Jest 2:40. Linia stoi.

Marek ma trzydzieści osiem lat i dwanaście lat w utrzymaniu ruchu. Wtorek, trzecia zmiana. Linia trzecia stanęła na serwonapędzie z kodem F-27 — nikt na zmianie nie widział tego kodu od dwóch lat. Dyżurny z IT odbierze najwcześniej o siódmej. Serwis producenta pracuje w dni robocze. Na hali stoi czterech operatorów, a każda godzina przestoju kosztuje więcej, niż Marek zarabia w miesiącu.

Marek robi to, co zrobiłby każdy dobry inżynier w 2026 roku: wyciąga telefon, fotografuje stronę dokumentacji techniczno-ruchowej (DTR) z tabelą kodów błędów, wkleja ostatnie sto linii logu ze sterownika i pisze do darmowego asystenta AI: „linia stoi, kod F-27, co sprawdzić najpierw”. Odpowiedź przychodzi w dziewięć sekund: enkoder, parametr P-114, reset. O 3:05 linia rusza. O 3:12 Marek idzie na kawę z poczuciem, że uratował zmianę. Bo uratował.

Nikt tej nocy nie zrobił nic złego. I właśnie dlatego ta historia jest groźna: w tym samym czasie, w którym linia wracała do rytmu, z fabryki wyszło coś, czego nie da się już zawrócić — strona 214 DTR z tabelą kodów błędów producenta i nastawami fabrycznymi oraz log zawierający RECIPE_ID 4471-B i ORDER 88213 / KLIENT_A. Prosto na prywatne konto w publicznym czacie AI, którego regulamin mówi, że może uczyć się na tym, co wkleisz.

Liczby, które budzą

• 78% pracowników używających AI w pracy przynosi własne narzędzia (Microsoft WTI, n = 31 000)

• 89% użycia AI w firmach jest niewidoczne dla zespołów bezpieczeństwa (LayerX, 2025)

• 8,2 GB danych miesięcznie wypływa do nieautoryzowanych AI z jednej organizacji (Netskope, 2026)

• 43% organizacji po naruszeniu miało incydent z shadow AI — rok wcześniej: 20% (IBM/Ponemon, 2026, n = 602)

To nie jest problem marginalny. Australijska agencja badawcza CSIRO przepytała 27 operatorów infrastruktury krytycznej: 26 z nich miało obserwowalne shadow AI. A według KPMG, na polskiej próbie 1 082 osób, ponad połowa używających AI w pracy nie ujawnia tego i prezentuje wyniki jako własne.

Anatomia błędu. Dlaczego Marek to zrobił?

Zanim sięgniesz po regulamin, wejdź na chwilę w buty Marka. Jeśli Twoja pierwsza myśl to „naruszenie dyscypliny”, właśnie popełniasz drugi błąd tej nocy. Ten będzie droższy niż pierwszy.

Marek miał do wyboru: czekać cztery godziny na dyżurnego IT, dzwonić do serwisu, który nie odbierze, albo zapytać narzędzie, które zna z domu, bo w nim planuje wakacje i sprawdza dzieciom wypracowania. Według PagerDuty 89% pracowników najpierw odkryło narzędzie AI prywatnie, a dopiero potem przyniosło je do pracy. Nie dostali go od firmy — przynieśli własne, jak śrubokręt, który lepiej leży w ręce niż ten z magazynu.

Marek nie jest sabotażystą. Badacze nazywają takich ludzi „constructive-intent threat”, czyli zagrożeniem o konstruktywnych intencjach: pracownik chce dobrze i właśnie dlatego eksponuje dane. Badanie 357 szwedzkich lekarzy dochodzi do tego samego z drugiej strony: nieautoryzowane użycie AI to sygnał niezaspokojonych potrzeb zawodowych, nie akt nielojalności. Lekarz pyta czat o diagnozę, bo chce pomóc pacjentowi. Mechanik wkleja kod błędu, bo linia stoi. Obaj biorą na siebie ryzyko, którego nie rozumieją, w imię celu, który rozumieją doskonale.

Spójrz na liczby z badania PagerDuty i Wakefield (n = 1 250): 81% pracowników uważa, że kierownictwo działa według innych zasad AI. 77% uważa, że restrykcje hamują ich rozwój zawodowy. 72% wierzy, że rozumieją AI lepiej niż dział technologii firmy. 28% używa shadow AI po prostu dlatego, że firma nie dała żadnej alternatywy. Sharp Europe dodaje, że 44% menedżerów w Europie używa AI potajemnie, żeby wyglądać na bardziej kompetentnych. Marek widzi, jak zachowują się jego szefowie, i wyciąga wnioski.

Jest jeszcze mechanizm, który badacze nazwali paradoksem rozkładu ryzyka i korzyści. Korzyść jest natychmiastowa i osobista: linia rusza, Marek jest bohaterem zmiany. Ryzyko jest odroczone i organizacyjne: wyciek receptury zaboli za pół roku, kogoś innego, w innym dziale. Żaden człowiek nie wygrywa z taką asymetrią o 2:40 nad ranem. Respondent badania CSIRO ujął to w zdaniu, które warto zapamiętać: „Jeśli nie dasz im narzędzi, sami znajdą sposób, żeby je zdobyć”.

Shadow AI nie jest naruszeniem dyscypliny. Jest sygnałem, że w Twojej infrastrukturze brakuje czegoś, co Marek musiał sobie dorobić sam. Ludzie tacy jak on to najambitniejsi „hakerzy efektywności” w firmie — zamiast ich karać, warto ich znaleźć.

Co znajdziesz w pełnym raporcie

Raport „Shadow AI w przemyśle” (39 stron, ok. 25 minut czytania) rozkłada tę jedną noc na części pierwsze i pokazuje drogę powrotną:

• Kaskada ryzyka — cztery osoby, cztery waluty: inżynier, kierownik produkcji, CFO i CEO płacą za tę noc każde innym

• Odruch, który pogarsza sprawę — dlaczego zakaz używania AI zwiększa ekspozycję zamiast ją zmniejszać

• Wyjście z cienia — plan ratunkowy: znajdź ukrytych championów AI, jedna polityka zamiast dziesięciu zakazów

• Macierz „co wolno wkleić i dokąd” oraz trzy horyzonty wdrożenia: dziś, w tym kwartale, w 12 miesięcy

• Jak to wygląda, kiedy działa — architektura: dane tylko do odczytu przez DMZ, trzy cyfrowi eksperci (assist, resolve, observe), model, który widzi zgłoszenie bez klienta

Daniel Stram (Head of Sales) i Jakub Duda (CTO co.brick AI)