Polityka AI w firmie: co w niej zapisać, żeby chroniła dane i ludzi

W skrócie: polityka AI w firmie to krótki, wewnętrzny dokument, który określa, jakich narzędzi sztucznej inteligencji pracownicy mogą używać, jakich danych nie wolno do nich wklejać i kto odpowiada za efekt pracy z AI. Nie wymaga jej wprost żaden przepis, ale porządkuje obowiązki z AI Act i RODO oraz chroni tajemnicę firmy. Wystarczą 2–3 strony i 10 punktów opisanych niżej.

---

Po co firmie polityka korzystania z AI

W większości firm AI już działa, tylko nikt tego nie spisał. Handlowiec poprawia oferty w ChatGPT, księgowa streszcza umowy, marketing generuje grafiki. Każda z tych osób sama decyduje, co wkleja do narzędzia. To rodzi trzy ryzyka:

• wyciek danych: dane klientów albo tajemnice firmy trafiają do narzędzia, którego warunki pozwalają na ich dalsze wykorzystanie,
• błędy w treści: AI potrafi pewnym tonem podać nieprawdziwe informacje, a nikt ich nie sprawdza przed wysłaniem do klienta,
• niezgodność z prawem: od 2 sierpnia 2026 roku obowiązują w UE zasady przejrzystości z art. 50 AI Act, a od 28 października 2026 roku w Polsce może je kontrolować KRiBSI. Więcej o tym w artykule KRiBSI rusza. Co kontrole AI oznaczają dla firmy.

Polityka AI nie ma blokować pracy. Ma sprawić, że ludzie używają AI śmiało, bo wiedzą, gdzie są granice.

10 punktów, które warto zapisać w polityce AI

1. Cel i zakres. Jedno zdanie, po co jest dokument, i kogo dotyczy: pracowników, współpracowników na B2B, praktykantów.
2. Lista dozwolonych narzędzi. Konkretne nazwy i wersje, np. ChatGPT w planie dla firm albo Microsoft 365 Copilot w ramach licencji firmy. Narzędzia spoza listy wymagają zgody wskazanej osoby.
3. Dane, których nie wklejamy. Dane osobowe klientów i pracowników, dane szczególnych kategorii (np. zdrowie), hasła i klucze dostępu, tajemnice przedsiębiorstwa, treść umów objętych poufnością. Najprościej opisać to na przykładach z Waszej branży. Przy danych osobowych obowiązuje RODO, a wyjaśnienia publikuje Urząd Ochrony Danych Osobowych.
4. Konta firmowe zamiast prywatnych. Do pracy tylko konta zarządzane przez firmę, z wyłączonym trenowaniem modeli na danych użytkownika tam, gdzie narzędzie daje taką opcję.
5. Człowiek sprawdza wynik. Każda treść z AI, która wychodzi do klienta, urzędu albo do publikacji, przechodzi przez osobę, która ją rozumie i za nią odpowiada.
6. Oznaczanie treści AI. Kiedy i jak informujemy, że treść powstała z pomocą AI. Zgodnie z art. 50 AI Act trzeba ujawniać m.in. deepfake'i, a chatbot musi informować, że jest AI.
7. Zakazane zastosowania. Wprost wykluczone praktyki z art. 5 AI Act, np. rozpoznawanie emocji pracowników w miejscu pracy, oraz zastosowania, których firma nie chce z własnych powodów.
8. Decyzje o ludziach. AI nie decyduje samodzielnie o zatrudnieniu, ocenie ani zwolnieniu. Takie zastosowania od 2 grudnia 2027 roku mogą podlegać obowiązkom dla systemów wysokiego ryzyka, więc lepiej ustalić zasady już teraz.
9. Szkolenia i kompetencje. Kto i kiedy przechodzi szkolenie z bezpiecznego korzystania z AI oraz jak to dokumentujecie. Art. 4 AI Act wymaga od firm podejmowania działań wspierających kompetencje AI, a lista szkoleń jest najprostszym dowodem.
10. Osoba odpowiedzialna i zgłaszanie problemów. Kto opiekuje się polityką, do kogo zgłosić incydent (np. przypadkowe wklejenie danych klienta) i jak często dokument jest przeglądany. Rozsądny rytm to raz na kwartał.

Jak wprowadzić politykę AI w małej firmie: 4 kroki

1. Sprawdź, czego już używacie. Krótka ankieta albo rozmowa z każdym działem. Pomoże w tym metoda z artykułu Jak zbudować mapę AI w firmie.
2. Spisz zasady prostym językiem. Bez prawniczego żargonu. Dokument, którego nikt nie przeczyta, nie chroni nikogo.
3. Pokaż politykę na przykładach. 30 minut z zespołem: co wolno, czego nie, na prawdziwych zadaniach z Waszej pracy.
4. Podpisz i przeglądaj. Potwierdzenie zapoznania się z dokumentem i przegląd co kwartał, bo narzędzia i przepisy szybko się zmieniają.

Najczęstsze błędy w politykach AI

• Całkowity zakaz. Ludzie i tak używają AI, tylko po cichu i na prywatnych kontach. Ryzyko rośnie zamiast maleć.
• Ogólniki. „Korzystaj z AI odpowiedzialnie” niczego nie mówi. Potrzebne są nazwy narzędzi i przykłady danych.
• Brak właściciela. Dokument, którego nikt nie aktualizuje, po pół roku opisuje narzędzia, których już nie ma.
• Polityka bez szkolenia. Sam PDF nie zmienia nawyków. Zmienia je krótkie szkolenie na prawdziwych przykładach.

Jak możemy pomóc

Politykę AI najlepiej wprowadzić razem ze szkoleniem, na którym zespół ćwiczy bezpieczne korzystanie z narzędzi na własnych zadaniach. Zobacz nasze szkolenia AI dla zespołu. Jeśli chcesz najpierw sprawdzić, gdzie w firmie AI już działa i gdzie są ryzyka, zacznij od audytu procesów. Obowiązki z AI Act krok po kroku przerabia nasz kurs AI Act dla firm.

Najczęstsze pytania

Czy polityka AI w firmie jest obowiązkowa?

Żaden przepis nie wymaga jej wprost. Pomaga jednak spełnić obowiązki, które już obowiązują: art. 4 i art. 50 AI Act oraz zasady RODO przy danych osobowych.

Czy pracownik może używać ChatGPT na prywatnym koncie do pracy?

To decyzja firmy, ale bezpieczniej jest tego zakazać. Prywatne konta są poza kontrolą firmy, a ich ustawienia mogą pozwalać na wykorzystanie wpisanych danych do trenowania modeli.

Jak długa powinna być polityka AI?

W małej i średniej firmie wystarczą 2–3 strony. Ważniejsze od długości są konkretne nazwy narzędzi i przykłady danych, których nie wolno wklejać.

Kto w firmie powinien odpowiadać za politykę AI?

Jedna wskazana osoba, np. kierownik operacyjny albo osoba odpowiedzialna za IT lub ochronę danych. Ważne, żeby miała czas na przegląd dokumentu co kwartał.

Stan prawny na 11 listopada 2026 roku. Artykuł ma charakter informacyjny i nie jest poradą prawną.