Polityka AI w firmie: po co ją mieć i co w niej zawrzeć

Polityka AI w firmie to wewnętrzny dokument, który ustala, z jakich narzędzi AI firma korzysta, jakich danych nie wolno do nich wprowadzać i kto odpowiada za wyniki. Sam dokument nie jest wprost nakazany przepisami - ale obowiązki, które porządkuje, już tak: kompetencje AI (art. 4 AI Act) obowiązują od lutego 2025, przejrzystość (art. 50) obowiązuje od 2 sierpnia 2026, a RODO działa przez cały czas.

Skalę problemu pokazuje Cyberportret polskiego biznesu 2026 (badanie ESET i DAGMA, próba 1026 osób): formalne zasady korzystania z AI ma 27% firm. Pozostałe trzy czwarte działa bez żadnych reguł. W tym samym czasie z AI pracuje już 62% zatrudnionych, a co trzeci z nich deklaruje, że próbowałby obejść firmowe blokady.

Ta różnica ma nazwę: shadow AI. I to właśnie ona, nie kary z Brukseli, jest pierwszym powodem, żeby politykę AI spisać. Rozpisaliśmy osobno, czym jest shadow AI i jak w jedno popołudnie sprawdzić jego skalę u siebie.

Jeśli chcesz zacząć od razu, mamy gotowy szablon polityki AI z ośmioma sekcjami do skopiowania. Ten tekst wyjaśnia, co w nich jest i po co.

Aktualizacja: 28 października 2026. Poprawiliśmy dane z badania ESET i DAGMA oraz opis naszych usług. 23 października dopisaliśmy, czy pracodawca może zwolnić pracownika za wklejenie danych do ChatGPT, i pięć zasad do polityki AI, które zamykają ten problem.

Czy polityka AI jest obowiązkowa?

Nie ma przepisu, który nakazuje firmie posiadanie dokumentu „polityka AI”. Obowiązkowe są za to konkretne rzeczy, które ten dokument porządkuje: wspieranie rozwoju kompetencji AI u pracowników (art. 4 AI Act, obowiązuje od 2 lutego 2025), obowiązki przejrzystości (art. 50, od 2 sierpnia 2026) i zasady RODO przy każdym przetwarzaniu danych osobowych przez AI.

Częsty przekaz brzmi: „polityka AI to wymóg prawny”. Nieściśle. Wymogiem prawnym są obowiązki - polityka jest narzędziem, którym firma wykazuje, że je spełnia. Przy kontroli nikt nie zapyta „czy macie dokument o nazwie polityka AI”, tylko „jak zapewniliście kompetencje pracowników i skąd wiecie, gdzie trafiają dane”. Bez spisanych zasad na te pytania nie ma dobrej odpowiedzi.

Same obowiązki z AI Act - kogo dotyczą, w jakich terminach, z jakimi karami - rozebraliśmy osobno w przewodniku po AI Act dla firm. Ten tekst zajmuje się dokumentem, który je spina.

Po co polityka AI, skoro przepisy jej wprost nie wymagają?

Bo pracownicy już używają AI - z polityką albo bez niej. Według Cyberportretu 2026 35% użytkowników AI próbowałoby obejść firmowe blokady, a co dziesiąty przyznaje, że przekazuje wrażliwe dane firmowe otwartym modelom. Według Microsoft Work Trend Index 2024 globalnie 78% użytkowników AI przynosiło do pracy własne narzędzia.

Zakaz nie działa - to sprawdzili najwięksi. Samsung w marcu 2023 pozwolił działowi półprzewodników korzystać z ChatGPT. W trzy tygodnie doszło do co najmniej trzech wycieków: inżynier wkleił kod źródłowy wewnętrznego programu, drugi pracownik kod do diagnostyki sprzętu, ktoś inny nagranie z poufnego spotkania, żeby AI zrobiło notatki. Samsung odpowiedział zakazem generatywnej AI, a w czerwcu 2026, po trzech latach, zaczął go znosić: pracownicy działu urządzeń (DX) dostali ChatGPT, Gemini Enterprise i Claude, a reszta grupy ma dołączyć później. Zakaz okazał się nie strategią, tylko kosztownym objazdem, na który mało którą firmę w Polsce stać.

Polityka AI to trzecia droga między „każdy robi, co chce” a „zakazujemy wszystkiego”. Ustala, gdzie AI pomaga, a gdzie zaczyna się ryzyko - i dzięki temu firma może korzystać z narzędzi śmielej, nie ostrożniej.

Co powinna zawierać polityka AI?

Osiem sekcji, które pokrywają zarówno wymogi prawne, jak i codzienną praktykę: rejestr narzędzi, listę dozwolonych i zakazanych zastosowań, zasady danych, nadzór człowieka, oznaczanie treści, szkolenia, zgłaszanie incydentów i odpowiedzialność.

Konkretnie - razem z tym, który przepis dana sekcja obsługuje:

Dwie uwagi z praktyki. Po pierwsze: rejestr narzędzi (sekcja 1) zrób najpierw - bez wiedzy, czego ludzie faktycznie używają, reszta polityki będzie fikcją. Po drugie: przy oznaczaniu treści (sekcja 5) nie przesadzaj w drugą stronę. Art. 50 nie każe podpisywać każdego maila napisanego z pomocą AI - obowiązek dotyczy m.in. chatbotów rozmawiających z klientami i deepfake'ów, czyli obrazów, nagrań i wideo, które ktoś mógłby wziąć za autentyczne. Opis produktu czy post marketingowy napisany z ChatGPT etykiety nie wymaga. Pełną tabelę sytuacji rozpisaliśmy w części czy muszę oznaczać treści z AI.

Do zasad danych (sekcja 3) przyda się jeszcze jedna rzecz: sprawdziliśmy u źródła, gdzie trafiają dane firmy, gdy korzystasz z AI - które konta trenują na wklejanych treściach i jak to wyłączyć.

Ile kosztuje przygotowanie polityki AI?

Od zera do wyceny indywidualnej kancelarii - zależnie od drogi. Gotowy wzorzec z kancelarii to jednorazowy wydatek, opracowanie szyte na miarę to wycena indywidualna, wyraźnie wyższa niż za wzorzec, a samodzielne spisanie zasad kosztuje jedno popołudnie właściciela.

Dla małej firmy sensowna ścieżka wygląda tak: zacznij od rejestru narzędzi i krótkiej listy zasad danych (to jedno popołudnie, koszt zero), a dopiero potem zdecyduj, czy potrzebujesz pełnego dokumentu. Gotowy wzorzec ma sens, jeśli ktoś w firmie go przeczyta i dostosuje - kupiony i wrzucony do szuflady nie wykaże niczego przy kontroli. Kancelaria ma sens przy danych wrażliwych (zdrowie, finanse, HR) albo gdy AI dotyka decyzji o ludziach.

Jest i czwarta droga: połączyć politykę ze szkoleniem zespołu. Spisane instrukcje i checklisty pod narzędzia, których używa Twój zespół, oraz szkolenie realizujące obowiązek wspierania kompetencji AI z art. 4 to szkolenia z AI, a audyt bezpieczeństwa AI sprawdza Twojego agenta AI i kończy się raportem z listą napraw.

Co grozi firmie bez polityki AI?

Za brak samego dokumentu - nic, bo taki obowiązek nie istnieje. Ryzyko leży w obowiązkach, których bez polityki trudno dopilnować: naruszenie przejrzystości z art. 50 AI Act grozi karą do 15 mln EUR lub 3% obrotu, naruszenie RODO to osobny reżim do 20 mln EUR lub 4%. Do tego dochodzą koszty samego wycieku: obsługa naruszenia i utrata zaufania klientów.

Pełne progi kar AI Act - razem z tym, dlaczego słynne 35 mln EUR zwykłej firmy praktycznie nie dotyczy i jak liczy się karę dla MŚP - rozpisaliśmy w artykule o AI Act dla firm. Tu jedno zdanie, które wystarczy do decyzji: kary wiszą nad obowiązkami (przejrzystość, dane), nie nad brakiem dokumentu - ale to właśnie dokument najłatwiej dowodzi, że obowiązków pilnujesz.

Perspektywa polityki dodaje jeszcze jeden koszt, o którym przepisy milczą: incydent bez procedury. Firma bez spisanych zasad dowiaduje się o wycieku ostatnia, reaguje chaotycznie i nie umie wykazać należytej staranności - a na zgłoszenie naruszenia danych osobowych do UODO firma ma 72 godziny od wykrycia.

Czy pracodawca może zwolnić za wklejenie danych do ChatGPT?

Może, ale nie za każde wklejenie. Decydują dwie rzeczy: czy dane były poufne i czy firma jasno powiedziała, czego do AI wklejać nie wolno.

Kodeks pracy każe pracownikowi dbać o dobro zakładu pracy. Ten sam przepis każe mu zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę (art. 100 § 2 pkt 4). Ciężkie naruszenie podstawowych obowiązków pozwala rozwiązać umowę bez wypowiedzenia, czyli dyscyplinarnie (art. 52 § 1 pkt 1). Pracodawca ma na to miesiąc od dnia, w którym dowiedział się o sprawie.

Wklejenie do ChatGPT treści ogólnodostępnej oferty to coś innego niż wklejenie listy klientów z cenami albo dokumentów kadrowych. Lista klientów, cennik czy kod mogą być tajemnicą przedsiębiorstwa w rozumieniu ustawy o zwalczaniu nieuczciwej konkurencji (art. 11). Ustawa stawia jednak warunek: firma sama musi podjąć działania, żeby te informacje chronić. Bez spisanych zasad trudno potem wykazać, że coś było tajemnicą.

Gdy w prompcie są dane osobowe klientów albo współpracowników, dochodzi RODO. Osoba z dostępem do danych przetwarza je wyłącznie na polecenie firmy (art. 29). Jeśli dane trafiły tam, gdzie nie powinny, firma ocenia, czy zgłosić naruszenie do UODO. Ma na to 72 godziny od wykrycia, chyba że naruszenie raczej nie zagraża osobom, których dane dotyczą (art. 33). Wobec UODO i klientów odpowiada firma. Pracownik odpowiada wobec firmy, na zasadach Kodeksu pracy. O ryzyku prawnym samego korzystania z AI bez wiedzy firmy piszemy przy pytaniu, czy shadow AI jest niezgodne z prawem.

Dyscyplinarka to najcięższa reakcja, a Kodeks pracy zna łagodniejsze. Za nieprzestrzeganie ustalonej organizacji i porządku pracy pracodawca może dać upomnienie albo naganę (art. 108). Może też wypowiedzieć umowę w zwykłym trybie. Jeśli z wklejenia wynikła szkoda, pracownik, który wyrządził ją nieumyślnie, zapłaci najwyżej trzy miesięczne pensje (art. 119). Pełną wysokość szkody pokrywa tylko przy winie umyślnej (art. 122).

Pracodawca bez polityki AI trudniej udowodni, że pracownik wiedział, czego nie wolno, i że dane były chronione. Pracownik z jasnymi zasadami wie, z czego może korzystać bez obaw. Dlatego zasady warto spisać, zanim coś wycieknie.

Pięć zasad do polityki AI

Te zasady możesz przenieść do polityki prawie bez zmian:

1. „Z narzędzi AI korzystamy wyłącznie na kontach firmowych z listy dozwolonych narzędzi.”
2. „Do narzędzi AI nie wprowadzamy danych osobowych klientów i pracowników, danych finansowych, haseł ani kodu źródłowego.”
3. „Listy klientów, cenniki, warunki umów i dokumenty oznaczone jako poufne są tajemnicą przedsiębiorstwa i nie trafiają do narzędzi AI.”
4. „W razie wątpliwości pytamy osobę odpowiedzialną za AI w firmie, zanim wkleimy dane.”
5. „Pomyłkę z danymi w AI zgłaszamy tego samego dnia. Szybkie zgłoszenie traktujemy jako okoliczność na korzyść pracownika.”

Zasady działają tylko wtedy, gdy ludzie je znają. Ogłoś je zespołowi i zbierz potwierdzenie zapoznania się - o podpisie piszemy w pytaniach niżej.

Jak stworzyć politykę AI w firmie? Trzy kroki na pierwszy tydzień

Krok 1: spisz rejestr - zapytaj zespół, z jakich narzędzi AI korzysta naprawdę (anonimowo - część zespołu robi to po cichu). Krok 2: ustal zasady danych - jedna strona o tym, czego nie wolno wklejać. Krok 3: spisz z tego pierwszą wersję polityki (najszybciej na gotowym szablonie) i ogłoś ją zespołowi - krótka i wdrożona bije rozbudowaną w szufladzie.

Kolejność nie jest przypadkowa. Rejestr pokazuje skalę (zwykle zaskakuje), zasady danych zamykają najdotkliwsze ryzyko od ręki, a ogłoszenie zamienia dokument w praktykę. Pozostałe sekcje z tabeli - nadzór, incydenty, ścieżka akceptacji nowych narzędzi - dobuduj w kolejnym tygodniu na bazie tego, co wyszło z rejestru. Szkolenia zespołu (art. 4) nie pomijaj, ale to osobny proces - opisaliśmy go przy obowiązkach z AI Act, a jak takie szkolenie wygląda w praktyce, pokazujemy w tekście o szkoleniu AI dla firmy.

Jeśli wolisz nie robić tego w pojedynkę: w 30Elevate audyt systemów AI, polityka pod realne użycie i szkolenie zespołu to jeden proces, nie trzy osobne zlecenia. Odezwij się, pokażemy jak to wygląda.

Najczęstsze pytania

Czy polityka AI jest wymagana prawem?

Nie wprost - żaden przepis nie nakazuje dokumentu o tej nazwie. Obowiązkowe są: kompetencje AI pracowników (art. 4 AI Act, od 2.02.2025), przejrzystość wobec użytkowników (art. 50, od 2.08.2026) i zasady RODO przy danych osobowych. Polityka to najprostszy sposób, żeby te obowiązki udokumentować.

Co to jest shadow AI?

Korzystanie z narzędzi AI przez pracowników bez wiedzy i zgody firmy. Według Cyberportretu 2026 (ESET i DAGMA) 35% użytkowników AI próbowałoby obejść firmowe blokady, a według Microsoft Work Trend Index 2024 globalnie 78% użytkowników AI przynosiło do pracy własne narzędzia. Ryzyko: dane firmowe i klienckie trafiają do narzędzi, których nikt nie ocenił, na prywatnych kontach, bez śladu.

Ile kosztuje polityka AI?

Gotowy wzorzec z kancelarii to jednorazowy wydatek. Opracowanie szyte na miarę przez kancelarię to wycena indywidualna, licz się z kwotą wyraźnie wyższą niż za wzorzec. Wersja minimalna (rejestr narzędzi + zasady danych) - zero złotych i jedno popołudnie. Koszt rośnie z wrażliwością danych, nie z wielkością firmy.

Czy można zwolnić pracownika za wklejenie danych do ChatGPT?

Tak, jeśli było to ciężkie naruszenie obowiązków, np. wklejenie poufnych danych mimo jasnego zakazu (art. 52 § 1 pkt 1 Kodeksu pracy). Przy drobnym przewinieniu i braku spisanych zasad pracodawcy trudno wykazać winę, a w grę wchodzą raczej upomnienie, nagana albo zwykłe wypowiedzenie. To nie jest porada prawna - przy konkretnej sprawie skonsultuj się z prawnikiem.

Czy pracownicy muszą podpisać politykę AI?

Formalnie zwykle wystarczy skuteczne zakomunikowanie zasad, czyli takie, które firma potrafi potem udowodnić. W praktyce podpis (albo potwierdzenie w systemie HR) robi różnicę dowodową: przy incydencie firma wykazuje, że pracownik zasady znał. Przy okazji szkolenia z art. 4 zbierz oba potwierdzenia naraz.

Jak często aktualizować politykę AI?

Minimum raz w roku i po każdej istotnej zmianie: nowe narzędzie w firmie, nowy obowiązek prawny (art. 50 AI Act obowiązuje od 2.08.2026, kolejny duży termin to systemy wysokiego ryzyka od 2.12.2027), incydent, który obnażył lukę. Polityka z datą sprzed dwóch lat mówi kontrolerowi więcej niż jej brak.

Czy polityka AI obejmuje też podwykonawców i freelancerów?

Powinna. Jeśli ktoś pracuje na danych Twojej firmy lub klientów, zasady danych i nadzoru dotyczą go tak samo - zapis o AI dopisz do umów o współpracy. Bez tego rejestr narzędzi kończy się na etacie, a ryzyko nie.