Polityka korzystania z AI w firmie - gotowy szablon i zasady 

Polityka AI w firmie to krótki, spisany dokument określający, jakich narzędzi sztucznej inteligencji wolno używać, jakich danych nie wolno do nich wprowadzać i kto odpowiada za nadzór nad tym wszystkim - nie kilkudziesięciostronicowy elaborat prawniczy, którego nikt nigdy nie przeczyta do końca. Firmy, które w ogóle nie mają takiego dokumentu, nie unikają w ten sposób ryzyka związanego z AI - po prostu nie wiedzą, że pracownicy już teraz podejmują za nie decyzje o tym ryzyku, wklejając dane klientów do przypadkowych narzędzi.

Czym jest polityka AI w firmie i po co ją w ogóle mieć?

To dokument łączący trzy warstwy, które inaczej funkcjonują osobno i nigdy się nie spotykają w praktyce: wymogi AI Act dotyczące klasyfikacji ryzyka systemów AI, ochronę danych osobowych z RODO, oraz codzienną, operacyjną rzeczywistość zespołu, który i tak korzysta z tych narzędzi, niezależnie od tego, czy firma to formalnie uregulowała. Bez spisanej polityki te trzy warstwy nigdy się nie łączą - prawnik zna AI Act, dział IT zna RODO, a pracownik przy komputerze nie zna żadnego z nich i po prostu wkleja to, co akurat ma pod ręką.

Dobra polityka nie jest dokumentem prawnym w pierwszej kolejności - jest dokumentem operacyjnym, zrozumiałym w dwie minuty przez osobę bez wykształcenia prawniczego, napisanym językiem działania: kto decyduje, do kiedy, na jakiej podstawie, co się sprawdza.

Kogo powinna obejmować polityka AI?

Najczęstszy błąd to pisanie polityki wyłącznie z myślą o dziale marketingu czy IT, podczas gdy w praktyce z AI korzysta dziś niemal każdy dział - księgowość przy wstępnej analizie faktur, HR przy screeningu CV, obsługa klienta przy odpowiadaniu na maile. Polityka powinna obejmować każdego pracownika, którego praca wiąże się z tworzeniem treści (tekstu, obrazów, kodu), analizą danych albo kontaktem z klientem, a nie tylko te osoby, które formalnie mają w zakresie obowiązków słowo "AI".

Jakie elementy musi zawierać dobra polityka korzystania z AI?

Kompletna, ale wciąż praktyczna polityka mieści się zwykle na pięciu, sześciu stronach i obejmuje:

1. Cel i zakres obowiązywania - jasne określenie, kogo dokument dotyczy i jakie problemy ma rozwiązywać (bezpieczeństwo danych, zgodność z AI Act i RODO).
2. Katalog dopuszczonych narzędzi - lista z trzema kolumnami: nazwa narzędzia, jakie kategorie danych wolno do niego wprowadzać, kto odpowiada za jego zatwierdzenie. Aktualizowana regularnie, najlepiej co kwartał.
3. Klasyfikację danych firmowych - podział na dane publiczne, wewnętrzne, poufne i tajne, z jasnym wskazaniem, które poziomy mogą trafiać do której kategorii narzędzi.
4. Role i odpowiedzialność - kto pełni funkcję osoby nadzorującej wdrożenia AI, kto zatwierdza nowe narzędzia, kto reaguje na incydenty.
5. Procedurę wprowadzania nowych narzędzi - krótki formularz oceny ryzyka i rozsądny termin odpowiedzi (na przykład kilka dni roboczych dla narzędzi niskiego ryzyka).
6. Procedurę reagowania na incydenty - co robić przy wycieku danych, błędnej decyzji podjętej z udziałem AI albo nadużyciu ze strony pracownika.
7. Program szkoleń - dostosowany do ról: podstawowy dla wszystkich, bardziej zaawansowany dla osób pracujących z danymi na co dzień.
8. Harmonogram przeglądu dokumentu - polityka pisana raz i nigdy nieaktualizowana traci sens szybciej niż narzędzia, które opisuje.

Jak sklasyfikować dane na potrzeby polityki AI?

Praktyczny podział, który sprawdza się w większości firm, to cztery poziomy: dane publiczne (materiały marketingowe, informacje z rejestrów publicznych), dane wewnętrzne (procedury, ogólna dokumentacja firmowa), dane poufne (dane klientów, treści umów, informacje kadrowe) oraz dane tajne (strategie negocjacyjne, materiały dotyczące fuzji i przejęć). Ta sama logika klasyfikacji przekłada się bezpośrednio na pytanie, gdzie fizycznie powinny trafiać dane firmowe - dane poufne i tajne mają prawo trafiać wyłącznie do narzędzi objętych umową powierzenia danych, nigdy do darmowych, publicznych wersji.

Jakie narzędzia dopuścić, a jakie zakazać?

Zamiast abstrakcyjnej listy zasad, polityka powinna zawierać konkretne przykłady - "streszczanie ogólnodostępnego dokumentu" jest dozwolone bez ograniczeń, "wprowadzanie danych osobowych klienta do prywatnego konta ChatGPT" jest zakazane wprost. Ten sam poziom konkretu dotyczy pytania o to, kiedy korzystanie z ChatGPT jest zgodne z RODO, a kiedy nie - polityka powinna po prostu przenieść tę odpowiedź na grunt konkretnych narzędzi używanych w danej firmie, zamiast zostawiać pracownikowi samodzielną interpretację przepisów.

Warto podzielić narzędzia na trzy kategorie: dozwolone bez ograniczeń, dozwolone warunkowo (po anonimizacji danych albo tylko na koncie firmowym) i zakazane całkowicie - to prostsze do zapamiętania niż długi opis wyjątków i sytuacji szczególnych.

Kto odpowiada za wdrożenie i aktualizację polityki?

W mniejszych firmach wystarczy jedna osoba łącząca funkcję nieformalnego "AI Officera" z bieżącymi obowiązkami - liczy się przede wszystkim to, żeby ta odpowiedzialność była jasno przypisana, a nie rozmyta między dział IT, prawny i zarząd, bo wtedy w praktyce nikt jej nie realizuje. W większych organizacjach warto rozdzielić role: osoba odpowiedzialna za zgodność z przepisami, osoba odpowiedzialna za bezpieczeństwo informacji i przełożeni poszczególnych zespołów, którzy na co dzień pilnują stosowania zasad w praktyce.

Jak reagować na naruszenia i incydenty związane z AI?

Polityka powinna z góry rozróżniać kilka typów incydentów - wyciek danych do narzędzia AI, błędną decyzję podjętą na podstawie wyniku AI bez weryfikacji człowieka, świadome nadużycie zasad przez pracownika oraz atak zewnętrzny wykorzystujący lukę w systemie AI - i dla każdego z nich określać, kto pierwszy dostaje zgłoszenie i jaki jest pierwszy krok reakcji. Same konsekwencje naruszeń powinny być stopniowane, od rozmowy wyjaśniającej po poważniejsze kroki dyscyplinarne, i znane pracownikom z góry, a nie ustalane doraźnie po fakcie.

Jak sprawić, żeby pracownicy faktycznie stosowali politykę, a nie ją ignorowali?

Zbyt długie i zbyt restrykcyjne dokumenty osiągają efekt odwrotny do zamierzonego - pracownicy zaczynają korzystać z AI po cichu, dokładnie ten problem, który opisywałem szerzej przy okazji najczęstszych błędów w pracy z AI. Skuteczniejsze od kolejnych stron zasad jest testowanie polityki na rzeczywistych sytuacjach zespołu, przegląd po dwóch tygodniach od wdrożenia i budowanie krótkiej biblioteki dobrych praktyk zamiast rozbudowywania samego dokumentu.

Zachowanie menedżerów ma tu większe znaczenie niż sama treść dokumentu - jeśli przełożony sam wkleja dane klienta do niesprawdzonego narzędzia, żaden zapis w polityce tego nie zrekompensuje. Dojrzała firma niekoniecznie ma więcej dokumentów regulujących AI - często ma ich mniej, ale rzeczywiście stosowanych w codziennej pracy.

Od czego zacząć pisanie polityki AI w swojej firmie?

Nie zaczynaj od pełnego dokumentu na sześciu stronach obejmującego każdy możliwy scenariusz. Spisz najpierw jedną stronę z trzema rzeczami: listą narzędzi AI, z których zespół faktycznie korzysta, jasnym podziałem na dane, których nigdy nie wolno tam wklejać, oraz imieniem i nazwiskiem osoby, do której zgłasza się wątpliwości. Ta jedna strona, wdrożona i faktycznie czytana przez zespół, daje więcej realnej ochrony niż rozbudowany dokument leżący nieużywany na dysku firmowym.