NARZĘDZIE
Czy mogę wykorzystać właśnie to rozwiązanie?
Sztuczna inteligencja coraz częściej jest zwykłym narzędziem pracy. Pracownicy wykorzystują ją do przygotowywania dokumentów, analizowania informacji, researchu, tłumaczeń, pracy z plikami, korespondencji, prezentacji i codziennych zadań operacyjnych.
To oznacza, że pytanie nie brzmi już wyłącznie:
Coraz częściej brzmi:
Pracownik może korzystać z dobrego, zatwierdzonego narzędzia i nadal podjąć niewłaściwą decyzję. Może przekazać mu dokument, którego nie powinien wykorzystywać w danym celu. Może bez sprawdzenia użyć wygenerowanej informacji. Może sięgnąć po prywatne konto albo niezatwierdzoną aplikację. Może również dopiero po wykonaniu działania zauważyć, że popełnił błąd.
Dlatego szkolenie AI dla firmy nie powinno ograniczać się do prezentacji możliwości ChatGPT, nauki promptowania czy przeglądu popularnych aplikacji.
RiskCom realizuje szkolenia dla pracowników i kadry, które łączą bezpieczne korzystanie z narzędzi AI, ochronę informacji, weryfikację wyników, odpowiedzialność użytkownika, AI literacy oraz reagowanie na błędy i nieautoryzowane wykorzystanie technologii.
W wielu organizacjach wykorzystanie sztucznej inteligencji rozpoczęło się szybciej niż uporządkowanie zasad jej stosowania.
Jedna osoba używa AI wyłącznie do poprawiania neutralnych tekstów. Inna przesyła dokumenty. Ktoś pracuje na firmowym rozwiązaniu, a ktoś korzysta z prywatnego konta w publicznej aplikacji. Kolejna osoba przyjmuje wygenerowaną odpowiedź jako poprawną, ponieważ brzmi profesjonalnie i przekonująco.
Nie musi to wynikać z lekceważenia bezpieczeństwa.
Często pracownik po prostu nie otrzymał wystarczająco jasnych zasad pozwalających rozstrzygnąć konkretną sytuację.
„uważajcie na dane”
„AI może się mylić”
są zbyt ogólne, jeżeli użytkownik nie potrafi przełożyć ich na decyzję podejmowaną podczas pracy.
Wiele rozmów o generatywnej AI zaczyna się od pytania:
Jak napisać dobry prompt?
W środowisku zawodowym pierwsze pytanie powinno pojawić się wcześniej:
Czy do tego zadania mogę wykorzystać właśnie to narzędzie i właśnie te informacje?
To zasadnicza różnica.
Dostępność aplikacji nie oznacza automatycznie, że została dopuszczona do wykorzystania służbowego. Z kolei zatwierdzenie konkretnego rozwiązania nie oznacza, że można zastosować je do każdego procesu, dokumentu czy rodzaju informacji.
Dlatego bezpieczeństwo AI nie polega wyłącznie na znajomości funkcji systemu.
To właśnie taki sposób myślenia powinien stać się wspólnym standardem pracy zespołu.
To jedno z najważniejszych rozróżnień w bezpiecznym wykorzystaniu AI.
Organizacja może udostępnić pracownikom określone rozwiązanie, ale nadal potrzebuje granic dotyczących informacji, procesów i sposobu wykorzystania wygenerowanych wyników.
Pracownik może używać oficjalnej aplikacji, a mimo to przekazać jej informacje, których nie powinien wykorzystać w danym celu.
Może użyć AI w procesie wymagającym dodatkowej kontroli.
Może również oprzeć dokument lub decyzję na wyniku, którego wcześniej nie zweryfikował.
Dlatego szkolenie powinno rozdzielać dwa pytania:
Pierwsze może wynikać z decyzji organizacji i konfiguracji środowiska.
Drugie bardzo często wymaga właściwej decyzji człowieka.
Interfejs chatbota może przypominać zwykłą rozmowę.
Z perspektywy organizacji przesłanie dokumentu, fragmentu umowy, korespondencji, danych klienta czy materiału wewnętrznego oznacza jednak przekazanie informacji do konkretnego systemu.
Dlatego użytkownik powinien rozumieć nie tylko co chce uzyskać od AI, ale również co sam przekazuje narzędziu.
Nie każde zadanie wymaga pełnego dokumentu.
Jeżeli AI ma pomóc uporządkować strukturę pisma, nie zawsze potrzebuje nazwiska klienta. Jeżeli ma zaproponować sposób kategoryzacji informacji, może nie potrzebować wszystkich danych znajdujących się w materiale źródłowym.
Nie oznacza to, że samo usunięcie kilku danych automatycznie rozwiązuje wszystkie kwestie związane z bezpieczeństwem, ochroną informacji czy prawem.
Pokazuje jednak ważną zasadę:
Do AI nie warto przekazywać więcej informacji tylko dlatego, że technicznie można to zrobić.
Zakres powinien odpowiadać zadaniu, narzędziu oraz zasadom obowiązującym w organizacji.
Generatywna AI potrafi tworzyć odpowiedzi spójne, logiczne i przekonujące również wtedy, gdy zawierają nieprawidłową informację.
Model może pomylić datę, źródło, wartość liczbową, parametr, nazwę przepisu albo pominąć istotny kontekst.
Jakość językowa odpowiedzi nie jest więc dowodem jej prawdziwości.
Inaczej można traktować propozycję tytułu prezentacji, a inaczej informację przesyłaną klientowi, dokument HR, analizę umowy, dane finansowe czy materiał wykorzystywany przez kierownictwo podczas podejmowania decyzji.
Uczestnik szkolenia powinien wiedzieć nie tylko, jak uzyskać odpowiedź.
Co musi z nią zrobić, zanim wykorzysta ją dalej.
W codziennej pracy łatwo przesunąć granicę pomiędzy:
„AI pomogła mi przeanalizować problem”
a:
„AI zdecydowała”.
Ta różnica jest szczególnie istotna wtedy, gdy wynik może wpływać na pracownika, kandydata, klienta, decyzję finansową, zobowiązanie organizacji lub inny proces o istotnych konsekwencjach.
System może przygotować analizę, uporządkować informacje czy zaproponować rekomendację.
Nie oznacza to automatycznego przeniesienia odpowiedzialności z człowieka na model.
Zdanie:
„tak powiedziało AI”
nie jest mechanizmem zarządzania ryzykiem.
Dlatego szkolenie powinno rozwijać nie tylko umiejętność korzystania z technologii, ale również zdolność rozpoznania momentu, w którym decyzja wymaga świadomej kontroli człowieka.
Bezpieczeństwa wykorzystania sztucznej inteligencji nie można już sprowadzać wyłącznie do rozmowy z chatbotem.
Narzędzia AI analizują dokumenty, pocztę, kod i zasoby organizacji. Agenci mogą również wykonywać działania i korzystać z innych systemów.
To zmienia profil ryzyka.
Czym innym jest narzędzie, które przygotowuje propozycję treści.
Czym innym rozwiązanie posiadające dostęp do dokumentów, skrzynki, aplikacji biznesowej czy innych zasobów.
Aktualna dokumentacja Microsoft dotycząca Shadow AI obejmuje już niezarządzane aplikacje oraz agentów działających bez odpowiedniej widoczności lub zatwierdzenia IT i wskazuje m.in. na ryzyka wycieku danych, naruszeń zgodności, podatności oraz braku audytowalności i ładu.
To jeden z najważniejszych elementów przygotowania pracowników, a jednocześnie jeden z łatwiejszych do pominięcia.
Pracownik może dopiero po wysłaniu promptu zauważyć, że znalazła się w nim informacja, której nie powinien przekazywać.
Może przesłać niewłaściwy dokument.
Może użyć rozwiązania niezatwierdzonego przez organizację.
Może też dopiero po wykonaniu działania zorientować się, że nie zastosował właściwego sposobu postępowania.
W takim momencie potrzebuje nie kolejnego ostrzeżenia, lecz jasnej ścieżki reakcji.
Powinien wiedzieć, komu zgłosić zdarzenie i jakie informacje przekazać.
Nie powinien zakładać, że usunięcie rozmowy albo zamknięcie aplikacji automatycznie rozwiązało problem.
Nie powinien również znajdować się w sytuacji, w której ukrycie błędu wydaje się bezpieczniejsze niż jego szybkie zgłoszenie.
Dojrzałe bezpieczeństwo AI nie zakłada, że ludzie nigdy nie popełniają błędów. Zakłada, że wiedzą, co zrobić, kiedy błąd już się wydarzył.
Czy mogę wykorzystać właśnie to rozwiązanie?
Czy informacje, które chcę przekazać, mogą znaleźć się w tym systemie?
Czy AI może zostać wykorzystana właśnie do tego celu?
Jak sprawdzę otrzymaną odpowiedź?
Czy AI tylko mnie wspiera, czy jej wynik może realnie wpłynąć na człowieka lub organizację?
Jeżeli odpowiedź na jedno z tych pytań nie jest jasna, użytkownik powinien wiedzieć, gdzie w organizacji uzyskać właściwą odpowiedź.
Pracownicy sięgają po AI dlatego, że narzędzia rozwiązują realne problemy: przyspieszają analizę, research, redagowanie treści i wykonywanie powtarzalnych zadań.
Jeżeli organizacja nie zapewnia jasnych zasad albo użytecznych, zatwierdzonych rozwiązań, użytkownicy mogą zacząć szukać alternatyw.
Właśnie wtedy pojawia się problem Shadow AI — wykorzystywania narzędzi i agentów poza właściwą widocznością, zatwierdzeniem lub sposobem zarządzania organizacji.
Nie zawsze oznacza to świadome naruszenie zasad.
Aktualne materiały Microsoft wskazują również, że Shadow AI może ujawniać niezaspokojoną potrzebę biznesową użytkowników: jeżeli zatwierdzone rozwiązania są trudno dostępne albo nie odpowiadają rzeczywistym zadaniom, pracownicy szukają innych sposobów wykonania pracy.
Dlatego sama instrukcja:
„nie wolno korzystać z AI”
może być niewystarczająca.
AI literacy można rozumieć jako kompetencje potrzebne do świadomego i właściwego korzystania z systemów AI w określonym kontekście.
Aktualny art. 4 AI Act wymaga od dostawców i podmiotów stosujących systemy AI podejmowania działań wspierających rozwój AI literacy personelu oraz innych osób zajmujących się obsługą i wykorzystywaniem systemów AI w ich imieniu.
Przy doborze działań należy uwzględniać m.in. wiedzę techniczną, doświadczenie, wykształcenie, szkolenie oraz kontekst wykorzystania AI. Aktualne brzmienie przepisu wskazuje również, że nie trzeba gwarantować jednego konkretnego poziomu AI literacy każdej osobie.
To ważne z praktycznego punktu widzenia.
Pracownik wykorzystujący AI do redagowania prostych treści może potrzebować innego przygotowania niż HR pracujący z informacjami o kandydatach, osoba analizująca dokumentację klientów czy członek kadry zarządzającej podejmujący decyzje dotyczące dopuszczania nowych narzędzi.
Dlatego AI literacy nie powinno sprowadzać się do identycznej prezentacji dla całej organizacji.
Program powinien odpowiadać roli użytkownika, jego doświadczeniu i rzeczywistemu sposobowi korzystania z technologii.
Szkolenie RiskCom może być jednym z działań organizacji wspierających rozwój AI literacy. Nie przedstawiamy jednak pojedynczego szkolenia jako automatycznego potwierdzenia pełnej zgodności organizacji z AI Act.
Nie każda grupa w organizacji potrzebuje tego samego programu.
Pracownik operacyjny powinien przede wszystkim rozumieć, jak bezpiecznie korzystać z AI podczas wykonywania własnych zadań.
Menedżer musi dodatkowo potrafić ocenić, w jaki sposób AI jest wykorzystywana przez zespół, gdzie przebiegają granice odpowiedzialności i kiedy problem wymaga eskalacji.
Osoby odpowiedzialne za bezpieczeństwo, IT, HR czy compliance patrzą na ten sam proces jeszcze z innej perspektywy.
Dlatego w projektach dedykowanych RiskCom najpierw ustala:
Dopiero później dobieramy zakres.
Nie chodzi o przeprowadzenie jak największej liczby modułów.
Chodzi o przygotowanie programu odpowiadającego realnej pracy uczestników.
Największa wartość szkolenia nie powstaje wtedy, gdy uczestnik zapamięta kolejną definicję albo pozna kilkanaście nowych aplikacji.
Powstaje wtedy, gdy po szkoleniu potrafi odpowiedzieć:
Dlatego program dedykowany może być oparty na scenariuszach decyzyjnych zbliżonych do rzeczywistego środowiska pracy klienta.
Nie chodzi przy tym o kopiowanie dokumentów czy danych klienta do materiałów szkoleniowych.
Chodzi o poznanie procesów, ról i sytuacji, w których użytkownik musi podjąć decyzję.
Narzędzia AI będą się zmieniać bardzo szybko.
Zasady odpowiedzialnego korzystania z informacji, weryfikacji wyniku i właściwej reakcji pozostaną potrzebne niezależnie od nazwy kolejnego modelu.
W projekcie standardowym punktem ciężkości są najważniejsze zasady bezpiecznego i świadomego korzystania ze sztucznej inteligencji w pracy.
W projekcie dedykowanym zaczynamy od poznania odbiorców i sposobu wykorzystania AI.
Ustalamy, czy uczestnicy pracują głównie na tekstach, dokumentach, danych, komunikacji z klientami czy procesach wymagających większej odpowiedzialności.
Sprawdzamy również, czy organizacja posiada już własne zasady i zatwierdzone narzędzia, do których szkolenie powinno się odnosić.
Następnie projektujemy zakres i przykłady.
Jeżeli podczas przygotowania projektu pojawią się niejasności dotyczące odpowiedzialności, zasad albo sposobu zgłaszania problemów, mogą zostać wskazane jako obszary wymagające dalszego uporządkowania.
To zgodne z Metodyką RiskCom:
Szkolenie nie jest traktowane jako oderwane wydarzenie, jeżeli problem organizacji wymaga szerszego spojrzenia.
Nie każda organizacja znajduje się w tym samym miejscu.
Jedna potrzebuje przede wszystkim przygotować pracowników.
Inna ma już szkolenie i narzędzia, ale brakuje jej jasnych zasad.
Kolejna posiada dokumentację, lecz nie wie, czy odpowiada ona temu, jak AI jest faktycznie używana.
Dlatego szkolenie może być samodzielnym projektem albo częścią szerszego działania.
Ten zakres koncentruje się na decyzjach podejmowanych podczas codziennej pracy z AI.
Uczestnicy poznają granice bezpiecznego wykorzystania narzędzi, sposób obchodzenia się z informacjami, potrzebę weryfikacji wyników, rolę człowieka oraz sposób działania po błędzie.
Celem jest stworzenie wspólnego standardu rozumienia AI w organizacji.
Jeżeli pracownik nie wie, z jakich narzędzi może korzystać albo jakie informacje wolno do nich przekazywać, samo szkolenie może nie wystarczyć.
Projekt może zostać rozszerzony o uporządkowanie zasad dotyczących m.in. dozwolonych zastosowań, informacji, sposobu zatwierdzania narzędzi, odpowiedzialności za wynik oraz ścieżki postępowania w przypadku problemu.
Nie chodzi o stworzenie dokumentu „o sztucznej inteligencji”.
Chodzi o zasady, które da się zastosować podczas rzeczywistej pracy.
Jeżeli organizacja posiada już politykę, regulamin lub procedurę AI, RiskCom może przeanalizować je z perspektywy organizacyjnej i praktycznej.
Sprawdzamy m.in., czy role są jednoznaczne, czy zasady odpowiadają rzeczywistemu sposobowi wykorzystania AI i czy pracownicy mają wystarczająco jasne informacje pozwalające zastosować je w codziennych sytuacjach.
Taki projekt może wskazać luki i obszary wymagające dalszego uporządkowania.
Nie jest to automatycznie audyt zgodności z AI Act, RODO ani certyfikacja organizacji.
Bezpieczne wykorzystanie AI wymaga współpracy kilku obszarów.
Zespoły IT i security odpowiadają m.in. za środowisko technologiczne, dostęp oraz odpowiednie kontrole.
IOD, compliance i zespoły prawne mogą odpowiadać za wymagania dotyczące informacji, prawa i obowiązków organizacji.
Kadra zarządzająca ustala sposób wykorzystania AI w procesach.
Pracownik natomiast codziennie podejmuje dziesiątki drobnych decyzji podczas korzystania z narzędzi.
RiskCom koncentruje się przede wszystkim na przygotowaniu ludzi, zasadach organizacyjnych i praktycznej zdolności do działania zgodnie z przyjętym modelem.
Najważniejszym rezultatem nie powinno być przekonanie:
„pracownicy wiedzą już więcej o sztucznej inteligencji”.
Znacznie ważniejszy jest inny efekt:
pracownicy potrafią podejmować bardziej świadome decyzje podczas korzystania z AI w ramach zasad organizacji.
Rozumieją, że dostępność aplikacji nie oznacza automatycznie zgody na jej wykorzystanie.
Zwracają większą uwagę na informacje przekazywane do systemu.
Nie utożsamiają profesjonalnego brzmienia odpowiedzi z jej prawdziwością.
Rozumieją rolę człowieka w weryfikacji i decyzji.
A jeżeli coś pójdzie nie tak, wiedzą, że bezpieczeństwo wymaga właściwej reakcji, a nie ukrycia problemu.
Program może być realizowany dla firm, administracji, instytucji i innych organizacji, w których pracownicy już korzystają z AI albo mają rozpocząć jej wykorzystanie.
Nie zakładamy jednego programu właściwego dla wszystkich sektorów.
Znaczenie ma przede wszystkim rodzaj pracy, wykorzystywane informacje, poziom odpowiedzialności uczestników oraz miejsce AI w procesach organizacji.
Inaczej będzie wyglądał zakres dla zespołu administracyjnego pracującego głównie na treściach, inaczej dla HR, a jeszcze inaczej dla kadry zarządzającej lub osób mających dostęp do dokumentacji klientów.
Dlatego przy projekcie dedykowanym warto ustalić nie tylko liczbę uczestników.
Co te osoby rzeczywiście robią z AI?
Szkolenie może być realizowane stacjonarnie lub online.
Zakres, czas oraz sposób pracy ustalamy na podstawie grupy, poziomu przygotowania i oczekiwanego efektu.
Dla większych lub rozproszonych zespołów możliwe jest również wykorzystanie e-learningu do przekazania wspólnej podstawy i okresowego utrwalania zasad.
E-learning nie zastępuje jednak programu dedykowanego tam, gdzie kluczowe znaczenie mają konkretne procesy, narzędzia, odpowiedzialność lub wewnętrzne zasady klienta.
szkolenia e-learningowe dla firm →Na rynku dostępne są szkolenia skoncentrowane na prompt engineeringu, produktywności, automatyzacji czy obsłudze konkretnych aplikacji. Funkcjonują również oferty AI literacy nastawione na podstawowe przygotowanie pracowników.
RiskCom zajmuje inne miejsce.
Patrzymy na AI jako na narzędzie funkcjonujące wewnątrz organizacji, używane przez ludzi pracujących na konkretnych informacjach i podejmujących realne decyzje.
Dlatego punktem wyjścia nie jest wyłącznie pytanie:
Co potrafi AI?
ale przede wszystkim:
Jak człowiek powinien z niego korzystać, aby technologia wspierała pracę bez tworzenia niekontrolowanego ryzyka dla organizacji?
To podejście jest spójne z Metodyką RiskCom.
Analizujemy kontekst, porządkujemy odpowiedzialność, przygotowujemy ludzi i — jeżeli projekt tego wymaga — pomagamy przełożyć zasady na rozwiązania możliwe do zastosowania w praktyce.
ChatGPT może być jednym z przykładów wykorzystywanych podczas szkolenia, ale program nie jest kursem obsługi jednego produktu. Zasady dotyczą również innych modeli, asystentów i agentów AI używanych w pracy.
Sposób formułowania poleceń może być omawiany tam, gdzie wpływa na jakość, bezpieczeństwo lub sposób wykorzystania informacji. Nie jest to jednak szkolenie nastawione głównie na zaawansowane techniki promptowania, automatyzację marketingową czy naukę maksymalnej liczby funkcji aplikacji.
Nie. Zakres wynika ze sposobu wykorzystania AI. Program może być przygotowany dla pracowników, kadry zarządzającej, HR, administracji, compliance, security oraz innych grup wykorzystujących AI lub odpowiadających za sposób jego stosowania.
Tak. Program może stanowić jeden z elementów działań organizacji wspierających rozwój AI literacy. Art. 4 AI Act wymaga jednak podejścia uwzględniającego wiedzę, doświadczenie, wykształcenie, szkolenie oraz kontekst użycia systemów AI. Dlatego pojedynczego szkolenia nie przedstawiamy jako automatycznego potwierdzenia pełnej zgodności organizacji z AI Act.
Tak. W projekcie dedykowanym program może zostać odniesiony do narzędzi, ról, procesów oraz wewnętrznych zasad przekazanych przez klienta i uzgodnionych na etapie przygotowania.
Brak formalnego dokumentu nie wyklucza realizacji szkolenia. Możemy zbudować podstawowy standard wiedzy i zachowań pracowników, a jeżeli podczas przygotowania projektu okaże się, że potrzebne jest uporządkowanie odpowiedzialności lub zasad, może zostać ustalony dodatkowy zakres doradczy.
Tak, jeżeli przedmiotem projektu ma być ich praktyczna użyteczność, sposób wdrożenia, odpowiedzialność i dopasowanie do rzeczywistego wykorzystania AI. Nie należy tego utożsamiać automatycznie z pełnym audytem zgodności z AI Act, RODO ani z certyfikacją organizacji.
Tak. Forma stacjonarna albo online jest dobierana do celu, grupy i zakresu programu.
AI może realnie zwiększać efektywność pracy.
Bezpieczeństwo jego wykorzystania nie powinno jednak zależeć wyłącznie od indywidualnej ostrożności każdego pracownika.
RiskCom przygotowuje szkolenia AI dla firm i instytucji, które pomagają pracownikom i kadrze rozumieć granice wykorzystania narzędzi, chronić informacje, weryfikować wyniki, zachować właściwą rolę człowieka w decyzji i reagować, gdy pojawia się błąd.
Jeżeli organizacja potrzebuje szerszego działania, szkolenie może zostać połączone z uporządkowaniem zasad korzystania z AI lub oceną już funkcjonujących rozwiązań.
Zakres dobieramy do rzeczywistego sposobu wykorzystania AI, ról uczestników oraz poziomu przygotowania organizacji.