Jedna strona, która chroni firmę przed wyciekiem danych. Polityka AI do pobrania
W większości polskich firm obowiązuje dziś jedna z dwóch polityk AI. Pierwsza brzmi: „nie mamy żadnej”. Druga: „zakazaliśmy, więc problemu nie ma”. Obie kończą się tak samo — pracownicy używają narzędzi AI po cichu, na prywatnych kontach, bez żadnych zasad. Różnica jest tylko taka, że w drugim wariancie robią to z poczuciem winy.
Dobra polityka AI nie jest dokumentem prawnym na dwadzieścia stron. Jest krótką, zrozumiałą umową między firmą a pracownikami: oto narzędzia, których możecie używać, oto granice, oto kto pomoże w razie wątpliwości. Poniżej osiem punktów, z których powinna się składać — a na końcu szablon do pobrania, który dostosujesz do swojej firmy w godzinę.
Dlaczego jedna strona, a nie dwadzieścia
Polityka, której nikt nie przeczytał, nie chroni nikogo. A pracownicy nie czytają dwudziestostronicowych regulaminów — podpisują je. Dokument na jedną–trzy strony, napisany językiem ludzi, a nie prawników, ma szansę zostać zapamiętany. Wszystkie szczegóły techniczne i proceduralne mogą żyć w załącznikach dla zainteresowanych; rdzeń musi mieścić się w głowie.
Drugi powód jest praktyczny: od lutego 2025 roku AI Act nakłada na firmy obowiązek zapewnienia kompetencji AI personelu. Krótka, jasna polityka plus szkolenie to fundament wykazania, że ten obowiązek traktujecie poważnie.
Osiem punktów dobrej polityki AI
1. Cel i zakres
Dwa zdania: po co ten dokument istnieje i kogo obowiązuje. Wskazówka: obejmij nie tylko pracowników etatowych, ale też współpracowników B2B i osoby na zlecenie — wyciek danych nie sprawdza formy zatrudnienia.
2. Narzędzia dozwolone — z linkami
Konkretna lista: „używamy Microsoft 365 Copilot na koncie firmowym, logowanie tutaj”. Nie „dozwolone są narzędzia zatwierdzone przez IT” — nikt nie wie, co to znaczy. Jeśli lista jest pusta, bo firma nie kupiła jeszcze żadnych licencji, polityka zakazująca wszystkiego bez alternatywy wyprodukuje wyłącznie Shadow AI.
3. Zasady danych — co wolno wkleić gdzie
Serce dokumentu. Najprościej działa podział na kategorie: dane publiczne (wolno wszędzie), wewnętrzne (tylko narzędzia firmowe), poufne (tylko narzędzia firmowe, z rozwagą), ściśle poufne — dane zdrowotne, hasła, dane zarządu, dokumenty objęte tajemnicą zawodową (nigdzie, nigdy, w żadnym narzędziu AI). Do tego punktu wrócimy szerzej w osobnym artykule pod koniec lipca — z listą do powieszenia w biurze.
4. Zakaz narzędzi prywatnych do danych firmowych — z wyjaśnieniem
Sam zakaz nie wystarczy; ludzie omijają zasady, których nie rozumieją. Wyjaśnij dlaczego: darmowe i prywatne wersje narzędzi nie mają umowy powierzenia danych z firmą, a wklejone treści mogą być wykorzystywane do trenowania modeli. To nie jest fanaberia działu IT — to różnica między narzędziem z gwarancjami umownymi a wrzuceniem dokumentu do internetu.
5. Weryfikacja wyników — odpowiedzialność zostaje przy człowieku
Modele AI potrafią generować odpowiedzi brzmiące pewnie i będące nieprawdą. Zasada musi być jednoznaczna: treść wygenerowana przez AI, która wychodzi na zewnątrz firmy albo trafia do dokumentu o znaczeniu prawnym czy finansowym, wymaga weryfikacji człowieka. Odpowiedzialność za treść ponosi osoba, która ją wysyła lub publikuje — „tak powiedział czat” nie jest linią obrony.
6. Przejrzystość
Kiedy informujemy klientów, kandydatów i pracowników, że w procesie uczestniczy AI. Minimum wynikające z przepisów: człowiek rozmawiający z chatbotem musi wiedzieć, że rozmawia z maszyną. Dobra praktyka idzie dalej — jawność buduje zaufanie, ukrywanie je rujnuje przy pierwszej wpadce.
7. Zgłaszanie incydentów — bez kar za szczerość
Jedna skrzynka lub jedna osoba, do której zgłasza się wyciek, błąd lub wątpliwość. I zasada kluczowa: zgłoszenie w dobrej wierze nie pociąga konsekwencji. Pracownik, który boi się przyznać, że wkleił za dużo, nie zgłosi tego — a firma dowie się o incydencie od klienta albo od regulatora. Kultura „zgłoś, naprawimy razem” jest tańsza niż kultura strachu.
8. Właściciel i data przeglądu
Kto aktualizuje dokument i jak często — minimum raz w roku, a realnie częściej, bo narzędzia i przepisy zmieniają się szybko. Polityka z 2024 roku opisująca świat sprzed Copilota i AI Act jest gorsza niż brak polityki: daje fałszywe poczucie, że temat jest załatwiony.
Czego w polityce być nie powinno
- Listy konkretnych modeli i wersji (GPT-4, Claude 3…) — zestarzeje się w kwartał; wskazuj narzędzia i konta, nie wersje modeli
- Technicznych szczegółów konfiguracji — to materiał dla IT, nie dla wszystkich
- Gróźb i paragrafów w co drugim zdaniu — dokument ma budować nawyki, nie strach
- Obietnic bez pokrycia („AI nigdy nie popełnia błędów w wersji firmowej”) — bo pierwsza halucynacja zburzy zaufanie do całego dokumentu
Jak wdrożyć, żeby zadziałało
- Skonsultuj szkic z IOD/działem prawnym i z IT — ale pisz językiem ludzi
- Ogłoś razem z dostępem do narzędzi, nie zamiast niego — polityka bez legalnej alternatywy to przepis na obchodzenie zasad
- Zrób krótkie szkolenie (wystarczy godzina) zamiast wysyłki PDF — przy okazji odhaczysz część obowiązku AI literacy
- Wracaj do tematu kwartalnie: jedna wiadomość z przypomnieniem zasad i przykładem z życia robi więcej niż coroczny podpis pod regulaminem
Pobierz szablon polityki AI (DOCX) — osiem punktów opisanych wyżej, gotowych do dostosowania do Twojej firmy w godzinę. Szablon przygotował zespół ITE AI na bazie wdrożeń w polskich firmach. [formularz: e-mail → wysyłka szablonu]. A jeśli chcesz, żeby polityce towarzyszyło szkolenie zespołu — zobacz program na ite.pl/ite-ai-szkolenia.
