Polityka korzystania z AI w firmie: wzór w 10 punktach i błędy

👁 118 przeczytań

Polityka korzystania z AI w firmie to jeden dokument, który mówi pracownikom, jakich narzędzi AI mogą używać, czego nie wolno do nich wklejać, jak sprawdzać wyniki i kiedy oznaczać treści. AI Act nie wymaga jej z nazwy, ale od 28 października 2026 KRiBSI może zapytać w kontroli, jakie środki firma podjęła w ramach art. 4. Spisana polityka z datą to najprostszy dowód. Poniżej mój wzór w 10 punktach i błędy, które widzę najczęściej.

Czy polityka korzystania z AI jest obowiązkowa?

Przepisy AI Act nie zawierają słowa „polityka” w odniesieniu do zwykłej firmy, która używa ChatGPT, Copilota czy Gemini. Obowiązek, który dotyczy praktycznie każdej takiej firmy, to art. 4. Od 27 lipca 2026, po zmianie rozporządzeniem (UE) 2026/1744, brzmi on tak, że dostawcy i podmioty stosujące „podejmują środki, które wspierają rozwój kompetencji w zakresie AI” wśród swojego personelu. Przepis wprost dodaje, że nie oznacza to obowiązku zapewnienia określonego poziomu wiedzy u każdej osoby. Szerzej rozpisałem to w tekście o art. 4 i szkoleniach AI dla firm.

Komisja Europejska w pytaniach i odpowiedziach o kompetencjach w zakresie AI pisze, że certyfikat nie jest potrzebny i wystarczy wewnętrzny rejestr szkoleń i innych działań. Polityka jest właśnie takim „innym działaniem”: pokazuje, że firma ustaliła zasady i przekazała je ludziom. Czytam to tak:

• brak polityki nie jest samodzielnym naruszeniem AI Act,
• art. 4 nie jest wymieniony w progach kar z art. 99 ust. 3-5, więc nie straszę tu karą za brak dokumentu,
• polityka pomaga wykazać należytą staranność, gdy coś pójdzie źle - np. pracownik wklei dane klienta do prywatnego konta czatu albo opublikuje nieoznaczonego deepfake’a.

Polska ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) daje KRiBSI prawo do żądania dokumentów i wyjaśnień w kontroli (art. 52). Kontrola jest z zasady zdalna (art. 49 ust. 3), więc polityka powinna istnieć w formie elektronicznej, z wersją i datą.

Co musi być w polityce: 10 punktów

Ułożyłem punkty tak, żeby każdy odpowiadał na jedno pytanie pracownika. Kolejność nie jest przypadkowa: najpierw zakres i narzędzia, potem dane, na końcu odpowiedzialność.

Wzór polityki korzystania z AI

Poniżej mój szkielet. Nawiasy kwadratowe to miejsca do uzupełnienia. To projekt do zatwierdzenia przez firmę, nie gotowy dokument prawny.

1. Zakres. Polityka obowiązuje wszystkie osoby, które w imieniu [nazwa firmy] używają narzędzi AI w pracy: pracowników, współpracowników na umowach cywilnych i podwykonawców pracujących na kontach firmy.
2. Dozwolone narzędzia. Wolno używać wyłącznie narzędzi z rejestru narzędzi AI prowadzonego przez [osoba lub dział], w wersji firmowej. Konta prywatne do zadań służbowych są niedozwolone.
3. Nowe narzędzia. Nowe narzędzie, wtyczkę albo funkcję AI w używanym programie zgłaszam do [osoba]. Do czasu wpisu do rejestru nie przetwarzam w nim danych firmy.
4. Dane. Do narzędzi AI nie wklejam: danych osobowych klientów i pracowników, danych objętych tajemnicą przedsiębiorstwa lub umową o poufności, haseł i kluczy dostępu, [inne kategorie].
5. Weryfikacja. Każdy wynik AI, który trafia do klienta albo do publikacji, sprawdza człowiek. Liczby, nazwy, cytaty i przepisy sprawdzam w źródle.
6. Oznaczanie. Realistyczny obraz, wideo albo audio wygenerowane lub zmienione przez AI oznaczam przy publikacji. Tekst o sprawach publicznych z AI publikuję po weryfikacji przez osobę odpowiedzialną albo z oznaczeniem.
7. Chatboty. Chatbot w kontakcie z klientem informuje na początku rozmowy, że jest systemem AI.
8. Zakazy. Firma nie używa AI do rozpoznawania emocji pracowników ani do innych praktyk z art. 5 AI Act.
9. Zgłoszenia. Błąd, wyciek lub wątpliwość zgłaszam do [osoba, adres e-mail] tego samego dnia.
10. Szkolenie i przegląd. Każda osoba objęta polityką przechodzi szkolenie z korzystania z AI. Polityka jest przeglądana co [6 albo 12] miesięcy i przy każdym nowym narzędziu. Wersja [numer] z dnia [data], zatwierdził [osoba].

Jeśli nie chcesz przepisywać szkieletu ręcznie, w moim serwisie Biegli w AI jest darmowy generator polityki AI dla firmy: wypełniasz pięć sekcji (firma, dozwolone narzędzia, zastosowania, czego nie wklejać, sytuacje szczególne) i pobierasz projekt w Word albo PDF. To mój projekt, więc piszę o nim jako autor, nie jako niezależny recenzent.

Najczęstsze błędy w politykach AI

Te błędy powtarzają się we wzorach polityk AI najczęściej:

• Zakaz wszystkiego. „Zakazuje się korzystania z narzędzi AI” na papierze, a w praktyce połowa zespołu używa prywatnych kont. Polityka, która nie ma szans być przestrzegana, jest gorsza niż żadna, bo pokazuje, że firma wiedziała o problemie.
• Lista narzędzi bez wersji. „ChatGPT dozwolony” nic nie mówi. Różnica między kontem prywatnym a firmowym z umową dotyczy tego, co dzieje się z danymi.
• Brak właściciela. Nikt nie odpowiada za aktualizację, więc po pół roku lista narzędzi jest nieaktualna.
• Kopiowanie wzoru z innej branży. Polityka kancelarii prawnej nie pasuje do agencji reklamowej. Art. 4 każe uwzględnić kontekst, w którym systemy są używane.
• Straszenie karami z AI Act. Wzory, które piszą o „karze do 35 mln euro za brak szkolenia”, mijają się z przepisami - ten próg dotyczy zakazanych praktyk z art. 5, o czym piszę w tekście o karach w AI Act.
• Pominięcie funkcji AI w zwykłych programach. Asystent w pakiecie biurowym, CRM czy narzędziu do tłumaczeń to też AI. Polityka, która mówi tylko o czatach, ma dziurę.
• Brak oznaczania treści. Od 2 sierpnia 2026 obowiązuje art. 50. Zespół marketingu musi wiedzieć, kiedy etykieta jest potrzebna - szczegóły w tekście o oznaczaniu deepfake’ów.
• Polityka bez szkolenia. Dokument wysłany mailem z prośbą o „zapoznanie się” to słaby dowód działań z art. 4. Lepiej połączyć go z krótkim szkoleniem i listą uczestników.

Jak wdrożyć politykę w 5 krokach

1. Spisz narzędzia. Zanim napiszesz zasady, sprawdź, czego ludzie naprawdę używają. Wystarczy krótka ankieta w działach i jedna tabela - pola opisałem przy wzorze rejestru narzędzi AI w Biegli w AI.
2. Napisz projekt na podstawie 10 punktów powyżej. Celuj w 1-2 strony.
3. Daj do przeglądu osobie od danych osobowych i komuś z działu, który najczęściej używa AI. Ten drugi powie, które zakazy są nierealne.
4. Zatwierdź i opublikuj z numerem wersji i datą. Zapisz, kto zatwierdził.
5. Przeszkol ludzi i zbierz potwierdzenia. Lista z datą to dokument, który pokażesz w kontroli.

Pełną listę dokumentów, które dobrze mieć przed kontrolą, opisuję w przewodniku po AI Act w sekcji z checklistą dla firmy.

Polityka a pozostałe dokumenty

W mniejszej firmie wszystkie cztery mogą być jednym plikiem z czterema rozdziałami. Liczy się to, żeby były spójne i miały daty.

Najczęstsze pytania

Czy mała firma musi mieć politykę AI?

AI Act nie wymaga osobnego dokumentu. Art. 4 dotyczy jednak każdej firmy, której ludzie używają AI w pracy, także jednoosobowej działalności. Krótka polityka to najprostszy sposób, żeby pokazać, jakie środki podjąłeś.

Kto powinien zatwierdzić politykę korzystania z AI?

Osoba, która może wymagać jej przestrzegania: właściciel, zarząd albo dyrektor operacyjny. Warto dopisać, kto jest jej właścicielem na co dzień.

Czy polityka AI zastępuje szkolenie?

Nie. Komisja Europejska w Q&A o art. 4 pisze, że samo przeczytanie instrukcji obsługi narzędzia zwykle nie wystarcza. Polityka i szkolenie uzupełniają się.

Czy w polityce trzeba wymienić konkretne narzędzia?

Moim zdaniem tak, albo odesłać do rejestru narzędzi. Ogólne „narzędzia AI” nie mówią pracownikowi, czy jego wtyczka do przeglądarki jest dozwolona.

Jak często aktualizować politykę AI?

Co 6-12 miesięcy i za każdym razem, gdy firma wprowadza nowe narzędzie albo zmieniają się przepisy. Najbliższe daty to 28 października 2026 (kontrole KRiBSI) i 2 grudnia 2026 (koniec okresu przejściowego dla znakowania maszynowego z art. 50 ust. 2).

To nie jest porada prawna - przy wątpliwościach w konkretnej sprawie skonsultuj politykę z prawnikiem albo złóż do KRiBSI wniosek o opinię indywidualną (od 28.10.2026, opłata 150 zł).