Polityka AI w małej firmie: proste zasady, AI Act i bezpieczna praca zespołu

W 2025 roku z technologii AI korzystało 20 procent przedsiębiorstw w UE zatrudniających co najmniej 10 osób, ale w Polsce tylko 8,4 procent. Jednocześnie nieformalne korzystanie z publicznych asystentów może nie być widoczne w statystykach ani w narzędziach firmowych.

Artykuł 4 AI Act dotyczący odpowiedniego poziomu kompetencji AI obowiązuje od 2 lutego 2025 roku, a nadzór i egzekwowanie przepisów rozpoczynają się w sierpniu 2026 roku. Nie oznacza to, że każda firma potrzebuje rozbudowanego programu compliance. Potrzebuje jednak zasad i szkolenia proporcjonalnych do sposobu, w jaki używa AI.

Najpierw trzeba dowiedzieć się, gdzie AI już działa. Krótka ankieta lub warsztat powinny objąć narzędzia, rodzaj danych, cel, osoby korzystające i to, czy wynik trafia bezpośrednio do klienta albo wpływa na decyzję o człowieku.

Rejestr nie służy do karania pracowników. Ma odróżnić bezpieczny szkic wpisu od sytuacji, w której model analizuje dane pracownicze, finansowe, medyczne albo poufne informacje klienta.

Polityka, której nikt nie rozumie, nie zmienia zachowania. Dla większości zastosowań biurowych wystarczą cztery czytelne zasady: używaj zatwierdzonych narzędzi, nie wprowadzaj danych zakazanych, sprawdzaj wynik przed użyciem i nie oddawaj modelowi decyzji, za którą odpowiada człowiek.

Lista danych zakazanych powinna być konkretna. Zamiast ogólnego „nie wklejaj danych wrażliwych” lepiej wymienić dane klientów, hasła i klucze, nieopublikowane wyniki finansowe, dokumentację pracowniczą oraz informacje objęte umową poufności.

Szkic wewnętrznej agendy ma inne ryzyko niż odpowiedź prawna, decyzja rekrutacyjna czy automatycznie wysłana oferta. Dlatego każdy przypadek warto przypisać do prostego poziomu: niski, podwyższony lub niedopuszczalny bez dodatkowej analizy.

Im większy wpływ na klienta, pracownika, pieniądze albo prawa osoby, tym silniejsza powinna być kontrola człowieka, dokumentacja źródeł i możliwość odtworzenia decyzji. W części procesów najlepszą decyzją będzie użycie zwykłych reguł zamiast AI.

Szkolenie powinno odpowiadać roli pracownika i używanym narzędziom. Osoba tworząca treści musi rozumieć błędy i prawa autorskie, administracja — poufność danych, a właściciel procesu — odpowiedzialność, monitoring i procedurę incydentu.

Warto zachować wersję polityki, listę uczestników szkolenia i przykłady omówionych przypadków. Taka dokumentacja pomaga pokazać, że firma podjęła proporcjonalne działania, ale przede wszystkim daje zespołowi jasny sposób pracy.

W pierwszym tygodniu zbierz przypadki użycia. W drugim wybierz zatwierdzone narzędzia i ustawienia. W trzecim opisz dwustronicową politykę oraz ścieżkę zgłaszania wątpliwości. W czwartym przeprowadź krótkie szkolenie na prawdziwych przykładach z firmy.

Politykę trzeba aktualizować po dodaniu nowego narzędzia, zmianie procesu albo incydencie. Nie jest dokumentem prawnym odłożonym do folderu, tylko instrukcją operacyjną dla zespołu.