Shadow AI w ochronie zdrowia: jak odzyskać kontrolę nad narzędziami, których nie widać

Tempo, w jakim narzędzia AI trafiają do codziennej pracy, jest szybsze niż tempo, w jakim organizacje zdążają to odnotować. Pracownicy korzystają z asystentów AI do pisania, analizy, tłumaczeń, tworzenia podsumowań. Robią to często z własnej inicjatywy, bez zgody działu IT, bez wiedzy zarządu. Klasyczne systemy monitorowania nie były projektowane z myślą o tej kategorii oprogramowania i po prostu tego nie rejestrują. Rezultat? Organizacja, która "wdraża AI", ale nie wie, ile tych wdrożeń naprawdę istnieje.

To zjawisko określane mianem shadow AI, analogiczne do shadow IT sprzed dekady. Tyle że stawka jest wyższa. Modele językowe przetwarzają dane, które im podajemy. A pracownik wklejający fragmenty dokumentacji pacjenta do zewnętrznego chatbota nie myśli o tym jak o wycieku. On po prostu pomaga sobie w pracy.

Co to oznacza dla polskich placówek medycznych

Szpital, przychodnia czy apteka to środowisko, gdzie dane są szczególnie wrażliwe. RODO nakłada na placówki konkretne obowiązki związane z przetwarzaniem danych osobowych pacjentów. Jeśli pracownik używa zewnętrznego narzędzia AI bez wiedzy administratora danych, informacje mogą opuścić placówkę bez żadnego śladu w rejestrach przetwarzania. Nie ma zgody, nie ma umowy powierzenia, nie ma możliwości reakcji po fakcie.

Pierwsza rzecz to sporządzenie inwentarza. Nie przez pytanie "czy używacie AI", bo odpowiedź będzie niereprezentacyjna. Trzeba pytać o konkretne narzędzia: ChatGPT, Copilot, Gemini, aplikacje do transkrypcji, automatyczne tłumaczenia. W placówkach, z którymi pracujemy, odkrycie skali shadow AI bywa zaskoczeniem nawet dla kierownictwa.

Drugi krok to nie zakaz, lecz ustrukturyzowanie. Zakazy nie działają. Personel i tak korzysta z narzędzi, które pomagają im pracować. Lepszy efekt daje lista zatwierdzonych aplikacji z jasnymi zasadami: które dane można przetwarzać, w jakim kontekście, z jaką konfiguracją prywatności. Microsoft 365 Copilot czy Google Workspace AI można skonfigurować tak, żeby dane pacjentów nie opuszczały infrastruktury objętej umową.

• Audyt użycia - przegląd, jakie zewnętrzne narzędzia AI są już w użyciu wśród personelu
• Klasyfikacja ryzyka - ocena, które z nich mogą realnie przetwarzać dane pacjentów
• Polityka AI - krótki, czytelny dokument określający zasady, bez prawniczego przegrzania
• Monitoring - wdrożenie narzędzi rejestrujących aktywność AI w sieci placówki

Widoczność to też kwestia odpowiedzialności. Gdy pojawia się incydent, dział IT musi umieć odpowiedzieć: co, kiedy, gdzie. Przy shadow AI ta odpowiedź po prostu nie istnieje.

AI Act i krajowe przepisy wykonawcze będą stopniowo wymuszać większą przejrzystość w organizacjach korzystających z systemów AI. Placówki, które już teraz wiedzą, co mają i jak to działa, będą w znacznie lepszej pozycji niż te, które zaczynają od zera pod presją kontroli.

Jeśli chcesz sprawdzić, jak to wygląda u Ciebie, zapraszamy na bezpłatny audyt. Pokażemy, co realnie działa w Twojej sieci i pomożemy to okiełznać, zanim problem stanie się incydentem.