Polityka AI w firmie. Co powinno się w niej znaleźć
Polityka AI nie musi być długa. Dokument na dwie, trzy strony, który pracownik przeczyta przy kawie, zrobi więcej niż dwadzieścia stron, które powstały w dziale IT, przeszły przez zarząd i od tamtej pory leżą w intranecie. Poniżej osiem elementów, które warto w niej mieć, i powody, dla których temat nie powinien już czekać.
Dlaczego teraz
AI Act od 2 lutego 2025 r. zobowiązuje firmy korzystające z systemów AI do działań wspierających kompetencje osób, które z tych systemów korzystają. Po zmianach wprowadzonych w 2026 r. przepisy nie wymagają osiągnięcia określonego poziomu wiedzy, ale firma powinna umieć pokazać, co w tym kierunku zrobiła. Polityka i szkolenie to najprostszy dowód.
Od 2 sierpnia 2026 r. stosuje się obowiązki przejrzystości, m.in. informowanie, że rozmowa toczy się z chatbotem. 28 października 2026 r. weszła w życie polska ustawa o systemach sztucznej inteligencji i powstała Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która może te obowiązki egzekwować. Do tego dochodzi RODO i zwykłe zobowiązania do poufności wobec klientów.
Osiem elementów dobrej polityki
1. Kogo dotyczy
Pracowników, ale też stałych współpracowników na umowach B2B i zleceniach. W wielu firmach to właśnie oni najczęściej korzystają z własnych narzędzi.
2. Z jakich narzędzi wolno korzystać
Krótka lista zatwierdzonych narzędzi i informacja, na jakich kontach: firmowych czy prywatnych. Różnica jest zasadnicza. Warunki kont prywatnych często pozwalają dostawcy wykorzystywać wprowadzone treści, w planach firmowych da się to zazwyczaj wyłączyć, a z dostawcą zawrzeć umowę powierzenia danych.
3. Czego nie wklejać
Dane osobowe klientów i pracowników, informacje objęte tajemnicą przedsiębiorstwa, treści otrzymane od klientów z klauzulą poufności. Lepiej podać trzy konkretne przykłady z życia firmy niż ogólną formułę o „informacjach wrażliwych”.
4. Kto sprawdza wynik
Zasada, że tekst, analiza czy kod wygenerowany przez AI przechodzi przez człowieka, zanim trafi do klienta albo wpłynie na decyzję dotyczącą innej osoby. Najlepiej z nazwanym właścicielem tego kroku.
5. Kiedy informujemy, że to AI
Chatbot na stronie, automatyczne odpowiedzi w obsłudze klienta, generowane obrazy i nagrania. Tu polityka powinna wprost odsyłać do obowiązków przejrzystości.
6. Czego nie robimy w ogóle
AI Act zakazuje m.in. systemów rozpoznawania emocji w miejscu pracy, poza zastosowaniami medycznymi i związanymi z bezpieczeństwem. Osobno warto opisać zastosowania w HR, bo narzędzia do selekcji kandydatów i oceny pracowników to systemy wysokiego ryzyka z wymogami stosowanymi od 2 grudnia 2027 r.
7. Szkolenia i odpowiedzialność
Kto prowadzi szkolenie, jak często i gdzie zostaje po nim ślad. Do tego jedna osoba, która odpowiada za aktualność polityki.
8. Co zrobić, gdy coś pójdzie nie tak
Pracownik wkleił dane klienta do niewłaściwego narzędzia albo wysłał tekst z błędem wygenerowanym przez AI. Powinien wiedzieć, komu to zgłosić i że szybkie zgłoszenie jest lepsze niż ukrywanie problemu. Przy danych osobowych liczy się czas, bo naruszenie, które niesie ryzyko dla osób, trzeba zgłosić Prezesowi UODO w ciągu 72 godzin.
Dwa częste błędy
Całkowity zakaz. Brzmi bezpiecznie, ale zwykle kończy się tym, że ludzie korzystają z AI dalej, tylko po cichu i na prywatnych kontach. Firma traci wtedy kontrolę nad tym, gdzie trafiają jej dane.
Polityka bez właściciela. Narzędzia zmieniają się co kilka miesięcy. Dokument, którego nikt nie aktualizuje, po roku opisuje świat, którego już nie ma.
Stan prawny: 31 października 2026 r.