Polityka AI w firmie: zasady korzystania z chatow przez pracownikow

Czy twoi pracownicy używają ChatGPT, nawet jeśli im tego nie zleciłeś?

Pracownik wkleja do ChatGPT maile klientów, oferty, a czasem całe umowy. Robi to, bo narzędzie działa i oszczędza mu czas. Nie pyta nikogo o zgodę, bo nie wie, że powinien. Według raportu AIPORT.pl tak zachowuje się 45,4% pracowników i menedżerów w Polsce, a formalną politykę AI ma tylko 20,3% firm. Problem w tym, że dane osobowe klientów wrzucone do otwartego narzędzia to ryzyko, o którym pracownik nie myśli. Gdy dojdzie do wycieku, pierwsze pytanie regulatora brzmi, czy firma miała politykę zakazującą takiego zachowania. Bez niej trudno będzie udowodnić, że działałaś z należytą starannością. Coraz częściej też klienci B2B, zanim podpiszą umowę, pytają o politykę AI kontrahenta. Jej brak może po prostu oznaczać brak kontraktu. Dlatego polityka AI w firmie to nie dokument dla prawników, ale praktyczny przewodnik dla działu sprzedaży. Ma odpowiadać na proste pytanie: czy mogę wkleić tego maila do ChatGPT, czy nie? Powinna zawierać listę zatwierdzonych narzędzi AI z podziałem na typ danych, np. które służą do danych publicznych, a które do poufnych. Wszystko poza listą jest zakazane do momentu zatwierdzenia. Zasady korzystania muszą też obejmować wszystkich, którzy pracują na twoich danych, czyli zleceniobiorców i podwykonawców, nie tylko etatowych pracowników. Kategorycznie zabroń przekazywania danych osobowych do otwartych narzędzi bez zgody przełożonego. A każdą odpowiedź AI, która ma wpływ finansowy lub prawny, musi zweryfikować człowiek, zostawiając ślad w postaci komentarza czy inicjałów. To element szerszej odpowiedzialności organizacji za to, co dzieje się z danymi. To ważne również dlatego, że od 2 sierpnia 2026 roku w pełni egzekwowalny będzie AI Act. Firmy obsługujące klientów z UE bez udokumentowanych zasad narażają się na kary do 35 mln EUR lub 7% globalnych obrotów rocznych. Wdrożenie polityki to także ochrona danych, która staje się argumentem w rozmowach handlowych.

Co konkretnie tracisz, nie mając spisanych zasad korzystania z AI?

Bez spisanych zasad nie masz żadnej kontroli nad tym, co pracownicy wklejają do darmowych czatów. Wyobraź sobie doradcę podatkowego, który wrzuca do ChatGPT fragment umowy z danymi klienta, żeby szybciej znaleźć błąd. Z badania AIPORT.pl wynika, że 45,4% pracowników i menedżerów korzysta z AI bez wiedzy lub formalnej zgody pracodawcy, a formalną politykę ma tylko 20,3% firm. To nie jest złośliwość zespołu, tylko naturalny efekt: narzędzie działa, a firma nie zdążyła ustalić granic.

Gdy dane wyciekną, pierwsze pytanie regulatora brzmi, czy firma miała politykę zakazującą takiego zachowania. Jak wskazuje Hauerpower, bez tego dokumentu trudno dowodzić, że działałaś z należytą starannością. Polityka to twoja podstawa obrony, a nie biurokratyczny wymóg. Co więcej, od 2 sierpnia 2026 roku w pełni egzekwowalny staje się AI Act, a brak udokumentowanych zasad oznacza ryzyko zarówno regulacyjne, jak i wycieku danych przez niezatwierdzone narzędzia.

Dokument ma też wymiar praktyczny, a nie tylko prawny. Dobra polityka to konkretna lista zatwierdzonych narzędzi AI z podziałem na typ danych: co wolno dla danych publicznych, wewnętrznych, osobowych, a czego nie wolno w ogóle. Wszystko poza listą jest zakazane do momentu zatwierdzenia. Dzięki temu pracownik działu sprzedaży w poniedziałek rano otwiera dokument i od razu wie, czy może wkleić maila klienta do ChatGPT, zamiast zgadywać i ryzykować.

Wreszcie brak polityki coraz częściej oznacza utracone kontrakty. Klienci B2B, szczególnie w finansach, ochronie zdrowia i sektorze publicznym, przed podpisaniem umowy pytają o zasady korzystania z AI u kontrahenta. Brak dokumentu bywa czytany jako brak nadzoru nad danymi, a to dla wielu firm koniec rozmowy.

Które dane firmowe nigdy nie powinny trafić do publicznego chatu?

Najprostsza zasada brzmi: do publicznego czatu nie wrzucasz niczego, czego nie pokazałbyś obcej osobie na ulicy. Dotyczy to przede wszystkim danych osobowych, czyli chociażby numeru PESEL, adresu zamieszkania czy kwoty wynagrodzenia. Nawet jeśli pracownik zamaskuje część danych, ryzyko pozostaje, bo otwarte narzędzia wykorzystują to, co do nich trafia, w sposób, którego nie kontrolujesz. W praktyce najczęstszym błędem jest wklejenie całego maila od klienta albo fragmentu umowy tylko po to, żeby narzędzie poprawiło stylistykę. W ten sposób do publicznego systemu trafiają dane kontrahenta, a Ty tracisz kontrolę nad tym, kto i w jaki sposób je przetwarza. Dlatego polityka AI w firmie powinna wprost zakazywać przekazywania danych osobowych do otwartych narzędzi bez zgody przełożonego, jak podkreślają autorzy wzorcowych dokumentów dla organizacji. To jedno z kluczowych obowiązków, które musisz sprecyzować. Do tej samej kategorii należą informacje poufne: strategie cenowe, wyniki negocjacji, dane finansowe firmy czy tajemnica przedsiębiorstwa. Jeśli pracownik używa publicznego czatu do analizy oferty, którą właśnie przygotowujecie dla klienta, ta wiedza przestaje być Waszą przewagą. W polityce warto zapisać wprost, że dane wewnętrzne i poufne mają swoje zatwierdzone narzędzia, a wszystko poza listą jest zakazane do momentu akceptacji. Ostatnia grupa to treści, które mogą wpłynąć na decyzje personalne lub prawne. Opinia o pracowniku, ocena sytuacji spornych czy analiza roszczeń klienta nie powinny być generowane przez otwarte narzędzia bez weryfikacji człowieka. Każdy wynik, który ma skutek finansowy lub prawny, musi zostać sprawdzony przez osobę odpowiedzialną, a sam fakt weryfikacji powinien zostać odnotowany. Dzięki temu, gdyby doszło do naruszenia, masz dowód, że firma działała z należytą starannością.

Jak wygląda lista zatwierdzonych narzędzi, którą zrozumie każdy w firmie?

Najprostsza lista zatwierdzonych narzędzi wygląda jak tabela z czterema kolumnami: nazwa narzędzia, do jakich danych można go używać, do jakich zadań się nadaje i kto może z niego korzystać. Do tego dochodzi zapis, że wszystko, czego nie ma na liście, jest domyślnie zabronione do czasu oficjalnego zatwierdzenia. Dzięki temu pracownik nie zgaduje, tylko sprawdza w jednym miejscu. To fundament wdrożenia zasad korzystania z AI w każdej organizacji.

Podział wg typów danych to serce takiej listy. W praktyce wygląda to tak:

• dane publiczne, np. treści ze stron internetowych, można wklejać do otwartych narzędzi,
• dane wewnętrzne, czyli np. procedury firmowe, wymagają narzędzia zatwierdzonego przez administratora,
• dane osobowe klientów i pracowników trafiają tylko do narzędzi z umową powierzenia,
• dane poufne, jak oferty czy analizy finansowe, mają osobną, węższą listę narzędzi.

Taki podział ma konkretny cel: chroni dane osobowe i poufne informacje oraz zapewnia zgodność z RODO i AI Act. Gdy pracownik wyciecze dane przez ChatGPT, pierwsze pytanie regulatora brzmi, czy firma miała politykę zakazującą takiego zachowania. Dokument z jasną listą to podstawa obrony, bez niej trudno udowodnić, że działałeś z należytą starannością. To także element compliance, który buduje zaufanie klientów.

Lista nie może być martwym załącznikiem. Warto wyznaczyć osobę odpowiedzialną za jej aktualizację, np. AI Officera, i dopisać obowiązek zgłaszania narzędzi, które pracownicy chcieliby dodać. Inaczej zamiast listy dostaniesz shadow AI, czyli narzędzia używane po cichu, bez Twojej wiedzy i kontroli nad danymi. Regularne szkolenia z zasad korzystania pomagają utrzymać dokument w życiu.

Czy twoja polityka obejmuje już agentów AI, którzy sami działają w systemach?

Twoja polityka napisana rok temu, gdy głównym narzędziem był ChatGPT, nie obejmuje agentów AI. To nie jest różnica ilościowa, tylko jakościowa. Pracownik kiedyś wklejał treść do czatu i czekał na odpowiedź. Teraz deleguje zadanie agentowi, który sam planuje kroki, otwiera aplikacje, modyfikuje pliki i wysyła maile. Takie działanie wymaga zupełnie innego dokumentu i przemyślenia odpowiedzialności za systemy AI.

Ryzyko rośnie, bo agent łączy się z zewnętrznymi usługami i potrafi nieautoryzowanie zmienić dane. Pracownik nie kontroluje każdego jego ruchu. Dlatego polityka musi być operacyjna, a nie abstrakcyjna. Zamiast ogólnych zasad potrzebujesz konkretnych list: co agent może zrobić sam, a do czego potrzebuje zgody człowieka. Wdrażając takie regulacje, pamiętaj o obowiązkach wynikających z RODO.

Z raportu AIPORT.pl wynika, że 45,4% pracowników i menedżerów korzysta z AI bez wiedzy pracodawcy. To nie jest złośliwość, tylko luka systemowa. Ludzie używają narzędzi, bo działają, a firma nie zdążyła z regulacjami. Twoja polityka musi wyprzedzić ten problem, zanim agent zrobi coś, czego nie da się cofnąć. Organizacja, która nie reaguje, ponosi pełną odpowiedzialność za skutki.

Zacznij od listy zatwierdzonych narzędzi i podziału danych. Sprawdź, czy agent ma dostęp do danych osobowych klientów, bo to obszar RODO. Ustal, kto weryfikuje wyniki agenta, zanim trafią do klienta. Każdy wynik o wpływie finansowym lub prawnym wymaga potwierdzenia przez człowieka, inaczej ryzykujesz błąd, za który odpowiada firma. To kluczowy element odpowiedzialności w nowej rzeczywistości.

Od czego zacząć spisywanie polityki AI, żeby działała od poniedziałku, a nie leżała w szufladzie?

Polityka AI ma działać od pierwszego dnia, czyli być dla pracownika instrukcją, a nie aktem prawnym. Jak podaje Hauerpower, to dokument, który handlowiec otwiera w poniedziałek rano, aby sprawdzić, czy może wkleić maila klienta do ChatGPT. Zanim zaczniesz pisać, ustal, co realnie dzieje się w Twojej firmie i gdzie leżą największe ryzyka. Wdrożenie polityki AI zaczyna się od diagnozy, a nie od przepisów. Zacznij od konkretu, nie od ogólnych deklaracji. Sprawdź, z jakich narzędzi faktycznie korzystają Twoi ludzie. Według raportu AIPORT.pl, 45,4% pracowników i menedżerów używa AI bez wiedzy lub formalnej zgody pracodawcy, a tylko 20,3% firm ma formalną politykę. To zjawisko nazywane shadow AI, czyli korzystanie z narzędzi poza kontrolą firmy. Twoja polityka ma je ujawnić i uregulować. Uwzględnij też szkolenia, które pomogą zespołowi zrozumieć nowe zasady korzystania.

1. Zdecyduj, kogo obejmuje dokument. Uwzględnij nie tylko pracowników, ale też zleceniobiorców i podwykonawców, którzy działają na rzecz organizacji.
2. Przygotuj listę zatwierdzonych narzędzi, np. ChatGPT czy Claude, z podziałem na to, jakie dane można do nich wprowadzać. Wszystko poza listą jest domyślnie zakazane.
3. Wpisz wprost zakazy, np. przekazywanie danych osobowych do otwartych narzędzi bez zgody przełożonego albo używanie AI do decyzji personalnych bez weryfikacji człowieka.
4. Ustal, kto weryfikuje treści, które mają wpływ na finanse, prawo lub zdrowie, i jak ma wyglądać ten ślad weryfikacji.
5. Wyznacz osobę odpowiedzialną za nadzór, czyli kogoś w roli AI Officera, kto odpowiada na pytania i aktualizuje dokument.
6. Opisz procedurę zgłaszania incydentów, np. przypadkowego wysłania danych klienta do narzędzia, i określ, jakie są konsekwencje naruszeń.

Pamiętaj, że od 2 sierpnia 2026 r. wchodzi w pełną egzekwowalność unijne rozporządzenie AI Act. Jak wskazuje Patronusec, brak udokumentowanych zasad to ryzyko regulacyjne i ryzyko wycieku danych przez niezatwierdzone narzędzia. Dokument, który powstał w tydzień i trafił do szuflady, nie spełni swojej roli. Polityka ma być operacyjna, czyli zawierać konkretne listy tego, co dozwolone i zakazane, a nie abstrakcyjne przepisy. To także element budowania zaufania u klientów i partnerów biznesowych.