Po co osobny dokument, skoro jest rejestr

Rejestr systemów AI odpowiada na pytanie, jakich narzędzi firma faktycznie używa. Polityka korzystania z AI odpowiada na inne pytanie: jakie zasady obowiązują przy tym użyciu. To dokument skierowany do zespołu, nie tylko do kontrolera, i to on w praktyce zapobiega części problemów, zamiast tylko je dokumentować po fakcie. Brak takiej polityki jest też jednym z pierwszych braków widocznych przy kontroli, bo pokazuje, że firma nie ustaliła zasad, tylko reaguje na bieżąco.

Polityka ma sens tylko wtedy, gdy powstaje po zbudowaniu rejestru systemów AI i, najlepiej, po sprawdzeniu skali shadow AI w firmie. Pisanie polityki bez tej wiedzy kończy się dokumentem oderwanym od tego, co zespół faktycznie robi.

Obowiązkowe elementy dokumentu

Lista dozwolonych i zabronionych narzędzi

Jasne wskazanie, z jakich narzędzi AI zespół może korzystać w pracy, a z jakich nie, oraz kto decyduje o dodaniu nowego narzędzia do listy dozwolonych. Lista zabronionych nie musi być długa, ważniejsza jest jasna ścieżka zgłaszania nowych narzędzi, bo rynek zmienia się szybciej niż jakikolwiek dokument.

Zasady wprowadzania danych do publicznych modeli

To najważniejszy praktyczny punkt polityki, bo dotyczy realnego ryzyka wycieku danych. Powinien jasno określać:

  • jakie kategorie danych nigdy nie trafiają do publicznych narzędzi AI (dane osobowe klientów, numery umów, dane finansowe, hasła i dane dostępowe),
  • czy istnieją narzędzia z wyższym poziomem prywatności zatwierdzone do pracy z danymi wrażliwymi (np. wersje firmowe/enterprise z gwarancją nieużywania danych do trenowania modeli),
  • co zrobić, jeśli dane zostały omyłkowo wprowadzone do niewłaściwego narzędzia.

Zasady oznaczania treści

Odesłanie do konkretnych zasad oznaczania w zależności od typu treści, zgodnie z ogólną instrukcją w artykule Jak oznaczać treści generowane przez AI. Polityka nie musi powtarzać całej instrukcji, wystarczy jasne wskazanie, że każda syntetyczna treść publikowana na zewnątrz firmy musi być oznaczona zgodnie z tą instrukcją, zanim trafi do klienta.

Odpowiedzialność

Wskazanie, kto w firmie odpowiada za: aktualizację rejestru systemów AI, weryfikację nowych narzędzi zgłaszanych przez zespół, reagowanie na pytania i wątpliwości dotyczące AI. W małej firmie to zwykle jedna osoba, w większej może to być rozdzielone między dział IT (bezpieczeństwo danych) i dział marketingu czy obsługi klienta (oznaczanie treści).

Przykładowa struktura dokumentu

1. Cel polityki i do kogo się odnosi
2. Dozwolone narzędzia AI (lista + link do zgłaszania nowych)
3. Zabronione praktyki (np. wklejanie danych klientów do publicznych modeli)
4. Zasady oznaczania treści generowanych przez AI
5. Odpowiedzialność i kontakt w sprawach AI
6. Konsekwencje naruszenia polityki
7. Data ostatniej aktualizacji i osoba odpowiedzialna za dokument

Dokument nie musi mieć więcej niż dwie, trzy strony. Dłuższa polityka, której nikt w zespole nie przeczyta, jest mniej warta niż krótka, którą faktycznie ktoś zna.

Jak wdrożyć politykę, żeby realnie działała

  1. Skonsultuj wstępną wersję z zespołem, zwłaszcza z osobami, które w ankiecie o shadow AI przyznały się do korzystania z niezatwierdzonych narzędzi. Ich perspektywa pokaże, czy zasady są realistyczne.
  2. Wprowadź politykę razem ze szkoleniem zespołu z art. 4, zamiast wysyłać ją mailem bez kontekstu. Szkolenie to naturalny moment na omówienie zasad i odpowiedzi na pytania.
  3. Zbierz potwierdzenie zapoznania się z dokumentem, na przykład podpis na liście albo checkbox w systemie kadrowym, jako dowód na wypadek kontroli.
  4. Powtarzaj przegląd polityki przy każdej większej zmianie w liście używanych narzędzi.

Najczęstszy błąd: polityka napisana raz, skopiowana z internetu, nigdy nie dopasowana do faktycznie używanych w firmie narzędzi. Kontroler szybko zauważy rozbieżność między dokumentem a rzeczywistością, bo wystarczy porównać go z rejestrem systemów AI.

Co zrobić w razie naruszenia polityki

Polityka bez jasno określonych konsekwencji naruszenia bywa traktowana przez zespół jako sugestia, nie zasada. Nie chodzi o to, żeby od razu grozić karami dyscyplinarnymi za każde odstępstwo, ale o to, żeby dokument jasno wskazywał, co się dzieje, gdy ktoś np. wklei dane klienta do niezatwierdzonego narzędzia: kto jest o tym informowany, jak wygląda rozmowa wyjaśniająca i jakie kroki firma podejmuje, żeby zminimalizować skutki. Jasność w tym punkcie chroni zarówno firmę, jak i pracownika, bo eliminuje niepewność co do tego, czego można się spodziewać po zgłoszeniu pomyłki.

Czym polityka różni się od rejestru i teczki dowodowej

Te trzy dokumenty często się mylą, choć pełnią różne role:

Dokument Odpowiada na pytanie Adresat
Rejestr systemów AI Jakich narzędzi używamy? Wewnętrzny, techniczny
Polityka korzystania z AI Jakie są zasady korzystania? Cały zespół
Teczka dowodowa Czym możemy udowodnić zgodność? Kontroler

Wszystkie trzy razem tworzą spójny obraz zgodności firmy, więcej o ostatnim z nich w artykule Teczka dowodowa. Jeśli wolisz mieć gotowy szkielet polityki dopasowany do specyfiki swojej branży zamiast pisać go od podstaw, jest on częścią Pakietu Zgodności.

Najczęściej zadawane pytania

Czy mała firma z pięcioma pracownikami też potrzebuje pisemnej polityki?

Tak, obowiązek kompetencji w zakresie AI z art. 4 dotyczy każdej firmy niezależnie od wielkości, a pisemna polityka jest najprostszym sposobem na spełnienie i udokumentowanie tego obowiązku, nawet w bardzo małym zespole.

Czy polityka musi być osobnym dokumentem, czy może być częścią regulaminu pracy?

Może być elementem szerszego dokumentu wewnętrznego, o ile zasady dotyczące AI są w nim wyraźnie wyodrębnione i łatwe do znalezienia, a nie rozproszone między innymi tematami.

Jak często aktualizować politykę?

Przy każdej istotnej zmianie w liście narzędzi albo w przepisach, a niezależnie od tego przynajmniej raz w roku jako rutynowy przegląd.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Treść konkretnej polityki wewnętrznej powinien zweryfikować radca prawny lub adwokat, zwłaszcza w zakresie konsekwencji dyscyplinarnych za jej naruszenie.