Polityka korzystania z AI to jedna albo dwie strony, na których firma zapisuje, czego pracownikom wolno, czego nie wolno i kto odpowiada za wynik. Sensowna wersja obejmuje sześć obszarów: dane i poufność, dozwolone narzędzia, weryfikację wyników, oznaczanie treści, zgłaszanie incydentów oraz kompetencje zespołu.
Żaden przepis nie każe wprost napisać dokumentu o takiej nazwie. Bez niego trudno jednak wykazać, że firma panuje nad tematem, a od 2 lutego 2025 roku obowiązuje wymóg zapewnienia kompetencji AI u personelu z Art. 4 EU AI Act, którego nie da się spełnić, jeśli nikt nie wie, czego właściwie ma się nauczyć.
Bo pytanie i tak padnie. Najpierw od pracownika, który chce wiedzieć, czy może wkleić ofertę klienta do czatu. Potem od klienta, który pyta w ankiecie bezpieczeństwa, czy macie zasady korzystania z AI. W końcu od audytora albo od ubezpieczyciela.
Bo bez listy zatwierdzonych narzędzi nie da się zauważyć, że pojawiły się niezatwierdzone. Shadow AI nie polega na tym, że ludzie robią coś złośliwie. Polega na tym, że nikt im nie powiedział, gdzie jest granica, więc każdy ustalił ją sobie sam.
I bo koszt napisania jest niski, a koszt jednego wycieku wysoki. To rzadki przypadek, w którym te dwie rzeczy tak bardzo się rozjeżdżają.
Dane i poufność. Czego nie wolno wprowadzać do narzędzi AI: danych objętych tajemnicą przedsiębiorstwa, danych osobowych bez zgody działu ochrony danych, kodu źródłowego i konfiguracji systemów. Warto dopisać obowiązek anonimizacji tam, gdzie dane wejściowe są niezbędne.
Dozwolone narzędzia. Lista tego, z czego wolno korzystać, plus ścieżka zgłoszenia nowego narzędzia. Bez tej sekcji polityka nie odpowiada na pytanie, które pada najczęściej: to z czego w końcu mogę korzystać. Dopiszcie wymóg kont służbowych, bo konto prywatne oznacza inne ustawienia prywatności i brak jakiejkolwiek kontroli.
Weryfikacja wyników. Jedno zdanie, które jest sednem całego dokumentu: za treść przygotowaną z pomocą AI odpowiada osoba, która jej używa. Do tego obowiązek sprawdzania faktów, liczb i cytatów oraz zakaz podejmowania decyzji o ludziach wyłącznie na podstawie wyniku modelu.
Oznaczanie treści. Co wymaga oznaczenia przy publikacji na zewnątrz, jak informujecie rozmówcę, że pisze do bota, i zakaz tworzenia syntetycznych wizerunków oraz głosów bez zgody osoby. Ta sekcja przestała być dobrą praktyką 2 sierpnia 2026, kiedy zaczęły obowiązywać obowiązki przejrzystości z Art. 50 EU AI Act.
Incydenty i zgłoszenia. Komu i w jakim czasie zgłasza się, że coś poszło nie tak. Bez wskazanej ścieżki incydenty nie znikają, tylko przestają docierać do kogokolwiek.
Kompetencje i szkolenia. Kto musi przejść szkolenie, zanim zacznie korzystać z narzędzia, i jak to odnotowujecie. To jest ta część, która realizuje Art. 4.
Zgłoszenie własnego błędu w dobrej wierze nie kończy się karą.
Jedno zdanie, a decyduje o tym, czy pozostałe sekcje mają jakikolwiek sens. Pracownik, który wkleił do czatu coś, czego nie powinien, ma wtedy dwa wyjścia: zgłosić i naprawić albo milczeć i liczyć, że nikt się nie zorientuje. Polityka bez tego zapisu wybiera za niego drugie.
Nie chodzi o bezkarność. Świadome obejście zasad to zupełnie inna sprawa niż pomyłka zgłoszona tego samego dnia. Warto rozróżnić to wprost w tekście.
Jedna do dwóch stron. Dokument, który ma dwanaście stron, nie zostanie przeczytany przez nikogo poza autorem, a polityka nieprzeczytana to polityka nieistniejąca.
Właścicielem powinna być osoba, nie dział. Konkretne nazwisko przy dokumencie oznacza, że jest do kogo pójść z pytaniem, którego tekst nie przewidział.
Prawnik przydaje się na końcu, nie na początku. Najpierw ustalcie, jak faktycznie pracujecie i z czego korzystacie, potem oddajcie to do sprawdzenia. Odwrotna kolejność daje dokument poprawny formalnie i oderwany od tego, co dzieje się w firmie.
Data przeglądu w stopce. Rynek narzędzi zmienia się co kwartał, więc polityka bez daty następnego przeglądu zestarzeje się po cichu.
Skopiowany wzór z internetu bez listy narzędzi. Zasady ogólne brzmią rozsądnie i nie odpowiadają na żadne realne pytanie pracownika.
Zakaz wszystkiego. Polityka, która zabrania korzystania z AI, nie zatrzymuje korzystania z AI. Przenosi je na telefony prywatne, gdzie nie widzicie już niczego.
Dokument bez wdrożenia. Wysłanie pliku mailem to nie jest wdrożenie polityki. Potwierdzenie zapoznania, krótkie szkolenie i jedno miejsce, w którym dokument zawsze leży, to minimum.
Nie ma przepisu, który nakazuje dokument o takiej nazwie. EU AI Act nakłada natomiast obowiązki, których bez spisanych zasad trudno dowieść: kompetencje AI u personelu z Art. 4 od 2 lutego 2025 roku oraz obowiązki przejrzystości z Art. 50 od 2 sierpnia 2026 roku. RODO obowiązuje niezależnie.
W małej i średniej organizacji zwykle tak. W większej sensowny jest jeden dokument ogólny plus krótkie zasady szczegółowe tam, gdzie ryzyko jest inne, na przykład w dziale obsługi klienta albo w zespole pracującym na danych osobowych.
Najpierw sprawdzić, z czego korzystają i po co. To zwykle pokazuje realną potrzebę, której firma nie zaspokoiła. Dopiero potem decydować, co dopisać do listy zatwierdzonych, a co zablokować. Zaczynanie od kar daje jeden efekt: ludzie przestają mówić, z czego korzystają.
Raz na pół roku wystarczy w większości firm, pod warunkiem że lista dozwolonych narzędzi jest aktualizowana na bieżąco. Poza harmonogramem politykę przegląda się po każdym incydencie i po każdej zmianie przepisów.
Zaktualizowano: 21.08.2026.