Polityka AI w firmie – wzór zasad korzystania z ChatGPT dla pracowników

Polityka AI w firmie to zasady korzystania z AI. W małej firmie mieszczą się na jednej stronie: z jakich narzędzi korzystać, czego nie wklejać do czatu, kto sprawdza wynik i kogo pytać. AI Act nie wymaga dokumentu o tej nazwie. Wymaga czegoś innego: art. 4 każe firmom wspierać rozwój kompetencji w zakresie AI u pracowników i współpracowników, którzy z niej korzystają. Czy to dotyczy firmy, w której ktoś pisze w ChatGPT teksty reklam? Komisja Europejska odpowiada: tak. Certyfikatu nie trzeba. Niżej znajdziesz wzór zasad do skopiowania, plan półgodzinnego szkolenia i wyjaśnienie każdego punktu.

Wzór polityki AI dla małej firmy – do skopiowania

Skopiuj, uzupełnij nawiasy kwadratowe i omów z zespołem. Całość mieści się na jednej stronie A4.

Zasady korzystania z AI w [nazwa firmy]
Obowiązują od [data]. Dotyczą każdego, kto pracuje dla firmy – na etacie, na zleceniu albo na fakturze.

1. Narzędzia. Do pracy używamy: [np. ChatGPT Business]. Konta zakłada i usuwa [imię]. Spraw firmy nie prowadzimy na prywatnych kontach AI. [Jeśli firma nie ma kont firmowych, zamiast poprzedniego zdania: na prywatnym koncie wyłączamy „Ulepszaj model dla wszystkich” (Ustawienia → Kontrola danych).]

2. Czego nie wklejamy do AI:

• danych o zdrowiu,
• haseł, numerów kont i kart,
• danych osobowych klientów i pracowników – wyjątek: [narzędzie] objęte umową powierzenia przetwarzania danych,
• cen, marż, umów i wyników, które nie są publiczne,
• niczego, co obejmuje umowa o poufności.

3. Gdy nie mamy pewności. Zamieniamy nazwiska na „Klient A”, a kwoty na „X zł”. Albo pytamy [imię], zanim coś wkleimy.

4. Sprawdzamy, zanim wyślemy. Liczby, cytaty, nazwy, przepisy i linki z AI sprawdzamy u źródła. Za tekst odpowiada osoba, która go wysyła – nie czat.

5. AI nie ocenia ludzi. Nie używamy AI do filtrowania CV ani do oceny kandydatów i pracowników.

6. Oznaczamy. Obraz, nagranie albo film z AI, który przypomina prawdziwe osoby, przedmioty, miejsca lub zdarzenia i może uchodzić za prawdziwy, podpisujemy: „Wygenerowane przez AI”. Gdy AI przerobiła prawdziwy materiał, piszemy: „Zmienione przez AI”.

7. Zgłaszamy od razu. Wklejone dane klienta, błąd z AI, który poszedł do klienta, dziwna odpowiedź narzędzia – mówimy o tym [imię] najpóźniej tego samego dnia. Za samo zgłoszenie nikogo nie karzemy.

8. Szkolenie. Nowa osoba dostaje 30 minut wprowadzenia w pierwszym tygodniu. Cały zespół powtarza szkolenie co [12] miesięcy. Zapis szkoleń (data, temat, kto był) prowadzimy w [gdzie].

9. Pytania i zmiany. Osobą od AI jest [imię, e-mail]. Odpowiada na pytania, prowadzi listę narzędzi i zapis szkoleń. Zasady przeglądamy co [6] miesięcy i po każdym incydencie. Ostatnia zmiana: [data].

Wzór to przykład, nie porada prawna. Jeśli firma przetwarza dane o zdrowiu, ma z klientami umowy o poufności albo chce, żeby AI oceniała ludzi, pokaż zasady prawnikowi.

Czy firma musi mieć politykę AI?

Dokumentu o takiej nazwie mieć nie musi. Polityka, regulamin czy zasady – nazwa nie ma znaczenia. Firma musi za to pomagać ludziom w nauce korzystania z AI. Art. 4 AI Act mówi, że firmy, które stosują systemy AI, „podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu”. Kompetencje to wiedza i umiejętności, dzięki którym ktoś świadomie korzysta z AI: zna jej możliwości, ryzyka i szkody, jakie może wyrządzić (art. 3 pkt 56).

AI Act nazywa „podmiotem stosującym” każdego, kto używa AI pod swoją kontrolą, poza użytkiem prywatnym (art. 3 pkt 4). W pytaniach i odpowiedziach o art. 4 Komisja Europejska opisuje wprost przypadek firmy, której pracownicy piszą w ChatGPT teksty reklam albo tłumaczenia: obowiązek jej dotyczy, a pracownicy powinni dowiedzieć się o konkretnych ryzykach, np. o halucynacjach.

Obowiązek obejmuje też „inne osoby”, które korzystają z AI w imieniu firmy. Komisja wymienia jako przykład wykonawcę, usługodawcę, a nawet klienta. Dlatego wzór dotyczy każdego, kto pracuje dla firmy – na etacie, na zleceniu albo na fakturze.

Art. 4 obowiązuje od 2 lutego 2025 r., a od 2 sierpnia 2026 r. mają go pilnować krajowe organy nadzoru rynku. W lipcu 2026 r. przepis złagodzono. Komisja pisze, że obowiązek został, ale nie jest już wymagany żaden konkretny ani „wystarczający” poziom kompetencji. Ostatnie zdanie art. 4 ust. 1 brzmi: „Taki obowiązek nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”. Prawo nie wymaga, żeby ludzie umieli. Wymaga, żeby firma pomagała im się uczyć.

Według Komisji certyfikat nie jest potrzebny. Nie trzeba też powoływać „inspektora AI” na wzór inspektora ochrony danych – art. 4 nie wymaga w firmie żadnej konkretnej struktury. Firma może za to prowadzić wewnętrzny zapis szkoleń i wskazówek, które dała ludziom. Zasady na jednej stronie i kartka z datą szkolenia mogą być takim zapisem.

Czego nie wklejać do ChatGPT w firmie

Poniedziałek, 9:40. Handlowiec ma do 10:00 wysłać ofertę, więc wrzuca do darmowego czatu cennik dla stałych klientów i prosi o gotowego maila. Nikt mu tego nie zabronił: w firmie nie ma spisanych zasad.

Tajemnica firmy. Taki cennik, marże, lista odbiorców – to może być tajemnica przedsiębiorstwa. Ustawa stawia jednak kilka warunków. Jeden z nich: firma z należytą starannością podjęła działania, żeby utrzymać te informacje w poufności (art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji). Pisemny zakaz wklejania takich danych do czatu może być jednym z tych działań. Prawo chroni tylko tę tajemnicę, której firma sama pilnowała.

Dane klientów. Gdy dostawca narzędzia przetwarza dane w imieniu firmy, RODO wymaga umowy powierzenia przetwarzania danych. Określa ona m.in. cel przetwarzania i rodzaj danych (art. 28 ust. 3). Na prywatnym koncie ChatGPT takiej umowy nie ma. W planach Business i Enterprise OpenAI pomaga ją podpisać i domyślnie nie trenuje modeli na danych firmy. Co jeszcze odróżnia konto firmowe od prywatnego, pokazuje tekst o tym, czy ChatGPT zapisuje rozmowy.

Dane o zdrowiu. Wzór nie pozwala wklejać ich do żadnego narzędzia. RODO zalicza je do szczególnych kategorii danych i co do zasady zakazuje ich przetwarzania (art. 9).

Gdy nie wiesz, czy coś jest poufne, podmień konkrety: „Klient A” zamiast nazwiska, „X zł” zamiast kwoty, „[adres]” zamiast adresu. Do poprawienia maila czat nie potrzebuje prawdziwego nazwiska.

Kto sprawdza tekst z AI

Sprawdza ten, kto wysyła tekst – tak mówi punkt 4 wzoru. To odpowiedź na ryzyko, które Komisja podała jako przykład: halucynacje. Czat potrafi podać prawdziwy link z nieaktualnymi liczbami albo wydanie książki, którego nie było. Przykłady i listę kontrolną przed publikacją znajdziesz w tekście o halucynacjach AI.

Dlatego wzór nie każe „uważać na AI”. Mówi, co sprawdzić: liczby, cytaty, nazwy, przepisy i linki. I gdzie to zrobić: u źródła, nie w czacie.

Kiedy jedna strona zasad nie wystarczy

Jedna strona nie wystarczy, gdy AI ma oceniać ludzi – dlatego punkt 5 trzyma AI z daleka od ocen. AI Act zalicza do systemów wysokiego ryzyka te przeznaczone do filtrowania podań o pracę, oceny kandydatów oraz oceny wydajności i zachowania pracowników (załącznik III, pkt 4). Takie systemy mają osobną, długą listę obowiązków.

Punkt 6 wynika z osobnego przepisu – art. 50 ust. 4 AI Act. Firma, która tworzy deepfake narzędziem AI, musi ujawnić, że treść została sztucznie wygenerowana albo zmanipulowana. Deepfake to wygenerowany albo przerobiony przez AI obraz, dźwięk lub film, który przypomina istniejące osoby, przedmioty, miejsca czy zdarzenia, a odbiorca mógłby wziąć go za prawdziwy (art. 3 pkt 60). Art. 50 ust. 4 dotyczy też tekstu z AI, ale tylko wtedy, gdy firma go publikuje, żeby informować o sprawach interesu publicznego, a nikt go nie sprawdził albo nikt nie odpowiada za niego redakcyjnie.

Wklejone dane klienta: 72 godziny na zgłoszenie do UODO

Punkt 7 to nie formalność. Ktoś z zespołu wkleja do prywatnego czatu mail klienta z adresem i telefonem, żeby szybciej odpisać. To może być naruszenie ochrony danych osobowych. Wtedy firma zgłasza je Prezesowi UODO bez zbędnej zwłoki – w miarę możliwości w ciągu 72 godzin (art. 33 RODO). Zgłoszenia nie trzeba, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności ludzi. Ale to też ktoś musi ocenić.

Termin liczy się od chwili, gdy firma stwierdzi naruszenie. A pracownik, który boi się kary, nic nie powie. Dlatego wzór obiecuje: „Za samo zgłoszenie nikogo nie karzemy”.

Jak wprowadzić zasady w 30 minut

Zasady wprowadź na spotkaniu z zespołem, nie mailem. Komisja pisze, że w wielu przypadkach może nie zadziałać sama instrukcja obsługi narzędzia ani prośba, żeby ludzie ją przeczytali. Mail z PDF-em zasad to ta sama prośba. Plan na pół godziny:

1. 10 minut – zasady. Przeczytajcie je razem, punkt po punkcie. Przy każdym powiedzcie jednym zdaniem, po co jest.
2. 15 minut – przykłady z Waszej pracy. Pokażcie mail do klienta przed zamianą danych na „Klient A” i po niej. Znajdźcie w odpowiedzi czatu liczbę, którą trzeba sprawdzić. Porównajcie grafikę z AI, która wymaga podpisu, z taką, która go nie wymaga.
3. 5 minut – zapis. Data, temat i lista obecnych trafiają do teczki albo do folderu „AI” na dysku firmy.

Nowa osoba dostaje te same 30 minut w pierwszym tygodniu. Szkolenia nie muszą być dla wszystkich takie same – Komisja wprost to dopuszcza. Grafik i księgowa nie potrzebują tych samych przykładów.

Kontrola i kary – stan na listopad 2026 r.

W Polsce rynek AI nadzoruje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Przepisy o jej kontrolach i karach weszły w życie 28 października 2026 r. (ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, art. 127). Z reguły kontrola jest zdalna i zaczyna się najwcześniej 7 dni po doręczeniu zawiadomienia (art. 49).

Ustawa każe też sprawdzać, co kontrolowane firmy wiedzą o swoich obowiązkach z AI Act i ustawy oraz czy potrafią je wykonać. Ogólny wynik trafi do rocznego sprawozdania dla Sejmu (art. 25 i 26).

Kary pieniężne opisuje rozdział XII AI Act, a polska ustawa do niego odsyła (art. 104). Art. 99 AI Act podaje górne granice kar za naruszenie wymienionych w nim przepisów – art. 4 wśród nich nie ma. Komisja Europejska pisze jednak, że krajowe organy nadzoru rynku mogą karać za naruszenie art. 4 i stosować inne środki na podstawie prawa krajowego. Każda sankcja ma być proporcjonalna.

Według Komisji Europejskiej sankcja może być bardziej prawdopodobna, gdy da się wykazać, że do incydentu doszło, bo ludzie nie dostali odpowiedniego szkolenia i wskazówek. Zapis, że je dostali, mieści się na jednej kartce: data, temat, lista obecnych.