Polityka AI w firmie: po co ją mieć i co w niej zawrzeć

Polityka AI w firmie to wewnętrzny dokument, który ustala, z jakich narzędzi AI firma korzysta, jakich danych nie wolno do nich wprowadzać i kto odpowiada za wyniki. Sam dokument nie jest wprost nakazany przepisami - ale obowiązki, które porządkuje, już tak: kompetencje AI (art. 4 AI Act) obowiązują od lutego 2025, przejrzystość (art. 50) wchodzi 2 sierpnia 2026, a RODO działa przez cały czas.

Skalę problemu pokazuje Cyberportret polskiego biznesu 2026 (badanie ESET i DAGMA, próba 1026 osób): formalne zasady korzystania z AI ma 27% firm. Pozostałe trzy czwarte działa bez żadnych reguł. W tym samym czasie z AI pracuje już 62% zatrudnionych, a co trzeci deklaruje, że obszedłby firmowe blokady.

Ta różnica ma nazwę: shadow AI. I to właśnie ona, nie kary z Brukseli, jest pierwszym powodem, żeby politykę AI spisać.

Czy polityka AI jest obowiązkowa?

Nie ma przepisu, który nakazuje firmie posiadanie dokumentu „polityka AI". Obowiązkowe są za to konkretne rzeczy, które ten dokument porządkuje: zapewnienie kompetencji AI pracownikom (art. 4 AI Act, obowiązuje od 2 lutego 2025), obowiązki przejrzystości (art. 50, od 2 sierpnia 2026) i zasady RODO przy każdym przetwarzaniu danych osobowych przez AI.

To rozróżnienie ma praktyczne znaczenie. Częsty przekaz brzmi: „polityka AI to wymóg prawny". Nieściśle. Wymogiem prawnym są obowiązki - polityka jest narzędziem, którym firma wykazuje, że je spełnia. Przy kontroli nikt nie zapyta „czy macie dokument o nazwie polityka AI", tylko „jak zapewniliście kompetencje pracowników i skąd wiecie, gdzie trafiają dane". Bez spisanych zasad na te pytania nie ma dobrej odpowiedzi.

Same obowiązki z AI Act - kogo dotyczą, w jakich terminach, z jakimi karami - rozebraliśmy osobno w przewodniku po AI Act dla firm. Ten tekst zajmuje się dokumentem, który je spina.

Po co polityka AI, skoro przepisy jej wprost nie wymagają?

Bo pracownicy już używają AI - z polityką albo bez niej. Według Cyberportretu 2026 35% pracowników obeszłoby firmowe blokady AI, a co dziesiąty przyznaje, że przekazywał wrażliwe dane firmowe otwartym modelom. Globalnie 78% użytkowników AI przynosi do pracy własne narzędzia (Microsoft Work Trend Index).

Zakaz nie działa - to sprawdzili najwięksi. Samsung w marcu 2023 pozwolił działowi półprzewodników korzystać z ChatGPT. W trzy tygodnie doszło do co najmniej trzech wycieków: inżynier wkleił kod źródłowy wewnętrznego programu, drugi pracownik kod do diagnostyki sprzętu, ktoś inny nagranie z poufnego spotkania, żeby AI zrobiło notatki. Samsung odpowiedział całkowitym zakazem generatywnej AI - a potem zbudował własne modele, żeby w ogóle móc do niej wrócić. Zakaz okazał się nie strategią, tylko kosztownym objazdem, na który mało którą firmę w Polsce stać.

Polityka AI to trzecia droga między „każdy robi, co chce" a „zakazujemy wszystkiego". Ustala, gdzie AI pomaga, a gdzie zaczyna się ryzyko - i dzięki temu firma może korzystać z narzędzi śmielej, nie ostrożniej.

Co powinna zawierać polityka AI?

Osiem sekcji, które pokrywają zarówno wymogi prawne, jak i codzienną praktykę: rejestr narzędzi, listę dozwolonych i zakazanych zastosowań, zasady danych, nadzór człowieka, oznaczanie treści, szkolenia, zgłaszanie incydentów i odpowiedzialność.

Konkretnie - razem z tym, który przepis dana sekcja obsługuje:

Dwie uwagi z praktyki. Po pierwsze: rejestr narzędzi (sekcja 1) zrób najpierw - bez wiedzy, czego ludzie faktycznie używają, reszta polityki będzie fikcją. Po drugie: przy oznaczaniu treści (sekcja 5) nie przesadzaj w drugą stronę. Art. 50 nie każe podpisywać każdego maila napisanego z pomocą AI - obowiązek dotyczy m.in. chatbotów rozmawiających z klientami i treści, które ktoś mógłby wziąć za autentyczne. Opis produktu czy post marketingowy napisany z ChatGPT etykiety nie wymaga.

Do zasad danych (sekcja 3) przyda się jeszcze jedna rzecz: sprawdziliśmy u źródła, gdzie trafiają dane firmy, gdy korzystasz z AI - które konta trenują na wklejanych treściach i jak to wyłączyć.

Ile kosztuje przygotowanie polityki AI?

Od zera do wyceny indywidualnej kancelarii - zależnie od drogi. Gotowe wzorce kancelarii kosztują około 1000 zł netto, opracowanie szyte na miarę przez kancelarię to wycena indywidualna - zwykle wielokrotność ceny wzorca, a samodzielne spisanie zasad kosztuje jedno popołudnie właściciela.

Dla małej firmy sensowna ścieżka wygląda tak: zacznij od rejestru narzędzi i krótkiej listy zasad danych (to jedno popołudnie, koszt zero), a dopiero potem zdecyduj, czy potrzebujesz pełnego dokumentu. Gotowy wzorzec za ~1000 zł ma sens, jeśli ktoś w firmie go przeczyta i dostosuje - kupiony i wrzucony do szuflady nie wykaże niczego przy kontroli. Kancelaria ma sens przy danych wrażliwych (zdrowie, finanse, HR) albo gdy AI dotyka decyzji o ludziach.

Jest i czwarta droga: połączyć politykę z wdrożeniem. My robimy to w ramach usługi AI Trust Layer - zamiast dokumentu „na półkę" firma dostaje zasady spisane pod narzędzia, których naprawdę używa, razem ze szkoleniem zespołu (przy okazji zamykając art. 4).

Co grozi firmie bez polityki AI?

Za brak samego dokumentu - nic, bo taki obowiązek nie istnieje. Realne ryzyko leży w obowiązkach, których bez polityki trudno dopilnować: naruszenie przejrzystości z art. 50 AI Act grozi karą do 15 mln EUR lub 3% obrotu, naruszenie RODO to osobny reżim do 20 mln EUR lub 4%, a wyciek danych przez ChatGPT potrafi kosztować więcej niż obie kary razem.

Pełne progi kar AI Act - razem z tym, dlaczego słynne 35 mln EUR zwykłej firmy praktycznie nie dotyczy i jak liczy się karę dla MŚP - rozpisaliśmy w artykule o AI Act dla firm. Tu jedno zdanie, które wystarczy do decyzji: kary wiszą nad obowiązkami (przejrzystość, dane), nie nad brakiem dokumentu - ale to właśnie dokument najłatwiej dowodzi, że obowiązków pilnujesz.

Perspektywa polityki dodaje jeszcze jeden koszt, o którym przepisy milczą: incydent bez procedury. Firma bez spisanych zasad dowiaduje się o wycieku ostatnia, reaguje chaotycznie i nie umie wykazać należytej staranności - a na zgłoszenie naruszenia danych osobowych do UODO firma ma 72 godziny od wykrycia.

Od czego zacząć - trzy kroki na pierwszy tydzień

Krok 1: spisz rejestr - zapytaj zespół, z jakich narzędzi AI korzysta naprawdę (anonimowo - część zespołu robi to po cichu). Krok 2: ustal zasady danych - jedna strona o tym, czego nie wolno wklejać. Krok 3: spisz z tego pierwszą wersję polityki i ogłoś ją zespołowi - krótka i wdrożona bije rozbudowaną w szufladzie.

Kolejność nie jest przypadkowa. Rejestr pokazuje skalę (zwykle zaskakuje), zasady danych zamykają najdotkliwsze ryzyko od ręki, a ogłoszenie zamienia dokument w praktykę. Pozostałe sekcje z tabeli - nadzór, incydenty, ścieżka akceptacji nowych narzędzi - dobuduj w kolejnym tygodniu na bazie tego, co wyszło z rejestru. Szkolenia zespołu (art. 4) nie pomijaj, ale to osobny proces - opisaliśmy go przy obowiązkach z AI Act, a jak takie szkolenie wygląda w praktyce, pokazujemy w tekście o szkoleniu AI dla firmy.

Jeśli wolisz nie robić tego w pojedynkę: w 30Elevate audyt narzędzi AI, polityka pod realne użycie i szkolenie zespołu to jeden proces, nie trzy osobne zlecenia. Odezwij się, pokażemy jak to wygląda.

Najczęstsze pytania

Czy polityka AI jest wymagana prawem?

Nie wprost - żaden przepis nie nakazuje dokumentu o tej nazwie. Obowiązkowe są: kompetencje AI pracowników (art. 4 AI Act, od 2.02.2025), przejrzystość wobec użytkowników (art. 50, od 2.08.2026) i zasady RODO przy danych osobowych. Polityka to najprostszy sposób, żeby te obowiązki udokumentować.

Co to jest shadow AI?

Korzystanie z narzędzi AI przez pracowników bez wiedzy i zgody firmy. Według Cyberportretu 2026 (ESET i DAGMA) 35% pracowników obeszłoby firmowe blokady AI, a globalnie 78% użytkowników AI przynosi do pracy własne narzędzia (Microsoft Work Trend Index). Ryzyko: dane firmowe i klienckie trafiają do narzędzi, których nikt nie ocenił, na prywatnych kontach, bez śladu.

Ile kosztuje polityka AI?

Gotowe wzorce kancelarii - około 1000 zł netto. Opracowanie szyte na miarę przez kancelarię - wycena indywidualna, licz się z kwotą wyraźnie wyższą niż wzorzec. Wersja minimalna (rejestr narzędzi + zasady danych) - zero złotych i jedno popołudnie. Koszt rośnie z wrażliwością danych, nie z wielkością firmy.

Czy pracownicy muszą podpisać politykę AI?

Formalnie wystarczy skuteczne zakomunikowanie - tak jak przy regulaminie pracy zdalnej. W praktyce podpis (albo potwierdzenie w systemie HR) robi różnicę dowodową: przy incydencie firma wykazuje, że pracownik zasady znał. Przy okazji szkolenia z art. 4 zbierz oba potwierdzenia naraz.

Jak często aktualizować politykę AI?

Minimum raz w roku i po każdej istotnej zmianie: nowe narzędzie w firmie, nowy obowiązek prawny (najbliższy: art. 50 od 2.08.2026, potem systemy wysokiego ryzyka od 12.2027), incydent, który obnażył lukę. Polityka z datą sprzed dwóch lat mówi kontrolerowi więcej niż jej brak.

Czy polityka AI obejmuje też podwykonawców i freelancerów?

Powinna. Jeśli ktoś pracuje na danych Twojej firmy lub klientów, zasady danych i nadzoru dotyczą go tak samo - zapis o AI dopisz do umów o współpracy. Bez tego rejestr narzędzi kończy się na etacie, a ryzyko nie.