Polityka korzystania z AI w firmie - co powinna zawierać

AI Act - Obowiązki na co dzień: kompetencje, przejrzystość, dane i umowy

Polityka korzystania z AI w firmie - co powinna zawierać

W skrócie

Polityka korzystania z AI w firmie powstaje zwykle wtedy, gdy pracownicy już używają ChatGPT, Microsoft 365 Copilot albo Gemini, a zarząd chce zebrać zasady w jednym dokumencie. Przechodzimy przez to, czego wymagają przepisy, co powinno znaleźć się w polityce, kto ją przygotowuje i zatwierdza oraz jak ją ogłosić i utrzymać aktualną.

Jak to wygląda w praktyce

Część zespołu krakowskiego biura projektowego korzysta z firmowego Microsoft 365 Copilot, a część z prywatnych kont w innych narzędziach. Klient z branży energetycznej przysłał ankietę dostawcy z pytaniem o politykę AI. Inspektor ochrony danych pyta, czy do narzędzi trafiają dane osobowe klientów, a dział marketingu chce publikować grafiki wygenerowane przez AI. Zarząd zleca przygotowanie jednego dokumentu i pyta, czy jest on obowiązkowy i co ma się w nim znaleźć.

Co mówią przepisy

AI Act nie wymaga dokumentu o nazwie polityka korzystania z AI. Słowo „polityka” pojawia się w nim przy obowiązkach dostawców. Dostawca systemu wysokiego ryzyka dokumentuje system zarządzania jakością „w formie pisemnych polityk, procedur i instrukcji” (art. 17 ust. 1), a dostawca modelu AI ogólnego przeznaczenia wprowadza politykę praw autorskich (art. 53 ust. 1 lit. c). Bliżej codzienności firmy jest RODO: środki techniczne i organizacyjne administratora, gdy jest to proporcjonalne, obejmują „wdrożenie przez administratora odpowiednich polityk ochrony danych” (art. 24 ust. 2).

Zobacz też: Szkolenie Gotowość na AI ACT

Polityka porządkuje obowiązki, które firma już ma albo będzie mieć:

• Kompetencje w zakresie AI personelu i osób działających w imieniu firmy (art. 4 AI Act, od 2 lutego 2025 r.).
• Zakazane praktyki z art. 5 AI Act, np. wyciąganie wniosków na temat emocji pracowników w miejscu pracy poza względami medycznymi lub bezpieczeństwa (od 2 lutego 2025 r.). Od 2 grudnia 2026 r. dochodzą zakazy z art. 5 ust. 1 lit. ba) i bb): generowania bez zgody realistycznych materiałów intymnych osoby możliwej do zidentyfikowania oraz materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych.
• Przejrzystość: podmiot stosujący ujawnia, że treści deepfake są sztucznie wygenerowane albo zmanipulowane. Ujawnia też sztuczne pochodzenie tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Wyjątek: tekst przeszedł weryfikację przez człowieka lub kontrolę redakcyjną i ktoś ponosi za publikację odpowiedzialność redakcyjną (art. 50 ust. 4, od 2 sierpnia 2026 r.).
• Dane osobowe: minimalizacja i poufność danych (art. 5 ust. 1 lit. c i f RODO) oraz dostawca narzędzia jako podmiot przetwarzający z wystarczającymi gwarancjami i umową (art. 28 ust. 1 i 3). Administrator zapewnia, by osoby z jego upoważnienia przetwarzały dane wyłącznie na jego polecenie (art. 32 ust. 4), a przy wysokim ryzyku potrzebna jest ocena skutków dla ochrony danych (art. 35).
• Systemy wysokiego ryzyka, np. narzędzia do selekcji kandydatów: użycie zgodne z instrukcją, nadzór człowieka, monitorowanie i informowanie przedstawicieli pracowników i pracowników, których to dotyczy, przed użyciem w miejscu pracy. Art. 26 stosuje się do systemów z załącznika III od 2 grudnia 2027 r.

Jeżeli firma planuje system zarządzania AI według normy ISO/IEC 42001, polityka AI jest jego elementem (pkt 5.2 normy). Pisząc dokument od razu z myślą o normie, ograniczysz późniejsze przeróbki.

Co zrobić krok po kroku

1. Zespół i właściciel dokumentu. Zarząd wyznacza właściciela polityki, zwykle osobę odpowiedzialną za compliance albo inspektora ochrony danych, a do zespołu dołącza IT, HR i działy, które najczęściej korzystają z AI. Punktem wyjścia jest rejestr systemów AI w firmie, bo polityka ma dotyczyć narzędzi, które faktycznie działają.
2. Zatwierdzone narzędzia i konta. IT z inspektorem ochrony danych wskazuje narzędzia dopuszczone do pracy: wyłącznie na kontach firmowych i z umową z dostawcą, w tym umową powierzenia przetwarzania danych, gdy narzędzie przetwarza dane osobowe. Prywatne konto pracownika nie daje firmie umowy ani kontroli nad danymi. Dokument: wykaz narzędzi z zakresem dozwolonych zastosowań.
3. Dane i zastosowania zakazane. Zespół spisuje, czego nie wolno wprowadzać do narzędzi, np. szczególnych kategorii danych osobowych, danych klientów poza zatwierdzonymi narzędziami i tajemnic firmy, oraz zastosowania zakazane, w tym praktyki z art. 5 AI Act. Dokument: tabela kategorii danych z oznaczeniem, w których narzędziach wolno ich używać.
4. Zasady pracy z wynikiem. Polityka wskazuje, kto weryfikuje wynik AI przed użyciem w dokumentach dla klientów i w decyzjach dotyczących ludzi oraz jak oznaczać treści (szczegóły w poście o tym, kiedy trzeba oznaczać treści wygenerowane przez AI). Opisuje też, jak zgłaszać błędy i incydenty, z odesłaniem do procedury naruszeń ochrony danych osobowych. Dokument: rozdział polityki o pracy z wynikiem AI.
5. Akceptacja nowych narzędzi. Nowe narzędzie albo nowa funkcja AI w posiadanym systemie przechodzi wniosek: cel, dane, dostawca, umowa, wstępna klasyfikacja. Decyzję podejmuje właściciel polityki z IT i inspektorem ochrony danych, a wpis trafia do rejestru systemów AI przed uruchomieniem.
6. Odpowiedzialności i kompetencje. Każde narzędzie ma właściciela biznesowego, który odpowiada za zgodność zastosowań z polityką. Polityka odsyła do programu działań z art. 4, opisanego w poście o szkoleniu pracowników z AI według art. 4 AI Act.
7. Zatwierdzenie, ogłoszenie i przegląd. Zarząd zatwierdza politykę uchwałą albo zarządzeniem, co odpowiada definicji polityki w ISO/IEC 42001: intencje i kierunek organizacji formalnie wyrażone przez najwyższe kierownictwo. Pracownicy i współpracownicy potwierdzają zapoznanie się z nią, a nowe osoby robią to przy wdrożeniu do pracy. Przegląd co najmniej raz w roku oraz po zmianie przepisów, nowym narzędziu albo incydencie to nasza rekomendacja, a nie wymóg przepisu. Do kalendarza przeglądów wpisz 2 grudnia 2026 r. i 2 grudnia 2027 r.

Jak sprawdzić, że sprawa jest załatwiona

Najprostszy test: losowo wybrany pracownik umie wskazać, z których narzędzi może korzystać, jakich danych nie wolno wprowadzać i komu zgłosić problem. Od strony dokumentów polityka ma zatwierdzoną wersję z datą i właścicielem, wykaz zatwierdzonych narzędzi zgadza się z licencjami i umowami w IT, a każde narzędzie z rejestru systemów AI ma wskazany zakres dozwolonych danych. Kontrolującemu i audytorowi klienta pokażesz uchwałę albo zarządzenie zatwierdzające, rejestr potwierdzeń zapoznania się, wnioski o akceptację nowych narzędzi z decyzjami, umowy powierzenia z dostawcami narzędzi, rejestr działań z art. 4 i notatkę z ostatniego przeglądu.

Podstawa prawna i źródła

• art. 4, art. 5, art. 17 ust. 1, art. 26 i art. 50 ust. 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 113 AI Act (daty stosowania przepisów)
• art. 5, art. 24, art. 28, art. 32 i art. 35 rozporządzenia (UE) 2016/679 (RODO) (źródło)
• ISO/IEC 42001:2023, pkt 5.2 „AI policy” i definicja polityki (pkt 3.5), spis treści i części informacyjne normy (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001