Dynamiczny rozwój sztucznej inteligencji (AI) wpływa na niemal każdą dziedzinę funkcjonowania firm. Automatyzacja, generatywna AI czy systemy rekomendacyjne wspierają pracowników w codziennych obowiązkach, ale jednocześnie niosą ze sobą ryzyko prawne, etyczne i organizacyjne. Niniejsza polityka ma na celu uporządkowanie zasad korzystania z narzędzi AI w organizacji i zminimalizowanie związanych z tym zagrożeń.
🎯 Cel polityki
Dokument określa zasady odpowiedzialnego, bezpiecznego i zgodnego z prawem korzystania przez pracowników i współpracowników z narzędzi opartych na AI. Dotyczy to zarówno systemów wewnętrznych (opracowanych lub wdrożonych przez organizację), jak i zewnętrznych rozwiązań (np. ChatGPT, Copilot, Bard, Midjourney, Jasper itp.).
Celem polityki jest:
- ochrona danych osobowych i poufnych informacji,
- zapewnienie zgodności z przepisami prawa (RODO, AI Act),
- przeciwdziałanie dyskryminacji i błędom decyzyjnym,
- minimalizacja ryzyka reputacyjnego i prawnego.
🧩 Przykład praktyczny
🧑💼 Firma doradcza umożliwia pracownikom korzystanie z ChatGPT do tworzenia streszczeń raportów i maili do klientów. Polityka nakłada obowiązek anonimizacji danych przed ich przesłaniem do narzędzia oraz zakaz wykorzystywania AI przy podejmowaniu decyzji kadrowych.
👥 Zakres stosowania
Polityka obejmuje wszystkich pracowników, zleceniobiorców i podwykonawców wykonujących zadania na rzecz organizacji, jeżeli w trakcie pracy wykorzystują oni systemy AI – zarówno dostępne publicznie, jak i udostępnione przez organizację.
Dotyczy w szczególności procesów, w których przetwarzane są:
- dane osobowe,
- dane poufne (np. informacje handlowe, dane klientów),
- materiały o znaczeniu strategicznym lub decyzyjnym.
📌 W przypadku współpracy z podmiotami zewnętrznymi (np. agencjami marketingowymi), warto zawrzeć w umowach klauzule zobowiązujące do przestrzegania tej polityki.
✅ Dozwolone zastosowania AI
Pracownicy mogą korzystać z narzędzi AI w celu:
- wsparcia pracy biurowej i administracyjnej,
- analizy dużych zbiorów danych (po ich uprzednim zanonimizowaniu),
- tworzenia koncepcji marketingowych i raportów (z odpowiednim oznaczeniem udziału AI),
- tworzenia prototypów lub szkiców dokumentów roboczych.
Przy każdym użyciu AI należy kierować się zasadami:
- minimalizacji danych – przekazujemy tylko to, co niezbędne,
- ochrony prywatności – bez danych osobowych bez podstawy prawnej,
- jawności – wskazujemy, że materiał został wygenerowany przez AI, jeśli może to mieć wpływ na odbiorcę.
✖️ Niedozwolone działania
Kategorycznie zabrania się:
- przekazywania danych osobowych do otwartych narzędzi AI bez zgody przełożonego,
- wykorzystywania AI do podejmowania decyzji personalnych lub prawnych bez weryfikacji przez człowieka,
- używania AI do generowania treści niezgodnych z prawem, naruszających dobre imię organizacji lub osób trzecich,
- obchodzenia zabezpieczeń, limitów użytkowania lub wykorzystywania kont prywatnych do celów służbowych.
🧩 Przykład praktyczny
📈 Analityk finansowy prosi narzędzie AI o analizę danych klientów. Przed użyciem polityka wymaga: (1) usunięcia nazw i adresów e-mail z bazy, (2) uzyskania zgody przełożonego, jeśli dane pochodzą z zewnętrznego źródła, (3) nieudostępniania wygenerowanego raportu bez kontroli merytorycznej.
🔐 Bezpieczeństwo i ochrona danych
Wszyscy użytkownicy AI mają obowiązek:
- przesyłać tylko niezbędne dane do systemu AI,
- korzystać wyłącznie z narzędzi zatwierdzonych przez dział IT,
- ograniczać dostęp do narzędzi AI wyłącznie do upoważnionych osób,
- niezwłocznie zgłaszać wszelkie incydenty związane z naruszeniem bezpieczeństwa danych (np. wyciek, podejrzenie nieautoryzowanego dostępu).
📣 Zgłaszanie incydentów
Każdy incydent związany z użyciem AI (np. naruszenie danych, błędna analiza, dostęp osoby nieuprawnionej) musi zostać niezwłocznie zgłoszony:
- przełożonemu,
- Inspektorowi Ochrony Danych (IOD),
- działowi IT lub bezpieczeństwa.
⏱ Reakcja powinna nastąpić maksymalnie w ciągu kilku godzin, ponieważ w przypadku naruszenia danych RODO wymaga zgłoszenia do organu w ciągu 72 godzin.
🧭 Nadzór i odpowiedzialność
Wdrażanie i egzekwowanie niniejszej polityki wymaga zaangażowania kilku kluczowych ról w organizacji:
- Zarząd / kierownictwo – odpowiada za zatwierdzenie polityki, zabezpieczenie budżetu na szkolenia i narzędzia oraz egzekwowanie przestrzegania zasad.
- Inspektor Ochrony Danych (IOD) – monitoruje zgodność z RODO, wspiera ocenę ryzyka (DPIA) oraz opiniuje wykorzystanie AI w kontekście ochrony danych.
- Dział IT – zarządza wdrażaniem narzędzi AI, audytuje ich bezpieczeństwo, weryfikuje dostawców zewnętrznych oraz nadzoruje dostęp i infrastrukturę.
- Pracownicy i współpracownicy – zobowiązani są do znajomości polityki, stosowania się do wytycznych, uczestnictwa w szkoleniach i zgłaszania wszelkich nieprawidłowości.
📌 W organizacjach większych warto powołać zespół ds. AI (np. interdyscyplinarny skład: IT, compliance, HR, prawnik), który będzie ciałem doradczym przy wdrażaniu i ewaluacji systemów opartych na AI.
📊 Monitorowanie i sankcje
W celu zapewnienia skuteczności polityki:
- Organizacja przeprowadza okresowe audyty wewnętrzne, oceniające sposób wykorzystania narzędzi AI, w tym zgodność z przepisami i bezpieczeństwo danych.
- Naruszenia polityki mogą skutkować sankcjami służbowymi, zgodnie z obowiązującym regulaminem pracy lub umową. Mogą to być:
- upomnienie ustne lub pisemne,
- cofnięcie dostępu do narzędzi AI,
- kara porządkowa,
- a w skrajnych przypadkach – wypowiedzenie umowy o pracę lub współpracę.
⚠️ Stosowanie sankcji ma charakter prewencyjny. Głównym celem polityki jest edukacja i minimalizacja ryzyk, nie represjonowanie użytkowników.
📝 Postanowienia końcowe
- Polityka wchodzi w życie z dniem jej zatwierdzenia przez zarząd lub osobę upoważnioną.
- Dokument jest dostępny dla każdego pracownika w wewnętrznym repozytorium dokumentów lub intranecie.
- Każdy nowy pracownik powinien zostać zapoznany z polityką w ramach onboardingu.
- Organizacja organizuje szkolenia okresowe z zakresu korzystania z narzędzi AI, ochrony danych i bezpieczeństwa informacji.
- Polityka będzie aktualizowana co najmniej raz w roku lub każdorazowo w razie zmiany przepisów prawa, strategii organizacyjnej lub technologii.
📌 Aktualizacje są przeprowadzane przez zarząd w porozumieniu z IOD oraz działem IT. Zmiany mogą być komunikowane w formie aneksu do polityki.
📚 Podstawa prawna
📜 art. 5 ust. 1 lit. c, art. 6, art. 24, art. 25, art. 32, art. 35 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO)
📜 art. 29 i nast. – projekt rozporządzenia AI Act (UE)
📜 ISO/IEC 27001 – norma zarządzania bezpieczeństwem informacji
🔖 Tematy porad zawartych w polityce
- polityka korzystania z AI w firmie
- wykorzystanie ChatGPT w pracy biurowej
- bezpieczeństwo danych w narzędziach AI
- RODO a sztuczna inteligencja
- regulacje AI w miejscu pracy