Sztuczna inteligencja może być obecna w przedsiębiorstwie, nawet jeżeli zarząd nigdy formalnie nie zdecydował o jej wdrożeniu. W takiej sytuacji kluczowa staje się polityka AI – warto ją przemyśleć i wdrożyć. Pracownicy coraz częściej korzystają z ChatGPT, Microsoft Copilot, Gemini oraz innych narzędzi do przygotowywania wiadomości, ofert, prezentacji, raportów, materiałów marketingowych, analiz, kodu komputerowego, a nawet projektów umów.
Z perspektywy firmy takie rozwiązania mogą oznaczać oszczędność czasu i zwiększenie efektywności. Jednocześnie ich niekontrolowane używanie wiąże się z ryzykiem ujawnienia danych osobowych, tajemnicy przedsiębiorstwa lub informacji należących do klientów. Problemem mogą być również błędne odpowiedzi, naruszenie praw autorskich oraz podejmowanie decyzji biznesowych na podstawie niewiarygodnych informacji.
Czy rozwiązaniem jest całkowity zakaz korzystania z AI? Niekoniecznie. W praktyce znacznie skuteczniejsze może być ustalenie jasnych zasad, udostępnienie zatwierdzonych narzędzi oraz odpowiednie przeszkolenie pracowników.
Sztuczna inteligencja może być wykorzystywana bez wiedzy zarządu
W wielu firmach wdrożenie AI odbywa się oddolnie. Pracownik zakłada prywatne konto w ogólnodostępnym narzędziu i zaczyna używać go do wykonywania służbowych zadań. Nie zawsze informuje o tym przełożonego, dział IT lub osobę odpowiedzialną za ochronę danych.
W konsekwencji przedsiębiorca może nie wiedzieć:
- z jakich systemów AI korzystają pracownicy;
- jakie dane i dokumenty są do nich wprowadzane;
- czy wykorzystywane są konta prywatne, bezpłatne czy firmowe;
- gdzie przetwarzane są przekazywane informacje;
- czy dostawca może wykorzystywać dane do rozwijania swoich modeli;
- w jaki sposób weryfikowane są wygenerowane treści;
- czy klienci otrzymują dokumenty przygotowane z udziałem AI;
- kto odpowiada za ewentualne błędy.
Zjawisko wykorzystywania niezatwierdzonych narzędzi określa się niekiedy jako „shadow AI”. Przypomina ono korzystanie przez pracowników z prywatnych skrzynek pocztowych, komunikatorów lub dysków chmurowych do celów służbowych. Firma traci wówczas kontrolę nad przepływem informacji, mimo że nadal może ponosić konsekwencje ich niewłaściwego wykorzystania.
Czy każda firma musi mieć politykę AI?
AI Act nie nakazuje każdemu przedsiębiorcy przyjęcia dokumentu nazwanego „polityką AI”. Nie istnieje jeden urzędowy wzór takiej polityki ani obowiązek wprowadzenia regulaminu o identycznej treści w każdej organizacji.
Nie oznacza to jednak, że przedsiębiorca może korzystać z AI bez żadnych zasad.
Artykuł 4 AI Act zobowiązuje dostawców i podmioty stosujące systemy AI do podejmowania działań zapewniających odpowiedni poziom kompetencji personelu oraz innych osób zajmujących się obsługą i wykorzystywaniem tych systemów. Należy przy tym uwzględnić m.in. wiedzę techniczną, doświadczenie, wykształcenie, zakres szkolenia oraz kontekst, w którym AI jest używana.
Obowiązek dotyczący kompetencji w zakresie AI stosuje się od 2 lutego 2025 r. Nie oznacza on, że każdy pracownik musi ukończyć identyczne szkolenie albo uzyskać certyfikat. Zakres podejmowanych działań powinien odpowiadać sposobowi wykorzystywania technologii i związanemu z nim ryzyku.
Innego przygotowania potrzebuje osoba używająca AI do korekty językowej ogólnodostępnego tekstu, a innego pracownik wykorzystujący system do analizowania dokumentacji klientów, rekrutacji kandydatów lub przygotowywania rekomendacji wpływających na sytuację konkretnych osób.
Polityka AI może być jednym z najważniejszych sposobów uporządkowania tych zagadnień. Pomaga wykazać, że przedsiębiorca zidentyfikował wykorzystywane systemy, rozpoznał ryzyka, ustalił zasady postępowania i przeszkolił zespół.
Jakie ryzyka powoduje niekontrolowane korzystanie z AI?
1. Ujawnienie danych osobowych
Pracownik może wprowadzić do narzędzia AI imię i nazwisko klienta, jego dane kontaktowe, informacje o zatrudnieniu, stanie zdrowia, wynagrodzeniu, sytuacji rodzinnej albo treść korespondencji.
Takie działanie stanowi przetwarzanie danych osobowych. Firma powinna ustalić m.in. cel i podstawę prawną przetwarzania, zakres przekazywanych informacji, rolę dostawcy narzędzia, miejsce przechowywania danych oraz zasady ewentualnego przekazywania ich poza Europejski Obszar Gospodarczy.
Nie każde wykorzystanie danych w systemie AI jest automatycznie zakazane. Powinno jednak odbywać się świadomie, w niezbędnym zakresie i przy zapewnieniu odpowiednich zabezpieczeń. W niektórych przypadkach rozwiązaniem może być anonimizacja materiału albo usunięcie informacji pozwalających zidentyfikować konkretną osobę.
2. Naruszenie tajemnicy przedsiębiorstwa i poufności
Do systemu AI mogą trafić nie tylko dane osobowe, lecz także:
- niepubliczne informacje finansowe;
- warunki negocjowanych umów;
- strategie handlowe i marketingowe;
- listy klientów;
- dokumentacja techniczna;
- kod źródłowy;
- informacje o cenach i marżach;
- projekty nowych produktów;
- dane przekazane przez klienta na podstawie umowy o poufności.
Ujawnienie takich informacji może naruszać obowiązki pracownika i zobowiązania firmy wobec kontrahentów. Może również prowadzić do utraty ochrony informacji jako tajemnicy przedsiębiorstwa, jeżeli organizacja nie stosuje realnych środków służących zachowaniu ich poufności.
3. Nieprawdziwe lub błędne odpowiedzi
System generatywnej AI może przedstawić nieprawdziwą informację w sposób, który brzmi przekonująco. Może również błędnie zinterpretować dokument, pominąć istotny wyjątek, podać nieaktualne dane albo wskazać nieistniejące źródło, przepis lub orzeczenie.
Dlatego wynik AI nie powinien być automatycznie traktowany jako gotowy dokument lub wiarygodna analiza. Zakres kontroli powinien zależeć od możliwych konsekwencji błędu.
Innej weryfikacji wymaga propozycja tytułu prezentacji, a innej analiza prawna, kalkulacja finansowa, ocena kandydata do pracy lub informacja przekazywana klientowi.
4. Problemy z prawami autorskimi
Narzędzia generatywne mogą tworzyć teksty, obrazy, nagrania, prezentacje i kod komputerowy. Sam fakt wygenerowania materiału przez AI nie gwarantuje jednak, że firma uzyska do niego wyłączne prawa ani że jego wykorzystanie nie naruszy praw osób trzecich.
Przed komercyjnym użyciem materiału należy uwzględnić:
- regulamin konkretnego narzędzia;
- pochodzenie wykorzystanych materiałów;
- możliwe podobieństwo do cudzych utworów;
- licencje dotyczące kodu i innych elementów;
- rzeczywisty twórczy wkład człowieka;
- możliwość udzielenia klientowi praw w zakresie przewidzianym w umowie.
Szczególnej ostrożności wymagają materiały przeznaczone do kampanii reklamowych, identyfikacji wizualnej, produktów sprzedawanych klientom oraz oprogramowania.
5. Wykorzystanie AI w HR
Zastosowanie sztucznej inteligencji w rekrutacji i zarządzaniu pracownikami może wiązać się ze znacznie większym ryzykiem niż używanie jej do redagowania neutralnego tekstu.
AI Act kwalifikuje niektóre systemy wykorzystywane m.in. do rekrutacji, selekcji kandydatów, podejmowania decyzji dotyczących warunków zatrudnienia, awansu, rozwiązania stosunku pracy, przydzielania zadań oraz monitorowania i oceny pracowników jako systemy wysokiego ryzyka.
Nie każde narzędzie wspierające pracę działu HR automatycznie należy do tej kategorii. Decydują jego funkcje, przeznaczenie oraz rzeczywisty wpływ na podejmowane decyzje.
Jeżeli firma wykorzystuje system wysokiego ryzyka w miejscu pracy, mogą powstać dodatkowe obowiązki, w tym związane z nadzorem człowieka, stosowaniem się do instrukcji dostawcy, monitorowaniem działania systemu i informowaniem pracowników przed rozpoczęciem jego używania.
Co powinna zawierać polityka AI?
Treść dokumentu należy dopasować do działalności przedsiębiorstwa. W większości organizacji warto uregulować przynajmniej następujące obszary.
Wykaz zatwierdzonych narzędzi
Polityka powinna wskazywać, z jakich systemów można korzystać, do jakich celów i na jakich rodzajach kont. Firma może dopuścić wyłącznie narzędzia wcześniej sprawdzone przez dział prawny, IT lub osobę odpowiedzialną za bezpieczeństwo.
Należy również określić, czy pracownicy mogą samodzielnie instalować dodatkowe aplikacje, rozszerzenia do przeglądarki, narzędzia do sporządzania notatek ze spotkań lub programy automatycznie analizujące pocztę i dokumenty.
Kategorie danych, których nie wolno wprowadzać
Pracownicy powinni otrzymać jasną informację, jakich danych nie mogą przekazywać zewnętrznym systemom AI. Ogólne polecenie „nie wprowadzaj informacji poufnych” może być niewystarczające.
Warto posłużyć się przykładami odpowiadającymi działalności konkretnej firmy, takimi jak umowy klientów, dane pracowników, dokumentacja medyczna, informacje finansowe, dane dostępowe, kod źródłowy czy nieopublikowane strategie biznesowe.
Zasady weryfikacji treści
Polityka powinna określać, kiedy i przez kogo wynik AI musi zostać sprawdzony. Należy również wskazać zastosowania, w których nie wolno opierać decyzji wyłącznie na automatycznie wygenerowanej odpowiedzi.
Ostateczna odpowiedzialność za dokument, rekomendację lub decyzję powinna należeć do wskazanego pracownika, a nie do dostawcy narzędzia czy samego systemu.
Zasady wykorzystywania materiałów wygenerowanych przez AI
Dokument powinien wyjaśniać, kiedy można wykorzystywać teksty, grafiki, nagrania i kod oraz jakie sprawdzenia należy przeprowadzić przed ich publikacją lub przekazaniem klientowi.
Warto również uregulować, czy i w jakich przypadkach firma informuje klienta lub odbiorcę o wykorzystaniu sztucznej inteligencji.
Procedurę zgłaszania incydentów
Pracownik powinien wiedzieć, komu zgłosić:
- przypadkowe przekazanie danych do niewłaściwego narzędzia;
- ujawnienie informacji poufnych;
- podejrzenie naruszenia praw autorskich;
- wygenerowanie szkodliwej lub dyskryminującej treści;
- podjęcie błędnej decyzji na podstawie wyniku AI;
- nietypowe działanie systemu.
Szybkie zgłoszenie może pozwolić na ograniczenie skutków zdarzenia, zmianę ustawień, usunięcie danych lub ocenę, czy doszło do naruszenia ochrony danych osobowych.
Sama polityka AI nie wystarczy
Polityka AI nie powinna być kolejnym dokumentem, który pracownicy podpiszą bez zapoznania się z jego treścią. Jej skuteczność zależy od tego, czy odpowiada rzeczywistym procesom i jest możliwa do stosowania w codziennej pracy.
Wdrożenie powinno obejmować:
- inwentaryzację systemów i narzędzi AI;
- ustalenie, kto i w jakich celach z nich korzysta;
- ocenę ryzyka prawnego, organizacyjnego i technicznego;
- wybór zatwierdzonych narzędzi i odpowiednich ustawień;
- przygotowanie polityki oraz instrukcji dla poszczególnych działów;
- przeprowadzenie szkoleń dopasowanych do obowiązków pracowników;
- wyznaczenie osoby odpowiedzialnej za zgłaszanie nowych zastosowań i incydentów;
- okresowy przegląd polityki i aktualizowanie jej wraz ze zmianą technologii.
Innych zasad będzie potrzebował dział marketingu, innych HR, księgowość, kancelaria, software house, sklep internetowy czy przedsiębiorstwo produkcyjne. Uniwersalny dokument pobrany z internetu może nie obejmować rzeczywiście wykorzystywanych narzędzi i najważniejszych ryzyk.
Od czego powinna zacząć firma?
Pierwszym krokiem nie musi być natychmiastowe przygotowanie rozbudowanej dokumentacji. Najpierw warto ustalić faktyczny sposób korzystania z AI.
Zarząd powinien uzyskać odpowiedzi na kilka podstawowych pytań:
- Jakich narzędzi AI używają pracownicy?
- Czy korzystają z kont służbowych czy prywatnych?
- Jakie dane i dokumenty są do nich przekazywane?
- Czy AI wspiera jedynie tworzenie treści, czy także podejmowanie decyzji?
- Czy system jest wykorzystywany wobec pracowników, kandydatów lub klientów?
- Kto sprawdza wygenerowane odpowiedzi?
- Czy firma posiada umowę z dostawcą?
- Czy pracownicy zostali przeszkoleni?
- Czy istnieje procedura zgłaszania błędów i incydentów?
Dopiero na podstawie takiej inwentaryzacji można przygotować politykę, która nie będzie jedynie formalnością, lecz rzeczywistym narzędziem zarządzania ryzykiem.
Czy warto wprowadzić politykę AI?
Jeżeli pracownicy używają sztucznej inteligencji do celów służbowych, uporządkowanie zasad jest uzasadnione nawet wtedy, gdy wykorzystywane systemy nie należą do kategorii wysokiego ryzyka.
Dobrze przygotowana polityka AI:
- ogranicza ryzyko ujawnienia danych i informacji poufnych;
- wyznacza odpowiedzialność za weryfikowanie wyników;
- pomaga realizować obowiązek rozwijania kompetencji w zakresie AI;
- porządkuje korzystanie z prywatnych i służbowych kont;
- ułatwia reagowanie na błędy i incydenty;
- wspiera zgodność z RODO, prawem pracy i prawem autorskim;
- pozwala bezpieczniej wykorzystywać korzyści wynikające z nowych technologii.
Celem polityki nie powinno być blokowanie innowacji. Powinna ona umożliwić firmie korzystanie ze sztucznej inteligencji w sposób kontrolowany, świadomy i dostosowany do rzeczywistych potrzeb przedsiębiorstwa.
RPR LEGAL Radcowie Prawni i Adwokaci wspiera przedsiębiorców w przeprowadzaniu audytów wykorzystywania sztucznej inteligencji, ocenie ryzyka, przygotowaniu polityk AI i procedur wewnętrznych oraz prowadzeniu szkoleń dla pracowników zgodnie z AI Act, RODO i zasadami ochrony informacji poufnych.