Polityka AI w firmie – co powinna zawierać? | Pasternak Business Law, prawnik biznesowy dla firm

Polityka AI w firmie najczęściej nie zaczyna się od oficjalnej decyzji zarządu.

Ktoś w marketingu poprawia tekst w ChatGPT. Handlowiec skraca ofertę. Dział HR porównuje CV kandydatów. Programista pyta model o fragment kodu, a pracownik administracji przygotowuje podsumowanie dokumentu przesłanego przez klienta.

Po kilku tygodniach firma korzysta z AI w kilku działach, chociaż nikt nie ustalił, jakie informacje można wprowadzać do tych narzędzi, kto powinien weryfikować odpowiedzi i co zrobić, gdy pracownik przez pomyłkę prześle dane klienta.

Właśnie ten problem ma rozwiązywać polityka AI w firmie.

Nie chodzi o kolejny dokument, który zostanie podpisany przez zarząd i zapomniany. Dobra polityka korzystania ze sztucznej inteligencji powinna być praktyczną instrukcją. Ma odpowiadać na pytania, które rzeczywiście pojawiają się w codziennej pracy:

z jakich narzędzi AI można korzystać,
jakich danych nie wolno do nich wprowadzać,
kto sprawdza wygenerowane treści,
kiedy potrzebna jest zgoda przełożonego,
jak oznaczać określone materiały,
komu zgłosić błąd lub incydent,
kto odpowiada za wdrożenie i aktualizowanie zasad.

Znaczenie tych kwestii wzrosło po 2 sierpnia 2026 r., kiedy zaczęła być stosowana większość przepisów unijnego AI Act. Jednocześnie korzystanie ze sztucznej inteligencji nadal musi być oceniane w świetle RODO, tajemnicy przedsiębiorstwa, prawa pracy, cyberbezpieczeństwa, praw autorskich oraz umów zawartych z klientami i dostawcami technologii.

Najważniejsze w skrócie:

Polityka AI nie jest dokumentem obowiązkowym z nazwy dla każdej firmy. Może jednak pomóc uporządkować korzystanie ze sztucznej inteligencji, ograniczyć ryzyko ujawnienia danych oraz wykazać, że organizacja świadomie zarządza wykorzystywanymi systemami AI.

Zakres dokumentu powinien zależeć od tego, czy firma używa AI wyłącznie do redagowania tekstów, czy wdraża ją także w HR, sprzedaży, obsłudze klienta, scoringu, AML, analizie danych albo podejmowaniu decyzji.

Czy polityka AI w firmie jest obowiązkowa?

AI Act nie zawiera przepisu, zgodnie z którym każdy przedsiębiorca musi posiadać dokument nazwany „polityką AI” albo „regulaminem korzystania ze sztucznej inteligencji”.

Nie oznacza to jednak, że firma może korzystać z AI bez żadnych zasad.

Obowiązki przedsiębiorcy zależą przede wszystkim od jego roli, rodzaju systemu oraz sposobu jego wykorzystywania. Inna będzie sytuacja firmy, której pracownicy używają narzędzia generatywnego do tworzenia roboczych treści, a inna przedsiębiorcy wdrażającego system oceniający kandydatów do pracy lub analizujący wiarygodność klientów.

Więcej o rolach przedsiębiorcy, klasyfikacji systemów i podejściu opartym na ryzyku piszemy w artykule AI Act w firmie – obowiązki przedsiębiorcy.

Jednym z obowiązków, który może dotyczyć bardzo szerokiej grupy firm, jest rozwijanie kompetencji w zakresie AI.

Zgodnie z art. 4 AI Act dostawcy i podmioty stosujące systemy AI powinny podejmować działania wspierające rozwój kompetencji osób, które korzystają z takich systemów w ich imieniu. Należy przy tym uwzględniać między innymi wiedzę i doświadczenie pracowników, ich wykształcenie, sposób używania systemu oraz ryzyka związane z konkretnym zastosowaniem.

Komisja Europejska wyjaśnia, że nie istnieje jedno obowiązkowe szkolenie ani jeden poziom wiedzy odpowiedni dla wszystkich organizacji. Firma korzystająca z prostego generatora tekstu będzie potrzebowała innych działań niż fintech wdrażający AI do analizy transakcji. Szczegółowe informacje znajdują się w oficjalnych pytaniach i odpowiedziach Komisji Europejskiej dotyczących kompetencji AI.

Polityka AI może być jednym z elementów takiego procesu. Nie zastąpi szkolenia, analizy ryzyka ani kontroli nad narzędziami, ale może utrwalić zasady i podział odpowiedzialności.

W praktyce polityka jest szczególnie potrzebna, gdy:

z narzędzi AI korzysta więcej niż jeden dział,
pracownicy przetwarzają dane klientów lub kontrahentów,
firma tworzy przy pomocy AI treści kierowane do klientów,
system wspiera decyzje dotyczące pracowników lub użytkowników,
AI jest połączona z bazami danych, CRM albo systemem wewnętrznym,
przedsiębiorca działa w sektorze regulowanym,
z AI korzystają zewnętrzni współpracownicy,
firma zamawia lub rozwija własne rozwiązanie AI.

Samo przyjęcie polityki nie oznacza automatycznie zgodności z AI Act lub RODO. Dokument musi odpowiadać rzeczywistym procesom. Polityka skopiowana z internetu, która zabrania działań powszechnie wykonywanych przez pracowników, nie rozwiązuje problemu. Tworzy jedynie pozór kontroli.

Co powinna zawierać polityka AI w firmie?

Nie ma jednego uniwersalnego wzoru polityki AI. Dokument powinien zostać dopasowany do wielkości organizacji, branży, wykorzystywanych narzędzi i rodzaju danych.

W niewielkiej spółce wystarczająca może być kilkustronicowa instrukcja. W organizacji technologicznej lub regulowanej polityka może wymagać dodatkowych załączników, rejestru systemów, procedury akceptacji nowych narzędzi oraz osobnych zasad dla HR, marketingu, sprzedaży i IT.

Poniższe elementy stanowią punkt wyjścia do przygotowania dokumentu.

Cel i zakres stosowania polityki

Na początku należy wyjaśnić, po co firma wprowadza politykę oraz kogo ona dotyczy.

Dokument może obejmować:

pracowników,
członków zarządu,
współpracowników B2B,
stażystów,
podwykonawców,
zewnętrzne agencje,
konsultantów korzystających z AI w imieniu firmy.

Warto również wskazać, czy polityka dotyczy tylko narzędzi udostępnionych przez organizację, czy także prywatnych kont i bezpłatnych aplikacji używanych do wykonywania obowiązków służbowych.

Brak takiego rozróżnienia bywa źródłem problemów. Firma może kupić bezpieczniejsze konto biznesowe, podczas gdy pracownicy nadal korzystają z prywatnych, bezpłatnych wersji narzędzi.

Definicja narzędzi objętych polityką

Polityka nie powinna ograniczać się do jednego produktu, na przykład ChatGPT.

Sztuczna inteligencja może być wbudowana w program pocztowy, pakiet biurowy, CRM, narzędzie rekrutacyjne, system księgowy, platformę marketingową albo aplikację do obsługi klientów. Czasami pracownik korzysta z funkcji AI, nawet nie traktując jej jako osobnego systemu.

Dokument może obejmować między innymi:

generatory tekstu, obrazu, dźwięku i wideo,
chatboty i voiceboty,
asystentów spotkań,
narzędzia do tłumaczeń i transkrypcji,
systemy rekomendacyjne,
rozwiązania do analizy dokumentów,
narzędzia do generowania i sprawdzania kodu,
systemy wspierające rekrutację,
scoring, wykrywanie nadużyć i analizę ryzyka,
agentów AI wykonujących zadania w innych aplikacjach.

Definicja powinna być na tyle szeroka, aby dokument nie stracił aktualności po wdrożeniu nowego narzędzia, ale jednocześnie musi pozostać zrozumiała dla pracowników.

Lista narzędzi dozwolonych, warunkowo dozwolonych i zabronionych

Jednym z najbardziej praktycznych elementów polityki jest lista zatwierdzonych rozwiązań.

Można podzielić je na trzy grupy:

Kategoria	Znaczenie	Przykładowa zasada
Narzędzia dozwolone	Firma sprawdziła dostawcę, warunki korzystania i ustawienia	Można używać w celach służbowych zgodnie z polityką
Narzędzia warunkowo dozwolone	Korzystanie wymaga zgody lub dodatkowego zabezpieczenia	Dozwolone tylko bez danych osobowych i informacji poufnych
Narzędzia zabronione	Firma nie akceptuje poziomu ryzyka	Zakaz używania do celów służbowych

Lista nie powinna być zamknięta na stałe. Dostawcy zmieniają regulaminy, modele działania, lokalizację przetwarzania danych i funkcje swoich produktów. Dlatego należy określić, kto zatwierdza nowe narzędzia i jak często lista jest aktualizowana.

Przed wdrożeniem płatnego systemu warto przeanalizować nie tylko sam regulamin, lecz także umowę, zakres odpowiedzialności, zasady wykorzystywania danych oraz możliwość zakończenia współpracy. W zależności od modelu usługi pomocna może być analiza umowy SaaS albo szerszej umowy wdrożeniowej IT.

Zasady wprowadzania danych do systemów AI

To jedna z najważniejszych części polityki.

Pracownik powinien wiedzieć, że wpisanie informacji do narzędzia AI może oznaczać przekazanie jej zewnętrznemu dostawcy. Znaczenie mają warunki konkretnej usługi, rodzaj konta, ustawienia prywatności, sposób przechowywania danych oraz to, czy dane mogą być wykorzystywane do rozwoju produktu.

Nie należy więc opierać bezpieczeństwa na założeniu, że „przecież to tylko rozmowa z chatbotem”.

Polityka powinna określać:

jakie dane można wprowadzać,
jakie dane wymagają anonimizacji,
jakich informacji nie wolno przesyłać,
kiedy potrzebna jest zgoda przełożonego,
czy można dodawać załączniki,
czy można łączyć narzędzie z firmową pocztą, CRM lub dyskiem,
jakie ustawienia konta należy stosować,
czy historia rozmów powinna być wyłączona lub usuwana.

Samo usunięcie imienia i nazwiska nie zawsze oznacza skuteczną anonimizację. Osobę można czasem rozpoznać na podstawie stanowiska, nazwy projektu, treści umowy, historii transakcji albo zestawienia kilku informacji.

Ochrona danych osobowych i zgodność z RODO

AI Act i RODO to odrębne regulacje, które mogą mieć zastosowanie równolegle.

Jeżeli system AI wykorzystuje dane osobowe, firma powinna przeanalizować między innymi:

cel przetwarzania,
podstawę prawną,
zakres niezbędnych danych,
okres ich przechowywania,
obowiązki informacyjne,
dostęp osób trzecich,
transfer danych poza Europejski Obszar Gospodarczy,
zabezpieczenia techniczne i organizacyjne,
prawa osób, których dane dotyczą.

Jeżeli dostawca narzędzia przetwarza dane osobowe w imieniu przedsiębiorcy, może być potrzebna umowa powierzenia przetwarzania zgodna z art. 28 RODO. Nie należy jednak zakładać, że dostawca zawsze będzie podmiotem przetwarzającym. Jego rola zależy od tego, kto ustala cele i sposoby wykorzystywania danych.

W przypadku procesów mogących powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych konieczna może być ocena skutków dla ochrony danych, czyli DPIA. Dotyczy to w szczególności rozwiązań wykorzystujących nowe technologie, szeroko zakrojonego profilowania lub systematycznego monitorowania.

Szczególną ostrożność należy zachować przy podejmowaniu decyzji opartych wyłącznie na automatycznym przetwarzaniu, jeżeli decyzja wywołuje wobec człowieka skutki prawne lub w podobny sposób istotnie na niego wpływa. Nie każda rekomendacja wygenerowana przez AI jest decyzją automatyczną w rozumieniu art. 22 RODO. Znaczenie ma rzeczywista rola człowieka oraz możliwość samodzielnej oceny i zmiany wyniku.

Aktualne materiały dotyczące relacji pomiędzy sztuczną inteligencją a ochroną danych publikuje Urząd Ochrony Danych Osobowych. Podstawowe zasady przetwarzania wynikają natomiast z RODO.

Zasady weryfikowania wyników AI

Narzędzie AI może przygotować przekonującą odpowiedź, która zawiera nieaktualne dane, błędne obliczenia, nieistniejące źródła albo nieprawidłową interpretację dokumentu.

Dlatego polityka powinna jednoznacznie wskazywać, że wynik systemu nie może być uznany za prawidłowy wyłącznie dlatego, że brzmi profesjonalnie.

Zakres weryfikacji powinien zależeć od znaczenia materiału.

Szczególnego sprawdzenia wymagają:

informacje prawne i podatkowe,
dane finansowe,
wyliczenia,
cytaty i źródła,
tłumaczenia umów,
oferty dla klientów,
dokumentacja techniczna,
odpowiedzi na reklamacje,
informacje dotyczące zdrowia lub bezpieczeństwa,
materiały wpływające na decyzje o zatrudnieniu, finansowaniu lub zawarciu umowy.

Polityka może określać kilka poziomów kontroli. Robocza notatka dla pracownika może wymagać zwykłego sprawdzenia, podczas gdy oferta dla klienta, dokument prawny lub decyzja dotycząca pracownika powinny zostać zweryfikowane przez osobę posiadającą odpowiednie kompetencje.

Człowiek nie powinien pełnić wyłącznie symbolicznej funkcji polegającej na kliknięciu „zatwierdź”. Musi mieć czas, wiedzę i uprawnienie do zakwestionowania wyniku systemu.

Zasady tworzenia i publikowania treści

Polityka powinna określać, czy i w jaki sposób firma może używać AI do tworzenia:

artykułów,
postów w mediach społecznościowych,
reklam,
grafik,
materiałów wideo,
ofert,
opisów produktów,
komunikacji z klientami.

Od 2 sierpnia 2026 r. stosowane są obowiązki transparentności przewidziane w art. 50 AI Act. Nie oznacza to, że każda treść poprawiona przy pomocy AI musi zostać publicznie oznaczona.

Inne zasady dotyczą chatbota rozmawiającego z klientem, inne materiału deepfake, a jeszcze inne tekstu przygotowanego przy pomocy systemu generatywnego i następnie poddanego rzeczywistej kontroli redakcyjnej.

Szczegółowe omówienie znajduje się w artykule AI Act – kiedy oznaczać treści AI, chatboty i deepfake?.

Polityka może wskazywać:

kto odpowiada za weryfikację materiału,
kiedy potrzebne jest oznaczenie,
kto zatwierdza publikację,
jakie źródła należy sprawdzić,
czy wolno generować wizerunek lub głos konkretnej osoby,
jak dokumentować kontrolę redakcyjną.

Poufność, tajemnica przedsiębiorstwa i informacje klientów

Nie każda informacja poufna jest daną osobową. Ochrona danych nie wyczerpuje więc wszystkich ryzyk.

Do narzędzia AI mogą trafić:

projekt nieogłoszonej transakcji,
marże i warunki handlowe,
strategia negocjacyjna,
lista klientów,
dane o produkcie przed premierą,
informacje o planowanej inwestycji,
dokumentacja technologiczna,
niepubliczne wyniki finansowe,
fragmenty umów zawierających klauzulę poufności.

Wprowadzenie takich informacji do zewnętrznego systemu może naruszać obowiązki wynikające z umowy, wewnętrznych zasad bezpieczeństwa lub przepisów o zwalczaniu nieuczciwej konkurencji.

Polityka powinna zawierać prostą zasadę: jeśli pracownik nie może przesłać określonego dokumentu przypadkowej osobie spoza firmy, nie powinien wklejać go do niezatwierdzonego narzędzia AI.

Prawa autorskie, licencje i kod źródłowy

Korzystanie z generatywnej AI może rodzić pytania o prawa do materiałów wejściowych i wygenerowanych rezultatów.

Przedsiębiorca powinien sprawdzić między innymi:

czy wolno przesyłać do systemu materiały należące do klienta,
jakie prawa użytkownik uzyskuje do wygenerowanych treści,
czy rezultat może zawierać elementy podobne do cudzych utworów,
czy można wykorzystać wygenerowaną grafikę w reklamie,
jakie zasady dotyczą kodu tworzonego z pomocą AI,
czy warunki dostawcy pozwalają na komercyjne wykorzystanie rezultatu.

Nie należy zakładać, że każdy materiał wygenerowany przez AI automatycznie podlega ochronie prawnoautorskiej albo że firma uzyskuje do niego pełną wyłączność. Znaczenie może mieć rzeczywisty twórczy wkład człowieka, charakter materiału oraz regulamin konkretnego narzędzia.

W projektach technologicznych warto połączyć politykę AI z zasadami dotyczącymi praw do kodu i własności intelektualnej.

Odpowiedzialność i podejmowanie decyzji

Polityka powinna wskazywać, kto odpowiada za końcowy rezultat pracy wykonanej przy pomocy AI.

Odpowiedzialności nie można przenieść na system ani wyłączyć zdaniem: „taką odpowiedź wygenerował model”.

Firma powinna określić:

kto może korzystać z danego narzędzia,
kto zatwierdza jego wdrożenie,
kto odpowiada za weryfikację wyniku,
kto podejmuje ostateczną decyzję,
kiedy konieczna jest konsultacja z działem prawnym, IT, compliance lub inspektorem ochrony danych.

W procesach dotyczących zatrudnienia, oceny pracownika, przyznania finansowania, ustalenia ceny lub odmowy świadczenia usługi rola człowieka powinna być rzeczywista. Osoba kontrolująca system musi rozumieć jego ograniczenia i mieć możliwość zmiany decyzji.

Zgłaszanie błędów i incydentów

Pracownik powinien wiedzieć, co zrobić, gdy:

prześle do systemu niewłaściwy dokument,
ujawni dane klienta,
AI wygeneruje nieprawdziwą informację przekazaną odbiorcy,
pojawi się podejrzenie naruszenia praw autorskich,
narzędzie podejmie nieprawidłowe działanie,
pracownik użyje niezatwierdzonej aplikacji,
chatbot przekaże klientowi błędną instrukcję.

Polityka powinna wskazywać osobę lub adres, na który należy wysłać zgłoszenie, oraz podstawowe działania zabezpieczające.

Nie warto tworzyć procedury, która zniechęca do informowania o pomyłkach. Szybkie zgłoszenie często pozwala ograniczyć skutki zdarzenia, usunąć przesłane dane, skontaktować się z dostawcą albo skorygować błędną komunikację.

Szkolenia i dokumentowanie działań

Samo przesłanie pracownikom dokumentu e-mailem może nie wystarczyć.

Szkolenie powinno odnosić się do narzędzi rzeczywiście używanych w organizacji. Innego przygotowania potrzebuje dział marketingu, innego HR, a jeszcze innego osoby wdrażające system AI w produkcie lub usłudze.

Program może obejmować:

podstawowe zasady działania generatywnej AI,
ryzyko błędnych odpowiedzi,
zasady ochrony danych,
informacje poufne,
weryfikację źródeł,
oznaczanie treści,
prawa autorskie,
zgłaszanie incydentów,
zasady korzystania z konkretnych aplikacji.

AI Act nie wymaga jednego rodzaju certyfikatu ani identycznego szkolenia dla wszystkich pracowników. Warto jednak zachować dowody podjętych działań, na przykład listę uczestników, program szkolenia, datę udostępnienia instrukcji i potwierdzenia zapoznania się z polityką.

Jakich informacji nie wpisywać do ChatGPT i innych narzędzi AI?

Najbezpieczniejsza zasada brzmi: przed przesłaniem informacji należy ustalić, czy firma zaakceptowała dane narzędzie, jego ustawienia i warunki korzystania.

Szczególnej ostrożności wymagają następujące informacje:

Rodzaj informacji	Przykład	Główne ryzyko
Dane klientów	historia współpracy, dane kontaktowe, reklamacje	naruszenie RODO i poufności
Dane pracowników	CV, ocena pracy, wynagrodzenie, informacje zdrowotne	RODO i prawo pracy
Umowy i dokumenty prawne	projekt umowy, pozew, opinia prawna	poufność i tajemnica zawodowa
Informacje finansowe	marże, prognozy, wyniki przed publikacją	szkoda biznesowa i poufność
Dane logowania	hasła, tokeny, klucze API	cyberbezpieczeństwo
Kod źródłowy	fragment aplikacji lub repozytorium klienta	utrata poufności i prawa do kodu
Informacje o transakcjach	inwestycja, przejęcie, negocjacje	naruszenie NDA i tajemnicy przedsiębiorstwa
Dane szczególnych kategorii	zdrowie, biometria, poglądy, przynależność związkowa	podwyższone ryzyko naruszenia RODO

Nie oznacza to, że wykorzystanie AI do analizy dokumentów zawierających dane zawsze jest niedopuszczalne.

Firma może korzystać z rozwiązania wdrożonego w kontrolowanym środowisku, objętego odpowiednią umową, zabezpieczeniami i konfiguracją. Ocena zależy jednak od konkretnego dostawcy, modelu usługi, rodzaju danych i celu przetwarzania.

Anonimizacja również nie powinna polegać wyłącznie na zamianie imienia na inicjały. Należy sprawdzić, czy osoba, klient albo projekt nadal mogą zostać rozpoznane na podstawie pozostałych informacji.

Jak wdrożyć politykę AI krok po kroku?

Polityki AI nie warto pisać przed ustaleniem, jak firma rzeczywiście korzysta ze sztucznej inteligencji.

Praktyczny proces może wyglądać następująco.

Krok 1. Zidentyfikuj wykorzystywane narzędzia

Zapytaj poszczególne działy, z jakich funkcji AI korzystają. Należy uwzględnić nie tylko oficjalnie zakupione aplikacje, lecz także bezpłatne narzędzia, prywatne konta i funkcje wbudowane w inne systemy.

Krok 2. Ustal cele i przepływy danych

Dla każdego rozwiązania warto ustalić:

kto z niego korzysta,
do czego jest wykorzystywane,
jakie dane otrzymuje,
z jakimi systemami jest połączone,
jakie wyniki generuje,
kto korzysta z tych wyników.

Dopiero na tej podstawie można ocenić rzeczywiste ryzyko.

Krok 3. Określ rolę firmy na gruncie AI Act

Firma może być podmiotem stosującym gotowy system, jego dostawcą, importerem, dystrybutorem albo podmiotem modyfikującym rozwiązanie.

Szczególnej analizy wymagają projekty, w których przedsiębiorca udostępnia system pod własną marką, istotnie zmienia jego przeznaczenie lub integruje model z własnym produktem.

Krok 4. Sprawdź dostawcę i umowę

Należy przeanalizować:

regulamin,
politykę prywatności,
zasady wykorzystywania danych,
umowę powierzenia,
lokalizację przetwarzania,
zabezpieczenia,
dostęp do dokumentacji,
zasady zgłaszania incydentów,
odpowiedzialność,
możliwość eksportu i usunięcia danych.

Przy większych wdrożeniach odpowiednie postanowienia powinny znaleźć się w umowie IT.

Krok 5. Oceń ryzyka prawne i biznesowe

Analiza powinna obejmować nie tylko AI Act i RODO, lecz także:

poufność,
własność intelektualną,
cyberbezpieczeństwo,
prawa konsumentów,
prawo pracy,
regulacje sektorowe,
ryzyko błędnej decyzji,
zależność od jednego dostawcy.

W fintechu, sektorze finansowym i innych branżach regulowanych wdrożenie AI może wymagać połączenia z szerszym systemem compliance technologicznego i DORA.

Krok 6. Przygotuj dokument i instrukcje dla konkretnych działów

Główna polityka może określać zasady wspólne. Do niej można dodać krótkie instrukcje dla marketingu, HR, sprzedaży, IT lub obsługi klienta.

Pracownik częściej skorzysta z jednostronicowej checklisty „co wolno, a czego nie wolno wpisywać do AI” niż z kilkudziesięciostronicowego regulaminu.

Krok 7. Przeszkol pracowników

Szkolenie powinno zawierać realne przykłady z działalności firmy. Warto pokazać zarówno zastosowania dozwolone, jak i sytuacje wymagające zgody lub konsultacji.

Krok 8. Wyznacz odpowiedzialne osoby

AI Act nie nakłada ogólnego obowiązku powoływania „AI Officera”. Firma powinna jednak jasno określić, kto:

zatwierdza nowe narzędzia,
prowadzi ich rejestr,
odpowiada za szkolenia,
przyjmuje zgłoszenia,
aktualizuje dokumentację.

Funkcje te mogą zostać podzielone pomiędzy zarząd, dział prawny, IT, bezpieczeństwo, compliance i inspektora ochrony danych.

Krok 9. Regularnie aktualizuj zasady

Politykę należy przejrzeć szczególnie wtedy, gdy:

firma wdraża nowe narzędzie,
zmienia dostawcę,
łączy AI z kolejną bazą danych,
system zaczyna wpływać na decyzje dotyczące ludzi,
dochodzi do incydentu,
zmieniają się przepisy lub wytyczne,
dostawca aktualizuje regulamin.

Dokument, który nie nadąża za sposobem pracy organizacji, szybko przestaje pełnić swoją funkcję.

Praktyczna checklista dla zarządu

Przed uznaniem procesu za uporządkowany warto odpowiedzieć na następujące pytania:

Czy wiemy, z jakich narzędzi AI korzystają pracownicy?
Czy posiadamy listę aplikacji zatwierdzonych do celów służbowych?
Czy sprawdziliśmy warunki korzystania i ustawienia prywatności?
Czy wiemy, jakie dane trafiają do poszczególnych systemów?
Czy pracownicy wiedzą, jakich informacji nie mogą przesyłać?
Czy ustaliliśmy zasady weryfikacji wyników?
Czy określiliśmy, kto podejmuje ostateczne decyzje?
Czy zweryfikowaliśmy obowiązki wynikające z RODO?
Czy przeanalizowaliśmy poufność i prawa własności intelektualnej?
Czy ustaliliśmy zasady oznaczania określonych treści?
Czy posiadamy procedurę zgłaszania błędów i incydentów?
Czy osoby korzystające z AI otrzymały odpowiednie instrukcje lub szkolenie?
Czy wyznaczyliśmy osoby odpowiedzialne za aktualizację zasad?

Im więcej odpowiedzi brzmi „nie” lub „nie wiemy”, tym większe znaczenie ma przeprowadzenie audytu wykorzystywanych narzędzi.

Najczęstsze błędy przy tworzeniu polityki AI

Pierwszym błędem jest przygotowanie dokumentu bez rozmowy z pracownikami.

Zarząd może być przekonany, że firma nie używa AI, podczas gdy kilka działów korzysta już z prywatnych kont, wtyczek i funkcji wbudowanych w oprogramowanie.

Drugim błędem jest całkowity zakaz korzystania ze sztucznej inteligencji, którego organizacja nie zamierza ani nie jest w stanie egzekwować. Taka zasada zwykle przenosi korzystanie z AI poza oficjalne kanały i utrudnia identyfikację ryzyka.

Kolejne częste problemy to:

kopiowanie ogólnego wzoru bez uwzględnienia działalności firmy,
skupienie się wyłącznie na ChatGPT,
pominięcie prywatnych kont pracowników,
traktowanie anonimizacji jako usunięcia samego nazwiska,
brak weryfikacji regulaminów dostawców,
uznawanie każdej akceptacji człowieka za skuteczny nadzór,
brak zasad dotyczących kodu i dokumentacji technicznej,
nieuwzględnienie współpracowników B2B,
brak procedury zgłaszania incydentów,
brak aktualizacji dokumentu po wdrożeniu nowego systemu.

Niebezpieczne jest również sprowadzanie całego zagadnienia do RODO. Dane osobowe są ważnym elementem analizy, ale firma musi uwzględnić także poufność, umowy z klientami, prawa autorskie, odpowiedzialność za treści i regulacje sektorowe.

FAQ – najczęstsze pytania o politykę AI w firmie

Czy każda firma musi mieć politykę AI?

Nie istnieje ogólny obowiązek posiadania przez każdą firmę dokumentu nazwanego „polityką AI”. Potrzeba jego przygotowania zależy od sposobu wykorzystywania sztucznej inteligencji, skali działalności, rodzaju danych oraz ryzyk związanych z konkretnymi systemami.

Polityka może jednak pomóc uporządkować obowiązki, ustalić odpowiedzialność i wykazać, że firma podjęła działania organizacyjne związane z korzystaniem z AI.

Czy pracownicy mogą korzystać z ChatGPT w pracy?

Mogą, jeżeli firma dopuszcza korzystanie z tego narzędzia i określiła bezpieczne zasady. Należy sprawdzić rodzaj konta, ustawienia, warunki usługi oraz dane, które mają być przetwarzane.

Pracownik nie powinien samodzielnie przekazywać danych klientów, poufnych dokumentów lub tajemnicy przedsiębiorstwa do niezatwierdzonego narzędzia.

Czy można wkleić umowę do ChatGPT?

To zależy od treści umowy, rodzaju konta, zasad działania narzędzia oraz podstawy do przekazania zawartych w niej informacji.

Umowa może zawierać dane osobowe, tajemnicę przedsiębiorstwa, informacje klienta albo treści objęte obowiązkiem poufności. Przed jej przesłaniem należy sprawdzić, czy firma zatwierdziła takie zastosowanie i czy dokument został właściwie przygotowany.

Czy polityka AI wystarczy do spełnienia wymogów AI Act?

Nie. Polityka może być jednym z elementów zgodności, ale nie zastępuje analizy roli przedsiębiorcy, klasyfikacji systemu, obowiązków dostawcy lub podmiotu stosującego, szkoleń, dokumentacji technicznej ani innych środków wymaganych przy konkretnym zastosowaniu.

Czy trzeba przeszkolić wszystkich pracowników?

Zakres działań powinien odpowiadać temu, kto i w jaki sposób korzysta z systemów AI. Nie każdy pracownik musi otrzymać identyczne szkolenie.

Osoba używająca AI do poprawiania roboczych wiadomości potrzebuje innej wiedzy niż pracownik obsługujący system wspierający rekrutację, scoring lub decyzje dotyczące klientów.

Czy firma musi powołać AI Officera?

AI Act nie wprowadza ogólnego obowiązku powołania osoby na stanowisko AI Officera.

Warto jednak wskazać konkretne osoby odpowiedzialne za zatwierdzanie narzędzi, prowadzenie rejestru, szkolenia, incydenty i aktualizowanie dokumentacji. Zakres tych funkcji zależy od wielkości oraz struktury organizacji.

Czy każdą treść przygotowaną z pomocą AI trzeba oznaczać?

Nie. AI Act nie nakazuje oznaczania każdego tekstu, grafiki lub wiadomości, przy których wykorzystano sztuczną inteligencję.

Obowiązki zależą od rodzaju treści, jej przeznaczenia, sposobu wykorzystania oraz tego, czy materiał przeszedł rzeczywistą kontrolę człowieka. Szczególne zasady dotyczą między innymi chatbotów, deepfake’ów i niektórych tekstów dotyczących spraw publicznych.

Jak często aktualizować politykę AI?

Nie istnieje jeden obowiązkowy termin dla wszystkich firm. Dokument warto przeglądać regularnie oraz po każdej istotnej zmianie, takiej jak wdrożenie nowego systemu, zmiana dostawcy, połączenie AI z kolejną bazą danych, incydent lub zmiana przepisów.

Polityka AI powinna działać w praktyce

Największym ryzykiem nie jest samo korzystanie ze sztucznej inteligencji. Problem zaczyna się wtedy, gdy firma nie wie, gdzie AI jest używana, jakie dane są do niej przekazywane i kto odpowiada za rezultaty.

Dobrze przygotowana polityka AI nie musi być rozbudowanym regulaminem. Powinna natomiast jasno określać dozwolone narzędzia, zasady ochrony danych, sposób weryfikowania wyników oraz odpowiedzialność poszczególnych osób.

Zakres dokumentacji zawsze powinien odpowiadać działalności przedsiębiorcy. Inaczej należy zaprojektować zasady dla niewielkiej firmy usługowej, inaczej dla software house’u, a jeszcze inaczej dla fintechu wykorzystującego algorytmy do oceny transakcji lub klientów.

W Pasternak Law wspieramy przedsiębiorców w analizowaniu sposobów wykorzystania AI, przygotowaniu polityk i procedur, przeglądzie umów z dostawcami oraz łączeniu wymogów AI Act z RODO, poufnością, własnością intelektualną i regulacjami sektorowymi.

Każdy przypadek wymaga indywidualnej oceny. Sam wzór polityki nie zastąpi analizy narzędzi, danych, umów i procesów funkcjonujących w konkretnej organizacji.

Podstawy prawne i przydatne źródła zewnętrzne:

***

Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej porady prawnej ani podatkowej. Skutki przekształcenia lub przeniesienia działalności do nowej spółki zależą od formy prawnej, dokumentów, majątku, zobowiązań i sytuacji konkretnego przedsiębiorcy.

Stan prawny: 4 sierpnia 2026 r.

Polityka AI w firmie – co powinna zawierać?