Polityka korzystania z AI w firmie: co w niej zapisać i jak ją wdrożyć

Co reguluje ten wzór i skąd wynika kontekst prawny

Reguły poniżej dotyczą codziennego korzystania z narzędzi przez pracowników i wykonawców. Nie ustalają, czy konkretne zastosowanie podlega dodatkowym obowiązkom. Wzór nie zastępuje umów, zasad bezpieczeństwa informacji ani oceny prawnej.

Art. 4 AI Act dotyczy działań wspierających umiejętność korzystania z systemów przez osoby działające na rzecz dostawcy lub podmiotu stosującego. Komisja wyjaśnia, że sposób działania zależy od narzędzia, ról, doświadczenia ludzi i ryzyka; jedna obowiązkowa forma szkolenia nie została narzucona. Źródło: pytania i odpowiedzi Komisji o art. 4

Art. 50 zawiera odrębne obowiązki przejrzystości dla określonych systemów i treści. Nie oznacza to automatycznie konieczności oznaczania każdego tekstu wspieranego przez asystenta. Sprawdź źródło: art. 50 w serwisie Komisji Europejskiej

Wzór 1. Cel, zakres i właściciel

[Nazwa firmy] stosuje niniejsze zasady przy używaniu narzędzi generatywnych w pracy. Dokument obowiązuje [zespoły i wykonawców objętych zasadami] od [data]. Za aktualność dokumentu i rejestru narzędzi odpowiada [imię i funkcja]. Pytania oraz nowe zastosowania zgłasza się do [kontakt].

Przed publikacją dokumentu wpisz osoby, które faktycznie mogą nadawać dostęp i zatwierdzać nowe narzędzia. Pracownik powinien wiedzieć, do kogo zwrócić się w razie wątpliwości bez czekania na decyzję właściciela firmy.

Wzór 2. Rejestr narzędzi i kont

Do pracy wolno używać wyłącznie narzędzi z rejestru prowadzonego pod adresem [miejsce rejestru]. Dla każdego wpisu podaj: nazwę narzędzia, dozwolone zadania, właściciela, rodzaj konta, dopuszczone dane, dostawcę, dostępne ustawienia prywatności, datę przeglądu i osobę akceptującą. Nowe narzędzie lub połączenie z firmowym systemem wymaga zgody [rola].

Konta prywatne nie służą do pracy na materiałach firmowych. Jeśli zespół już z nich korzystał, najpierw spisz zastosowania i sprawdź, jakie dane zostały przekazane. Dostępy wydawaj tylko osobom, które potrzebują ich do określonego zadania.

Wzór 3. Dane, których nie wklejamy

Do narzędzi wolno wprowadzać [lista dozwolonych kategorii i przykładów]. Nie wprowadzamy haseł, kluczy, umów objętych poufnością, danych klientów i pracowników ani innych danych osobowych bez odrębnie zatwierdzonego sposobu przetwarzania. Dane wejściowe ograniczamy do niezbędnego zakresu; w przykładach do prób usuwamy identyfikatory i poufne szczegóły.

Zasady firmy nie zmieniają obowiązków dotyczących przetwarzania danych osobowych. Przed wykorzystaniem takich danych trzeba ustalić cel, podstawę i warunki udostępnienia dostawcy. Informacje Komisji o prawach osób na gruncie RODO: ochrona danych osobowych

Wzór 4. Kontrola wyników i odpowiedzialność

Osoba przygotowująca materiał sprawdza fakty w źródłach, daty, liczby, cytaty, prawa do użytych materiałów i zgodność z zasadami firmy. Wynik dotyczący oferty, klienta, pracownika albo pieniędzy zatwierdza [rola] przed wysłaniem lub publikacją. Gdy brakuje podstaw do odpowiedzi, zatrzymujemy zadanie i przekazujemy je człowiekowi.

W rejestrze decyzji zapisujemy [co i gdzie zapisujemy: zastosowanie, wynik kontroli, zatwierdzający, data]. Nie kopiujemy całych rozmów ani zbędnych danych osobowych. Ustal, kto odpowiada za korektę opublikowanego błędu.

Wzór 5. Prawa do treści i informowanie odbiorców

Przed publikacją [rola] sprawdza pochodzenie materiałów wejściowych, warunki licencji i potrzebę ujawnienia użycia systemu. Przy wątpliwości co do prawa do zdjęcia, głosu albo cudzego tekstu wstrzymuje publikację i zasięga właściwej porady. Własne zasady oznaczania firmy zapisujemy w [miejsce procedury].

Obowiązki z art. 50 zależą od rodzaju systemu, treści i roli firmy. Przykładowo odrębne zasady dotyczą deepfake'ów i tekstu o sprawach interesu publicznego; dla niektórych tekstów istnieje wyjątek związany z rzeczywistą kontrolą redakcyjną. Wyjaśnienia Komisji: FAQ o przejrzystości z art. 50

Praktyczny sposób oceny publikacji opisuje nasz poradnik: oznaczanie treści AI zgodnie z art. 50

Wzór 6. Incydent, zgłoszenie i przegląd

Jeśli ktoś wyśle dane do niedozwolonego narzędzia, otrzyma błędną odpowiedź z konsekwencjami albo wykryje nieautoryzowany dostęp, natychmiast powiadamia [kontakt i kanał]. Właściciel incydentu [rola] zabezpiecza informacje, wyłącza dostęp w razie potrzeby, ocenia skutki i uruchamia firmową procedurę bezpieczeństwa lub ochrony danych.

Właściciel dokumentu sprawdza rejestr narzędzi po zmianie dostawcy, danych lub procesu oraz przegląda całą politykę co [zalecane: 6 miesięcy]. To częstotliwość do ustalenia przez firmę. Zmiany zapisuje wraz z datą i osobą zatwierdzającą.

Wdrożenie, próba i podpis

Przejdź z zespołem przez 10 rzeczywistych, odpowiednio przygotowanych zadań: zwykłe, niepełne i takie, w których trzeba odmówić użycia narzędzia. Sprawdź, czy każdy potrafi znaleźć rejestr, rozpoznać zabronione dane, zweryfikować wynik i zgłosić błąd. Popraw niezrozumiałe zapisy, a dopiero potem nadaj dostępy.

Potwierdzenie przyjęcia zasad: [nazwa firmy], [wersja dokumentu], [data obowiązywania], [właściciel dokumentu], [osoba zatwierdzająca i podpis], [miejsce potwierdzenia zapoznania się przez zespół]. Zachowaj historię kolejnych wersji. Jeśli potrzebujesz uporządkować rzeczywiste użycie narzędzi lub wdrożyć zasady w procesie, możesz skorzystać z przeglądu lub wsparcia wdrożeniowego.

Zakres pomocy przy pierwszym procesie: wdrożenie AI w małej i średniej firmie