Polityka AI w firmie – czego wymaga AI Act, co zapisać w dokumencie i szablon do dostosowania

Nie wprost. AI Act, czyli unijne rozporządzenie o sztucznej inteligencji, nie zawiera przepisu „każda firma musi mieć politykę AI” ani „każda firma musi prowadzić rejestr narzędzi AI”. Takie twierdzenia krążą w internecie, ale nie mają podstawy w tekście rozporządzenia.

Rozporządzenie nakłada natomiast konkretne obowiązki na firmy, które korzystają z AI. Najważniejszy dla typowej firmy jest art. 4: firma ma podejmować działania, które pomagają pracownikom zrozumieć, jak działa AI, gdzie się myli i jakich danych nie powinni jej przekazywać. Spisane zasady i szkolenie to najprostszy dowód, że firma ten obowiązek spełnia.

Obowiązki wchodzą w życie etapami. Poniższa tabela pokazuje stan po zmianach z pakietu Digital Omnibus (rozporządzenie (UE) 2026/1744), który przesunął terminy dla systemów wysokiego ryzyka.

Pracownicy już korzystają z AI, niezależnie od tego, co ustalił zarząd. Jeśli firma nie daje im bezpiecznego narzędzia, sięgają po prywatne konta. Nazywa się to „shadow AI”, czyli korzystaniem z narzędzi AI bez wiedzy i kontroli firmy.

Problem nie polega na samym korzystaniu, tylko na danych. Umowa z klientem wklejona do prywatnego, darmowego konta trafia do dostawcy, z którym firma nie ma żadnej umowy. Jeśli zawiera dane osobowe, może to być naruszenie RODO, które czasem trzeba zgłosić do UODO.

Polityka porządkuje też sprawy praktyczne. Dział zakupów wie, kto zatwierdza nowe narzędzie. Kierownik wie, co zrobić, gdy pracownik popełni błąd. Zarząd wie, ile licencji kupuje i kto z nich korzysta.

Jest wreszcie argument regulacyjny. Polska ustawa o systemach sztucznej inteligencji powołała KRiBSI, która od 28 października 2026 r. może prowadzić kontrole i nakładać kary. Kary z AI Act dla małych i średnich firm liczy się według niższej z dwóch kwot: stałej albo procentu obrotu.

W średniej firmie dobrze sprawdza się dokument na 4–6 stron, podzielony na krótkie części. Każdą z nich pracownik powinien zrozumieć bez pomocy prawnika.

Poniższa lista to minimalny zakres. Nie każda część musi być długa: lista narzędzi może być tabelą, a procedura incydentu – pięcioma krokami.

Najczęstszy błąd to zbyt szczegółowa klasyfikacja. Pracownik nie zapamięta dwunastu kategorii, a po tygodniu zacznie działać na wyczucie. Cztery klasy z przykładami z Twojej firmy wystarczą w większości przypadków.

Klucz to przypisanie klasy danych do rodzaju narzędzia. Narzędzie „z umową” oznacza wersję firmową, w której dostawca zobowiązuje się nie używać danych do trenowania modeli i podpisuje umowę powierzenia przetwarzania danych osobowych. Microsoft deklaruje na przykład, że zapytania i odpowiedzi w Microsoft Copilot używanym na koncie firmowym nie służą do trenowania modeli.

Jeśli firma nie ma narzędzia dla danej klasy, polityka powinna to powiedzieć wprost: „tych danych na razie nie przetwarzamy w AI”. To lepsze niż milczenie, które pracownik odczyta jako zgodę.

Poniższe zapisy możesz skopiować i dostosować. Nawiasy kwadratowe oznaczają miejsca do uzupełnienia. Zapisy dotyczące prawa pracy i danych osobowych przed przyjęciem przejrzyj z prawnikiem lub inspektorem ochrony danych.

Wskazuj stanowiska, a nie nazwiska, bo ludzie zmieniają role. W firmie na 30 osób jedna osoba może pełnić kilka funkcji – ważne, żeby każdy wiedział, do kogo się zwrócić.

Obowiązek prowadzenia rejestru systemów AI nie wynika z AI Act dla typowej firmy. Lista używanych narzędzi bardzo się jednak przydaje: pokazuje, za co firma płaci, jakie dane gdzie trafiają i komu zadać pytanie, gdy dostawca zmieni warunki.

Wystarczy arkusz z kilkoma kolumnami. Pamiętaj, że AI pojawia się też w programach, których nikt nie kupował „jako AI”: w systemie CRM, w programie do mailingu czy w narzędziu do spotkań online.

Listę aktualizuj przy każdym nowym narzędziu, przy zmianie warunków u dostawcy i podczas rocznego przeglądu. Najczęściej umykają narzędzia kupione przez marketing lub sprzedaż z budżetu działu, więc o nie zapytaj wprost.

Art. 4 nie określa liczby godzin ani formy szkolenia. Po zmianach z pakietu Digital Omnibus nie wymaga też konkretnego poziomu wiedzy. Wymaga działań, które tę wiedzę wspierają i pasują do tego, kto i do czego korzysta z AI. Księgowa, która używa asystenta do streszczania maili, potrzebuje innej wiedzy niż osoba konfigurująca chatbota dla klientów.

Dla większości pracowników wystarczy krótkie szkolenie z czterech tematów: jak działa narzędzie, gdzie się myli, jakich danych nie wolno mu przekazać i jak zgłosić problem. Osoby, które wdrażają AI lub nim zarządzają, potrzebują szerszego programu.

Lepiej sprawdzają się warsztaty na przykładach z firmy niż kurs internetowy z testem na końcu. Przykładowe ćwiczenie: „Dostajesz od klienta umowę z prośbą o szybką opinię. Którego narzędzia użyjesz i czego nie wkleisz?”. Zachowaj listę obecności i materiały – to dowód, że firma te działania podjęła.

Zdanie „w razie incydentu powiadom przełożonego” nie wystarczy. Pracownik w stresie potrzebuje konkretnych kroków. Dobrze opisać cztery typowe sytuacje i dla każdej wskazać pierwszą reakcję.

Najważniejszy termin wynika z RODO: naruszenie ochrony danych osobowych zgłasza się do UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób. Dlatego zgłoszenie wewnętrzne musi trafić do właściwej osoby w ciągu godzin, nie dni.

Polityka nie wymaga miesięcy uzgodnień. Wystarczy mały zespół: przedstawiciel zarządu, osoba od IT, osoba od kadr i ktoś, kto odpowiada za dane osobowe. Poniższy plan zakłada pracę na gotowym szablonie, a nie pisanie od zera.

Najwięcej czasu zajmuje zwykle pierwszy krok, bo wymaga rozmów z kierownikami. Nie skracaj go – to on pokazuje, z czego ludzie naprawdę korzystają.

Każdy z poniższych błędów prowadzi do tego samego: pracownicy podpisują dokument i wracają do starych nawyków. Warto sprawdzić projekt polityki pod tym kątem przed przyjęciem.