AI governance w firmie – jak ustalić zasady korzystania z AI i co już wymagają przepisy

Angielskie określenie AI governance oznacza po prostu zasady i nadzór nad korzystaniem z AI w firmie. Nie chodzi o gruby dokument dla prawników, tylko o odpowiedzi na kilka praktycznych pytań, które dziś każdy pracownik rozstrzyga sam.

Weźmy hipotetyczną firmę handlową na 150 osób. Handlowiec wkleja do prywatnego ChatGPT cennik z rabatami, żeby szybciej napisać ofertę. Księgowa prosi inne narzędzie o podsumowanie umowy z dostawcą. Nikt nie złamał żadnej zasady, bo żadnej nie było.

Zasady korzystania z AI powinny odpowiadać na pięć pytań z listy poniżej. Jeśli w Twojej firmie nikt nie zna odpowiedzi na któreś z nich, od tego warto zacząć.

AI Act, czyli unijne rozporządzenie o sztucznej inteligencji, obowiązuje od 2024 r., a jego obowiązki wchodzą etapami. Część już działa, część przesunięto pakietem zmian Digital Omnibus z 2026 r. Tabela poniżej pokazuje terminy, które najczęściej dotyczą średniej firmy.

Ważne zastrzeżenie: AI Act nie nakłada na każdą firmę obowiązku posiadania „polityki AI” ani „rejestru systemów AI”. Spisane zasady i szkolenia są jednak najprostszym sposobem wykazania, że firma wspiera wiedzę pracowników o AI zgodnie z art. 4.

W Polsce nadzór nad stosowaniem AI Act sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Jej uprawnienia kontrolne i możliwość nakładania kar działają od 28 października 2026 r. Niezależnie od AI Act nadal obowiązuje RODO – każde przetwarzanie danych osobowych w narzędziu AI musi mieć podstawę prawną.

Gdy firma nie daje pracownikom narzędzi AI albo ich zakazuje, ludzie i tak z nich korzystają, tylko na prywatnych kontach. Takie zjawisko nazywa się shadow AI, czyli korzystaniem z AI poza wiedzą i kontrolą firmy.

Skala jest duża. Według badania Microsoftu i LinkedIn z 2024 r. 78% osób korzystających z AI w pracy przynosi własne narzędzia. Dane firmowe trafiają wtedy do usług, których warunków nikt w firmie nie sprawdził.

Odpowiedzią nie jest blokada, tylko bezpieczna alternatywa. Firmowe wersje narzędzi mają inne warunki niż prywatne. Na przykład w Microsoft 365 Copilot zapytania i odpowiedzi nie służą do uczenia modeli, a Copilot widzi tylko dokumenty, do których użytkownik i tak ma dostęp.

Ten ostatni punkt ma też drugą stronę. Jeśli folder z wynagrodzeniami jest otwarty dla całej firmy, Copilot może go znaleźć. Przed uruchomieniem narzędzia trzeba więc przejrzeć uprawnienia w SharePoint i Teams.

Podstawą zasad jest podział danych na kilka klas i przypisanie do każdej dozwolonych narzędzi. Pracownik nie musi znać przepisów – wystarczy, że wie, do której klasy należy dokument, który chce wkleić.

Tabela poniżej to przykład dla średniej firmy. Nazwy klas i przykłady dopasuj do swojej działalności, ale nie twórz ich więcej niż cztery lub pięć, bo nikt ich nie zapamięta.

W firmie na kilkadziesiąt czy kilkaset osób nie potrzebujesz nowych stanowisk ani specjalnej komisji. Potrzebujesz jasnego podziału zadań między osoby, które już pracują w firmie.

Najczęstszy błąd to uznanie AI za „wspólną sprawę”. W praktyce oznacza to, że nikt nie podejmuje decyzji, a zasady starzeją się po kilku miesiącach. Poniżej podział, który sprawdza się w średniej firmie.

Wprowadzenie zasad w średniej firmie to zwykle kilka tygodni pracy, a nie wielomiesięczny projekt. Kolejność ma znaczenie: najpierw sprawdzasz, jak jest, potem ustalasz zasady, a na końcu dajesz ludziom narzędzia i szkolenie.

Po pierwszych trzech miesiącach przejrzyj zgłoszenia i incydenty. To najlepszy moment, żeby poprawić zasady na podstawie tego, jak ludzie naprawdę pracują.

Błędy przy zasadach korzystania z AI powtarzają się niezależnie od branży. Większość z nich wynika z tego, że zasady pisze się dla audytora, a nie dla pracownika.

Jeśli rozpoznajesz u siebie któryś z poniższych punktów, nie musisz zaczynać od nowa. Zwykle wystarczy uprościć dokument i wyznaczyć osobę, która za niego odpowiada.

Dla większości zastosowań, takich jak pisanie maili, streszczanie dokumentów czy pomoc w analizie danych, wystarczą zasady, firmowe narzędzie i szkolenie. Są jednak sytuacje, w których potrzeba więcej.

Pierwsza to systemy wysokiego ryzyka z AI Act, np. AI oceniające kandydatów do pracy. Od 2 grudnia 2027 r. firma, która je stosuje, musi m.in. zapewnić nadzór człowieka i przechowywać rejestry zdarzeń. Warto zaplanować to wcześniej, bo dotyczy także narzędzi kupionych od dostawców.

Druga to dane szczególnie wrażliwe, np. medyczne albo objęte tajemnicą zawodową. Wtedy decyzja dotyczy też tego, gdzie AI przetwarza dane: w chmurze dostawcy czy na serwerach firmy. Ten wybór opisujemy w osobnym porównaniu.

Trzecia to firmy, które chcą formalnie potwierdzić swoje podejście, np. na potrzeby dużych klientów. Służy temu norma ISO/IEC 42001:2023 o systemie zarządzania AI. Certyfikacja jest dobrowolna i ma sens głównie wtedy, gdy klienci jej oczekują.