Polityka korzystania z AI w firmie: wzór do pobrania
Polityka AI w firmie to wewnętrzny dokument, który ustala, z jakich narzędzi AI wolno korzystać, jakich danych nie wolno do nich wprowadzać, kto sprawdza wyniki i jak zgłaszać incydenty. Porządkuje obowiązek z art. 4 AI Act, ochronę danych osobowych i tajemnicy przedsiębiorstwa. Poniżej wzór do skopiowania i pobrania jako DOCX.
Czy firma musi mieć politykę AI?
Żaden przepis nie nakazuje wprost dokumentu o nazwie „polityka AI”, ale trzy obowiązki praktycznie go wymagają. Art. 4 AI Act nakłada na firmy używające AI obowiązek wspierania kompetencji personelu od 2 lutego 2025 roku, RODO wymaga kontroli nad tym, gdzie trafiają dane osobowe, a tajemnica przedsiębiorstwa jest chroniona tylko wtedy, gdy firma dba o jej poufność.
Ten ostatni punkt bywa pomijany. Art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji uznaje informacje za tajemnicę przedsiębiorstwa, o ile uprawniony podjął, przy zachowaniu należytej staranności, działania w celu utrzymania ich w poufności. Pisemny zakaz wklejania takich informacji do prywatnych narzędzi AI jest jednym z takich działań, a jego brak osłabia pozycję firmy w sporze.
Polityka, regulamin czy zasady korzystania z AI: czym się różnią?
W praktyce to ten sam dokument pod różnymi nazwami. Różnica ma znaczenie tylko wtedy, gdy firma chce, żeby zasady były częścią regulaminu pracy: wtedy obowiązuje tryb wprowadzania regulaminu z Kodeksu pracy.
| Nazwa | Co zwykle oznacza | Kiedy wybrać |
|---|---|---|
| Polityka korzystania z AI | Samodzielny dokument z zasadami i odpowiedzialnością | Większość firm, także z pracownikami na umowach cywilnoprawnych |
| Regulamin korzystania z AI | Zasady jako część regulaminu pracy albo załącznik do niego | Firma chce powiązać naruszenia z obowiązkami pracowniczymi |
| Zasady korzystania z AI | Krótka instrukcja dla pracowników, często skrót polityki | Jako ściągawka obok pełnej polityki |
Co powinna zawierać polityka AI w firmie?
Dziesięć elementów: cel, zakres, dozwolone narzędzia, zakazane dane, weryfikację wyników, oznaczanie treści, odpowiedzialność, szkolenia, zgłaszanie incydentów i przegląd. Wzór na tej stronie ma każdy z nich w osobnym paragrafie.
- Lista dozwolonych narzędzi zamiast ogólnego „można korzystać z AI”. Narzędzia spoza listy są zakazane do celów służbowych.
- Katalog danych zakazanych: dane osobowe klientów i pracowników, tajemnice przedsiębiorstwa, dane objęte umowami o poufności, hasła i klucze.
- Zasada czterech oczu dla treści wychodzących na zewnątrz i dla wszystkiego, co ma skutki prawne lub finansowe.
- Oznaczanie treści: art. 50 ust. 4 AI Act od 2 sierpnia 2026 roku wymaga ujawniania, że obraz, dźwięk lub wideo typu deepfake zostały wygenerowane lub zmanipulowane przez AI.
- Zakaz podejmowania przez AI decyzji o ludziach bez udziału człowieka. Art. 22 RODO daje osobie prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec niej skutki prawne albo podobnie istotnie na nią wpływa.
- Termin zgłoszenia incydentu wewnątrz firmy krótszy niż 72 godziny, które art. 33 RODO daje administratorowi na zgłoszenie naruszenia do UODO.
Jak wprowadzić politykę AI w firmie?
W pięciu krokach, z których najważniejszy jest ostatni: przegląd. Polityka, której nikt nie aktualizuje, po roku opisuje narzędzia, których już nie ma.
- 1
Spisz narzędzia, których używacie
Także te, które pracownicy założyli sami. Bez tej listy polityka zakazuje rzeczy, o których nikt nie wie.
- 2
Uzupełnij wzór
Wpisz nazwy narzędzi, osoby odpowiedzialne i terminy. Miejsca do uzupełnienia są w nawiasach kwadratowych.
- 3
Skonsultuj z prawnikiem
Zwłaszcza gdy polityka ma być częścią regulaminu pracy albo firma przetwarza dane szczególnych kategorii.
- 4
Zbierz potwierdzenia i przeszkol
Każda osoba potwierdza zapoznanie z konkretną wersją. Szkolenie z zasad to udokumentowany środek z art. 4 AI Act.
- 5
Przeglądaj co najmniej raz w roku
I po każdej zmianie narzędzia albo przepisów. Nowa wersja wymaga nowych potwierdzeń.
Jak prowadzić politykę AI w EXCORE?
W module Polityki firmowe polityka ma wersję i listę osób, które potwierdziły zapoznanie, z datą i adresem IP. Zmiana wersji z v1 na v2 automatycznie przywraca wszystkim status „Do zapoznania”. Administrator widzi, kto jeszcze nie potwierdził, a te osoby dostają przypomnienia.
- Rejestr Systemy i narzędzia to gotowa lista dozwolonych narzędzi: przy każdym właściciel, miejsce przechowywania danych i koszt roczny.
- Moduł Szkolenia trzyma materiały z zasad AI i oznacza ukończenie przez pracownika.
- Ustawienia AI pozwalają włączyć tylko te funkcje, które dopuszcza polityka, i wpisać zasady w instrukcjach globalnych dla modelu.
- Kokpit AI pokazuje historię zapytań z datą, osobą, modułem i statusem, co ułatwia przegląd z § 11 wzoru.
- Zasady korzystania z funkcji AI w EXCORE zastrzegają, że wynik jest sugestią do sprawdzenia przez człowieka i że funkcje AI nie służą do zautomatyzowanych decyzji wobec osób w rozumieniu art. 22 RODO. To pokrywa się z § 5 wzoru.
- Miejsca, w których odpowiada model, mają w aplikacji znaczek AI, co ułatwia stosowanie zasady oznaczania treści.
Wzór do pobrania
Polityka korzystania z narzędzi sztucznej inteligencji
POLITYKA KORZYSTANIA Z NARZĘDZI SZTUCZNEJ INTELIGENCJI
[nazwa firmy], NIP [NIP], z siedzibą w [miejscowość], zwana dalej Firmą.
Wersja: [v1]. Obowiązuje od: [data]. Właściciel dokumentu: [imię i nazwisko, stanowisko].
§ 1. Cel
- Polityka określa zasady korzystania z narzędzi sztucznej inteligencji (dalej: narzędzia AI) przy wykonywaniu pracy na rzecz Firmy.
- Celem Polityki jest bezpieczne korzystanie z narzędzi AI, ochrona danych osobowych, tajemnicy przedsiębiorstwa i informacji poufnych oraz wspieranie kompetencji w zakresie AI, o których mowa w art. 4 rozporządzenia (UE) 2024/1689 (AI Act).
§ 2. Zakres
- Polityka obowiązuje pracowników, współpracowników na umowach cywilnoprawnych, stażystów oraz inne osoby, które wykonują pracę na rzecz Firmy (dalej: Użytkownicy).
- Polityka dotyczy każdego narzędzia, które generuje, streszcza, tłumaczy, klasyfikuje lub analizuje treści, obrazy, dźwięk albo dane, niezależnie od tego, czy jest samodzielną aplikacją, czy funkcją innego programu.
- Polityka dotyczy korzystania na sprzęcie służbowym i prywatnym, jeżeli dotyczy spraw Firmy.
§ 3. Dozwolone narzędzia
- Do celów służbowych wolno korzystać wyłącznie z narzędzi AI wpisanych na listę dozwolonych narzędzi prowadzoną przez [osoba lub dział].
- Lista zawiera dla każdego narzędzia: nazwę, dostawcę, rodzaj konta (firmowe), dozwolone zastosowania i osobę odpowiedzialną.
- Na dzień przyjęcia Polityki lista obejmuje:
- [nazwa narzędzia], do [dozwolone zastosowania], konto firmowe,
- [nazwa narzędzia], do [dozwolone zastosowania], konto firmowe.
- Zabronione jest korzystanie do celów służbowych z prywatnych kont w narzędziach AI.
- Wniosek o dopisanie narzędzia składa się do [osoba lub dział]. Przed dopisaniem sprawdza się warunki dostawcy, w szczególności: czy dane są wykorzystywane do trenowania modeli, gdzie są przechowywane, jak długo i czy dostawca zawiera umowę powierzenia przetwarzania danych osobowych.
§ 4. Dane, których nie wolno wprowadzać
- Do narzędzi AI spoza listy z § 3 nie wolno wprowadzać żadnych informacji Firmy.
- Do narzędzi AI z listy nie wolno wprowadzać, chyba że lista wprost dopuszcza to dla danego narzędzia:
- danych osobowych klientów, pracowników i kontrahentów, w szczególności danych szczególnych kategorii z art. 9 RODO,
- informacji stanowiących tajemnicę przedsiębiorstwa, w tym cen, marż, warunków umów, danych finansowych i planów,
- informacji objętych umowami o zachowaniu poufności,
- haseł, kluczy dostępowych, tokenów i danych logowania,
- kodu źródłowego i dokumentacji technicznej oznaczonej jako poufna.
- Jeżeli treść wymaga analizy, Użytkownik usuwa lub zastępuje dane identyfikujące osoby i firmy (np. „Klient A” zamiast nazwy).
§ 5. Weryfikacja wyników
- Wynik narzędzia AI jest propozycją. Może być niepełny, nieaktualny albo błędny.
- Użytkownik sprawdza każdy wynik przed jego wykorzystaniem, w szczególności fakty, liczby, daty, nazwy i powołane przepisy.
- Treści kierowane na zewnątrz Firmy oraz treści, które mają skutki prawne lub finansowe, sprawdza dodatkowo druga osoba: [stanowisko].
- Narzędzia AI nie mogą samodzielnie podejmować decyzji wywołujących skutki prawne wobec osób fizycznych, w tym decyzji kadrowych. Decyzję zawsze podejmuje człowiek.
§ 6. Oznaczanie treści
- Obrazy, nagrania audio i wideo wygenerowane lub zmienione przez AI, które przedstawiają istniejące osoby, miejsca lub zdarzenia w sposób mogący uchodzić za prawdziwy, oznacza się informacją, że zostały wygenerowane lub zmanipulowane przez AI.
- Teksty publikowane przez Firmę w celu informowania o sprawach leżących w interesie publicznym, wygenerowane przez AI, oznacza się, chyba że przeszły weryfikację człowieka lub kontrolę redakcyjną, a osoba odpowiedzialna za publikację jest wskazana.
- W komunikacji z klientem Firma nie ukrywa, że klient rozmawia z systemem AI, jeżeli nie jest to oczywiste.
§ 7. Odpowiedzialność
- Za treść wykorzystaną w pracy odpowiada Użytkownik, który jej użył, niezależnie od tego, czy przygotowało ją narzędzie AI.
- Za listę dozwolonych narzędzi i jej aktualność odpowiada [osoba lub dział].
- Za szkolenia odpowiada [osoba lub dział].
- Naruszenie Polityki może skutkować konsekwencjami przewidzianymi w przepisach prawa pracy albo w umowie łączącej Użytkownika z Firmą.
§ 8. Szkolenia i kompetencje
- Firma podejmuje środki wspierające rozwój kompetencji w zakresie AI Użytkowników, z uwzględnieniem ich wiedzy, doświadczenia i kontekstu, w którym korzystają z narzędzi AI.
- Każdy Użytkownik przechodzi szkolenie z niniejszej Polityki przed pierwszym użyciem narzędzia AI do celów służbowych oraz po każdej istotnej zmianie Polityki.
- Szkolenie obejmuje co najmniej: zasady z § 3 do § 6, typowe błędy modeli, rozpoznawanie danych zakazanych i zgłaszanie incydentów.
- Firma dokumentuje szkolenia: datę, zakres i listę uczestników.
§ 9. Zgłaszanie incydentów
- Incydentem jest w szczególności: wprowadzenie danych zakazanych do narzędzia AI, użycie narzędzia spoza listy, publikacja błędnej treści wygenerowanej przez AI, podejrzenie wycieku danych.
- Użytkownik zgłasza incydent niezwłocznie, nie później niż w ciągu [24] godzin od jego stwierdzenia, na adres [adres e-mail] albo osobie [imię i nazwisko].
- Jeżeli incydent dotyczy danych osobowych, [osoba odpowiedzialna za ochronę danych] ocenia, czy doszło do naruszenia wymagającego zgłoszenia do Prezesa UODO w terminie 72 godzin (art. 33 RODO).
- Zgłoszenie incydentu w dobrej wierze nie wiąże się z negatywnymi konsekwencjami dla zgłaszającego.
§ 10. Postanowienia dotyczące danych osobowych
- Przetwarzanie danych osobowych z użyciem narzędzi AI jest dopuszczalne tylko w narzędziach, których dostawca zawarł z Firmą umowę powierzenia przetwarzania (art. 28 RODO) albo inną umowę zapewniającą ochronę danych.
- Do narzędzi AI wprowadza się tylko dane niezbędne do celu (zasada minimalizacji danych, art. 5 ust. 1 lit. c RODO).
§ 11. Przegląd Polityki
- Właściciel dokumentu przegląda Politykę co najmniej raz w roku, a także po zmianie narzędzi, istotnym incydencie albo zmianie przepisów.
- Zmiana Polityki oznacza nową wersję. Użytkownicy potwierdzają zapoznanie z każdą nową wersją.
§ 12. Postanowienia końcowe
- Polityka wchodzi w życie z dniem [data].
- Integralną część Polityki stanowi lista dozwolonych narzędzi AI.
[miejscowość], [data]
[podpis osoby reprezentującej Firmę]
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Czy polityka AI jest obowiązkowa?
Nie ma przepisu, który nakazuje dokument o tej nazwie. Firma używająca AI ma jednak obowiązek z art. 4 AI Act, obowiązki z RODO i interes w ochronie tajemnicy przedsiębiorstwa, a pisemna polityka jest najprostszym sposobem, żeby wykazać, że o nie zadbała.
Czy regulamin korzystania z AI trzeba konsultować z pracownikami?
Jeśli zasady mają wejść do regulaminu pracy, obowiązuje tryb jego zmiany z Kodeksu pracy. Samodzielną politykę wprowadza się poleceniem pracodawcy i potwierdzeniem zapoznania. Przy wyborze trybu warto skonsultować się z prawnikiem.
Czy wzór polityki AI wystarczy bez zmian?
Nie. Wzór jest punktem wyjścia: trzeba wpisać narzędzia, osoby, terminy i dopasować katalog danych zakazanych do branży. Przy wdrożeniu warto skonsultować go z prawnikiem, zwłaszcza gdy firma przetwarza dane szczególnych kategorii albo działa w branży regulowanej.
Jak często aktualizować zasady korzystania z AI w firmie?
Co najmniej raz w roku i po każdej zmianie narzędzi albo przepisów. Rozporządzenie (UE) 2026/1744 zmieniło już art. 4 AI Act w lipcu 2026 roku, więc przepisy o AI zmieniają się szybciej niż większość regulacji.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację