Wzór polityki korzystania z AI: 12 sekcji z przykładami
Wzór polityki korzystania z AI to gotowy szkielet dokumentu, który mówi pracownikom, z jakich narzędzi AI mogą korzystać, jakich danych nigdy do nich nie wprowadzać, jak sprawdzać wyniki, czego robić nie wolno i jak zgłosić incydent. Poniżej dwanaście sekcji z przykładowymi zapisami do skopiowania i wskazówki, jak wprowadzić dokument w polskiej firmie.
Najważniejsze informacje
- Polityka korzystania z AI to dokument o AI, który pracownicy naprawdę czytają. Powinna być krótka, konkretna i możliwa do egzekwowania.
- Rdzeń stanowią: zatwierdzone narzędzia, klasyfikacja informacji, weryfikacja wyników, zakazane zastosowania, przejrzystość, bezpieczeństwo, incydenty i szkolenia.
- AI Act nie wymaga dokumentu o nazwie „polityka AI”, ale to w nim firma przekłada na codzienność art. 4 (kompetencje w zakresie AI), art. 5 (zakazane praktyki) i art. 50 (przejrzystość).
- Przed największą liczbą incydentów chroni lista tego, czego nie wolno wklejać do narzędzi AI. Trzeba ją napisać tak, by nie dało się jej źle zrozumieć.
- Wdrożenie wymaga szkolenia, listy zatwierdzonych narzędzi i – gdy AI zmienia sposób pracy – rozmowy z przedstawicielami pracowników.
Po co firmie spisane zasady korzystania z AI
Generatywna AI weszła do większości polskich firm oddolnie. Handlowiec poprosił ChatGPT o szkic oferty, ktoś zainstalował wtyczkę transkrybującą spotkania w Teams, a dział obsługi klienta zaczął wklejać zgłoszenia do chatbota, żeby szybciej je streszczać. Nic z tego nie przeszło przez zakupy ani IT, a sporo dotyczyło danych osobowych albo tajemnicy przedsiębiorstwa.
Spisane zasady zamykają tę lukę. Dają pracownikom jasne „tak” i jasne „nie”, a firmie – coś do pokazania, gdy klient w przetargu, audytor albo organ nadzoru zapyta, jak kontroluje użycie AI. Trzy obowiązki z AI Act już obowiązują i polityka bardzo pomaga je spełnić:
- Kompetencje w zakresie AI (art. 4) – od 2 lutego 2025 r. W brzmieniu po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744 przepis ujmuje obowiązek jako podejmowanie środków wspierających kompetencje personelu i innych osób działających w imieniu firmy. Polityka plus szkolenie to najczęstszy taki środek. Więcej w artykule o AI literacy i szkoleniach AI dla pracowników.
- Zakazane praktyki w zakresie AI (art. 5) – również od 2 lutego 2025 r., a od 2 grudnia 2026 r. dodatkowo zakaz aplikacji „rozbierających” i generowania materiałów przedstawiających seksualne wykorzystywanie dzieci.
- Przejrzystość (art. 50) – od 2 sierpnia 2026 r. Podmiot stosujący AI musi m.in. ujawniać deepfake’i i niektóre teksty generowane przez AI publikowane w celu informowania opinii publicznej. Szczegóły w tekście o oznaczaniu treści AI zgodnie z art. 50.
Równolegle działa RODO: dane osobowe wprowadzone do narzędzia AI to przetwarzanie, które wymaga podstawy prawnej, umowy powierzenia z dostawcą i kontroli transferów poza EOG. Szerszy obraz regulacji przedstawia nasz przewodnik po AI Act.
Politykę można napisać samodzielnie na podstawie wzoru poniżej. Można też odpowiedzieć na pytania i otrzymać politykę korzystania z AI napisaną dla swojej firmy: bezpłatna ocena Opsio trwa ok. 40 minut i od razu po wysłaniu tworzy tę politykę razem z trzema innymi dokumentami governance. Pytania są po polsku, dokumenty powstają po angielsku jako edytowalne pliki Word.
Potrzebujecie wsparcia ekspertów w tym obszarze?
Nasi architekci chmury pomogą Wam — od strategii po wdrożenie. Zarezerwujcie bezpłatną 30-minutową konsultację bez zobowiązań.
Wzór polityki korzystania z AI – sekcja po sekcji
Kolejność odpowiada temu, czego spodziewa się czytelnik. Przy każdej sekcji opisujemy, co powinna zawierać, a przy tych, z którymi firmy mają najwięcej kłopotu, podajemy przykładowy zapis. Nawiasy kwadratowe należy zastąpić własnymi danymi.
1. Cel i zakres
Wyjaśnienie, po co jest dokument i kogo obejmuje: pracowników etatowych, współpracowników na umowach cywilnoprawnych i w modelu B2B, pracowników tymczasowych i każdego, kto używa AI w imieniu firmy. Zakres obejmuje wszystkie narzędzia AI, nie tylko chatboty – asystentów programowania, transkrypcję, generatory grafiki i funkcje AI wbudowane w używane już systemy.
Przykład: „Niniejsza polityka dotyczy wszystkich pracowników, współpracowników i innych osób korzystających z narzędzi AI przy wykonywaniu zadań dla [Spółki], na dowolnym urządzeniu, niezależnie od tego, czy narzędzie zapewnia [Spółka], czy jest częścią licencjonowanego oprogramowania, czy też jest używane z prywatnego konta.”
2. Definicje
Krótkie definicje pojęć, na których opiera się reszta: narzędzie AI, generatywna AI, narzędzie zatwierdzone, dane osobowe, informacja poufna, wynik (output). Definicja AI powinna być szeroka i praktyczna; nie trzeba przepisywać art. 3 pkt 1 rozporządzenia.
3. Zatwierdzone narzędzia
Lista narzędzi, z których wolno korzystać, i klas informacji, dla których są dopuszczone – albo odesłanie do aktualnej listy w intranecie. Warto wprost wskazać wersje firmowe, np. Microsoft 365 Copilot w firmowym środowisku Microsoft 365, a nie konsumencką wersję Copilota. Sekcja opisuje też, jak zgłosić nowe narzędzie i kto je zatwierdza. Lista powinna wynikać z firmowego rejestru systemów AI, żeby oba dokumenty się nie rozjechały.
Przykład: „Do pracy dla [Spółki] wolno używać wyłącznie narzędzi z listy »Zatwierdzone narzędzia AI«. Wniosek o nowe narzędzie składa się do [osoby odpowiedzialnej za AI governance] przez [formularz]. Narzędzie zostaje zatwierdzone dopiero po ocenie bezpieczeństwa, ochrony danych i dostawcy.”
4. Klasyfikacja informacji – czego nigdy nie wprowadzać
Ta sekcja zapobiega największej liczbie incydentów. Istniejące klasy informacji (np. publiczna, wewnętrzna, poufna, ściśle poufna) trzeba powiązać z regułami dla AI i wymienić kategorie całkowicie zakazane w narzędziach, które nie zostały do nich specjalnie dopuszczone.
Przykład: „Nie wolno wprowadzać do żadnego narzędzia AI, o ile nie zostało ono pisemnie dopuszczone do danej klasy informacji: haseł, kluczy API i innych danych uwierzytelniających; danych osobowych klientów i pracowników, w tym numerów PESEL; danych szczególnych kategorii, np. o zdrowiu lub przynależności do związków zawodowych; danych kart płatniczych; nieopublikowanych wyników finansowych; kodu źródłowego oznaczonego jako poufny; informacji objętych tajemnicą adwokacką lub radcowską; informacji objętych umową o zachowaniu poufności z klientem.”
Jeśli pracownicy rzeczywiście muszą używać AI na danych osobowych, kontrola techniczna działa lepiej niż zakaz. Przykładem jest bramka AI hostowana w UE, która pseudonimizuje dane osobowe, zanim trafią do modelu, blokuje sekrety i zapisuje każde wywołanie. Pomoc przy takich zabezpieczeniach oferuje zespół bezpieczeństwa i zgodności AI.
5. Weryfikacja wyników i odpowiedzialność
Odpowiedzialność za wynik ponosi osoba, która użyła AI. Wynik trzeba sprawdzić pod kątem poprawności, stronniczości, praw autorskich i przydatności, zanim zostanie wykorzystany lub przekazany dalej. Szczególna ostrożność dotyczy decyzji o ludziach.
Przykład: „Za każdy materiał przygotowany z pomocą AI odpowiada jego autor. Fakty, liczby, cytaty, podstawy prawne i kod należy zweryfikować przed użyciem. Wynik AI nie może być jedyną podstawą decyzji dotyczącej zatrudnienia, wynagrodzenia, kredytu, dostępu do usługi lub sytuacji prawnej osoby; decyzję musi przejrzeć osoba z odpowiednimi kwalifikacjami, która może ją zmienić.”
6. Zakazane zastosowania
Lista tego, czego nie wolno nigdy. Najpierw praktyki zakazane przez art. 5 AI Act, które realnie mogłyby wystąpić w firmie, potem własne „czerwone linie”:
- rozpoznawanie emocji pracowników, np. analiza nastroju na nagraniach rozmów wideo, poza względami medycznymi lub bezpieczeństwa;
- kategoryzacja biometryczna wnioskująca o pochodzeniu, poglądach politycznych czy orientacji seksualnej;
- techniki manipulacyjne lub wykorzystywanie słabości związanych z wiekiem, niepełnosprawnością lub sytuacją ekonomiczną;
- scoring społeczny prowadzący do nieuzasadnionego niekorzystnego traktowania;
- generowanie intymnych wizerunków osób bez ich zgody (zakaz unijny od 2 grudnia 2026 r., w polityce warto go ująć już teraz);
- własne zakazy firmy, np. wysyłanie klientom treści wygenerowanych przez AI bez przeglądu albo używanie AI do oceny pracowników bez zgody działu HR.
7. Przejrzystość wobec klientów i współpracowników
Kiedy trzeba ujawnić, że treść lub rozmowa pochodzi od AI. Minimum wynika z art. 50: chatbot musi informować, że jest AI, a deepfake trzeba oznaczyć. Wiele firm idzie dalej i ujawnia użycie AI także tam, gdzie prawo tego nie wymaga, np. w raportach dla klientów.
Przykład: „Treści graficzne, audio i wideo wygenerowane lub zmienione przez AI, przedstawiające realne osoby, miejsca lub zdarzenia, oznacza się przed publikacją dopiskiem »Treść wygenerowana przez AI«. Asystenci AI w kanałach obsługi klienta przedstawiają się na początku rozmowy jako system AI.”
8. Bezpieczeństwo i konta
Logowanie wyłącznie przez firmowe SSO, zakaz łączenia prywatnych kont z danymi firmy, zasady dla wtyczek przeglądarki i agentów AI z dostępem do systemów (uprawnienia minimalne, akceptacja człowieka przy działaniach nieodwracalnych).
9. Własność intelektualna i umowy
Kto ma prawa do wyników, jak traktować treści chronione prawem autorskim i co robić, gdy klient zastrzegł w umowie zakaz używania AI przy realizacji zlecenia.
10. Zgłaszanie incydentów
Co jest incydentem AI (wyciek danych do narzędzia, szkodliwy lub dyskryminujący wynik, błąd, który trafił do klienta), komu i jak szybko go zgłosić. Jeśli incydent dotyczy danych osobowych, procedura musi łączyć się z obowiązkiem zgłoszenia naruszenia do UODO w ciągu 72 godzin.
Przykład: „Każdy pracownik, który zauważy, że do narzędzia AI trafiły informacje poufne lub dane osobowe niezgodnie z niniejszą polityką, zgłasza to niezwłocznie, nie później niż w ciągu 24 godzin, na adres [adres zespołu bezpieczeństwa]. Zgłoszenie w dobrej wierze nie skutkuje konsekwencjami dyscyplinarnymi.”
11. Szkolenia
Kto i kiedy przechodzi szkolenie: wszyscy przed dostępem do zatwierdzonych narzędzi, osoby pracujące z AI w HR, finansach czy obsłudze klienta – szkolenie rozszerzone. Ślad szkolenia (data, lista uczestników, materiały) jest najprostszym dowodem działań z art. 4.
12. Odpowiedzialność, przegląd i naruszenia
Właściciel dokumentu, cykl przeglądu (co najmniej raz w roku i po każdej istotnej zmianie przepisów), skutki naruszenia polityki z odwołaniem do regulaminu pracy.
Co wolno, a czego nie – ściąga dla pracowników
| Sytuacja | Wolno | Nie wolno |
|---|---|---|
| Szkic e-maila do klienta | W zatwierdzonym narzędziu, bez danych osobowych, z przeglądem przed wysyłką | Wklejać historii korespondencji z danymi klienta do prywatnego ChatGPT |
| Rekrutacja | Pomoc w redakcji ogłoszenia | Automatyczne odrzucanie kandydatów bez przeglądu człowieka |
| Spotkania | Transkrypcja w firmowym Copilocie za wiedzą uczestników | Nagrywanie wtyczką spoza listy zatwierdzonych narzędzi |
| Kod | Asystent programowania na kodzie bez sekretów | Wklejanie kluczy API i haseł |
| Marketing | Grafiki generowane przez AI, oznaczone, gdy przedstawiają realne osoby | Deepfake z wizerunkiem prawdziwej osoby bez oznaczenia i zgody |
Jak wprowadzić politykę w polskiej firmie
- Ustalić właściciela. Zwykle jest nim osoba odpowiedzialna za AI governance, bezpieczeństwo informacji lub compliance, z udziałem inspektora ochrony danych.
- Zebrać listę narzędzi. Bez rejestru nie da się napisać sekcji o zatwierdzonych narzędziach.
- Uzgodnić z działem kadr i przedstawicielami pracowników. Jeśli polityka wprowadza monitorowanie lub zmienia organizację pracy, trzeba sprawdzić obowiązki z Kodeksu pracy (m.in. art. 22² i 22³ o monitoringu) i wobec związków zawodowych. Przy systemach AI wysokiego ryzyka w miejscu pracy art. 26 AI Act wymaga poinformowania pracowników i ich przedstawicieli przed użyciem.
- Przeszkolić i zebrać potwierdzenia. Krótkie szkolenie z polityki i podpisane lub elektroniczne potwierdzenie zapoznania się.
- Przeglądać. Co najmniej raz w roku oraz po zmianach przepisów, np. po wejściu w życie przepisów o kontroli KRiBSI 28 października 2026 r.
Polityka to jeden z kilku dokumentów, które składają się na zarządzanie AI. Jak sprawdzić, czego jeszcze brakuje, opisujemy w artykule o analizie luk pod kątem AI Act.
Najczęściej zadawane pytania
Czy polityka korzystania z AI jest obowiązkowa?
AI Act nie nakazuje wprost dokumentu o tej nazwie. Wymaga jednak środków wspierających kompetencje w zakresie AI, przestrzegania zakazów z art. 5 i obowiązków przejrzystości z art. 50. Spisana polityka, znana pracownikom, jest najprostszym sposobem, by te środki pokazać, także podczas kontroli KRiBSI. Coraz częściej wymagają jej też klienci w przetargach.
Czy wzór polityki AI wystarczy bez dostosowania?
Nie. Wzór daje strukturę, ale sekcje o zatwierdzonych narzędziach, klasach informacji i incydentach muszą odpowiadać realiom firmy: używanym systemom, istniejącej klasyfikacji informacji i procedurom bezpieczeństwa. Polityka przepisana bez zmian zwykle zawiera zakazy, których nikt nie egzekwuje, i pomija narzędzia, z których pracownicy faktycznie korzystają.
Czy pracownik może używać prywatnego konta ChatGPT do pracy?
To decyzja firmy, którą polityka musi podjąć wprost. Większość organizacji zakazuje używania prywatnych kont do informacji wewnętrznych i poufnych, bo firma nie kontroluje wtedy umowy z dostawcą, retencji danych ani trenowania modeli. Rozsądnym kompromisem jest udostępnienie firmowej wersji narzędzia z umową powierzenia.
Kto powinien zatwierdzić politykę korzystania z AI?
Najczęściej zarząd lub upoważniony członek kierownictwa, po konsultacji z działem prawnym, IT, bezpieczeństwa, HR i inspektorem ochrony danych. Gdy polityka zmienia zasady pracy, warto uwzględnić przepisy wewnętrzne, np. regulamin pracy, i zaangażować przedstawicieli pracowników.
Jak często aktualizować politykę AI?
Co najmniej raz w roku, a dodatkowo przy każdej istotnej zmianie: nowym narzędziu z dostępem do danych firmy, zmianie przepisów lub incydencie. Lista zatwierdzonych narzędzi zmienia się częściej, dlatego lepiej trzymać ją w osobnym, łatwo aktualizowanym załączniku.
Polityka AI napisana z Państwa odpowiedzi
Wzór powyżej wystarczy, by napisać dokument samodzielnie. Jeśli jednak szybciej jest odpowiedzieć na pytania, bezpłatna ocena AI governance Opsio w 14 krokach (ok. 40 minut) zbiera informacje o narzędziach, danych, osobach odpowiedzialnych i zakazach, a po wysłaniu od razu tworzy politykę korzystania z AI z nazwą firmy i wpisanymi narzędziami. Do tego otrzymują Państwo ramy zarządzania AI, checklistę weryfikacji dostawców AI i wzór oceny ryzyka AI. Dokumenty są po angielsku, w edytowalnym formacie Word, i należą do Państwa. Bez opłat i bez zobowiązań – to darmowe wzory dokumentów AI governance dopasowane do firmy, a nie puste szablony.
Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 (EUR-Lex).
O autorze
Dyrektor ds. Innowacji
Jacob kieruje innowacjami w Opsio, specjalizując się w transformacji cyfrowej, AI, IoT i rozwiązaniach opartych na chmurze, które przekształcają skomplikowaną technologię w mierzalną wartość biznesową. Z prawie 15-letnim doświadczeniem ściśle współpracuje z klientami przy projektowaniu skalowalnych rozwiązań AI i IoT, optymalizacji procesów dostaw i tworzeniu strategii technologicznych, które napędzają trwały wzrost i długoterminowy wpływ biznesowy.
Zasady redakcyjne: Artykuł napisał certyfikowany praktyk, a sprawdził go nasz zespół inżynierów. Aktualizujemy go, gdy zmienia się opisywana technologia lub regulacja; daty powyżej pokazują ostatnią aktualizację. Opsio zachowuje niezależność redakcyjną — rekomendujemy rozwiązania na podstawie ich wartości technicznej, a nie relacji handlowych.