Na początku lipca 2026 roku pojawiła się informacja, która powinna zainteresować każdego właściciela firmy korzystającego z narzędzi AI. Alibaba - jeden z największych koncernów technologicznych na świecie - oficjalnie zakazała swoim pracownikom korzystania z Claude Code, narzędzia do programowania stworzonego przez Anthropic. Chiński gigant zaklasyfikował je jako oprogramowanie wysokiego ryzyka i umieścił na wewnętrznej liście zabronionych aplikacji.
Dla wielu osób to może wyglądać jak wewnętrzna sprawa dużej korporacji z drugiego końca świata. Ale jeśli prowadzisz firmę w Polsce i Twoi pracownicy korzystają z ChatGPT, Claude'a, Copilota czy innych asystentów AI - ta historia dotyczy bezpośrednio Ciebie. Bo pytanie nie brzmi, czy narzędzia AI są przydatne (są, i to bardzo), ale jakie dane Twoi ludzie wklejają do tych narzędzi każdego dnia.
Decyzja Alibaby to nie panika ani korporacyjna nadgorliwość. To sygnał, że nawet firmy, które same tworzą zaawansowane modele AI (Alibaba rozwija własny model Qwen), traktują kwestię bezpieczeństwa danych w kontekście zewnętrznych narzędzi AI śmiertelnie poważnie. I polskie firmy - niezależnie od wielkości - powinny wyciągnąć z tego konkretne wnioski.
Dlaczego Alibaba zakazała Claude Code?
Claude Code to narzędzie terminalowe od Anthropic, które pozwala programistom generować, edytować i analizować kod bezpośrednio w środowisku pracy. Jest niezwykle wygodne - rozumie kontekst projektu, potrafi nawigować po plikach, uruchamiać polecenia i proponować kompleksowe zmiany w kodzie. Problem w tym, że żeby działać skutecznie, potrzebuje dostępu do sporej ilości kodu źródłowego i danych projektowych.
Alibaba uznała, że ryzyko wycieku własności intelektualnej jest zbyt duże. Gdy programista używa Claude Code, fragmenty kodu firmowego trafiają na serwery Anthropic w celu przetworzenia przez model. Nawet jeśli Anthropic deklaruje, że nie wykorzystuje tych danych do trenowania modeli (w płatnych planach), sam fakt przesyłania wrażliwego kodu poza infrastrukturę firmy stanowi zagrożenie. Wystarczy luka bezpieczeństwa po stronie dostawcy, zmiana regulaminu usługi albo nakaz sądowy w innej jurysdykcji - i dane mogą trafić w niepowołane ręce.
Warto dodać kontekst geopolityczny. Alibaba to firma chińska, Anthropic to firma amerykańska. Napięcia technologiczne między USA a Chinami z pewnością wpłynęły na tę decyzję. Ale sam mechanizm problemu jest uniwersalny i dotyczy każdej firmy, która przesyła wrażliwe dane do zewnętrznego dostawcy AI - niezależnie od kraju pochodzenia.
Jak to się przekłada na polskie MŚP?
Możesz pomyśleć: „Moja firma nie jest Alibabą, nie mamy tajnego kodu źródłowego wart miliardy". To prawda, ale masz coś innego - dane klientów, umowy, oferty handlowe, wewnętrzne kalkulacje cenowe, strategie sprzedażowe. I jest spora szansa, że Twoi pracownicy już teraz wklejają te rzeczy do narzędzi AI.
Z badań Cyberhaven z 2024 roku wynika, że około 11% danych wklejanych przez pracowników do ChatGPT ma charakter poufny. W przypadku firm technologicznych ten odsetek bywa jeszcze wyższy. Nie dlatego, że ludzie chcą zaszkodzić firmie - po prostu narzędzia AI są tak wygodne, że naturalne jest wklejenie fragmentu umowy z prośbą o „poprawienie języka" albo wrzucenie arkusza z danymi sprzedażowymi z pytaniem o analizę trendów.
Dla polskiej firmy zatrudniającej 20-50 osób konsekwencje mogą być poważne. Wyobraź sobie sytuację: handlowiec wkleja do Claude'a pełną ofertę cenową dla dużego klienta, łącznie z marżami i warunkami specjalnymi. Albo księgowa prosi ChatGPT o pomoc w analizie danych finansowych, wklejając prawdziwe liczby z systemu. Albo prawnik firmy wrzuca draft umowy z danymi osobowymi kontrahentów. Każda z tych sytuacji to potencjalne naruszenie RODO, tajemnicy przedsiębiorstwa albo umów o poufności (NDA) podpisanych z klientami.
Nie chodzi o to, żeby przestać używać AI. Chodzi o to, żeby robić to świadomie.
Co konkretnie powinna zrobić polska firma?
Zamiast kopiować podejście Alibaby i zakazywać wszystkiego, polskie MŚP mogą wdrożyć kilka praktycznych rozwiązań. Oto lista działań, które nie wymagają dużego budżetu, a mogą realnie zmniejszyć ryzyko.
- Stwórz prostą politykę korzystania z AI. Nie musi to być 50-stronicowy dokument. Wystarczy jedna strona A4 z jasnymi zasadami: jakie dane można wklejać do narzędzi AI, a jakie nie. Zasada kciuka - jeśli nie wysłałbyś tych danych mailem do nieznajomego, nie wklejaj ich do ChatGPT.
- Podziel dane na kategorie. Zielone (publiczne, można swobodnie używać z AI), żółte (wewnętrzne, wymagają anonimizacji przed użyciem), czerwone (poufne, nigdy nie trafiają do zewnętrznych narzędzi). Taki prosty podział rozumie każdy pracownik.
- Wybieraj płatne plany z gwarancjami prywatności. ChatGPT Team, Claude Pro, Copilot for Business - te plany zazwyczaj zawierają zobowiązanie, że dane użytkowników nie są wykorzystywane do trenowania modeli. Koszt to 20-30 dolarów miesięcznie na osobę. Przy 10 pracownikach to około 1000-1200 złotych miesięcznie - niewielka cena za spokój.
- Rozważ lokalne modele dla wrażliwych danych. Narzędzia takie jak Ollama czy LM Studio pozwalają uruchamiać modele AI (np. Llama, Mistral, Phi) bezpośrednio na komputerze firmowym. Dane nigdy nie opuszczają Twojej infrastruktury. Jakość odpowiedzi jest niższa niż w przypadku GPT-4o czy Claude'a Sonnet, ale do wielu zadań - podsumowań, prostych analiz, generowania szkiców dokumentów - wystarczy w zupełności.
- Przeszkol ludzi. Nie wystarczy rozesłać politykę mailem. Poświęć godzinę na spotkanie zespołu, pokaż konkretne przykłady - co jest OK, a co nie. Pracownicy zwykle chcą robić dobrze, po prostu nikt im nie powiedział, gdzie jest granica.
Z mojego doświadczenia wynika, że największym problemem nie jest brak narzędzi czy technologii, ale brak świadomości. W wielu polskich firmach, z którymi rozmawiam, narzędzia AI są używane „partyzancko" - każdy na własną rękę, bez żadnych wytycznych. To tak, jakby dać pracownikom służbowe samochody bez żadnych zasad dotyczących tego, gdzie mogą jeździć i co mogą przewozić.
Regulacje, które już obowiązują (i te, które nadchodzą)
Polskie firmy działają w ramach RODO, które nakłada konkretne obowiązki dotyczące przetwarzania danych osobowych. Wklejenie danych klienta do zewnętrznego narzędzia AI to de facto przekazanie danych osobowych podmiotowi trzeciemu. Jeśli nie masz do tego podstawy prawnej (zgody klienta, uzasadnionego interesu administratora, odpowiedniej umowy powierzenia przetwarzania z dostawcą AI) - łamiesz prawo. Kary mogą sięgać 4% rocznego obrotu firmy lub 20 milionów euro - w zależności od tego, która kwota jest wyższa.
Do tego dochodzi AI Act - unijne rozporządzenie o sztucznej inteligencji, które stopniowo wchodzi w życie. Od lutego 2025 obowiązuje już zakaz systemów AI o niedopuszczalnym ryzyku, a kolejne przepisy będą wdrażane do 2027 roku. AI Act nie zakazuje korzystania z narzędzi takich jak Claude Code, ale wymaga od firm świadomego zarządzania ryzykiem związanym z AI - dokumentowania, jakie systemy AI są używane, do czego i z jakimi danymi.
Dla polskiego MŚP to oznacza, że „nie wiedzieliśmy" przestaje być wymówką. Urząd Ochrony Danych Osobowych coraz aktywniej przygląda się tematowi AI. W 2025 roku UODO wydał już kilka stanowisk dotyczących przetwarzania danych osobowych przez systemy generatywnej AI. Trend jest jasny - regulatorzy oczekują, że firmy będą wiedzieć, jakie narzędzia AI są używane w organizacji i jakie dane przez nie przepływają.
Nie mówię tego, żeby straszyć. Mówię to, żeby pokazać, że uporządkowanie kwestii AI w firmie to nie fanaberia, ale biznesowa konieczność. I lepiej zrobić to teraz, na spokojnie, niż po incydencie albo kontroli.
Praktyczny scenariusz: jak to może wyglądać w Twojej firmie
Weźmy konkretny przykład. Firma produkcyjna z Wielkopolski, 35 pracowników, eksportuje komponenty do Niemiec i Francji. Dział handlowy (4 osoby) używa ChatGPT do tłumaczeń ofert i korespondencji. Dział techniczny (6 osób) korzysta z Copilota do pisania makr w Excelu i skryptów automatyzujących procesy. Księgowość (2 osoby) czasem wkleja dane do Claude'a, żeby szybciej przygotować zestawienia.
Co powinna zrobić taka firma? Po pierwsze - zinwentaryzować, kto i do czego używa narzędzi AI. Często okazuje się, że lista jest dłuższa, niż myśli właściciel. Po drugie - wykupić firmowe konta (np. ChatGPT Team za 25 dolarów na osobę miesięcznie), które dają kontrolę nad danymi i centralny panel administracyjny. Po trzecie - ustalić proste zasady: oferty cenowe anonimizujemy przed wklejeniem (usuwamy nazwy klientów, konkretne kwoty), danych osobowych nie wklejamy nigdy, kod źródłowy własnych rozwiązań przetwarzamy tylko na lokalnych modelach.
Koszt takiego wdrożenia? Kilka godzin pracy na przygotowanie polityki, jedno spotkanie szkoleniowe, około 500-600 złotych miesięcznie na licencje. W zamian firma zyskuje spokój, porządek i gotowość na ewentualną kontrolę. A pracownicy dalej mogą korzystać z AI - po prostu robią to mądrze.
Podsumowanie
Decyzja Alibaby o zakazie Claude Code to nie egzotyczna ciekawostka, ale praktyczna lekcja dla każdej firmy korzystającej z narzędzi AI. Nie trzeba być gigantem technologicznym, żeby paść ofiarą wycieku danych albo naruszenia regulacji. Polskie MŚP mają tu nawet trudniej niż korporacje - nie mają działów bezpieczeństwa IT, prawników specjalizujących się w ochronie danych ani budżetów na zaawansowane rozwiązania.
Ale mają coś innego - elastyczność. W firmie liczącej 20 czy 50 osób zmiana zasad to kwestia jednego spotkania i prostego dokumentu. Nie trzeba przeprowadzać projektu trwającego pół roku. Wystarczy podjąć decyzję, spisać zasady, przeszkolić ludzi i wybrać odpowiednie narzędzia. To jest do zrobienia w ciągu tygodnia.
AI nie zniknie z naszych firm - i dobrze, bo daje realną przewagę konkurencyjną. Ale korzystanie z AI bez przemyślenia kwestii bezpieczeństwa danych to jak jazda samochodem bez pasów. Przez większość czasu nic się nie stanie. Ale gdy się stanie - konsekwencje mogą być bardzo bolesne. Lepiej zapiąć pasy teraz.
Źródło: Alibaba reportedly bans employees from using Claude Code - TechCrunch