Jak napisać politykę korzystania z AI w firmie. Siedem kroków

Polityka korzystania z AI to wewnętrzny dokument, który mówi pracownikom, z jakich narzędzi sztucznej inteligencji wolno korzystać, na jakich danych, pod czyim nadzorem i co zrobić, gdy coś pójdzie nie tak. AI Act nie wymaga takiego dokumentu wprost, ale wymaga działań, które bez niego rozjeżdżają się po działach i po ludziach.

Poniżej siedem kroków, pytania kontrolne do każdego i lista rzeczy, które zwykle psują politykę już na etapie pisania.

Kiedy polityka korzystania z AI ma sens?

Stan prawny na 25 sierpnia 2026. Tekst jest dla podmiotu stosującego, czyli firmy, która używa gotowych narzędzi pod własną odpowiedzialnością.

Art. 4 od 2 lutego 2025 nakazuje podejmowanie środków wspierających rozwój kompetencji AI. Po zmianie wprowadzonej rozporządzeniem 2026/1744 przepis nie wymaga gwarantowania określonego poziomu u konkretnej osoby, ale za to trzeba wykazać, że działania w ogóle były i były dobrane sensownie. Polityka jest jednym z tych działań i jednocześnie dokumentem, który je porządkuje. Do tego dochodzi art. 50, stosowany od 2 sierpnia 2026, oraz zakazy z art. 5.

Krok 1. Zakres: kogo i czego ta polityka dotyczy?

Najczęstszy błąd popełnia się w pierwszym zdaniu. Polityka zaadresowana do pracowników pomija zleceniobiorców, freelancerów i agencje, które pracują na danych firmy. Tymczasem art. 4 mówi o personelu oraz o innych osobach zajmujących się działaniem i wykorzystaniem systemów AI w imieniu organizacji.

Pytania kontrolne: Czy zakres obejmuje osoby spoza umowy o pracę? Czy obejmuje zarząd, a nie tylko wykonawców? Czy dotyczy narzędzi używanych na kontach prywatnych do zadań służbowych? Czy ktoś sprawdził, jak zakres ma się do umów z podwykonawcami?

Zakres napisany wąsko wygląda na ostrożny, a w praktyce zostawia poza dokumentem tych, którzy najczęściej pracują na cudzych danych.

Krok 2. Narzędzia: z czego wolno korzystać, a z czego nie?

Zakaz bez alternatywy przegrywa z terminem. Pracownik, który ma coś oddać do piątku, otworzy dowolne narzędzie na prywatnym telefonie. Dlatego lista dopuszczonych działa lepiej niż lista zakazanych, pod warunkiem że dla każdego typowego zadania jest na niej co najmniej jedna pozycja.

Pytania kontrolne: Czy lista pokrywa realne zadania, czy tylko te wygodne? Czy wskazano, w jakim planie i na jakim koncie wolno używać każdego narzędzia? Czy opisano tryb zgłoszenia nowego narzędzia? Czy lista jest w miejscu, do którego ludzie mają dostęp bez proszenia o link?

Ta lista bierze się wprost z rejestru systemów AI. Jeśli rejestru nie ma, polityka opisze narzędzia, których firma nie używa, i pominie te, z których korzysta naprawdę.

Krok 3. Dane: gdzie przebiega granica tego, co wolno wkleić?

To najtrudniejszy krok i ten, w którym polityki najczęściej stają się bezużyteczne. Zdanie „nie wklejaj danych osobowych" nie działa, bo połowa ludzi nie rozpoznaje danych osobowych w dokumencie, na który patrzy. Działa wskazanie typów dokumentów: umowy, listy płac, bazy kontaktów, dokumentacja medyczna, materiały objęte umową o poufności.

Pytania kontrolne: Czy granica jest opisana rodzajem dokumentu, a nie kategorią prawną? Czy jest zdanie o tym, co robić w razie wątpliwości i do kogo z nią pójść? Czy uwzględniono dane, które trafiają do narzędzia pośrednio, na przykład przez wtyczkę w przeglądarce? Czy zasada różni się dla planu firmowego i darmowego?

Granica opisana językiem przepisu jest formalnie poprawna i operacyjnie martwa.

Krok 4. Weryfikacja: kto odpowiada za sprawdzenie wyniku?

Model formułuje zdanie tym samym tonem, gdy ma rację i gdy zmyśla. Polityka musi więc powiedzieć wprost, że odpowiedzialność za treść ponosi człowiek, który ją wysyła, a nie narzędzie, które ją wygenerowało. Warto rozróżnić materiały wewnętrzne od tych, które wychodzą do klienta albo do publikacji.

Pytania kontrolne: Czy wskazano imiennie lub rolą, kto sprawdza treści wychodzące na zewnątrz? Czy jest zasada dla liczb, dat i cytatów, które model potrafi wymyślić? Czy opisano, co zrobić z materiałem, którego nie da się zweryfikować? Czy zasada obejmuje też kod i arkusze, a nie tylko teksty?

Bez tego kroku polityka mówi ludziom, czego nie wolno wkleić, i milczy o tym, co wolno wysłać.

Krok 5. Zatwierdzanie: które decyzje wymagają czyjejś zgody?

Nie wszystko wymaga akceptacji i polityka, która tego nie rozróżnia, zostaje obejściem w pierwszym tygodniu. Zgody warto wymagać przy trzech rzeczach: nowe narzędzie, nowa kategoria danych w narzędziu już używanym oraz publikacja na zewnątrz treści wygenerowanej przez AI, bo tu wchodzą obowiązki oznaczania z art. 50.

Pytania kontrolne: Czy wiadomo, kto zatwierdza i w jakim czasie odpowiada? Czy jest ścieżka na wypadek nieobecności tej osoby? Czy zgoda jest gdzieś zapisywana? Czy lista rzeczy wymagających zgody mieści się w kilku punktach?

Rozbudowana lista zgód nie zwiększa kontroli, tylko przenosi pracę do kanałów, których nikt nie widzi.

Krok 6. Incydent: co robić, gdy coś już się stało?

Ten rozdział ma trzy zdania i ratuje więcej niż całe pozostałe. Do kogo się zgłosić, w jakim czasie i czego nie robić. Ostatni punkt jest najważniejszy: nie kasować rozmowy z modelem, bo to jedyny zapis tego, co wyszło z firmy.

Pytania kontrolne: Czy w dokumencie jest konkretna osoba i kanał zgłoszenia? Czy jest napisane wprost, że zgłoszenie nie kończy się karą dla zgłaszającego? Czy jest zdanie o zabezpieczeniu zapisów? Czy ktoś sprawdził, jak ta ścieżka łączy się z procedurą naruszeń ochrony danych osobowych?

Polityka, która milczy o tym, co robić po fakcie, zamienia każdy incydent w ciszę. Ocena, czy doszło do naruszenia ochrony danych, należy do osoby, która się tym zajmuje.

Krok 7. Aktualizacja: jak polityka nadąży za zmianami?

Wpisz do dokumentu datę następnego przeglądu i wyzwalacze, które go uruchamiają wcześniej: nowe narzędzie w rejestrze, zmiana warunków u dostawcy, zmiana przepisu. Art. 4 zmienił brzmienie w lipcu 2026, więc to nie jest hipotetyczne.

Po tym kroku masz dokument, który da się pokazać: zakres obejmujący także współpracowników, listę dopuszczonych narzędzi zgodną z rejestrem, granicę danych opisaną językiem ludzi, przypisaną odpowiedzialność za weryfikację, krótką listę decyzji wymagających zgody, ścieżkę zgłoszenia incydentu oraz datę i właściciela najbliższego przeglądu.

Samodzielnie czy z narzędziem?

Politykę napiszesz w edytorze tekstu i pierwsza wersja powinna tak powstać, bo musi mówić o Twojej firmie. Praca zaczyna się później: przy potwierdzeniach zapoznania się, przy pilnowaniu, kto dostał którą wersję, i przy powiązaniu dokumentu z rejestrem i ze szkoleniami. Platforma AI TrustCERT prowadzi politykę razem z potwierdzeniami i dokumentacją działań, w cenie licencji szkoleniowej. Wspiera proces i porządkuje dowody, nie zastępuje oceny prawnej. Otwórz ją na siedem dni bez podawania karty i zobacz, jak wygląda na Twoich zasadach.

Podsumowanie

Polityka korzystania z AI nie jest wymogiem AI Act wprost, ale porządkuje działania, których rozporządzenie wymaga. Zakres musi objąć zleceniobiorców i zarząd, bo art. 4 mówi o osobach działających w imieniu organizacji, nie tylko o etatach. Lista dopuszczonych narzędzi bije listę zakazanych, o ile pokrywa realne zadania, i bierze się wprost z rejestru systemów AI. Granicę danych opisuj typami dokumentów, nie kategoriami prawnymi, bo tylko wtedy ktoś ją rozpozna w praniu. Za treść wychodzącą z firmy odpowiada człowiek i musi to być napisane. Listę decyzji wymagających zgody trzymaj krótką, inaczej praca przeniesie się do kanałów, których nikt nie widzi. Rozdział o incydencie zmieść w trzech zdaniach, z zakazem kasowania rozmowy na czele, a na końcu wpisz datę przeglądu.

Pytania, które padają najczęściej

Ile stron powinna mieć polityka AI?

Tyle, ile ludzie przeczytają. Jedna do trzech stron działa, trzydzieści nie. Wyjątki i uzasadnienia trzymaj w załączniku.

Czy polityka wystarczy do spełnienia obowiązku z art. 4?

Nie sama. Art. 4 mówi o środkach wspierających rozwój kompetencji, a dokument bez przekazania go ludziom nie jest przekazaniem wiedzy.

Czy potrzebna jest osobna polityka dla każdego działu?

Zwykle nie. Wystarcza jedna polityka i krótkie zasady działowe tam, gdzie ryzyko jest inne, na przykład w marketingu i w HR.

Materiał ma charakter informacyjny. Nie stanowi porady prawnej ani gwarancji zgodności z AI Act. W sprawie konkretnej organizacji warto skonsultować się z prawnikiem.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.