Start / Blog / Polityka AI w firmie

07.10.2026 · Bezpieczeństwo · ~11 min czytania

Polityka AI w firmie — co powinna zawierać i jak ją napisać (wzór)

Polityka AI w firmie to krótki dokument, który mówi pracownikom trzy rzeczy: z jakich narzędzi AI wolno im korzystać, czego nie wolno do nich wpisywać i kto odpowiada za wynik. Większość firm potrzebuje jej z prostego powodu — pracownicy już korzystają z czatów AI, tylko nikt tego nie uporządkował.

Ten wpis daje konkret od razu: najpierw listę punktów, które polityka powinna zawierać, potem wzór do skopiowania i dostosowania. Kontekst prawny — co po zmianach z lipca 2026 r. mówi AI Act o szkoleniu pracowników i jak to się ma do RODO — jest w drugiej części.

Ważne zastrzeżenie, raz i wyraźnie: to nie jest porada prawna. Wzór to punkt wyjścia. Jeśli polityka ma stać się częścią regulaminu pracy albo obowiązkiem pracowniczym, skonsultujcie jej treść z prawnikiem. Przepisy cytowane we wpisie sprawdziliśmy 05.10.2026 w Dzienniku Urzędowym UE i u Komisji Europejskiej — linki są na końcu.

Po co firmie polityka AI

Bez spisanych zasad każdy pracownik sam decyduje, co wkleja do czatu i z jakiego konta. Najczęściej z prywatnego, bo tak jest szybciej. Wtedy umowa z klientem, dane osobowe albo kalkulacja ofertowa trafiają do dostawcy, z którym firma nie ma żadnej umowy. Co dokładnie dzieje się z takimi danymi i czym różni się konto prywatne od firmowego, opisaliśmy we wpisie Co naprawdę dzieje się z danymi, które wklejasz do ChatGPT.

Polityka AI nie ma tego zakazywać, tylko ucywilizować. Zakaz bez legalnej alternatywy działa na papierze, a w praktyce przenosi korzystanie z AI na prywatne telefony. Dobra polityka mówi, z czego korzystać, jak i do jakich danych.

Co powinna zawierać polityka AI — lista punktów

Dziewięć punktów, które warto rozstrzygnąć. Nie każdy musi zajmować stronę — w małej firmie większość zmieści się w jednym zdaniu.

  1. Lista zatwierdzonych narzędzi. Konkretne nazwy i plany, z informacją, do czego każde służy. Wszystko spoza listy wymaga zgody wskazanej osoby. Lista zakazów jest mniej ważna niż lista dozwolonych — nowych narzędzi przybywa szybciej, niż da się je zakazywać.
  2. Konta firmowe zamiast prywatnych. To najtańsza pojedyncza zmiana. Na kontach konsumenckich ChatGPT rozmowy domyślnie mogą służyć do trenowania modeli, dopóki użytkownik tego nie wyłączy. W Claude od 2025 r. użytkownik kont konsumenckich sam decyduje, czy jego rozmowy mogą do tego służyć. W aplikacji Gemini przy włączonej aktywności część rozmów czytają recenzenci Google. W planach firmowych dostawcy deklarują, że domyślnie nie trenują na danych klientów, i podpisują umowy powierzenia — ale dane nadal trafiają do zewnętrznego dostawcy.
  3. Jakich danych nie wolno wpisywać. Najprościej w trzech kategoriach: materiały publiczne; dane wewnętrzne bez danych osobowych; dane poufne — dane osobowe klientów i pracowników, tajemnica przedsiębiorstwa, informacje objęte tajemnicą zawodową. Dane poufne tylko w narzędziach, które firma zatwierdziła właśnie do nich, np. w modelu uruchomionym lokalnie, na serwerze w firmie, albo za bramą, która podmienia dane wrażliwe, zanim zapytanie trafi do chmury — tak działa AI Privacy Gateway.
  4. Sprawdzanie wyników przez człowieka. Model potrafi zmyślać liczby, przepisy, cytaty i źródła — z pełnym przekonaniem. Polityka powinna mówić wprost: wynik AI sprawdza człowiek przed użyciem, a odpowiada za niego osoba, która go użyła, nie narzędzie.
  5. Oznaczanie treści wygenerowanych przez AI. Od 2 sierpnia 2026 r. art. 50 ust. 4 AI Act wymaga ujawniania treści typu deepfake oraz tekstów generowanych przez AI i publikowanych w celu informowania społeczeństwa o sprawach w interesie publicznym — ten drugi obowiązek nie dotyczy tekstów, które przeszły weryfikację człowieka lub kontrolę redakcyjną, za które ktoś ponosi odpowiedzialność redakcyjną. Poza tym to decyzja firmy, np. czy informować klientów, że raport przygotowano z pomocą AI.
  6. Szkolenia i ich ewidencja. Krótkie szkolenie przed dostępem do narzędzia i zapis: kto, kiedy, z czego. To wprost odpowiada na obowiązek z art. 4 AI Act — szczegóły niżej.
  7. Zgłaszanie incydentów. Co zrobić, gdy ktoś wkleił dane klienta do niezatwierdzonego narzędzia: komu zgłosić i jak szybko. Szybkość ma znaczenie — jeśli doszło do naruszenia ochrony danych osobowych, administrator ma co do zasady 72 godziny na zgłoszenie go do UODO (art. 33 RODO). Zgłoszenie powinno być bezpieczne dla zgłaszającego; inaczej nikt nic nie zgłosi.
  8. Umowy z dostawcami narzędzi. Nowe narzędzie trafia na listę dopiero po sprawdzeniu umowy: umowa powierzenia przetwarzania (art. 28 RODO), trenowanie na danych, miejsce przetwarzania, okres przechowywania.
  9. Kto odpowiada za politykę i jak często ją przeglądać. Jedna wskazana osoba lub funkcja oraz stały termin przeglądu — zasady dostawców zmieniają się kilka razy w roku.

Wzór polityki AI do dostosowania

Poniżej szkielet, który można skopiować i uzupełnić. Fragmenty w nawiasach kwadratowych trzeba zastąpić własnymi ustaleniami. Celowo jest krótki — dokument na dwie strony ktoś przeczyta, a regulaminu na dwadzieścia nikt nie otworzy.

Polityka korzystania z narzędzi AI w [nazwa firmy]

Wersja [1.0] z dnia [data]. Właściciel dokumentu: [imię i nazwisko / funkcja].

§ 1. Cel i zakres

Polityka określa zasady korzystania z narzędzi sztucznej inteligencji przy wykonywaniu pracy. Dotyczy wszystkich pracowników i współpracowników [nazwa firmy], także wtedy, gdy korzystają z urządzeń prywatnych do celów służbowych.

§ 2. Zatwierdzone narzędzia

Do celów służbowych wolno korzystać wyłącznie z narzędzi z listy: [narzędzie, plan, do czego służy]. Korzystanie z innych narzędzi wymaga wcześniejszej zgody [osoba / dział]. Lista jest aktualizowana przy każdej zmianie.

§ 3. Konta

Do zadań służbowych używa się wyłącznie kont firmowych. Zabronione jest korzystanie w tym celu z kont prywatnych, także darmowych.

§ 4. Dane

Materiały publiczne można przetwarzać w każdym zatwierdzonym narzędziu. Dane wewnętrzne, które nie zawierają danych osobowych — wyłącznie w narzędziach objętych umową z dostawcą. Dane poufne — dane osobowe klientów i pracowników, tajemnica przedsiębiorstwa, informacje objęte tajemnicą zawodową, [inne] — wyłącznie w narzędziach wskazanych do tego celu: [nazwa narzędzia zatwierdzonego do danych poufnych]. W razie wątpliwości dane traktuje się jak poufne.

§ 5. Weryfikacja wyników

Każdy wynik narzędzia AI sprawdza człowiek, zanim zostanie użyty lub przekazany dalej — w szczególności liczby, daty, nazwiska, przepisy, cytaty i źródła. Odpowiedzialność za treść ponosi osoba, która jej użyła.

§ 6. Oznaczanie treści

Obrazy, nagrania i filmy wygenerowane lub zmienione przez AI, które przedstawiają realne osoby, miejsca lub zdarzenia, są oznaczane jako takie. Teksty publikowane w celu informowania o sprawach w interesie publicznym oznacza się zgodnie z art. 50 AI Act. [Zasady informowania klientów o użyciu AI w pracy dla nich.]

§ 7. Szkolenia

Przed otrzymaniem dostępu do narzędzia AI pracownik przechodzi szkolenie z zasad tej polityki oraz z ograniczeń i ryzyk narzędzi, z których będzie korzystał. Szkolenie jest powtarzane [raz w roku / przy zmianie narzędzi]. [Osoba / dział] prowadzi ewidencję: data, temat, uczestnicy.

§ 8. Incydenty

Wprowadzenie danych poufnych do niezatwierdzonego narzędzia albo inne naruszenie tej polityki należy niezwłocznie zgłosić do [osoba / inspektor ochrony danych], nie później niż [w ciągu tego samego dnia roboczego]. Samo zgłoszenie nie jest podstawą do wyciągania konsekwencji wobec zgłaszającego.

§ 9. Dostawcy

Nowe narzędzie trafia na listę zatwierdzonych po sprawdzeniu umowy z dostawcą: umowy powierzenia przetwarzania danych, zasad trenowania modeli na danych firmy, miejsca przetwarzania i okresu przechowywania danych.

§ 10. Odpowiedzialność i przegląd

Za aktualność polityki odpowiada [osoba / funkcja]. Polityka jest przeglądana co [6 / 12] miesięcy oraz przy każdej zmianie listy narzędzi.

Co mówi AI Act — kompetencje w zakresie AI (art. 4)

Art. 4 AI Act obowiązuje od 2 lutego 2025 r. i nie ma progu wielkości firmy. Dotyczy dostawców systemów AI oraz podmiotów stosujących, czyli — według definicji z art. 3 pkt 4 — każdego, kto korzysta z systemu AI pod swoją kontrolą, z wyjątkiem osobistej działalności pozazawodowej. Firma, której pracownicy korzystają w pracy z czatu AI, jest więc podmiotem stosującym. Komisja Europejska w swoich pytaniach i odpowiedziach wprost odpowiada, że takich pracowników należy poinformować o ryzykach, np. o zmyślaniu informacji.

W lipcu 2026 r. brzmienie art. 4 złagodzono. Rozporządzenie (UE) 2026/1744 — tzw. akt zbiorczy prawa cyfrowego dotyczący AI (Digital Omnibus) — z 8 lipca 2026 r., opublikowane w Dzienniku Urzędowym UE 24 lipca, weszło w życie 27 lipca 2026 r. i nadało art. 4 nowe brzmienie:

Do 26.07.2026Od 27.07.2026
Dostawcy i podmioty stosujące podejmują środki w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu.Dostawcy i podmioty stosujące podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu. Przepis wprost dodaje, że nie oznacza to obowiązku zapewnienia określonego poziomu kompetencji przez poszczególne osoby.

Zmiana przenosi obowiązek z rezultatu na działanie: firma ma robić rzeczy, które podnoszą kompetencje pracowników, ale nie musi gwarantować, że każdy osiągnie określony poziom. Nowy art. 4 dodaje też, że Komisja i państwa członkowskie mają wspierać w tym firmy, zwłaszcza małe i średnie, m.in. publikując praktyczne przykłady.

Trzy rzeczy, które Komisja wyjaśnia w swoich pytaniach i odpowiedziach, a które najczęściej budzą wątpliwości:

I precyzyjnie, bo w sieci krąży sporo uproszczeń: AI Act nie wymaga dokumentu o nazwie „polityka AI" i nie ma przepisu, który karałby za brak takiego dokumentu. Polityka AI razem z ewidencją szkoleń to praktyczny sposób, by pokazać, że firma podjęła środki z art. 4 — i by ograniczyć ryzyko, którego AI Act w ogóle nie dotyczy, a które regulują inne przepisy: wycieku danych.

AI Act a RODO

To dwa osobne reżimy, które działają równolegle. AI Act wprost stanowi, że nie wpływa na stosowanie RODO (art. 2 ust. 7). W praktyce oznacza to, że spełnienie art. 4 AI Act niczego nie załatwia po stronie danych osobowych: jeśli pracownik wkleja dane klienta do narzędzia AI, nadal potrzebna jest podstawa prawna, umowa powierzenia z dostawcą, a przy przekazaniu poza Europejski Obszar Gospodarczy — odpowiednie zabezpieczenia.

Szczegóły — umowy powierzenia, transfery poza EOG, tajemnice zawodowe i to, jak architektura systemu zmienia te obowiązki — opisaliśmy osobno we wpisie AI zgodne z RODO.

Jak wdrożyć politykę w praktyce

Kolejność ma znaczenie. Polityka napisana przed sprawdzeniem, z czego ludzie naprawdę korzystają, będzie albo oderwana od rzeczywistości, albo ignorowana.

  1. Inwentaryzacja. Dowiedzcie się, z jakich narzędzi zespół już korzysta i do czego. Rozmową, nie przesłuchaniem — jeśli ludzie będą się bać przyznać, nie poznacie prawdy.
  2. Decyzja. Które narzędzia zatwierdzić, w jakich planach i do jakich danych. Tu zapada najważniejsze rozstrzygnięcie: gdzie mają trafiać dane poufne.
  3. Dokument. Wzór z tego wpisu, dostosowany do ustaleń z punktu 2. Krótki.
  4. Szkolenie i ewidencja. Przed nadaniem dostępu; z zapisem, kto i kiedy.
  5. Legalna alternatywa. Jeśli polityka zabrania wklejać dane klientów do czatów, ludzie muszą mieć narzędzie, w którym mogą z nimi pracować. Bez tego zakaz będzie obchodzony.
  6. Przegląd. Pierwszy po kilku tygodniach, bo dopiero wtedy wyjdzie, czego polityka nie przewidziała; potem w stałym rytmie.

Najczęstsze pytania

Czy firma musi mieć politykę AI?

AI Act nie wymaga dokumentu o nazwie „polityka AI”. Wymaga natomiast, w art. 4, by firma, która korzysta z systemów AI, podejmowała środki wspierające rozwój kompetencji w zakresie AI swoich pracowników. Spisana polityka razem z ewidencją szkoleń to praktyczny sposób, by pokazać, że takie środki podjęto, i by ograniczyć ryzyko naruszeń RODO.

Czy szkolenie z AI jest obowiązkowe?

Art. 4 AI Act obowiązuje od 2 lutego 2025 r. i dotyczy każdej firmy, która korzysta z systemów AI w działalności zawodowej. Od 27 lipca 2026 r. ma złagodzone brzmienie: firma podejmuje środki wspierające rozwój kompetencji pracowników i nie musi gwarantować określonego poziomu wiedzy każdej osoby. Przepis nie narzuca formy, ale szkolenie jest najprostszym i najłatwiejszym do wykazania takim środkiem.

Czy pracownik może używać ChatGPT w pracy?

Tak, jeśli firma na to pozwala — i właśnie to powinna rozstrzygać polityka AI. Rozsądny standard to konto firmowe z umową powierzenia zamiast prywatnego oraz zakaz wpisywania danych osobowych, danych klientów i tajemnic firmy do narzędzi, które nie zostały do tego zatwierdzone. Komisja Europejska wskazuje, że pracowników korzystających z takich narzędzi należy poinformować o ryzykach, np. o zmyślaniu informacji przez model.

Czy potrzebny jest certyfikat z AI?

Nie. Komisja Europejska w pytaniach i odpowiedziach o kompetencjach w zakresie AI wprost pisze, że certyfikat nie jest potrzebny, a organizacja może prowadzić wewnętrzną ewidencję szkoleń i innych działań.

Czy za brak polityki AI grozi kara?

Nie ma przepisu, który karałby za brak dokumentu o tej nazwie. Od 2 sierpnia 2026 r. krajowe organy nadzoru rynku mogą jednak egzekwować art. 4 AI Act, a Komisja Europejska wskazuje, że naruszenia tego przepisu mogą być sankcjonowane proporcjonalnie do ich wagi. Niezależnie od AI Act wklejenie danych osobowych do niezatwierdzonego narzędzia może być naruszeniem RODO.

Źródła

Stan prawny na 05.10.2026. Ten wpis ma charakter informacyjny i nie stanowi porady prawnej. Wzór polityki jest punktem wyjścia — przed wdrożeniem, zwłaszcza w regulaminie pracy, warto skonsultować go z prawnikiem lub inspektorem ochrony danych.