- Po co
- Żeby pracownicy wiedzieli, z jakich narzędzi AI korzystać, jakich danych nie wklejać i kto odpowiada za wynik
- Ile zajmie
- 1–2 godziny na dopasowanie wzoru, plus konsultacja z prawnikiem lub inspektorem ochrony danych
- Długość
- 2–4 strony. Dłuższej nikt nie przeczyta
- Co dostajesz
- Gotowy wzór w 11 punktach, oświadczenie pracownika i plan wdrożenia
Szybka odpowiedź
Polityka korzystania z AI w firmie powinna odpowiadać na pięć pytań: z jakich narzędzi wolno korzystać (tylko konta firmowe), jakie dane wolno do nich wprowadzać (najlepiej podział na zielone, żółte i czerwone), kto sprawdza wynik przed użyciem, kiedy oznaczać treści generowane przez AI i co zrobić, gdy coś pójdzie nie tak. Poniżej jest gotowy wzór do skopiowania. Dopasuj nazwy narzędzi i osób, skonsultuj z prawnikiem lub inspektorem ochrony danych i wprowadź go razem z krótkim szkoleniem.
W firmach, w których pomagam wdrażać AI, rzadko brakuje chęci. Brakuje zasad. Pracownicy nie wiedzą, czy mogą wkleić do czatu maila od klienta, czy umowę, czy tabelę z wynagrodzeniami. Jedni więc boją się korzystać w ogóle, inni wklejają wszystko. Krótka, konkretna polityka rozwiązuje oba problemy.
Wzór poniżej napisałem dla małej lub średniej firmy, która korzysta z gotowych narzędzi: ChatGPT, Copilota, Gemini i funkcji AI w programach. Uwzględnia RODO i obowiązki z AI Act według stanu na listopad 2026. To punkt wyjścia, a nie porada prawna: przed wprowadzeniem pokaż go prawnikowi lub inspektorowi ochrony danych.
Po co firmie polityka AI
- Dane osobowe i tajemnica firmy. Każdy tekst wklejony do narzędzia AI trafia do zewnętrznego dostawcy. Jeśli są tam dane klientów, firma odpowiada za to na gruncie RODO.
- Kompetencje w zakresie AI. AI Act wymaga od firm korzystających z AI działań wspierających odpowiedni poziom kompetencji personelu. Spisane zasady i szkolenie to najprostszy sposób, żeby to wykazać. Szczegóły w tekście AI Act w małej i średniej firmie.
- Odpowiedzialność za błędy. AI potrafi podać nieistniejącą cenę, termin czy przepis. Polityka mówi jasno: za tekst wysłany klientowi odpowiada człowiek, który go wysłał.
- Porządek w narzędziach. Bez zasad każdy instaluje inne wtyczki i zakłada konta, o których firma nie wie.
Najważniejsza część: jakie dane wolno wklejać
Najlepiej działa prosty podział na trzy kolory. Pracownik nie musi znać przepisów, wystarczy, że rozpozna kategorię.
Dobra praktyka, która rozwiązuje większość wątpliwości: zanim wkleisz tekst, usuń z niego imiona, nazwiska, adresy, numery telefonów i nazwy firm. „Klient z branży budowlanej pyta o termin dostawy 20 palet” wystarczy, żeby AI napisało dobry szkic odpowiedzi. Nazwisko klienta do tego niepotrzebne.
Co zapisać w polityce: 11 punktów
| Punkt | Co ustalić |
|---|---|
| Cel i zakres | Kogo dotyczy: pracownicy, współpracownicy na umowach cywilnych, praktykanci |
| Dozwolone narzędzia | Lista z nazwą planu, np. „ChatGPT Business na koncie firmowym”, a nie samo „ChatGPT” |
| Klasyfikacja danych | Zielone, żółte, czerwone, z przykładami z Twojej firmy |
| Weryfikacja wyników | Kto sprawdza i za co odpowiada przed użyciem lub wysłaniem |
| Oznaczanie treści | Kiedy informujemy, że treść wygenerowało AI (deepfake, chatbot, materiały dla klientów) |
| Zakazy | Np. decyzje o ludziach podejmowane wyłącznie przez AI, rozpoznawanie emocji pracowników |
| Nowe narzędzia | Kto zatwierdza nowe narzędzie, wtyczkę lub łącznik do poczty i dysku |
| Szkolenia | Kiedy i jak, z potwierdzeniem udziału |
| Incydenty | Co zrobić po wklejeniu danych, których nie wolno było wkleić, i komu to zgłosić |
| Odpowiedzialność | Kto pilnuje polityki i odpowiada na pytania |
| Przegląd | Jak często aktualizujemy, np. co 6 miesięcy |
Wzór polityki korzystania z AI do skopiowania
Fragmenty w nawiasach kwadratowych zastąp danymi swojej firmy. Wzór możesz wkleić do edytora tekstu i dopasować formatowanie.
Obowiązują od [data]. Wprowadzone [zarządzeniem / poleceniem] [imię i nazwisko, stanowisko].
§ 1. Cel i zakres
- Zasady określają, jak w [nazwa firmy] („Firma”) korzystamy z narzędzi sztucznej inteligencji („AI”), w tym czatów AI, asystentów w programach biurowych i funkcji AI w innych programach.
- Zasady obowiązują pracowników, współpracowników i praktykantów, którzy wykonują pracę dla Firmy („Użytkownicy”).
- Celem zasad jest bezpieczne korzystanie z AI: ochrona danych osobowych i informacji Firmy, rzetelność treści oraz zgodność z przepisami, w tym RODO i rozporządzeniem (UE) 2024/1689 (AI Act).
§ 2. Osoba odpowiedzialna
- Za stosowanie zasad odpowiada [imię i nazwisko, stanowisko] („Osoba odpowiedzialna”), kontakt: [e-mail, telefon].
- Pytania dotyczące danych osobowych kierujemy do [inspektora ochrony danych / osoby odpowiedzialnej za RODO].
§ 3. Dozwolone narzędzia
- Do pracy dla Firmy korzystamy wyłącznie z narzędzi z listy: [np. ChatGPT Business na koncie firmowym; Microsoft 365 Copilot; Gemini w Google Workspace Firmy; funkcje AI w programie [nazwa]].
- Korzystamy wyłącznie z kont założonych przez Firmę na firmowy adres e-mail, z włączonym logowaniem dwuskładnikowym.
- Nie używamy prywatnych kont w narzędziach AI do pracy z informacjami Firmy, klientów ani kontrahentów.
- Nowe narzędzie, wtyczkę do przeglądarki, rozszerzenie lub połączenie narzędzia AI z pocztą, dyskiem czy innym systemem Firmy uruchamiamy dopiero po zgodzie Osoby odpowiedzialnej.
§ 4. Jakie dane wolno wprowadzać
- Dane zielone (informacje publiczne, ogólne pytania, teksty bez nazw osób i firm) wolno wprowadzać do narzędzi z § 3.
- Dane żółte (wewnętrzne informacje Firmy bez danych osobowych, np. procedury, cenniki, projekty ofert bez danych klienta) wolno wprowadzać tylko do narzędzi z § 3 na kontach firmowych.
- Dane czerwone nie mogą być wprowadzane do narzędzi AI, chyba że Osoba odpowiedzialna na piśmie zatwierdzi konkretne narzędzie i cel. Dane czerwone to: dane osobowe klientów, kontrahentów i pracowników; hasła, klucze dostępu i tokeny; dane finansowe kontrahentów; umowy z danymi stron; dane o zdrowiu i inne szczególne kategorie danych; informacje oznaczone jako poufne lub stanowiące tajemnicę przedsiębiorstwa; [inne, właściwe dla Firmy].
- Przed wprowadzeniem tekstu usuwamy z niego dane, które nie są potrzebne do wykonania zadania, w szczególności imiona, nazwiska, adresy, numery telefonów i nazwy firm.
§ 5. Weryfikacja i odpowiedzialność
- Wynik pracy AI traktujemy jako szkic. Przed użyciem sprawdzamy go, szczególnie liczby, ceny, terminy, nazwy, cytaty i odwołania do przepisów.
- Za treść wysłaną klientowi, opublikowaną lub użytą w dokumencie odpowiada Użytkownik, który ją wysłał, opublikował lub użył.
- AI nie podejmuje samodzielnie decyzji, które dotyczą ludzi, w szczególności o zatrudnieniu, wynagrodzeniu, ocenie pracownika ani o przyznaniu lub odmowie usługi klientowi. Decyzję podejmuje człowiek.
- Nie podajemy treści wygenerowanych przez AI jako opinii eksperta, porady prawnej, podatkowej lub medycznej bez sprawdzenia przez osobę z odpowiednimi kompetencjami.
§ 6. Oznaczanie treści
- Obrazy, nagrania dźwiękowe i wideo wygenerowane lub zmienione przez AI, które przedstawiają istniejące lub realistycznie wyglądające osoby, miejsca lub zdarzenia, oznaczamy przy publikacji informacją, że powstały z użyciem AI.
- Chatbot lub asystent AI, z którym rozmawiają klienci, jest wyraźnie oznaczony jako AI.
- Nie publikujemy wygenerowanych przez AI opinii, zdjęć ani wypowiedzi klientów, którzy nie istnieją.
§ 7. Zakazy
- Zakazane jest korzystanie z AI do: rozpoznawania emocji pracowników; oceny lub profilowania ludzi bez zgody Osoby odpowiedzialnej i konsultacji prawnej; tworzenia treści wprowadzających w błąd, obraźliwych lub naruszających prawa osób trzecich; obchodzenia zabezpieczeń systemów Firmy.
- Nie wprowadzamy do narzędzi AI cudzych utworów (np. tekstów, zdjęć, kodu) w zakresie, na który nie pozwala licencja lub prawo.
§ 8. Szkolenia
- Każdy Użytkownik przed rozpoczęciem korzystania z AI przechodzi szkolenie z tych zasad i z podstaw działania narzędzi AI, w tym ich ograniczeń.
- Szkolenie powtarzamy [raz w roku / przy istotnej zmianie narzędzi lub zasad]. Firma przechowuje listę obecności.
§ 9. Incydenty
- Jeśli Użytkownik wprowadził do narzędzia AI dane czerwone bez zgody albo zauważył, że AI ujawniło informacje, do których nie powinien mieć dostępu, niezwłocznie zgłasza to Osobie odpowiedzialnej [i inspektorowi ochrony danych], najpóźniej w ciągu [X] godzin.
- Zgłoszenie zawiera: datę, narzędzie, jakie dane wprowadzono, czy rozmowę usunięto.
- Za samo zgłoszenie incydentu w dobrej wierze Użytkownik nie ponosi konsekwencji.
§ 10. Wyjście z Firmy
- Po zakończeniu współpracy Firma wyłącza konto Użytkownika w narzędziach AI. Historia pracy na kontach firmowych pozostaje w Firmie.
§ 11. Przegląd zasad
- Osoba odpowiedzialna przegląda zasady co [6] miesięcy oraz po każdej istotnej zmianie przepisów lub narzędzi.
- Lista dozwolonych narzędzi z § 3 może być aktualizowana przez Osobę odpowiedzialną bez zmiany pozostałych zasad.
Oświadczenie Użytkownika
„Zapoznałem/zapoznałam się z Zasadami korzystania z narzędzi sztucznej inteligencji w [nazwa firmy] obowiązującymi od [data] i zobowiązuję się ich przestrzegać. [Data, imię i nazwisko, podpis]”
Wobec pracowników zasady wprowadza się zwykle zarządzeniem lub jako część regulaminu pracy, a wobec współpracowników na umowach cywilnych przez zapis w umowie lub załącznik. Termin w § 9 ustal z osobą odpowiedzialną za RODO: jeśli incydent okaże się naruszeniem ochrony danych osobowych, administrator ma ograniczony czas na zgłoszenie go do UODO. Formę i treść potwierdź z prawnikiem.
Polityka na papierze to połowa. Druga połowa to ustawienia
Zasady są skuteczniejsze, gdy wspierają je ustawienia narzędzi. Kilka rzeczy, które warto zrobić równolegle:
- założyć konta firmowe i wyłączyć zbędne łączniki oraz wtyczki w panelu administratora; różnice między narzędziami opisuję w tekście ChatGPT Business, Copilot czy Gemini,
- uporządkować udostępnianie plików na dysku firmowym, bo asystent AI w pakiecie biurowym widzi wszystko, co widzi użytkownik,
- ustawić czas przechowywania historii rozmów tam, gdzie narzędzie na to pozwala,
- zadbać o hasła i logowanie dwuskładnikowe; podstawy opisuję w tekście jak zabezpieczyć dane firmowe przed utratą i wyciekiem.
Jak wprowadzić politykę w 5 krokach
- Dopasuj wzór
Wpisz swoje narzędzia, osoby i przykłady danych z Twojej branży. Wyrzuć to, co Was nie dotyczy. Krótko jest lepiej niż kompletnie.
- Pokaż prawnikowi lub inspektorowi ochrony danych
Szczególnie § 4 (dane), § 7 (zakazy) i § 9 (incydenty), oraz formę wprowadzenia wobec pracowników i współpracowników.
- Skonfiguruj narzędzia
Konta firmowe, logowanie dwuskładnikowe, wyłączone zbędne łączniki. Zasady nie mogą zakazywać czegoś, co ustawienia nadal ułatwiają.
- Przeprowadź szkolenie i zbierz podpisy
60–90 minut na przykładach z Waszej pracy: co jest zielone, żółte i czerwone, jak anonimizować tekst, jak sprawdzać wynik. Zachowaj listę obecności. Jak połączyć to z pilotażem, opisuję w planie wdrożenia AI w firmie na 30 dni.
- Wróć do zasad za pół roku
Narzędzia i przepisy zmieniają się szybko. Zaktualizuj listę narzędzi i sprawdź, czy były incydenty lub pytania, których zasady nie rozstrzygały.
Najczęstsze błędy w politykach AI
- Całkowity zakaz. Wygląda bezpiecznie, w praktyce przenosi korzystanie z AI na prywatne telefony i konta.
- Ogólniki. „Korzystaj odpowiedzialnie” nic nie znaczy. Pracownik potrzebuje przykładów: „mail od klienta z nazwiskiem to dane czerwone”.
- Brak listy narzędzi. Bez niej każdy uzna, że jego ulubiona aplikacja jest dozwolona.
- Brak ścieżki zgłoszenia. Ludzie ukrywają pomyłki, jeśli boją się kary. Dlatego w § 9 jest zapis o zgłoszeniu w dobrej wierze.
- Dokument w szufladzie. Polityka bez szkolenia i bez ustawień w narzędziach jest tylko papierem.
Biuro rachunkowe, kilkanaście osób. Część pracowników wkleja do darmowego czatu fragmenty pism z urzędów, żeby szybciej przygotować odpowiedź, razem z danymi klientów. Właścicielka chce wszystko zakazać. Zamiast tego powstaje trzystronicowa polityka: dozwolony jest jeden asystent na kontach firmowych, pisma z danymi klientów są „czerwone”, a do „żółtych” trafiają anonimizowane fragmenty bez nazwisk i numerów NIP. Po godzinnym szkoleniu pracownicy dostają gotowy wzór polecenia, w którym dane klienta zastępują znaczniki [KLIENT] i [KWOTA], a prywatne konta przestają być potrzebne.
Kiedy lepiej to zlecić
Wzór dopasujesz sam. Pomoc z zewnątrz przydaje się, gdy:
- nie wiesz, z jakich narzędzi AI zespół już korzysta, i trzeba to sprawdzić,
- trzeba skonfigurować konta firmowe, uprawnienia, łączniki i przechowywanie historii tak, żeby wspierały zasady,
- chcesz, żeby szkolenie poprowadził ktoś, kto pokaże przykłady na Waszych dokumentach,
- planujesz automatyzacje z AI, np. sortowanie poczty, i polityka musi je uwzględnić.
Zajmuję się tym w ramach obsługi IT dla firm: od przeglądu narzędzi, przez konfigurację, po szkolenie. Treść prawną polityki potwierdza prawnik.
Potrzebujesz zasad korzystania z AI dopasowanych do Twojej firmy?
Sprawdzę, z jakich narzędzi korzysta zespół, dopasuję wzór polityki, skonfiguruję konta firmowe i poprowadzę szkolenie na Waszych przykładach. Pracuję zdalnie w całej Polsce, a w Sieradzu i okolicach mogę przyjechać. Wycenę dostajesz przed rozpoczęciem pracy.
Najczęstsze pytania
Czy firma musi mieć politykę korzystania z AI?
Żaden przepis nie nakazuje wprost dokumentu o tej nazwie. AI Act wymaga jednak od firm korzystających z AI działań wspierających kompetencje personelu, a RODO odpowiedniego zabezpieczenia danych osobowych. Spisane zasady i szkolenie to najprostszy sposób, żeby oba obowiązki spełnić i wykazać.
Co powinna zawierać polityka AI w firmie?
Listę dozwolonych narzędzi, klasyfikację danych, które wolno wprowadzać, zasady weryfikacji wyników i odpowiedzialności, oznaczania treści, zakazy, szkolenia, procedurę zgłaszania incydentów oraz osobę odpowiedzialną i termin przeglądu. Wzór z tymi punktami jest w tym artykule.
Czy pracownik może wkleić do ChatGPT maila od klienta?
Według wzoru z tego artykułu tylko po usunięciu danych osobowych i nazw firm albo w narzędziu, które firma zatwierdziła do takiego celu. Mail z imieniem, nazwiskiem i telefonem klienta to dane osobowe, a ich przetwarzanie w narzędziu AI musi mieć podstawę w RODO.
Jak wprowadzić politykę AI wobec pracowników?
Zwykle zarządzeniem pracodawcy lub jako część regulaminu pracy, a wobec współpracowników na umowach cywilnych przez zapis w umowie. Do tego krótkie szkolenie i podpisane oświadczenie o zapoznaniu się z zasadami. Formę wprowadzenia potwierdź z prawnikiem.
Jak często aktualizować politykę AI?
Co najmniej raz na pół roku i po każdej istotnej zmianie narzędzi lub przepisów. Najczęściej zmienia się lista dozwolonych narzędzi, dlatego warto zapisać, że osoba odpowiedzialna może ją aktualizować bez zmiany całego dokumentu.
Powiązane wpisy
