw oznacza to realne ryzyko w obszarze bezpieczeństwa i zgodności: wrażliwe dane mogą trafiać do niekontrolowanych narzędzi, własność intelektualna może zostać nieumyślnie ujawniona, a wyniki działania AI mogą wpływać na decyzje strategiczne, finansowe, kadrowe czy prawne bez weryfikacji. W środowiskach regulowanych niekontrolowane użycie AI może dodatkowo uruchamiać obowiązki wynikające z AI Act. Wraz z tym, jak AI staje się częścią codziennych procesów, Shadow AI przestaje być problemem „widoczności w IT” i staje się ryzykiem na poziomie zarządczym.

    W jaki sposób ISO/IEC 42001 pomaga organizacjom kontrolować Shadow AI?

    ISO/IEC 42001 ustanawia System Zarządzania Sztuczną Inteligencją (AIMS), który pozwala identyfikować, dokumentować, oceniać i monitorować wykorzystanie AI w całej organizacji. Dzięki ustrukturyzowanemu zarządzaniu ryzykiem AI, kontroli cyklu życia rozwiązań, mechanizmom odpowiedzialności oraz jasno zdefiniowanemu nadzorowi człowieka norma pomaga ograniczyć niekontrolowane wdrożenia. Zamiast reagować na nieautoryzowane użycie, organizacja wdraża spójne ramy ładu AI, które zapewniają przejrzystość, możliwość prześledzenia kluczowych działań oraz audytowalność. W praktyce zmniejsza to prawdopodobieństwo, że Shadow AI przełoży się na incydenty bezpieczeństwa, problemy ze zgodnością lub konsekwencje regulacyjne.

    Jak ISO/IEC 42001 łączy się z AI Act?

    ISO/IEC 42001 jest dobrowolnym standardem międzynarodowym, natomiast AI Act to wiążące rozporządzenie UE, ale w praktyce oba podejścia są komplementarne. AI Act wprowadza obowiązki dla dostawców i podmiotów stosujących systemy wysokiego ryzyka, w tym wymagania dotyczące dokumentacji, zarządzania ryzykiem, monitorowania oraz nadzoru człowieka. System zarządzania AI zgodny z ISO/IEC 42001 wspiera realizację tych wymogów, ponieważ osadza ład i dyscyplinę zarządzania ryzykiem w codziennych procesach pracy z AI. Organizacje wdrażające ISO/IEC 42001 są więc lepiej przygotowane do wykazania gotowości do zgodności z AI Act – zwłaszcza w obszarach przejrzystości, odpowiedzialności i kontroli ryzyka.

    Dlaczego certyfikacja ISO 42001 ma znaczenie w procesach zakupowych i wyborze dostawcy?

    Dla dużych firm i podmiotów działających w sektorach regulowanych certyfikacja ISO 42001 jest niezależnym potwierdzeniem, że dostawca AI działa w ramach uporządkowanych zasad ładu i zarządzania ryzykiem. Oznacza to, że rozwiązania AI są projektowane, wdrażane i utrzymywane z wykorzystaniem udokumentowanych mechanizmów obejmujących kontrolę cyklu życia, przypisanie odpowiedzialności oraz ciągłe doskonalenie. W wielu branżach certyfikacje coraz częściej pełnią rolę kryterium wstępnej kwalifikacji w zakupach i przetargach, co upraszcza due diligence i ogranicza koszty oceny dostawcy. Wybór partnera z certyfikacją ISO/IEC 42001 może skrócić proces decyzyjny, zmniejszyć obciążenie audytowe i ograniczyć ryzyko operacyjne oraz regulacyjne.

    Jak skalować innowacje oparte na AI, jednocześnie dbając o zgodność z AI Act?

    Skalowanie AI w sposób odpowiedzialny wymaga równowagi między szybkością wdrożeń a dyscypliną ładu. Dobrym punktem startu jest mapowanie wykorzystania AI w organizacji, identyfikacja przypadków potencjalnie kwalifikowanych jako systemy wysokiego ryzyka w rozumieniu AI Act oraz wdrożenie ustrukturyzowanego zarządzania ryzykiem AI. Niezbędne są jasne polityki wewnętrzne, określone role nadzorcze, zasady ładu danych oraz procedury raportowania incydentów. System Zarządzania Sztuczną Inteligencją zgodny z ISO/IEC 42001 daje skalowalny fundament, który wspiera zarówno gotowość regulacyjną, jak i długofalowe wdrażanie AI. Zamiast hamować transformację, dobrze zorganizowany ład AI pozwala wdrażać rozwiązania szybciej i pewniej, ograniczając ryzyka prawne, finansowe i reputacyjne.

    Wiktor Janicki

    Transition Technologies MS świadczy usługi informatyczne terminowo, o wysokiej jakości i zgodnie z podpisaną umową. Polecamy firmę TTMS jako godnego zaufania i rzetelnego dostawcę usług IT oraz partnera wdrożeniowego Salesforce.

    Czytaj więcej
    Julien Guillot Schneider Electric

    TTMS od lat pomaga nam w zakresie konfiguracji i zarządzania urządzeniami zabezpieczającymi z wykorzystaniem różnych technologii. Ueługi świadczone przez TTMS są realizowane terminowo, i zgodnie z umową.

    Czytaj więcej

    Już dziś możemy pomóc Ci rosnąć

    Porozmawiajmy, jak możemy wesprzeć Twój biznes

    TTMC Contact person
    Monika Radomska

    Sales Manager