Polityka AI w firmie w 2026 roku — co powinna zawierać?

Czy każda firma musi mieć politykę AI?

AI Act nie wprowadza ogólnego nakazu posiadania dokumentu o nazwie „polityka AI” przez każdą organizację korzystającą ze sztucznej inteligencji. Obowiązki wynikają z roli firmy, rodzaju systemu, sposobu jego wykorzystania i poziomu ryzyka. Inny zakres dotyczy dostawcy systemu, inny podmiotu stosującego gotowe narzędzie, a jeszcze inny organizacji wykorzystującej system wysokiego ryzyka.

Brak powszechnego obowiązku nie oznacza jednak, że zasady wewnętrzne są zbędne. Polityka może być praktycznym sposobem wdrożenia i udokumentowania działań dotyczących kompetencji personelu, ochrony danych, poufności, weryfikacji wyników, zakupu narzędzi i reagowania na incydenty. Jej treść powinna odpowiadać rzeczywistym zastosowaniom AI, a nie być uniwersalnym regulaminem skopiowanym z internetu.

Najpierw mapa zastosowań, później dokument

Przed napisaniem zasad trzeba ustalić, gdzie AI jest już używana. Część narzędzi może zostać wdrożona oficjalnie przez dział IT, a część pojawić się oddolnie: przy tworzeniu ofert, analizie dokumentów, rekrutacji, obsłudze klienta, programowaniu, tłumaczeniach lub sporządzaniu notatek ze spotkań.

Mapa zastosowań pozwala połączyć narzędzie z konkretnym procesem, danymi i osobą odpowiedzialną. Dzięki temu firma może odróżnić proste wsparcie redakcyjne od zastosowania wpływającego na decyzje dotyczące pracownika, klienta lub dostępu do usługi.

• nazwa narzędzia, dostawca i właściciel biznesowy
• cel użycia oraz osoby korzystające z systemu
• rodzaj wprowadzanych danych i informacji poufnych
• znaczenie wyniku AI dla decyzji lub procesu
• sposób weryfikacji rezultatu i ścieżka zgłaszania problemów

Co obowiązuje we wrześniu 2026 roku

AI Act jest stosowany etapami. Od 2 lutego 2025 r. obowiązują m.in. zakazy określonych praktyk oraz przepisy dotyczące kompetencji w zakresie AI. Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744 dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji personelu i innych osób używających systemów AI w ich imieniu. Przepis nie wymaga zagwarantowania jednej, jednakowej wiedzy u każdej osoby; środki powinny uwzględniać jej doświadczenie, wykształcenie i kontekst użycia systemu.

Od 2 sierpnia 2026 r. stosowana jest większość pozostałych przepisów, w tym obowiązki przejrzystości z art. 50 dla określonych systemów i treści. AI Omnibus przesunął natomiast stosowanie części wymagań dla systemów wysokiego ryzyka: dla zastosowań wymienionych w załączniku III na 2 grudnia 2027 r., a dla systemów związanych z produktami z załącznika I na 2 sierpnia 2028 r.

Przesunięcie terminów nie wyłącza przepisów już obowiązujących ani innych regulacji, w szczególności RODO, prawa pracy, prawa autorskiego, ochrony tajemnicy przedsiębiorstwa i zasad odpowiedzialności. Dlatego harmonogram wdrożenia trzeba ustalać dla konkretnej organizacji i konkretnego systemu.

Siedem elementów dobrej polityki AI

Dokument powinien być krótki na tyle, aby zespół rzeczywiście z niego korzystał, ale wystarczająco konkretny, by prowadził do jednoznacznych decyzji. Zasady warto powiązać z istniejącymi procesami bezpieczeństwa, zakupów, ochrony danych i zarządzania incydentami.

• zakres dozwolonych, ograniczonych i zakazanych zastosowań
• zasady wprowadzania danych osobowych, tajemnic i materiałów klientów
• wymagany poziom kontroli człowieka i weryfikacji odpowiedzi
• proces akceptacji nowych narzędzi i oceny ich dostawców
• reguły oznaczania interakcji z AI oraz treści wygenerowanych lub zmienionych przez AI
• podział odpowiedzialności, szkolenia i dokumentowanie decyzji
• zgłaszanie błędów, naruszeń, niepożądanych wyników i incydentów

Dane, poufność i prawa do rezultatów

Najprostszy zakaz wpisywania „danych poufnych” do publicznych narzędzi bywa zbyt ogólny. Pracownik powinien rozumieć, jakie informacje obejmuje zakaz, czy firma dopuściła konkretne narzędzie, jakie ustawienia ochrony danych zostały wybrane i kiedy materiał trzeba zanonimizować. Jeżeli AI przetwarza dane osobowe, potrzebna jest odrębna ocena na gruncie RODO, obejmująca m.in. cel, podstawę prawną, zakres danych, odbiorców, transfery i okres przechowywania.

Polityka powinna też przypominać, że rezultat wygenerowany przez AI nie daje automatycznie pewności co do praw autorskich ani braku naruszeń praw osób trzecich. Przy kodzie, grafice, tekście lub materiale klienta znaczenie mają warunki dostawcy, źródła wykorzystanych danych, zakres ludzkiego wkładu i postanowienia właściwych umów.

Kompetencje AI to proces, nie jednorazowe szkolenie

Zakres wiedzy powinien odpowiadać roli. Osoba korzystająca z generatora tekstu potrzebuje innych kompetencji niż zespół kupujący system, programista integrujący model, menedżer zatwierdzający jego użycie czy pracownik podejmujący decyzję na podstawie wyniku AI.

Organizacja powinna móc wykazać, jakie środki zastosowała: instrukcje, szkolenia, materiały, testy wiedzy, konsultacje, procedury akceptacji lub okresowe komunikaty. Sama lista obecności nie potwierdzi, że zasady odpowiadały ryzyku i kontekstowi konkretnego zastosowania.

Kiedy sama polityka nie wystarczy

Jeżeli firma rozwija własny system, istotnie modyfikuje cudze rozwiązanie, używa AI w obszarze wysokiego ryzyka albo stosuje narzędzia wpływające na osoby fizyczne, potrzebna może być szersza dokumentacja i dodatkowe procesy. Mogą one obejmować klasyfikację systemu, ocenę ryzyka, nadzór człowieka, zarządzanie dostawcami, ocenę skutków dla ochrony danych lub praw podstawowych, rejestrowanie zdarzeń i monitorowanie działania systemu.

Polityka AI jest wtedy jednym z elementów governance, a nie substytutem analizy prawnej czy technicznej. Najbezpieczniejszy model zaczyna się od inwentaryzacji zastosowań i przypisania odpowiedzialności, a kończy na działającym procesie, który jest regularnie aktualizowany wraz ze zmianą narzędzi i przepisów.