Zasady korzystania z AI w firmie: gotowy wzór polityki

Regulamin AI w firmie powinien odpowiadać na cztery pytania: kto może korzystać z AI, z jakich narzędzi, do jakich zadań i na jakich danych. Do tego potrzebna jest zasada, kto sprawdza wynik przed wysłaniem. Taki dokument nie ma blokować eksperymentów. Ma zapobiec sytuacji, w której ktoś wkleja do publicznego czatu umowę klienta albo nieopublikowany cennik, a firma nie wie, gdzie te dane trafiły.

Poniżej wyjaśniam, co powinno znaleźć się w zasadach, a na końcu jest wzór na jedną stronę do skopiowania.

Po co firmie zasady korzystania z AI

AI jest już w codziennej pracy: w mailach, ofertach, podsumowaniach, analizach i grafikach. Problem zaczyna się, gdy każdy sam wybiera narzędzie, zakłada prywatne konto i sam decyduje, co do niego wkleić.

Chodzi też o przepisy. RODO wymaga między innymi, żeby dane przetwarzać w określonym celu, w minimalnym zakresie i bezpiecznie, a firma musi umieć to wykazać. Jeśli pracownik wkleja dane klientów do zewnętrznego narzędzia AI w ramach obowiązków, odpowiada za to firma. Wcześniej trzeba więc sprawdzić warunki dostawcy, gdzie przetwarzane są dane i jak długo są przechowywane.

Do tego dochodzi art. 4 AI Act. Firmy korzystające z AI muszą podejmować działania wspierające kompetencje AI pracowników. Krótkie zasady, lista narzędzi i szkolenie to najprostszy sposób, żeby ten obowiązek spełnić. Więcej piszę o tym w artykule AI Act art. 4 w małej firmie.

Czego nie wklejać do ChatGPT i innych narzędzi AI

Najprostsza reguła: jeśli nie wysłałbyś tego mailem obcej firmie, nie wklejaj tego do niezatwierdzonego narzędzia AI. Dotyczy to tekstu, plików, zdjęć, nagrań i zrzutów ekranu.

Do publicznych albo niezatwierdzonych narzędzi AI nie trafiają:

• dane osobowe klientów, pracowników i kontrahentów: imię i nazwisko razem z adresem, telefonem, mailem, numerem klienta czy historią zamówień,
• dane szczególnie chronione: o zdrowiu, poglądach, wyznaniu, pochodzeniu czy biometrii,
• tajemnice firmy: niepubliczne ceny i marże, strategie, listy klientów, warunki negocjacji, kod źródłowy, konfiguracje zabezpieczeń,
• materiały klientów objęte umową albo NDA. To, że pracownik ma dostęp do dokumentu, nie oznacza zgody na przekazanie go kolejnej firmie,
• hasła, klucze API, tokeny i dane kart płatniczych.

Uwaga na „anonimizację”. Usunięcie nazwiska nie wystarczy, jeśli osobę da się rozpoznać po stanowisku, mieście, numerze sprawy albo nietypowej sytuacji. Takie dane nadal są danymi osobowymi. Lepiej przygotować zmyślony przykład o tej samej strukturze niż udawać, że dokument jest anonimowy.

W polskim prawie tajemnica przedsiębiorstwa jest chroniona tylko wtedy, gdy firma dba o jej poufność. Brak jakichkolwiek zasad dotyczących AI może to podważyć.

Darmowe czy płatne konto AI

Opłacenie subskrypcji nie oznacza, że dane firmy są chronione. Trzeba odróżnić płatny plan dla osób prywatnych od planu firmowego, którym zarządza organizacja.

Rodzaj konta	Ryzyko	Co z nim robić
Darmowe konto prywatne	Rozmowy mogą być używane do trenowania modeli, zależnie od ustawień	Tylko dane publiczne albo zmyślone przykłady
Płatne konto prywatne	Więcej funkcji i limitów, ale nadal warunki dla osób prywatnych	Nie traktować jak konta firmowego
Konto firmowe (Business, Enterprise)	Zwykle bez trenowania na danych, z panelem administratora	Używać po sprawdzeniu warunków i ustawień
Własne wdrożenie przez API	Największa kontrola, ale firma sama odpowiada za bezpieczeństwo	Potrzebny ktoś techniczny, kto tego pilnuje

Kilka przykładów, stan na wrzesień 2026 r.:

• OpenAI: w prywatnych planach ChatGPT (Free, Plus, Pro) rozmowy mogą być domyślnie używane do trenowania modeli, ale można to wyłączyć w ustawieniach. Treści z planów Business i Enterprise domyślnie nie są do tego używane.
• Microsoft: w Copilot Chat z ochroną danych firmowych prompty i odpowiedzi nie służą do trenowania modeli.
• Anthropic: w produktach dla firm dane domyślnie nie są używane do trenowania, z wyjątkami, np. gdy użytkownik sam prześle opinię.

Warunki się zmieniają, więc nie wpisuj do zasad ogólnika „płatne jest bezpieczne”. Lepiej prowadzić listę zatwierdzonych narzędzi z datą sprawdzenia, dozwolonym zakresem danych i wymaganymi ustawieniami.

Kto sprawdza wynik i kto za niego odpowiada

Odpowiedź AI to propozycja, a nie gotowy dokument firmy. Modele potrafią wymyślić źródło, podać nieaktualny przepis, pomylić liczby albo napisać działający na oko, ale błędny kod. Robią to pewnym tonem, więc łatwo im uwierzyć.

Dlatego zasady powinny przypisywać odpowiedzialność człowiekowi. Osoba korzystająca z AI sprawdza fakty, liczby, źródła i poufność. Materiały o większym ryzyku, np. umowy, rozliczenia, decyzje kadrowe czy publikacje, zatwierdza właściciel procesu. AI nie powinna sama podejmować decyzji, które mają poważne skutki dla klientów albo pracowników.

W praktyce sprawdzają się trzy poziomy kontroli:

• Niskie ryzyko: burza mózgów, zmiana tonu tekstu, porządkowanie publicznych informacji. Wystarczy, że sprawdzi autor.
• Średnie ryzyko: oferta, artykuł ekspercki, analiza danych wewnętrznych. Sprawdza druga osoba.
• Wysokie ryzyko: dane osobowe, decyzje o ludziach, prawo, finanse, komunikacja w ważnych sprawach. Tylko zatwierdzone narzędzie, specjalista i akceptacja na piśmie.

Wzór polityki korzystania z AI w firmie

Poniższy wzór możesz skopiować i dopasować. Jeśli AI ma pracować na danych osobowych, wspierać decyzje dotyczące ludzi albo działasz w branży regulowanej, pokaż go przed wdrożeniem inspektorowi ochrony danych albo prawnikowi.

Zasady korzystania z narzędzi AI w [nazwa firmy]

Wersja [numer], obowiązuje od [data]. Odpowiada: [osoba lub stanowisko].

1. Zakres. Zasady dotyczą wszystkich pracowników i współpracowników, którzy używają AI w sprawach firmy. AI pomaga w pracy, ale nie zastępuje wiedzy i odpowiedzialności człowieka.

2. Dozwolone narzędzia. Korzystamy tylko z narzędzi z listy zatwierdzonych [gdzie jest lista]. Podłączanie AI do poczty, dysku, CRM albo innych systemów wymaga zgody [osoba lub dział].

3. Dane, których nie wpisujemy. Bez zgody [osoba] nie wpisujemy ani nie przesyłamy: danych osobowych, danych klientów, informacji objętych NDA, niepublicznych cen i umów, kodu źródłowego, haseł, kluczy API ani dokumentów oznaczonych jako poufne. Usunięcie nazwiska nie wystarczy, jeśli osobę albo firmę nadal da się rozpoznać.

4. Do czego używamy AI. Burza mózgów, szkice tekstów, korekta językowa, podsumowania materiałów, które wolno przetwarzać, pomoc w analizie danych i programowaniu. Zawsze zgodnie z punktem 3.

5. Sprawdzanie wyników. Przed użyciem wyniku sprawdzamy fakty, liczby, źródła i aktualność. Przepisy i cytaty weryfikujemy w oryginale. Kod przechodzi przegląd i testy. Materiały wysyłane na zewnątrz zatwierdza [osoba].

6. Odpowiedzialność. Za wynik odpowiada osoba, która go zatwierdziła. AI nie podejmuje samodzielnie decyzji kadrowych, prawnych ani finansowych. Informujemy, że treść powstała z pomocą AI, jeśli wymagają tego przepisy, umowa albo charakter sprawy.

7. Incydenty. Przesłanie danych do niewłaściwego narzędzia, podejrzany wynik albo użycie niezatwierdzonego narzędzia zgłaszamy od razu do [kontakt]. Niczego nie usuwamy na własną rękę.

8. Szkolenie i przegląd. Przed rozpoczęciem pracy z AI każdy przechodzi szkolenie. Zasady i listę narzędzi przeglądamy co [np. 6 miesięcy] oraz po każdej istotnej zmianie.

Jak wdrożyć zasady bez chaosu

Sam dokument niczego nie zmieni, jeśli trafi tylko do folderu. Wyznacz osobę, która za niego odpowiada, zatwierdź kilka konkretnych narzędzi, skonfiguruj konta firmowe i przeprowadź krótkie szkolenie na przykładach z Waszej pracy. Zachowaj datę szkolenia, program i listę uczestników. To przyda się, gdy ktoś zapyta o art. 4 AI Act.

Na warsztacie AI dla managerów i właścicieli układamy takie zasady razem z zarządem: pod Wasze narzędzia, dane i procesy. Jeśli chcesz najpierw zobaczyć, do czego zespół może używać AI na co dzień, pobierz 25 zastosowań AI w małej firmie.