Polityka korzystania z AI w firmie: wzór na 1 stronę

Pracownik wkleja do ChatGPT maila od klienta, bo chce szybko napisać odpowiedź. Innego dnia wrzuca tabelę z cenami i marżami, żeby ją „uporządkować”. Robi to w dobrej wierze, ale firma nie wie, co poszło do zewnętrznego narzędzia.

W tej poradzie dostajesz zasady, które da się zmieścić na jednej stronie: co wolno wklejać, czego nie, jak rozmawiać z zespołem i wzór polityki do skopiowania. Nie jest to porada prawna, a opisuję stan na 28.10.2026. Przy wątpliwościach skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Po co mała firma potrzebuje polityki AI

Bez zasad każdy pracownik decyduje sam. Jeden używa płatnego konta firmowego, drugi darmowego konta prywatnego, trzeci wtyczki, o której nikt nie słyszał. Trudno wtedy powiedzieć, gdzie trafiły dane klientów.

Dokument ma trzy zadania:

• chroni dane klientów, pracowników i samej firmy,
• daje ludziom jasność, co mogą robić bez pytania,
• pokazuje klientom i kontrahentom, że panujesz nad tematem, czego część z nich może wymagać w umowach.

Polityka nie ma być regulaminem na 20 stron. Jedna strona, którą ktoś naprawdę przeczyta, działa lepiej niż gruba teczka w szufladzie.

Co mówi prawo: AI Act i RODO

Art. 4 AI Act (rozporządzenie (UE) 2024/1689) dotyczy kompetencji w zakresie AI. Stosuje się go od 2.02.2025 i obejmuje nie tylko dostawców systemów AI, ale też podmioty, które używają ich w pracy, czyli także małą firmę, w której zespół pisze oferty w ChatGPT. Pakiet Digital Omnibus (rozporządzenie (UE) 2026/1744, obowiązuje od 27.07.2026) złagodził ten przepis: firma nie musi już „zapewnić” określonego poziomu wiedzy, ale ma podejmować działania wspierające kompetencje w zakresie AI swoich pracowników i innych osób, które obsługują AI w jej imieniu. Nie jest to więc wymóg „posiadania polityki”, ale szkolenie i jasne zasady pomagają go spełnić. Komisja Europejska w pytaniach i odpowiedziach o kompetencjach AI wyjaśnia, że certyfikat nie jest potrzebny, a firma może prowadzić wewnętrzny zapis szkoleń.

Drugi filar to RODO. Dane osobowe to także imię i nazwisko z adresem, numer telefonu, e-mail czy treść maila od konkretnej osoby. Wklejenie ich do zewnętrznego narzędzia jest przetwarzaniem danych. Potrzebujesz więc podstawy, celu i zwykle umowy powierzenia z dostawcą. Wskazówki znajdziesz na stronie uodo.gov.pl.

Trzeci element to tajemnica firmy: cenniki, marże, umowy, kod, plany. Ustawa o zwalczaniu nieuczciwej konkurencji chroni tajemnicę przedsiębiorstwa tylko wtedy, gdy firma z należytą starannością dba o jej poufność (art. 11 ust. 2). Pisemne zasady korzystania z AI są jednym z takich działań, a danych, które już wyszły poza firmę, zwykle nie da się odzyskać.

Darmowy czy firmowy plan: gdzie jest różnica

Najważniejsze pytanie brzmi: czy dostawca używa tego, co wklejasz, do trenowania modeli. Odpowiedź zależy od planu i ustawień, a dostawcy je zmieniają. Dlatego sprawdź aktualne warunki na dzień, w którym wprowadzasz politykę.

Ogólny schemat jest taki:

To uogólnienie, nie gwarancja. Przed decyzją przeczytaj warunki wybranego narzędzia. Porównanie abonamentów opisałem w poradzie ChatGPT czy Gemini dla firmy.

Co wolno, a czego nie: trzy kolory

Najprościej podzielić dane na trzy grupy. Pracownik zapamięta kolory szybciej niż paragrafy.

Zielone: można wklejać

• teksty publiczne, np. opisy ze strony firmy,
• pytania ogólne („jak napisać ofertę na montaż okien”),
• własne szkice tekstów bez danych klientów,
• dane zanonimizowane, z których nie da się rozpoznać osoby ani firmy.

Żółte: tylko w planie firmowym i po zanonimizowaniu

• wewnętrzne procedury i instrukcje,
• fragmenty umów z usuniętymi nazwami stron,
• anonimowe zestawienia sprzedaży,
• treść maili po zamianie danych na oznaczenia typu „Klient A”.

Czerwone: nie wklejamy nigdy

• dane osobowe klientów i pracowników (imię i nazwisko, adres, telefon, PESEL, e-mail),
• dane zdrowotne i inne szczególne kategorie danych,
• hasła, klucze API, dostępy do systemów,
• cenniki hurtowe, marże, umowy z kontrahentami objęte poufnością,
• kod i dokumentacja, której nie wolno ujawniać,
• dane kart, numery kont.

Test na jedno pytanie: czy byłoby mi OK, gdyby to, co wklejam, trafiło na ekran konkurenta albo klienta? Jeśli nie, nie wklejam.

Jak anonimizować tekst w 2 minuty

Większość zadań da się wykonać bez prawdziwych danych. Zamień je na oznaczenia:

1. Imiona i nazwiska na „Klient A”, „Klientka B”.
2. Nazwy firm na „Firma X”.
3. Adresy, telefony i e-maile usuń całkiem.
4. Kwoty zaokrąglij albo zastąp przykładowymi.
5. Przeczytaj tekst jeszcze raz, szukając szczegółów, po których można kogoś rozpoznać (rzadkie stanowisko, nietypowa realizacja).

Dopiero tak przygotowany tekst wklej do narzędzia. Odpowiedź uzupełnij prawdziwymi danymi już poza nim.

Pozostałe zasady: sprawdzaj, oznaczaj, pytaj

Polityka AI to nie tylko dane wejściowe. Dopisz kilka zasad o tym, co wychodzi:

• Człowiek sprawdza wynik. AI myli się pewnym tonem: wymyśla liczby, przepisy i nazwy firm. Nic nie idzie do klienta bez przeczytania.
• Nie podajemy AI jako źródła faktów. Ceny, terminy i wymogi prawne weryfikujemy w oficjalnych źródłach.
• Oznaczamy tam, gdzie trzeba. Od 2.08.2026 art. 50 AI Act wymaga, by chatbot na stronie mówił, że jest AI, a część treści z AI, na przykład deepfake’i, trzeba oznaczać. Szczegóły w poradzie o chatbocie AI a AI Act.
• Każdy wie, do kogo pytać. Wskaż jedną osobę, która rozstrzyga wątpliwości.
• Wpadki zgłaszamy bez kary za szczerość. Jeśli ktoś wklei coś, czego nie powinien, ma to powiedzieć od razu.

Wzór polityki AI na 1 stronę

Poniżej szkic do skopiowania. Dostosuj nazwy narzędzi i osobę kontaktową.

Polityka korzystania z AI w firmie [nazwa] Obowiązuje od [data]. Odpowiedzialny za zasady: [imię i nazwisko, kontakt].

1. Dozwolone narzędzia: [np. ChatGPT Business na kontach firmowych]. Innych narzędzi AI do pracy nie używamy bez zgody.
2. Konta: do pracy używamy tylko kont firmowych, nie prywatnych.
3. Zielone dane (publiczne, ogólne pytania) wolno wklejać.
4. Żółte dane (procedury, zanonimizowane teksty) wklejamy po usunięciu danych osobowych i nazw.
5. Czerwonych danych nie wklejamy nigdy: dane osobowe, zdrowotne, hasła, klucze, umowy i cenniki objęte poufnością.
6. Sprawdzamy wynik. Nic z AI nie wychodzi do klienta bez przeczytania przez człowieka.
7. Oznaczamy treści i chatboty z AI tam, gdzie wymaga tego prawo.
8. Wątpliwości i wpadki zgłaszamy od razu do [osoba]. Nikt nie jest karany za szczere zgłoszenie.
9. Przegląd zasad robimy co 6 miesięcy i po zmianie narzędzi.

Jak wdrożyć politykę w tydzień

1. Dzień 1: zrób listę narzędzi AI, z których już korzysta zespół. Zapytaj wprost, bez oceniania.
2. Dzień 2: sprawdź ustawienia prywatności i warunki wybranych narzędzi, w tym opcję trenowania na danych.
3. Dzień 3: wybierz narzędzia dozwolone i załóż konta firmowe.
4. Dzień 4: dopasuj wzór powyżej do swojej firmy.
5. Dzień 5: poprowadź 30-minutowe spotkanie z przykładami z Waszej pracy i zapisz, kto je odbył. Taka lista pomaga wykazać dbałość o kompetencje zespołu.

Jeśli chcesz pójść dalej, pomagam w wdrożeniu AI w firmie, a dane osobowe Twoich klientów mogę przenieść do osobnej bazy na serwerze w Polsce lub UE.

Podsumowanie

Polityka AI nie musi być długa. Wystarczy lista dozwolonych narzędzi, podział danych na zielone, żółte i czerwone oraz osoba, do której można zadać pytanie. Wzór powyżej możesz wdrożyć w tydzień.

Jeśli chcesz, żebym przeanalizował, gdzie AI naprawdę pomoże w Twojej firmie, albo dostosował czat i materiały do wymogów AI Act, napisz do mnie. Odpowiadam w 24 godziny, a nowi klienci dostają 20% rabatu na pierwsze zlecenie.