Shadow AI i AI governance w social mediach: polityka, audyt

Powiązane artykuły

Szersze ujęcie tematu znajdziesz w artykule filarowym AI & automatyzacja w prowadzeniu social mediów. Powiązane decyzje omawiają szczegółowo Brand voice z AI: RAG, few-shot i ewaluacje treści do social mediów, Treści generowane przez AI a zaangażowanie: ile naprawdę kosztuje AI slop oraz Alternatywa dla Hootsuite 2026: SaaS, agregator czy self-hosted?.

Dlaczego zespoły social media potrzebują AI governance

Poparcie dla kontroli sprawowanej przez człowieka nie jest już w branży tematem pobocznym. W raporcie Social Media Trends 2026 firmy Hootsuite 91% ankietowanych marketerów określa udział człowieka w ocenie lub tworzeniu treści AI jako bardzo ważny lub kluczowy. To obraz nastrojów z globalnego badania, a nie wartość docelowa dla Twojego zespołu. Przydatny jest kierunek: zatwierdzanie nie znika z definicji, tylko przesuwa się w inne miejsce. Sprawdź na własnych przypadkach, w którym miejscu procesu rzeczywiście wyłapuje błędy.

Drugie ryzyko pojawia się obok oficjalnego procesu. Stowarzyszenie branży cyfrowej Bitkom opisuje shadow AI, czyli niekontrolowane korzystanie przez pracowników z prywatnych narzędzi AI, jako realne ryzyko dla AI governance. W swoim badaniu przeprowadzonym wśród 604 firm zatrudniających co najmniej 20 osób w Niemczech (lipiec i sierpień 2025) 8% firm zgłosiło powszechne prywatne korzystanie z AI, a kolejne 17% pojedyncze przypadki. Bitkom zaleca firmowe wytyczne, które określają, jakie narzędzia AI są dozwolone i w jakim celu, oraz zawierają obowiązki oznaczania i ujawniania treści.

W przypadku AI Act kluczowe jest to, jakie obowiązki faktycznie dotyczą zespołu social media. Nadzór ze strony człowieka i rejestrowanie zdarzeń zgodnie z art. 12, art. 14 i art. 26 obowiązują tylko w przypadku systemów wysokiego ryzyka, a treści AI do social mediów z reguły się do nich nie zaliczają. Właściwe są dwa inne artykuły. Oba są skierowane także do podmiotów stosujących, czyli firm, które wykorzystują system AI na własną odpowiedzialność, nawet jeśli same go nie opracowały. Art. 4 od 2 lutego 2025 wymaga działań wspierających kompetencje pracowników w zakresie AI. Po zmianie wprowadzonej przez omnibus cyfrowy dotyczący AI, rozporządzenie (UE) 2026/1744, nie narzuca jednak już określonego poziomu kompetencji. Art. 50 od 2 sierpnia 2026 reguluje, kiedy treści AI muszą być oznaczane. Bramki zatwierdzania i wersjonowane logi audytowe dokumentują weryfikację przez człowieka, która ma tu decydujące znaczenie.

Ile kosztuje brak kontroli, pokazuje prognoza Gartnera z komunikatu prasowego z 25 czerwca 2025. Według niej ponad 40% projektów agentic AI zostanie przerwanych do końca 2027 roku, a jako przyczyny Gartner wymienia rosnące koszty, niejasną wartość biznesową i niewystarczającą kontrolę ryzyka. W tym ujęciu governance jest warunkiem, by projekt przetrwał fazę pilotażową.

Co powinna zawierać polityka AI

Polityka to miara, według której ocenia się każde zatwierdzenie i każdą późniejszą kontrolę. Zespół social media potrzebuje w niej pięciu ustaleń:

• Dozwolone narzędzia według celu: które narzędzie jest dozwolone do szkiców, grafik, tłumaczeń lub odpowiedzi dla społeczności, przez które konto firmowe działa i kto dopuszcza nowe narzędzia. Zasada obejmuje także rozszerzenia przeglądarki i prywatne konta, w przeciwnym razie zjawisko shadow AI pozostaje nieuregulowane.
• Zakazane dane: dane klientów, inne dane osobowe, tajemnice przedsiębiorstwa i nieopublikowane kampanie nie trafiają do żadnego zewnętrznego modelu, który nie został do tego wyraźnie dopuszczony. Bitkom uważa wytyczne dotyczące ochrony tajemnic przedsiębiorstwa oraz zapobiegania naruszeniom praw autorskich i ochrony danych za szczególnie ważne.
• Zatwierdzanie: jaki poziom ryzyka wymaga jakiej weryfikacji (kolejna sekcja).
• Oznaczanie: kiedy post jest oznaczany jako treść AI, zgodnie z art. 50 AI Act i zasadami platform.
• Odpowiedzialność i kompetencje w zakresie AI: kto odpowiada za politykę, kto decyduje w razie naruszeń i jakie szkolenie jest warunkiem dostępu do narzędzi.

Zatwierdzanie według poziomów ryzyka

Proces zatwierdzania, który traktuje każdy post tak samo, staje się wąskim gardłem albo w końcu jest pomijany. Bardziej praktyczne są poziomy zależne od szkody, jaką może wyrządzić błąd:

Poziom wybiera osoba, która tworzy treść. W razie wątpliwości obowiązuje wyższy. Zatwierdzenie jest zakończone dopiero wtedy, gdy zostanie zapisane w ścieżce audytu.

Oznaczanie zgodnie z art. 50 AI Act i zasadami platform

Od 2 sierpnia 2026 art. 50 ust. 4 AI Act nakłada na podmioty stosujące systemy AI dwa obowiązki ujawniania. Po pierwsze deepfake'i: kto za pomocą AI generuje lub manipuluje treściami graficznymi, dźwiękowymi lub wideo, które stanowią deepfake, musi ujawnić, że zostały one sztucznie wygenerowane lub zmanipulowane. W przypadku utworów o oczywiście artystycznym, satyrycznym lub fikcyjnym charakterze wystarczy informacja, która nie zakłóca odbioru dzieła. Po drugie teksty: teksty generowane przez AI, które informują opinię publiczną o sprawach leżących w interesie publicznym, trzeba ujawniać. Obowiązek nie ma zastosowania, jeśli tekst sprawdził człowiek, a osoba lub firma ponosi za niego odpowiedzialność redakcyjną.

Tu zatwierdzenie ma znaczenie prawne: udokumentowana bramka zatwierdzania potwierdza weryfikację przez człowieka i odpowiedzialność redakcyjną. W przypadku deepfake'ów ten wyjątek nie istnieje, więc oznacza się je także po zatwierdzeniu. Oznakowanie w formacie nadającym się do odczytu maszynowego zgodnie z art. 50 ust. 2 to zadanie dostawców systemów AI. W przypadku systemów generatywnej AI, które były na rynku przed 2 sierpnia 2026, obowiązuje ono zgodnie z omnibusem cyfrowym dopiero od 2 grudnia 2026.

Platformy mają własne zasady, które obowiązują niezależnie od AI Act:

• Meta wyświetla etykietę „AI info”, gdy wykryje standardowe w branży oznaczenia obrazów AI lub gdy użytkownicy zadeklarują, że przesyłają treści wygenerowane przez AI.
• TikTok wymaga, aby twórcy oznaczali treści wygenerowane przez AI zawierające realistyczne obrazy, dźwięk lub wideo, etykietą „AI-generated”, naklejką lub w opisie.
• YouTube wymaga ujawniania realistycznie wyglądających treści zmienionych lub syntetycznych, na przykład gdy prawdziwa osoba mówi lub robi coś, czego nigdy nie powiedziała ani nie zrobiła. Wyjątkiem są zmiany czysto estetyczne, takie jak filtry upiększające czy korekcja kolorów.

Polityka zamienia to w zasadę, którą każdy w zespole może stosować bez dopytywania. Najprostsza brzmi: realistyczne obrazy, filmy i głosy wygenerowane przez AI oznacza się na każdej platformie.

Co zapisuje ścieżka audytu

Ścieżka audytu musi dla każdej publikacji nawet po miesiącach pokazywać, co wygenerowała AI, kto to sprawdził i co trafiło do sieci. Dlatego każdy wpis potrzebuje tych pól:

• Prompt i dane wejściowe, także przesłane pliki
• Model i wersja, przy korzystaniu z API z datą wywołania
• Źródła liczb i twierdzeń faktograficznych
• Poziom ryzyka
• Osoby weryfikujące i zatwierdzające oraz znacznik czasu każdej decyzji
• Decyzja o zatwierdzeniu wraz ze zmianami w szkicu AI
• Opublikowana wersja z platformą, linkiem i nadanym oznaczeniem
• Okres przechowywania i termin usunięcia

Okres przechowywania ustalasz z działem prawnym i działem ochrony danych. Jeśli prompty zawierają dane osobowe, obowiązuje je zasada ograniczenia przechowywania zgodnie z art. 5 ust. 1 lit. e RODO. Te same logi pomagają wykazać zgodność z art. 5 ust. 2 RODO, czyli z zasadą rozliczalności.

Kryteria oceny AI governance