Prawdopodobnie nie masz spisanej polityki AI. A jeśli masz, prawdopodobnie nikt jej nie czytał od dnia podpisania. To nie jest zarzut, to statystyka: tylko 27% polskich firm ma formalne zasady korzystania z narzędzi AI, mimo że AI już dawno pracuje w Twojej organizacji.
Firmy przespały moment, w którym to przestało być opcjonalne
Z raportu “Cyberportret polskiego biznesu 2026” (ESET i DAGMA, 1026 respondentów) wynika, że 62% pracowników korzysta z AI w pracy, a 10% otwarcie przyznaje, że udostępnia narzędziom AI wrażliwe dane firmowe. Jednocześnie 38% firm zainwestowało już w korporacyjne licencje na narzędzia AI, czyli świadomie wpuściło AI do firmy, bez adekwatnych zasad użycia.
To jest dokładnie ta luka, o której piszę na tym blogu: firmy boją się ryzyk AI, ale rzadko przekładają ten strach na konkret. Polityka AI to najtańszy sposób, żeby to zmienić, o ile jest napisana tak, żeby ktokolwiek ją przeczytał.
AI Act już wymaga kompetencji, nie tylko dobrej woli
Od 2 lutego 2025 obowiązuje artykuł 4 unijnego AI Act: obowiązek zapewnienia pracownikom “wystarczającego poziomu kompetencji w zakresie AI”, niezależnie od wielkości firmy czy branży. To jeden z niewielu przepisów AI Act, który dotyczy dosłownie każdego podmiotu używającego systemów AI, nie tylko dostawców czy systemów wysokiego ryzyka.
Krajowe organy nadzoru zaczynają egzekwować te przepisy 2 sierpnia 2026, a kary za naruszenie większości obowiązków AI Act, w tym artykułu 4, sięgają 15 mln EUR lub 3% globalnego obrotu rocznego. Bez spisanej polityki trudno udowodnić, że pracownicy w ogóle dostali te kompetencje, bo nie ma czego pokazać kontrolerowi poza ustnym zapewnieniem “wszyscy wiedzą, jak z tego korzystać”.
Polityka AI nie jest więc już tylko dobrą praktyką bezpieczeństwa. Jest najprostszym dowodem zgodności, jaki firma może mieć w jednym pliku.
Dlaczego większość polityk AI ląduje w szufladzie
Typowa polityka AI powstaje w dziale prawnym, w oderwaniu od tego, co ludzie faktycznie robią z AI na co dzień. Efekt to dokument napisany językiem umów, który nikt nie rozumie bez drugiego czytania, a tym bardziej nie pamięta w momencie, gdy trzeba podjąć decyzję: wkleić dane klienta do czatu czy nie.
Skuteczna polityka AI działa odwrotnie: zaczyna od realnych sytuacji, nie od paragrafów. Cztery elementy, które muszą się w niej znaleźć, żeby cokolwiek zmieniła:
| Element | Pytanie, na które odpowiada | Bez tego dzieje się |
|---|---|---|
| Klasyfikacja danych | Co wolno wysłać do AI bez pytania, co po anonimizacji, co nigdy | Każdy pracownik decyduje sam, w biegu |
| Dozwolone narzędzia i konta | Z jakich narzędzi wolno korzystać i na jakim koncie (firmowym, nie prywatnym) | Praca ląduje na darmowych, prywatnych kontach poza kontrolą firmy |
| Odpowiedzialność | Kto podpisuje się pod wynikiem z AI, zanim trafi do klienta czy do decyzji | Błędy modelu idą dalej bez weryfikacji człowieka |
| Ścieżka zgłaszania | Jak pracownik zgłasza chęć użycia nowego narzędzia AI | Ludzie przestają pytać i wracają do shadow AI |
Reszta, czyli szkolenia, harmonogram przeglądów, procedura incydentu, jest ważna, ale wtórna. Bez tych czterech punktów żaden dodatek nie pomoże.
Jedna strona bije dziesięć
Najczęstszy błąd nie leży w treści, tylko w formie. Polityka AI na dziesięciu stronach, pisana pod audyt, a nie pod czytelnika, ma dokładnie taką skuteczność jak brak polityki: nikt jej nie zna, więc nikt jej nie stosuje.
Działa odwrotna zasada: jedna strona, prosty język, konkretne przykłady z pracy w Twojej firmie zamiast abstrakcyjnych kategorii prawnych. To ten sam mechanizm, który opisuję przy governance przez architekturę w kontekście shadow AI: najskuteczniejsza reguła nie jest zapisana w PDF-ie, którego nikt nie czyta, tylko wbudowana w to, jak ludzie faktycznie pracują.
Tam, gdzie to możliwe, warto iść o krok dalej i egzekwować politykę technicznie, a nie tylko na papierze. Zasadę “dane osobowe nie idą do AI bez anonimizacji” najłatwiej wymusić narzędziem, które to robi automatycznie, zamiast liczyć na to, że każdy pracownik pamięta o tym kroku za każdym razem.
Od czego zacząć
Nie od zamówienia gotowego wzoru u prawnika. Od trzech kroków, które można zrobić w tydzień:
- Spisz jedną stronę. Cztery elementy z tabeli wyżej, prostym językiem, z przykładami z Twojej branży. Lepsza gotowa reguła na jednej stronie niż idealny dokument, który wciąż piszesz za miesiąc.
- Przetestuj ją na trzech osobach. Daj przeczytać komuś spoza działu prawnego. Jeśli nie umie powtórzyć zasady własnymi słowami po jednym czytaniu, polityka jest za długa albo za niejasna.
- Wyznacz właściciela i termin przeglądu. Jedna osoba odpowiada za aktualność dokumentu, przegląd raz na kwartał w kalendarzu, nie “kiedyś się tym zajmiemy”.
Polityka AI, którą ktoś faktycznie zna i stosuje, chroni firmę bardziej niż najlepiej napisany dokument, który leży w folderze compliance. To jest zresztą sedno tego, o czym piszę na Sovereign AI Lab: bloga o suwerennym wdrażaniu AI w firmach, gdzie governance, shadow AI i agenty z pamięcią i kontekstem firmy działają dzięki architekturze i prostym zasadom, nie dzięki grubości regulaminu.
Chcesz, żeby ktoś z zewnątrz spojrzał na Twoją politykę AI (albo pomógł ją napisać od zera)? Napisz do mnie, zrobimy krótki przegląd.
Najczęstsze pytania
Czy firma musi mieć spisaną politykę AI?
Wprost tego nie nakazuje żaden przepis, ale AI Act w artykule 4 wymaga od lutego 2025 zapewnienia pracownikom odpowiednich kompetencji AI, a to trudno udowodnić bez spisanych zasad. W praktyce polityka AI to najtańszy dowód zgodności i jedyny sposób, żeby 62% pracowników używających AI w pracy robiło to według wspólnych reguł, a nie każdy po swojemu.
Co musi zawierać polityka AI w firmie?
Minimum to cztery elementy: klasyfikacja danych (co wolno wysyłać do AI, co po anonimizacji, co nigdy), lista dozwolonych narzędzi i kont, jedna zasada odpowiedzialności (kto odpowiada za wynik z AI) oraz prosta ścieżka zgłaszania nowych narzędzi. Reszta to dodatki, nie fundament.
Czy polityka AI musi być zgodna z AI Act i RODO jednocześnie?
Tak, to dwa różne reżimy z tym samym adresem. RODO reguluje dane osobowe wklejane do promptów, AI Act reguluje sam sposób używania systemów AI, w tym obowiązek kompetencji z artykułu 4. Dobrze napisana polityka adresuje oba naraz, bo w praktyce nakładają się na te same procesy.
Ile powinna mieć stron polityka AI?
Jedna. Dziesięciostronicowy regulamin, którego nikt nie otworzy, chroni firmę na papierze i w niczym więcej. Krótka, konkretna zasada, którą pracownik faktycznie zna, działa lepiej niż długi dokument prawniczy zamknięty w folderze compliance.
Kto powinien napisać politykę AI w firmie?
Nie sam dział prawny czy IT osobno, tylko ktoś, kto rozumie zarówno realne ryzyka prawne, jak i to, do czego ludzie faktycznie używają AI na co dzień. Polityka pisana wyłącznie od strony prawnej zwykle ląduje w szufladzie, bo nie odpowiada na pytania, które pracownicy realnie mają.
Jak często aktualizować politykę AI?
Nie rzadziej niż raz na kwartał, bo narzędzia i przepisy zmieniają się szybciej niż większość firmowych procedur. AI Act wchodzi etapami do 2027 roku, więc polityka pisana raz i odkładana na półkę traci aktualność szybciej, niż się wydaje.