Polityka korzystania z AI w firmie: co powinna zawierać i kto ją utrzymuje

Ten tekst jest praktyczny, nie prawniczy. Osobno opisaliśmy, co dokładnie mówi artykuł 4 aktu w sprawie sztucznej inteligencji i dlaczego trzy najczęściej sprzedawane twierdzenia o karach, terminach i certyfikatach są nieścisłe. Tutaj zajmujemy się dokumentem, który realnie porządkuje pracę, niezależnie od tego, co nakazuje regulacja.

Czym jest polityka korzystania z AI w firmie?

To wewnętrzny zbiór zasad, który zamienia setki indywidualnych decyzji podejmowanych po cichu przy biurku w jedną decyzję podjętą raz i zapisaną. Bez niego pytanie „czy mogę wkleić ten dokument do narzędzia AI” rozstrzyga każdy pracownik samodzielnie i różnie, a firma nie wie, jak zostało rozstrzygnięte. Ostrożniejsi nie używają niczego i tracą czas, odważniejsi wklejają wszystko i tworzą ryzyko. Oba zachowania biorą się z tego samego braku.

Polityka nie jest dokumentem o technologii. Jest dokumentem o granicach i odpowiedzialności, i dlatego pisze się ją raz dla firmy, a nie osobno dla każdego narzędzia.

Po co ją spisywać, skoro nikt tego nie wymaga w tej formie?

Z trzech powodów, z których tylko trzeci ma cokolwiek wspólnego z regulacją.

• Zwiększa korzystanie, a nie ogranicza. To bywa zaskoczeniem. Jasna granica zdejmuje z pracownika ryzyko osobiste, więc przestaje on unikać narzędzia z ostrożności. Zakaz bez granicy działa odwrotnie: ludzie korzystają dalej, tylko przestają o tym mówić.
• Ogranicza korzystanie niekontrolowane. Narzędzia włączone samodzielnie, na prywatnych kontach, poza wiedzą firmy, są problemem nie dlatego, że są złe, lecz dlatego, że nikt nie wie, gdzie trafiają dane. Polityka daje im legalną ścieżkę wejścia.
• Jest gotowym zapisem tego, co firma zrobiła. Komisja Europejska, odpowiadając na pytanie o dokumentowanie działań w zakresie kompetencji AI, pisze wprost: „There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives.” Polityka wraz z listą przeprowadzonych szkoleń jest dokładnie takim wewnętrznym zapisem.

Sześć rozdziałów, z których składa się dobra polityka

Poniższy szkielet zmieści się na dwóch stronach. Jeżeli któryś rozdział rozrasta się do trzech akapitów, prawdopodobnie opisuje wyjątek, a nie zasadę.

Granica danych: co wolno wkleić, a czego nigdy

To jest serce dokumentu i jedyny rozdział, który pracownik zapamięta. Dlatego warto pisać go w kategoriach zrozumiałych dla osoby wykonującej daną pracę, a nie w kategoriach prawniczych. „Dane osobowe szczególnych kategorii” to poprawne pojęcie i nikt na jego podstawie nie podejmie decyzji o trzynastej w piątek. „Wyniki badań, zwolnienia lekarskie, dokumentacja kadrowa dotycząca zdrowia” to to samo, tylko wykonalne.

Zestawienie jest szkieletem do wypełnienia, a nie gotową polityką. Konkretne granice zależą od branży, umów z klientami i od tego, jakie narzędzia firma dopuszcza. To nie jest porada prawna.

Jeżeli firma chce, aby AI faktycznie sięgała do dokumentów wewnętrznych, granica przesuwa się w inne miejsce: dane nie opuszczają wtedy uzgodnionego obiegu, a rozmowa dotyczy uprawnień i tego, kto co widzi. Opisaliśmy to na stronie o wewnętrznym asystencie AI.

Kto zatwierdza wyjątek i jak to zapisać

Polityka bez ścieżki wyjątku zostanie złamana w pierwszym trudnym tygodniu, i to przez osobę o dobrych intencjach. Ścieżka nie musi być skomplikowana. Wystarczą trzy elementy: kto decyduje, w jakim czasie odpowiada i gdzie zapisuje się decyzję.

Rolę warto przypisać osobie, która i tak zna umowy i dane, a nie osobie o najbardziej technicznym stanowisku. W małych firmach jest to zwykle ktoś z administracji albo prawnik zewnętrzny na dyżurze. W większych naturalny jest inspektor ochrony danych, o ile firma go ma. Zapis może być zwykłą tabelą w arkuszu: data, kto pytał, czego dotyczyło, decyzja. Po roku ta tabela jest najlepszą podstawą do aktualizacji polityki, bo pokazuje, gdzie zasady nie trafiały w rzeczywistość.

Pięć błędów, przez które polityka staje się martwa

Kto ją utrzymuje i jak często

Jedna wskazana osoba i jeden stały rytm. Kwartał jest wystarczający, o ile przegląd faktycznie się odbywa; rok wystarczy tylko wtedy, gdy firma nie zmienia narzędzi. Poza harmonogramem przegląd powinny uruchamiać trzy zdarzenia: pojawienie się w firmie nowego narzędzia, zmiana warunków przetwarzania danych u dostawcy oraz każdy zapisany wyjątek, który powtórzył się więcej niż dwa razy. To ostatnie jest sygnałem, że zasada jest źle napisana, a nie że ludzie ją łamią.

Jak to się ma do artykułu 4?

Bezpośrednio, choć nie tak, jak to bywa przedstawiane. Artykuł 4 aktu w sprawie sztucznej inteligencji w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 i obowiązującym od 27 lipca 2026 roku zobowiązuje dostawców i podmioty stosujące systemy AI do podejmowania środków, „które wspierają rozwój kompetencji w zakresie AI” wśród personelu, i dodaje wprost, że obowiązek „nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”.

Spisane zasady plus krótkie szkolenie na własnych zadaniach są jednym z najbardziej naturalnych sposobów wykonania takiego obowiązku, bo dotyczą działania firmy, a nie wyniku u konkretnej osoby. Nie jest to jednak forma nakazana i nikt nie ma prawa twierdzić, że tylko jedna metoda jest zgodna z przepisami. Warto też pamiętać o rozgraniczeniu, które opisaliśmy szczegółowo w tekście o artykule 4: brak tego przepisu w katalogu kar z art. 99 ust. 4 oznacza brak unijnego pułapu kary akurat za niego, a nie brak obowiązku ani brak sankcji krajowych, do których ustanowienia art. 99 ust. 1 nadal zobowiązuje państwa członkowskie.

W Polsce organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, wskazana w art. 5 ust. 1 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dziennik Ustaw 2026 poz. 1003). To informacja ogólna, a nie porada prawna; konkretny przypadek warto potwierdzić z prawnikiem.

Jak napisać ją w jedno popołudnie

Tak właśnie prowadzimy tę część szkoleń AI dla firm: polityka powstaje w trakcie sesji, na podstawie tego, co zespół tego dnia sam wypróbował, a nie jako zadanie domowe po jej zakończeniu. Jeżeli szkolenie ma być współfinansowane ze środków publicznych, warto wcześniej przeczytać, jak wygląda dofinansowanie szkoleń AI w Polsce, bo kolejność formalności ma tam znaczenie.