Polityka AI w firmie: wystarczy 1 strona A4 (i jak ją spisać bez prawnika)

Widziałem już kilka firm, które kupiły gotowy szablon polityki AI po angielsku, wkleiły logo i schowały plik w folderze „RODO i inne". Nikt go potem nie czytał, bo miał 40 stron i odwoływał się do ram, których w tej firmie nikt nie wdrożył. To gorsze niż brak polityki, bo daje złudne poczucie bezpieczeństwa. Jeśli zatrudniasz kilkanaście albo kilkadziesiąt osób i wdrażasz ChatGPT do obsługi klienta albo automatyzujesz opisy produktów, nie zaczynałbym od przeglądu norm ISO. Zacząłbym od jednej kartki, którą realnie da się wdrożyć w tydzień.

Zanim spiszesz politykę, odpowiedz na jedno pytanie

To pytanie brzmi: kto w tej firmie może dziś, bez pytania nikogo, włączyć nowe narzędzie AI i wkleić do niego dane klienta? Jeśli odpowiedź brzmi „każdy, kto ma dostęp do internetu", masz problem większy niż brak polityki na papierze. Bo to nie dokument ryzykuje, tylko praktyka: handlowiec wrzuca maila od klienta do darmowego narzędzia AI, żeby napisać odpowiedź, marketing wkleja dane sprzedażowe do promptu, żeby wygenerować raport. Polityka AI nie jest po to, żeby spełnić wymóg formalny. Jest po to, żeby ktoś w firmie świadomie zdecydował, które narzędzia są dopuszczone, do jakich danych mają dostęp i co się dzieje, kiedy coś pójdzie nie tak.

W praktyce oznacza to, że polityka AI nie jest dokumentem prawnym, tylko operacyjnym. Bliżej jej do instrukcji BHP niż do umowy handlowej. Dlatego nie potrzebujesz prawnika, żeby ją spisać, potrzebujesz właściciela procesu, który zna swoją firmę i potrafi w prostych zdaniach określić zasady.

Co naprawdę mówi prawo, a czego nie musisz robić

AI Act, czyli rozporządzenie UE 2024/1689, faktycznie nakłada konkretne obowiązki zarządzania systemami AI, ale dotyczą one przede wszystkim systemów wysokiego ryzyka, opisanych w artykułach 9-15: systemy do rekrutacji, oceny zdolności kredytowej, systemy medyczne, biometryczne, infrastruktura krytyczna. Tam faktycznie wymagany jest system zarządzania ryzykiem, dokumentacja techniczna, nadzór ludzki i mechanizmy monitorowania dokładności. Jeśli Twoja firma nie buduje ani nie wdraża takiego systemu, tylko korzysta z ChatGPT, Copilota czy automatyzacji w n8n do obsługi klienta lub księgowości, te przepisy Cię wprost nie obciążają w tym samym zakresie.

Rozporządzenie weszło w życie sierpniowo 2024, ale obowiązki wchodzą etapami: od lutego 2025 obowiązują zakazy praktyk niedopuszczalnego ryzyka oraz wymóg tzw. AI literacy, czyli podstawowej wiedzy o AI wśród pracowników mających z nią kontakt. Od sierpnia 2025 zaczynają obowiązywać przepisy dotyczące modeli ogólnego przeznaczenia i część zasad zarządzania. Najszerszy zestaw obowiązków, w tym dla systemów wysokiego ryzyka z załącznika III, ma zastosowanie od sierpnia 2026, a dla niektórych produktów regulowanych innymi przepisami sektorowymi dopiero od 2027.

Osobno funkcjonuje norma ISO/IEC 42001:2023, pierwszy międzynarodowy standard systemu zarządzania AI, opublikowany pod koniec 2023 roku. To norma dobrowolna i certyfikowalna, podobna konstrukcyjnie do ISO 27001 w bezpieczeństwie informacji. W Polsce jej wdrożenia są na razie rzadkością i dotyczą głównie firm technologicznych, które budują własne modele albo sprzedają rozwiązania AI klientom korporacyjnym wymagającym takiego certyfikatu w przetargu. Dla firmy usługowej czy handlowej, która korzysta z gotowych narzędzi AI, certyfikacja ISO 42001 to dziś inwestycja bez realnego uzasadnienia biznesowego.

Trzy role, które musisz obsadzić, nie tworząc etatu

W dużej organizacji governance AI oznacza komitet, ryzyko-officera i audyty. W firmie na 15-80 osób wystarczą trzy odpowiedzialności przypisane do istniejących ról. Nikt nie dostaje nowego stanowiska, dostaje dopisek do zakresu obowiązków.

Pierwsza rola to osoba akceptująca nowe narzędzia. Zwykle właściciel, dyrektor operacyjny albo osoba odpowiedzialna za IT, jeśli taka istnieje. Jej zadanie: zanim ktokolwiek w firmie zacznie używać nowego narzędzia AI do pracy z danymi firmowymi lub klienckimi, ta osoba mówi „tak" albo „nie". Nie chodzi o audyt bezpieczeństwa na 20 stron, tylko o pytanie: gdzie trafiają dane, czy dostawca ma serwery w UE albo odpowiednie gwarancje, czy da się to wyłączyć, jeśli coś pójdzie nie tak.

Druga rola to opiekun danych. Ktoś, kto wie, jakie dane firma w ogóle ma i które z nich są wrażliwe: dane osobowe klientów, dane finansowe, tajemnice handlowe. Ta osoba określa, które kategorie danych w ogóle mogą trafić do narzędzia AI, a które nie mogą nigdy, niezależnie od tego, jak wygodne byłoby to rozwiązanie. W biurze rachunkowym to najczęściej właściciel albo osoba prowadząca kadry, bo tam skupia się największe ryzyko wycieku danych osobowych. Więcej o tym, jak to wygląda w praktyce księgowej, piszemy przy okazji automatyzacji biura rachunkowego, gdzie dostęp AI do danych klientów jest tematem numer jeden.

Trzecia rola to osoba reagująca na błąd. Bo błąd się zdarzy, to pewne jak podatek. AI wygeneruje złą odpowiedź do klienta, źle podsumuje fakturę, poda nieprawdziwą informację w czacie na stronie. Musi być jedna osoba, do której trafia zgłoszenie „AI się pomyliło" i która wie, co dalej: czy wyłączyć automatyzację, czy poprawić prompt, czy przeprosić klienta ręcznie. Bez tej roli błędy krążą po firmie ustnie, nikt ich nie zbiera, a to samo niedopatrzenie powtarza się za miesiąc.

W firmach, z którymi pracowaliśmy przy automatyzacji obsługi klienta, właśnie brak tej trzeciej roli był najczęstszym powodem, dla którego dobrze działający bot po dwóch tygodniach zaczynał budzić nieufność zespołu. Nie dlatego, że AI działała źle, tylko dlatego, że nikt nie reagował na te pojedyncze przypadki, kiedy działała źle, i frustracja rosła bez ujścia.

Szablon: polityka AI na jedną stronę

Poniżej układ, który stosujemy realnie u klientów. Nie jest to dokument prawny do podpisania przez radcę, to wewnętrzna instrukcja, którą wdraża zarząd albo właściciel firmy i którą każdy nowy pracownik dostaje przy onboardingu razem z regulaminem pracy.

Cały dokument mieści się na jednej stronie, bo każdy punkt to jedno zdanie plus imię i nazwisko osoby odpowiedzialnej. Nie opisuj procedur na wypadek każdego scenariusza, bo i tak ich nie przewidzisz wszystkich. Lepiej mieć jasno przypisaną odpowiedzialność i zaufać, że ta osoba podejmie decyzję w konkretnej sytuacji, niż mieć procedurę na 12 stron, której nikt nie przeczyta przy realnym incydencie.

Jak to wdrożyć w praktyce, krok po kroku

Po pierwsze, spisz listę narzędzi AI, które już są w firmie używane, nawet nieformalnie. Zapytaj zespół wprost: „czego używacie do pracy z AI". Zwykle wychodzi więcej niż zarząd się spodziewa, bo pracownicy sami znajdują narzędzia, żeby przyspieszyć swoją pracę. Po drugie, przy każdym narzędziu zapisz, kto je zaakceptował i jakie dane może przetwarzać. Po trzecie, wskaż osobę od błędów i jeden kanał zgłoszeń, żeby informacja o pomyłce AI nie ginęła w prywatnych rozmowach. Po czwarte, wyślij dokument do całego zespołu z krótkim komentarzem, że to obowiązująca zasada, nie sugestia. Cały proces da się zamknąć w tydzień, jeśli firma ma mniej niż 50 osób.

Przy okazji tego przeglądu warto sprawdzić, gdzie AI w ogóle dotyka danych finansowych, bo to obszar, w którym błąd kosztuje najwięcej. Jeśli automatyzujesz odczyt i księgowanie dokumentów, dobrze mieć jasność, jakie dane trafiają do jakiego narzędzia, zanim skala rośnie. Piszemy o tym szerzej przy automatyzacji faktur, gdzie kwestia dostępu AI do danych kontrahentów pojawia się od pierwszego dnia wdrożenia.

Kiedy jedna strona już nie wystarczy

Jest granica, po której minimalna polityka przestaje być odpowiedzialna, i trzeba to wprost powiedzieć. Jeśli firma zaczyna budować własny model AI, wdraża system, który automatycznie decyduje o zatrudnieniu, ocenie zdolności kredytowej, dostępie do usług medycznych albo działa w obszarze infrastruktury krytycznej, wchodzi w kategorię wysokiego ryzyka z AI Act. Wtedy potrzebny jest realny system zarządzania ryzykiem opisany w artykułach 9-15 rozporządzenia: dokumentacja techniczna, mechanizmy nadzoru ludzkiego, testy dokładności i odporności, rejestrowanie zdarzeń. To już nie jest jedna strona A4, tylko projekt z udziałem prawnika i specjalisty od AI compliance, i na tym etapie faktycznie warto rozważyć zbliżenie się do struktury ISO/IEC 42001, żeby mieć spójny system zamiast zbioru luźnych procedur.

Podobnie, jeśli firma rośnie powyżej 100-150 osób i AI zaczyna być używana w wielu działach jednocześnie bez centralnej koordynacji, jedna strona przestaje wystarczać, bo różne zespoły zaczynają podejmować sprzeczne decyzje o tych samych narzędziach. Wtedy dobrym krokiem jest rozszerzenie dokumentu o osobne sekcje dla działów: marketing, obsługa klienta, finanse, każdy z własną listą dopuszczonych narzędzi i danych. Ale to wciąż nie wymaga działu compliance, wymaga jednej osoby, która raz na kwartał aktualizuje dokument.