Shadow AI pojawia się tam, gdzie adopcja wyprzedza zasady: ludzie używają narzędzi poza kontrolą IT, prawa i brand ownerów, bo po prostu chcą dowieźć wynik szybciej. Ten artykuł pokazuje, jak ugryźć temat po agencyjnemu: ustawić role, zaakceptowane use-case’y, bezpieczne narzędzia i lekki governance, który chroni dane oraz spójność marki bez zabijania kreatywności.
Shadow AI i BYOAI nie są dziś egzotycznym problemem z działu IT. To codzienność w zespołach, które żyją pod presją wyniku, czasu i liczby assetów do dowiezienia. Marketing oraz kreacja trafiają na pierwszy ogień, bo właśnie tam AI najszybciej daje efekt: pomaga zrobić draft kampanii, skrócić research, napisać copy, ułożyć konspekt prezentacji, przygotować warianty grafik albo podsumować feedback po callu. Problem zaczyna się wtedy, gdy adopcja wyprzedza zasady. Narzędzia wchodzą do pracy bocznymi drzwiami, a firma dowiaduje się o tym dopiero wtedy, gdy coś wycieknie, klient zada niewygodne pytanie albo marka zacznie mówić trzema różnymi głosami naraz.
Skala zjawiska nie jest mała. Microsoft w Work Trend Index pokazał, że 78% użytkowników AI przynosi własne narzędzia do pracy, bo firmy nie mają jeszcze spójnej wizji i planu wdrożenia. McKinsey z kolei pokazuje, że 88% organizacji używa AI w co najmniej jednej funkcji biznesowej, ale tylko około jedna trzecia faktycznie skaluje programy AI na poziomie firmy. To ważne, bo właśnie w tej luce między eksperymentem a skalą rodzi się shadow AI: ludzie już korzystają, a governance dopiero próbuje ich dogonić.
Czym jest Shadow AI i dlaczego dotyczy marketingu najbardziej
Najprościej mówiąc: shadow AI to używanie narzędzi AI bez formalnej zgody, nadzoru albo widoczności po stronie organizacji. IBM definiuje je jako niesankcjonowane użycie narzędzi i aplikacji AI przez pracowników bez akceptacji lub nadzoru IT. W praktyce marketingowej oznacza to na przykład wrzucanie briefu do publicznego modelu, budowanie sloganów w prywatnym koncie, analizę komentarzy klientów w niezatwierdzonej aplikacji albo generowanie wizuali w narzędziu, którego licencji nikt wcześniej nie sprawdził.
Dlaczego akurat marketing? Bo tu presja jest podwójna: z jednej strony trzeba dostarczać szybko, z drugiej strony trzeba dowozić jakość, spójność i wynik. AI daje natychmiastową ulgę, więc zespoły zaczynają traktować ją jak prywatny multitool. To nie wynika ze złej woli. Najczęściej wynika z tego, że zaakceptowane procesy są za wolne, za ogólne albo po prostu nie istnieją. Shadow AI jest więc bardziej objawem luki operacyjnej niż moralną porażką zespołu.
Dla lidera marki ważna jest jedna rzecz: problemem nie jest samo użycie AI. Problemem jest brak zasad dotyczących tego, kiedy można jej używać, na jakich danych, w jakim narzędziu, kto zatwierdza wynik i gdzie kończy się eksperyment, a zaczyna odpowiedzialność biznesowa.
Najczęstsze ryzyka: dane, prawa, reputacja i chaos w assetach
W marketingu ryzyka rzadko przychodzą pojedynczo. Najczęściej tworzą pakiet problemów, który zaczyna się niewinnie od jednego promptu, a kończy na reputacyjnym smrodzie.
Pierwsze ryzyko to dane. Jeżeli ktoś wrzuca do publicznego modelu brief z informacjami o kliencie, danych sprzedażowych, planach mediowych albo personach opartych o dane osobowe, firma może wejść w obszar realnych problemów z poufnością, prywatnością i zgodnością. EDPB podkreśla, że wdrażanie systemów LLM wymaga systematycznego identyfikowania, oceniania i ograniczania ryzyk prywatności, a takie guidance ma wspierać obowiązki wynikające z art. 25 i 32 RODO.
Drugie ryzyko to prawa i licencje. Zespół kreatywny może wygenerować copy, ilustrację, moodboard albo packshot w narzędziu, którego regulamin nie pasuje do komercyjnego użycia albo nie daje jasnych zasad co do danych wejściowych, trenowania modeli i wykorzystania efektu końcowego. Z perspektywy klienta nie ma znaczenia, że ktoś “tylko testował”. Jeżeli asset trafił do kampanii, odpowiedzialność staje się bardzo realna.
Trzecie ryzyko to reputacja. Nawet jeśli materiał nie łamie prawa, może złamać charakter marki. Zespoły bez wspólnego Promptbooka i review flow bardzo szybko produkują treści, które brzmią poprawnie, ale są pozbawione tonu, wyczucia kontekstu albo zwyczajnie są tone-deaf. W social mediach to wystarczy, żeby marka wyglądała jak ktoś, kto wszedł na imprezę nie do tego pokoju.
Czwarte ryzyko to chaos w assetach. Gdy każdy korzysta z innych modeli, własnych promptów i własnych folderów, po kilku tygodniach nikt nie wie, które pliki są zatwierdzone, co było tylko szkicem, jakie narzędzie wygenerowało dany materiał i czy można go wykorzystać komercyjnie. To już nie jest tylko kwestia porządku. To problem operacyjny i kontraktowy.
Do tego dochodzą ryzyka techniczne. OWASP zwraca uwagę m.in. na prompt injection, insecure output handling, supply chain vulnerabilities czy excessive agency. W języku marketingu oznacza to tyle: publiczny model może zostać zmanipulowany danymi wejściowymi, może zwrócić szkodliwy lub nieprawdziwy output, a przy zbyt szerokiej autonomii może wykonać działanie, którego nikt rozsądny nie chciałby puścić bez ludzkiej kontroli.
Dopuszczone use-case’y kontra czerwone linie
Najlepsza polityka AI nie zaczyna się od zakazu. Zaczyna się od jasnej matrycy decyzji. Zespół powinien od razu wiedzieć, co jest zielone, co jest żółte, a co jest czerwone.
Zielone pole: ideacja na zanonimizowanym briefie, konspekty, pierwsze drafty copy, warianty CTA, podsumowania spotkań bez danych wrażliwych, porządkowanie researchu, translacje robocze, szkice storyboardów, eksperymenty z Promptbookiem oraz generowanie wariantów pod testy A/B.
Żółte pole: praca na danych klienta po anonimizacji, analiza komentarzy i insightów, tworzenie materiałów sprzedażowych przed publikacją, generowanie assetów wizualnych do dalszej obróbki, automatyzacje z dostępem do repozytoriów treści. Tu potrzebne są konkretne zasady: zatwierdzone narzędzie, właściwy poziom dostępu, log użycia i review człowieka.
Czerwone pole: wrzucanie do publicznych modeli nieopublikowanych strategii, danych osobowych, danych finansowych, zapisów umów, pełnych briefów z poufnymi informacjami, materiałów objętych restrykcyjnymi licencjami oraz publikowanie gotowych treści lub assetów bez przeglądu przez człowieka. Tu nie powinno być pola do kreatywnej interpretacji. Czerwona linia jest po to, żeby nie udawać, że “jakoś to będzie”.
Taka matryca jest banalnie prosta - ale właśnie dlatego działa. Zdejmuje z ludzi zgadywanie, a governance przestaje być mglistym dokumentem i staje się praktyczną instrukcją działania.
Shadow AI nie jest buntem zespołu. Najczęściej jest sygnałem, że potrzeba biznesowa wyprzedziła proces.
Proces akceptacji: kto zatwierdza, co logujemy, jak wersjonujemy
Jeśli firma chce korzystać z AI bez chaosu, musi ustalić role i punkty kontroli. McKinsey pokazuje, że organizacje osiągające lepsze wyniki są wyraźnie częściej tymi, które mają zdefiniowane procesy określające, kiedy output modelu wymaga walidacji człowieka. To jest dokładnie ten moment, w którym governance przestaje być teorią, a zaczyna pracować na wynik.
W praktyce w marketingu wystarczą cztery role. Owner biznesowy decyduje, po co używamy AI w danym use-case’ie. Lead kreatywny lub brand owner ocenia zgodność z tonem i identyfikacją. Osoba od prawa, compliance albo privacy ustawia czerwone linie dla danych, licencji i publikacji. Ops lub IT pilnuje narzędzi, dostępu, retencji i integracji. Mały zespół nie musi mieć czterech etatów. Musi mieć cztery odpowiedzialności.
Równie ważne jest logowanie użycia AI. Nie chodzi o inwigilację - chodzi o audytowalność. Minimalny log powinien zapisywać: nazwę narzędzia, typ zadania, poziom wrażliwości danych wejściowych, kto użył narzędzia, kto zatwierdził wynik, gdzie zapisano finalny asset i czy materiał trafił do publikacji. Bez tego po miesiącu nikt nie odtworzy procesu, a przy problemie wszyscy będą patrzeć po sobie jak załoga w kiepskim kryminale.
Do tego dochodzi wersjonowanie. W praktyce warto przyjąć prostą zasadę: prompt, draft i finalny asset żyją w jednym miejscu, mają właściciela i status. Szkic nie może wyglądać jak final. Final nie może wyglądać jak plik “ostatnia_wersja_v7_naprawde_final”. To drobiazg - ale właśnie takie drobiazgi rozdzielają dorosły proces od kreatywnego survivalu.
Narzędzia i środowiska pracy: jak ograniczyć wycieki bez blokowania zespołu
Najgorsze, co można zrobić, to odpowiedzieć na shadow AI totalnym zakazem. Wtedy problem nie znika - on po prostu schodzi pod wodę. Dużo lepiej działa model: dopuść to, co bezpieczne i potrzebne, zablokuj to, co ryzykowne, naucz ludzi różnicy. Organizacja powinna więc zbudować krótki, realny stack zatwierdzonych narzędzi, zamiast udawać, że pracownicy wrócą z własnej woli do świata bez AI.
Po stronie narzędzi warto wymagać kilku rzeczy: planu biznesowego lub enterprise, kontroli administratora, SSO, polityk retencji, możliwości ograniczenia trenowania na danych użytkownika, sensownego logowania aktywności i jasnych warunków licencyjnych. Jeżeli zespół korzysta z agentów, konektorów albo automatyzacji, OWASP trafnie przypomina o ryzykach związanych z output handling i excessive agency. Im więcej model może zrobić sam, tym mocniej trzeba projektować uprawnienia, zakres działania i ręczne punkty stopu.
W europejskim kontekście dochodzi jeszcze AI literacy. Zgodnie z AI Act obowiązek zapewnienia odpowiedniego poziomu kompetencji AI dla osób korzystających z systemów AI stosuje się od 2 lutego 2025 roku. To ważny sygnał dla zespołów marketingowych: szkolenie z AI nie jest już miłym dodatkiem. Staje się elementem odpowiedzialnego użycia. Innymi słowy: jeśli firma chce korzystać z AI, musi nauczyć ludzi nie tylko jak pisać prompty - ale też jak rozpoznawać ryzyko, kiedy eskalować temat i czego po prostu nie wolno robić.
AI governance dla agencji: czego marki będą wymagać w briefach i umowach
Jeśli pracujesz dla dużych klientów, ten trend już jest albo za chwilę będzie widoczny bardzo mocno. WFA raportuje, że 80% brandów ma obawy dotyczące użycia GenAI przez agencje, a 55% planuje przegląd umów z agencjami kreatywnymi i mediowymi pod kątem ryzyk związanych z AI. To nie jest drobiazg z działu prawnego. To nowy element oceny partnera.
Klienci będą pytać o kilka rzeczy coraz częściej: z jakich narzędzi korzystasz, gdzie są przetwarzane dane, czy dane klienta trafiają do modeli publicznych, jakie są zasady disclosure, kto odpowiada za review, jak wygląda polityka licencyjna, czy używasz ludzi do finalnej walidacji oraz czy potrafisz udokumentować cały proces. Jeżeli agencja nie ma na to odpowiedzi, brzmi nie jak innowacyjny partner - tylko jak ktoś, kto testuje granice na cudzym budżecie.
To oznacza też zmianę po stronie samej agencji. AI governance staje się częścią oferty i przewagi operacyjnej. Duże marki nie będą szukały wyłącznie “kogoś, kto umie AI”. Będą szukały partnera, który umie połączyć szybkość z kontrolą, kreatywność z dokumentacją i elastyczność z brand safety.
Najgorszy scenariusz to nie ten, w którym ludzie używają AI. Najgorszy jest ten, w którym używają jej po cichu, każdy po swojemu i bez zasad.
Minimalna polityka AI dla marketingu
Dobra polityka AI dla marketingu nie musi mieć 40 stron. Na start wystarczy dokument, który odpowiada na kilka prostych pytań: jakich narzędzi używamy, do czego ich używamy, na jakich danych nie pracujemy, kto zatwierdza wyniki, jak logujemy użycie i co robimy, gdy coś pójdzie nie tak. Im prostszy dokument, tym większa szansa, że ludzie go faktycznie przeczytają - a nie wrzucą do folderu “ważne” obok stu innych PDF-ów.
8 punktów startowych minimalnej polityki AI:
- Lista zatwierdzonych narzędzi, modeli i planów subskrypcyjnych.
- Matryca use-case’ów: zielone, żółte i czerwone zastosowania.
- Zasady pracy na danych: anonimizacja, zakaz danych wrażliwych, poziomy poufności.
- Review flow: kto zatwierdza draft, kto zatwierdza publikację, kto eskaluje ryzyko.
- Promptbook i zasady brand voice oraz stylu wizualnego dla pracy z AI.
- Log użycia AI: narzędzie, zadanie, owner, status, lokalizacja finalnego assetu.
- Reguły dla dostawców i freelancerów: disclosure, licencje, zakaz nieautoryzowanych narzędzi.
- Plan reakcji na incydent: wyciek, błędny asset, publikacja niezgodna z zasadami.
Jak zacząć: warsztat, system, wdrożenie
Dla wielu firm największym problemem nie jest brak dobrej woli - tylko brak czasu, właściciela i operacyjnego tłumaczenia strategii na praktykę. Właśnie dlatego sensowne wdrożenie AI governance dla marketingu zwykle zaczyna się od warsztatu: mapowania realnych use-case’ów, identyfikacji czerwonych linii i przeglądu obecnych narzędzi. Potem dopiero buduje się system: matrycę decyzji, Promptbook, listę zatwierdzonych narzędzi, review flow, mini-politykę AI i wzory zapisów do briefów oraz współpracy z partnerami.
Dobrze wdrożony system nie spowalnia. On usuwa zgadywanie. A to zwykle jest największy pożeracz czasu w całym procesie kreatywnym.
Shadow AI nie zniknie dlatego, że wpiszesz zakaz do regulaminu. Ono znika dopiero wtedy, gdy firma daje ludziom lepszą alternatywę: jasne zasady, akceptowane narzędzia, sensowny proces review i realne szkolenie. W marketingu to szczególnie ważne, bo właśnie tam AI potrafi dać ogromne przyspieszenie - ale też bardzo szybko zostawić ślad na jakości, tonie i wiarygodności marki.
Dlatego najlepsze governance nie działa jak hamulec ręczny. Działa jak dobrze ustawiona nawigacja: pokazuje, którędy jechać, gdzie są zakręty i gdzie kończy się asfalt. A przy tej liczbie nowych narzędzi i presji na wynik to już nie jest luksus. To element higieny pracy nowoczesnego zespołu marketingowo-kreatywnego.
Dobra polityka AI nie ma zabijać kreatywności. Ma sprawić, że kreatywność przestaje być rosyjską ruletką dla marki.
Źródła
- Microsoft, 2024 Work Trend Index: AI at Work Is Here. Now Comes the Hard Part, 8 maja 2024.
- McKinsey, The State of AI: Global Survey 2025, 5 listopada 2025.
- IBM, What Is Shadow AI?, dostep 2026.
- IBM, Four Ways Your Organization Can Lower the Security Risk From Shadow AI, dostep 2026.
- NIST, Artificial Intelligence Risk Management Framework: Generative AI Profile, lipiec 2024.
- OWASP Foundation, Top 10 for Large Language Model Applications, wersja 1.1, 2025.
- European Commission, AI Act - Application Timeline, dostep 2026.
- European Commission, First rules of the Artificial Intelligence Act are now applicable, 3 lutego 2025.
- European Commission, AI talent, skills and literacy, aktualizacja 2025.
- EDPB, AI Privacy Risks & Mitigations - Large Language Models (LLMs), 2025.
- World Federation of Advertisers, Eighty percent of brands have concerns about agency use of GenAI, 17 wrzesnia 2024.
- World Federation of Advertisers, Major multinationals identify six key IP risks of GenAI in marketing, 30 stycznia 2025.
- World Federation of Advertisers, How WFA is helping brands navigate AI use, 29 stycznia 2026.
