Za dwanaście dni — 28 października 2026 r. — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) uzyska uprawnienia do wszczynania postępowań i wymierzania sankcji finansowych firmom naruszającym przepisy unijnego rozporządzenia o AI (EU AI Act, Rozporządzenie 2024/1689). Polska ustawa wdrożeniowa (Dz.U. 2026 poz. 1003) weszła w życie 11 sierpnia 2026 r., jednak jej przepisy egzekucyjne ruszają dopiero teraz.
Nie trzeba tworzyć własnego systemu AI, żeby stać się podmiotem wdrażającym (deployer) w rozumieniu rozporządzenia. Wystarczy kupić i używać kwalifikującego się narzędzia. Każda firma, która korzysta z AI do rekrutacji, oceny pracowników, scoringu kredytowego lub weryfikacji tożsamości, jest deployerem i odpowiada za przestrzeganie obowiązków wynikających z art. 26 AI Act. A każda firma, która używa jakiegokolwiek systemu AI — nawet generatywnego chatbota do pisania maili — podlega obowiązkowi zapewnienia pracownikom wystarczającego poziomu umiejętności korzystania z AI (art. 4 AI Act).
Regulamin korzystania z AI to nie dokument dla dużych korporacji. To narzędzie, które w małej i średniej firmie robi trzy rzeczy naraz: daje pracownikom jasne zasady, zabezpiecza firmę przed naruszeniami RODO i tworzy dokumentację szkoleń wymaganą przez prawo.
Dlaczego Twoi pracownicy używają AI bez zasad — i co z tego wynika
Raport UODO dotyczący wdrażania AI wskazuje, że pracownicy regularnie korzystają z narzędzi generatywnych — ChatGPT, Copilota, Gemini — podczas codziennych zadań, nierzadko wprowadzając do nich dane osobowe klientów i współpracowników. Wielu z tych pracowników nie potrafiło ocenić, czy takie działanie wiąże się z przetwarzaniem danych osobowych.
To zjawisko znane jest jako shadow AI — nieautoryzowane używanie narzędzi AI. Pracownik, który wkleja do ChatGPT treść umowy z klientem, by szybciej wyciągnąć z niej kluczowe punkty, nie działa ze złej woli. Działa efektywnie — ale przy okazji może przekazać dane osobowe do systemu, z którym firma nie ma żadnej umowy. Bez regulaminu pracodawca nie ma ani wiedzy o takim zdarzeniu, ani procedury reakcji, ani dokumentacji, która pokazywałaby, że podjął środki ostrożności.
UODO stawia w takiej sytuacji twarde pytania. Czy firma miała podstawę prawną do przetwarzania tych danych z użyciem AI (art. 6 RODO)? Czy zawarła umowę powierzenia z dostawcą narzędzia (art. 28 RODO)? Czy poinformowała osoby, których dane przetwarza? Bez regulaminu odpowiedź na każde z tych pytań jest „nie”.
Co AI Act i RODO wymagają od Twojej firmy
Obowiązki zaczęły narastać stopniowo. Artykuł 4 AI Act — nakładający na deployerów obowiązek zapewnienia pracownikom wystarczającego poziomu umiejętności korzystania z AI — obowiązuje już od 2 lutego 2025 r., a pełne egzekwowanie ruszyło 2 sierpnia 2026 r. Sama zasada nie przewiduje osobnych kar, ale UODO i KRiBSI mogą ją traktować jako okoliczność obciążającą lub łagodzącą przy innych naruszeniach.
Artykuł 26 AI Act określa dwanaście obowiązków dla podmiotów wdrażających systemy zakwalifikowane jako wysokiego ryzyka — wymienione w Aneksie III. Dla małej firmy szczególnie istotne są trzy obszary:
- Rekrutacja i HR: narzędzia do automatycznego przesiewania aplikacji, oprogramowanie oceniające pracowników, systemy monitorowania wydajności, platformy przydziału zadań. Firma używająca ATS z modułem AI jest podmiotem wdrażającym system wysokiego ryzyka.
- Finanse i ubezpieczenia: narzędzia do oceny zdolności kredytowej lub szacowania ryzyka ubezpieczeniowego klientów.
- Weryfikacja tożsamości: biometryczne systemy identyfikacji zdalnej, stosowane np. w procesach KYC lub kontroli dostępu.
Sankcje dla podmiotu wdrażającego niezgodny system mogą sięgnąć 15 mln EUR lub 3% globalnego rocznego obrotu — co przy obrocie 5 mln EUR przekłada się na 150 tys. EUR. Więcej o strukturze sankcji i harmonogramie wdrożenia polskiej ustawy znajdziesz we wpisie o AI Act i KRiBSI od 28 października.
Od strony RODO Prezes UODO Michał Wróblewski wskazał wprost, że AI w rekrutacji klasyfikuje się jako system wysokiego ryzyka na mocy art. 86 AI Act w połączeniu z Aneksem III. Oznacza to, że kandydatom i pracownikom przysługuje prawo do wyjaśnienia roli AI w decyzji ich dotyczącej.
Kiedy pracownicy firmy wprowadzają do narzędzia AI dane osobowe klientów, pracowników lub kontrahentów, po stronie firmy powstają trzy konkretne obowiązki:
- Podstawa prawna — firma musi mieć podstawę prawną przetwarzania tych danych z użyciem AI (art. 6 RODO).
- Umowa powierzenia — jeśli dostawca przetwarza dane w imieniu firmy, potrzebna jest umowa powierzenia przetwarzania (art. 28 RODO).
- Obowiązek informacyjny — osoby, których dane są przetwarzane z użyciem AI, muszą zostać poinformowane.
Regulamin pracowniczy sam w sobie tych obowiązków nie wypełnia — ale jest warunkiem wstępnym ich wypełnienia, bo bez niego firma nie wie nawet, jakie dane trafiają do jakich narzędzi.
Cztery poziomy ochrony danych: fundament regulaminu
Zamiast opisywać każde narzędzie z osobna, skuteczny regulamin opiera się na klasyfikacji danych. Każda informacja dostępna w firmie należy do jednego z czterech poziomów — i do każdego poziomu przypisane są różne zasady postępowania.
Zielony — materiały publiczne, szkice ogólne, materiały edukacyjne. Można je wprowadzać do zatwierdzonego narzędzia AI bez dodatkowej zgody. Przykłady: teksty ze strony internetowej firmy, ogólne pytania o przepisy podatkowe bez danych klienta, materiały szkoleniowe z otwartych źródeł.
Bursztynowy — dokumenty wewnętrzne bez danych identyfikujących, niepublikowane plany, anonimowe zestawienia. Dozwolone tylko w zatwierdzonych narzędziach, wynik musi być zweryfikowany przez człowieka przed wysłaniem na zewnątrz. Przykłady: wewnętrzne notatki ze spotkania bez danych osobowych, robocze wersje ofert z nazwami narzędzi ale bez danych klientów, statystyki biura bez identyfikatorów.
Czerwony — dane identyfikujące klienta, dane finansowe, dokumentacja kadrowa i płacowa, dokumentacja medyczna lub prawna, umowy NDA. Wymagana pisemna zgoda wyznaczonej osoby przed wprowadzeniem do jakiegokolwiek narzędzia AI. Przykłady: faktury z danymi klientów, listy płac, umowy z kontrahentami, dane z deklaracji podatkowych.
Zakazany — hasła, kody MFA, klucze API, tokeny dostępu, pliki cookie sesji. Nigdy, pod żadnym pozorem, do żadnego narzędzia AI. Ta kategoria nie podlega żadnym wyjątkom ani procedurom zgody.
Granica między poziomami Zielonym i Bursztynowym jest często nieoczywista dla pracowników. Dobra zasada robocza: jeśli dokument ma datę lub adresata i nie jest dostępny publicznie — to przynajmniej poziom Bursztynowy.
Jedenaście elementów gotowego regulaminu
Pełny regulamin korzystania z AI powinien zawierać jedenaście sekcji. Każda rozwiązuje konkretny problem, który pojawi się w praktyce.
1. Zakres stosowania. Kogo i co obejmuje regulamin: pracownicy, zleceniobiorcy, wykonawcy zewnętrzni; narzędzia samodzielne (ChatGPT, Gemini, Claude); funkcje AI wbudowane w oprogramowanie biurowe (Microsoft Copilot w Office 365, AI w Canvie, asystent w oprogramowaniu księgowym); rozszerzenia przeglądarek z AI; narzędzia do transkrypcji spotkań; agenci AI działający w systemach firmy (automatyzacje, workflow).
2. Zatwierdzone narzędzia i konta. Lista konkretnych narzędzi dopuszczonych do użycia służbowego, z obowiązkiem korzystania z imiennych kont firmowych. Zakaz współdzielenia kont między pracownikami — każde konto musi być możliwe do przypisania do konkretnej osoby dla celów audytu.
3. Dozwolone zastosowania. Co pracownicy mogą robić: pisanie szkiców i streszczeń, burze mózgów, przeszukiwanie publicznych baz wiedzy, podsumowywanie długich dokumentów bez danych wrażliwych, wsparcie w kodowaniu. Co wymaga dodatkowej weryfikacji: teksty dla klientów (zawsze weryfikacja przez człowieka), liczby i twierdzenia finansowe, interpretacje prawne, kod produkcyjny, decyzje kadrowe.
4. Zasady danych. Tu trafia czterostopniowa klasyfikacja z powyższej sekcji, z przykładami dostosowanymi do specyfiki firmy. To kluczowa sekcja — bez niej cały regulamin jest nieskuteczny.
5. Weryfikacja przez człowieka. Katalog typów treści, które zawsze wymagają weryfikacji przed wysłaniem do klienta lub opublikowaniem: wyceny i kalkulacje, interpretacje przepisów, dokumenty z danymi finansowymi, treści opisujące produkty lub usługi firmy, jakiekolwiek decyzje dotyczące pracowników.
6. Własność intelektualna. Pracownicy nie mogą za pomocą AI kopiować fragmentów chronionych tekstów ani odtwarzać cudzych znaków towarowych lub logo. Treści wygenerowane przez AI i przeznaczone do użytku zewnętrznego powinny być oznaczone zgodnie z wymogami przepisów lub standardów branżowych.
7. Informowanie klientów. Kiedy klient lub kandydat do pracy wchodzi w interakcję z automatycznym agentem AI (np. chatbot obsługi klienta), musi o tym wiedzieć. To wymóg wynikający z art. 50 AI Act o transparentności systemów AI. Sekcja powinna wskazywać, w których punktach kontaktu z klientem używa się AI i jak pracownicy powinni o tym informować.
8. Połączenia i uprawnienia. Każde narzędzie AI, któremu przyznaje się dostęp do firmowej poczty, kalendarza, CRM, systemu plików lub innych systemów operacyjnych, wymaga osobnej zgody wyznaczonej osoby. Zasada minimalnych uprawnień: system AI powinien mieć dostęp tylko do tego, czego wymaga konkretne zadanie. Obowiązek zatwierdzenia przez człowieka przed wysłaniem wiadomości, dokonaniem płatności, usunięciem pliku lub opublikowaniem treści przez agenta AI.
9. Wyjątki. Procedura uzyskania zgody na działanie poza standardowymi zasadami (np. jednorazowe użycie narzędzia niezatwierdzonego): wyznaczona osoba odpowiedzialna za AI, forma wniosku, obowiązek podania powodu i daty wygaśnięcia wyjątku, archiwizacja zgód.
10. Postępowanie w razie incydentu. Co zrobić, gdy pracownik zorientuje się, że omyłkowo wprowadził do narzędzia AI dane z poziomu Czerwonego lub Zakazanego: zatrzymaj dalsze działania, nie usuwaj historii (dowody), zgłoś tego samego dnia wyznaczonej osobie. Sekcja powinna zawierać dane kontaktowe do zgłoszeń oraz wskazanie, kiedy incydent może wymagać notyfikacji do UODO (naruszenie danych osobowych).
11. Potwierdzenie i wersja. Podpis pracownika (lub potwierdzenie elektroniczne) po zapoznaniu z regulaminem, numer wersji dokumentu, data wejścia w życie i planowanej rewizji. Ta sekcja tworzy dokumentację AI literacy wymaganą przez art. 4 AI Act — bez niej firma nie ma dowodu, że przeprowadziła szkolenia.
Wdrożenie: od dokumentu do działającej praktyki
Sam dokument nie wystarczy. Regulamin, który zostaje w szufladzie albo PDF-ie na dysku, nie chroni firmy przed karą ani pracowników przed błędami. Wdrożenie składa się z pięciu kroków.
Krok 1: Inwentaryzacja narzędzi AI. Przed napisaniem listy zatwierdzonych narzędzi trzeba wiedzieć, czego faktycznie używają pracownicy. Dotyczy to nie tylko samodzielnych narzędzi jak ChatGPT, ale też funkcji AI wbudowanych w oprogramowanie: asystentów w pakietach biurowych (Microsoft Copilot, Google Gemini w Workspace), narzędziach do projektowania (Canva AI, Adobe Firefly), systemach CRM i ERP, platformach e-mailowych z funkcją autouzupełniania lub streszczania wiadomości, oprogramowaniu księgowym z asystentem AI. Wiele z tych funkcji jest domyślnie włączonych po aktualizacji — firma nie musiała ich zamawiać osobno, a mimo to przetwarza przez nie dane. Pierwszym krokiem jest inwentaryzacja oddolna — zapytanie pracowników, z jakich narzędzi korzystają, bez wyciągania konsekwencji za dotychczasowe używanie nieautoryzowanych narzędzi.
Krok 2: Pomiar bazowy kompetencji. Art. 4 AI Act wymaga zapewnienia „wystarczającego poziomu” umiejętności — ale nie podaje, jak go zmierzyć. Podejście praktyczne: krótka ocena dla każdej grupy stanowisk (pracownicy operacyjni, kadra zarządzająca, HR, IT). Pytania o znajomość ryzyk związanych z AI, o to, jak weryfikować informacje od AI, i o podstawowe zasady ochrony danych. Wynik staje się punktem startowym do szkoleń i elementem dokumentacji.
Krok 3: Szkolenia ukierunkowane na luki. Różne grupy potrzebują różnego zakresu wiedzy. Pracownicy operacyjni: zasady klasyfikacji danych, lista zatwierdzonych narzędzi, procedura incydentów. Kadra zarządzająca: obowiązki deployera, ryzyka dla firmy, zakres własnego przykładu. HR: szczególne ryzyka AI w rekrutacji (system wysokiego ryzyka), prawa kandydatów, dokumentacja. IT: integracje, uprawnienia, minimalne dostępy, bezpieczeństwo agentów AI.
Krok 4: Integracja z procesami firmy. Regulamin powinien trafić do onboardingu nowych pracowników — do podpisania przy zatrudnieniu. Coroczna rewizja i potwierdzenie przez aktualnych pracowników tworzy ciągłość dokumentacji. Klauzule o zasadach korzystania z AI warto dodać do umów z podwykonawcami mającymi dostęp do danych firmy.
Krok 5: Wyznaczenie osoby odpowiedzialnej. Regulamin musi mieć właściciela. W małej firmie to nie musi być pełnoetatowe stanowisko — może to być właściciel, kierownik biura lub wyznaczony pracownik — ale ta osoba musi być wskazana z imienia i nazwiska oraz mieć czas i upoważnienie do rozpatrywania wyjątków, przyjmowania zgłoszeń incydentów i aktualizowania listy zatwierdzonych narzędzi.
Przy narzędziach, które przetwarzają dane osobowe klientów lub pracowników, warto też sprawdzić warunki korzystania dostawcy i — jeśli to konieczne — podpisać umowę powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO. Wiele dużych dostawców udostępnia standardowe DPA na żądanie lub automatycznie w warunkach korzystania z kont biznesowych.
Podsumowanie
Regulamin korzystania z AI w firmie to dokument, który w 2026 r. przestał być opcjonalny. Komisja KRiBSI ma od 28 października pełne uprawnienia egzekucyjne — bez pisemnych zasad firma nie ma ani wymaganej dokumentacji szkoleń z art. 4 AI Act, ani procedur chroniących ją przed naruszeniami RODO.
Kluczowe punkty do zapamiętania:
- Każda firma używająca AI jest deployerem i podlega obowiązkom AI Act — bez względu na to, czy tworzy własne systemy.
- Czterostopniowa klasyfikacja danych (Zielony / Bursztynowy / Czerwony / Zakazany) to fundament każdego regulaminu — bez niej pracownicy nie wiedzą, czego unikać.
- Jedenaście sekcji skutecznego regulaminu pokrywa wszystkie obszary ryzyka: od listy zatwierdzonych narzędzi, przez zasady weryfikacji przez człowieka, po procedurę incydentów.
- Wdrożenie wymaga pięciu kroków: inwentaryzacji narzędzi, pomiaru kompetencji, ukierunkowanych szkoleń, integracji z onboardingiem i wyznaczenia właściciela procesu.
- Dokumentacja szkoleń i podpisane regulaminy to jedyne dowody, że firma wypełniła obowiązek AI literacy z art. 4 AI Act.
Więcej artykułów o wdrażaniu AI w małej i średniej firmie — z naciskiem na praktyczne aspekty prawne i operacyjne — znajdziesz w naszym dziale Sztuczna Inteligencja.
Artykuł powstał z pomocą narzędzi AI i został zweryfikowany przez redakcję. Zawarte informacje mają charakter ogólny i nie stanowią porady prawnej. W sprawach dotyczących zgodności z AI Act i RODO warto skonsultować się z radcą prawnym lub specjalistą ds. ochrony danych.