Polityka korzystania z AI (ChatGPT) w firmie - wzór zgodny z RODO i AI Act

Dlaczego wklejanie danych do ChatGPT to problem prawny, nie tylko techniczny

Pracownik dostaje reklamację od klienta i wkleja jej treść - razem z imieniem, numerem zamówienia i adresem - do ChatGPT, żeby szybciej napisać odpowiedź. Konsultant kopiuje fragment umowy z danymi kontrahenta do publicznego narzędzia AI, żeby dostać podsumowanie. Programista wrzuca fragment kodu z kluczem API do asystenta AI, żeby ten znalazł błąd.

W każdym z tych przypadków dane opuszczają organizację i trafiają do systemu, nad którym firma nie ma kontroli. Nie wiadomo, czy dostawca wykorzysta je do trenowania modelu, jak długo je przechowa i kto jeszcze będzie miał do nich dostęp. Z punktu widzenia RODO to zdarzenie tego samego rodzaju co wysłanie danych osobowych na prywatny e-mail - tyle że dzieje się dziesiątki razy dziennie, często bez świadomości pracownika, że robi coś ryzykownego.

Kto odpowiada za wyciek - firma czy pracownik?

To pytanie zadaje sobie większość zarządów, gdy temat AI pojawia się na agendzie. Odpowiedź wynika wprost z RODO: odpowiedzialność ponosi administrator danych, czyli firma - nie pracownik, który wkleił dane do okienka czatu.

Artykuł 32 RODO nakłada na administratora obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zabezpieczających dane. Brak takich środków - w tym brak polityki regulującej korzystanie z narzędzi AI - to samodzielna podstawa do kary, niezależnie od tego, czy doszło do realnego naruszenia. Za brak zabezpieczeń grozi kara do 10 milionów euro lub 2% globalnego obrotu, a za naruszenie podstawowych zasad przetwarzania danych (art. 5 RODO) - do 20 milionów euro lub 4% obrotu.

Pracownik może odpowiadać dyscyplinarnie za złamanie wewnętrznych zasad, ale wobec Urzędu Ochrony Danych Osobowych i wobec klienta, którego dane wyciekły, to firma jest stroną odpowiedzialną. Dlatego pierwszym krokiem nie jest zakaz używania AI, tylko udokumentowanie, na jakich zasadach wolno z niego korzystać. Zakres i strukturę takiej dokumentacji opisaliśmy szczegółowo w artykule o wymaganej dokumentacji RODO - polityka AI powinna być z nią spójna i powoływać się na te same zasady klasyfikacji danych.

Co powinna regulować polityka AI w firmie

Dobra polityka korzystania z AI to nie ogólny zakaz, tylko konkretny zestaw zasad, które pracownik może zastosować w codziennej pracy. Powinna odpowiadać na cztery pytania.

Tu wchodzi w grę drugi filar - AI Act. Rozporządzenie nie zakazuje pracownikom korzystania z ChatGPT, ale nakłada na organizacje obowiązek zapewnienia tzw. AI literacy, czyli odpowiedniego poziomu wiedzy o działaniu i ryzykach systemów AI wśród osób, które z nich korzystają. Od 2 sierpnia 2026 r. obowiązują też szersze wymogi przejrzystości - m.in. obowiązek informowania, że użytkownik rozmawia z systemem AI, a nie z człowiekiem, co dotyczy również wewnętrznych chatbotów i asystentów wdrażanych przez firmę. Jeśli firma sama buduje lub wdraża system AI (np. do wstępnej selekcji kandydatów czy oceny pracowników), musi dodatkowo sprawdzić, do jakiej kategorii ryzyka on należy - to rozstrzyga zakres obowiązków dokumentacyjnych. Jak przeprowadzić taką klasyfikację, opisaliśmy w artykule o klasyfikacji ryzyka systemów AI wg AI Act.

Te cztery pytania warto przełożyć na konkretny dokument. Kompletna polityka AI w firmie zwykle obejmuje:

Kiedy wdrożyć taką politykę

Najlepiej zanim ktokolwiek w firmie zacznie używać AI do pracy z danymi klientów - w praktyce jednak większość firm robi to z opóźnieniem, dopiero gdy zauważy, że pracownicy już korzystają z publicznych narzędzi na własną rękę. Jeśli Twoja firma jeszcze nie ma takiej polityki, to sygnał, żeby wprowadzić ją teraz, a nie czekać na pierwszy incydent albo kontrolę UODO. Warto też sprawdzić, czy firma w ogóle wdraża własne systemy AI (np. do rekrutacji, oceny ryzyka czy obsługi klienta) - jeśli tak, klasyfikacja ryzyka wg AI Act jest obowiązkowa, niezależnie od polityki dla pracowników. W takim przypadku sama polityka dla pracowników nie wystarczy - potrzebny jest pełny system zarządzania AI, np. wg normy ISO/IEC 42001, o czym piszemy w artykule jak wdrożyć ISO/IEC 42001 (AI Governance) krok po kroku.

Chcesz mieć gotową politykę AI dopasowaną do Twojej firmy, wraz z klasyfikacją ryzyka systemów AI? Zaloguj się do ISO Forge i wygeneruj dokumentację zgodną z AI Act.

Zobacz jak działa generator dokumentacji AI Act w ISO Forge.

Generator dokumentów AI Act

99 zł jednorazowo, 30 dni dostępu.

Inne artykuły