Polityka AI – czy równie ważna co regulamin pracy?

Pozostało już niewiele miejsc pracy, które są w stanie skutecznie bronić się przed sztuczną inteligencją. W wielu przypadkach możemy nawet nie zdawać sobie sprawy, że AI towarzyszy nam w naszych codziennych zadaniach zawodowych.

Nie musi przecież chodzić o tzw. generatywne systemy, które samodzielnie tworzą nowe treści – np. w przypadku pracy grafików, a bardziej o automatyzację procesów, analizę danych czy też wsparcie w obsłudze klienta.

Z tego typu narzędzi korzystają wszyscy, od wielkich korporacji, po malutkie jednoosobowe działalności.

Bardzo często użytkownicy algorytmów nie zdają sobie jednak sprawy, że korzystanie z tego typu rozwiązań, może zahaczać o przetwarzanie danych osobowych i prawa autorskie.

Czy zatem w dzisiejszych czasach polityka AI powinna być traktowana równie poważnie, jak regulamin pracy? Odpowiem od razu – zdecydowanie tak. Dlaczego? O tym poniżej.

Sztuczna inteligencja jest wszędzie i stanowi istotne ryzyko

Sztuczna inteligencja jest z nami od lat. Powstała już w latach 50. Jednakże dopiero od niedawna możemy mówić o naprawdę zaawansowanych algorytmach AI.

Aktualnie nie jest to już jedynie ciekawostka technologiczna, a realne narzędzie codziennej pracy większości przedsiębiorstw.

AI wspiera analizę danych, automatyzuje komunikację z klientami, pomaga w zarządzaniu HR czy tworzeniu treści marketingowych i e-commerce.

Dzięki niej firma działa szybciej, taniej i wydajniej. Jednocześnie za tą efektywnością kryją się istotne ryzyka, które – w przeciwieństwie do korzyści – często bywają niedostrzegane lub bagatelizowane przez użytkowników.

Korzystanie z narzędzi opartych na AI wiąże się z bardzo konkretnymi zagrożeniami organizacyjnymi i prawnymi.

W grę wchodzą naruszenia praw autorskich, kwestie związane z ochroną danych osobowych oraz bezpieczeństwem informacji.

W praktyce oznacza to, że niekontrolowane lub nieprzemyślane używanie AI w firmie może prowadzić do poważnych konsekwencji – od wycieków danych, przez kary administracyjne, aż po utratę reputacji.

Trzeba zdawać sobie sprawę, że nawet jeżeli pracodawca jest święcie przekonany, iż jego przedsiębiorstwo nie korzysta z zaawansowanych algorytmów sztucznej inteligencji, to istnieje ogromne ryzyko, że pracownicy robią to w sposób nieformalny.

Za przykład niech posłuży Copilot dołączony do programu Microsoft Office czy Gemini będące już częścią wyszukiwarki Google. Są to generatywne narzędzia, do których dostęp jest darmowy z każdego komputera i smartfona.

Problem z powyższym polega na tym, że działania te odbywają się poza wiedzą i kontrolą pracodawcy, a tym samym nie podlegają pod żadne zasady, które by jasno i dokładnie wskazały jak wykorzystywać AI oraz gdzie należy stawiać granice.

W efekcie przedsiębiorstwa tracą realną kontrolę nad tym, jakie dane są przetwarzane, gdzie trafiają i w jaki sposób mogą być dalej wykorzystywane. A to już samo w sobie jest bardzo groźne.

Polityka AI – dla wielu obowiązkowy element organizacyjny

Regulamin pracy w większości przedsiębiorstw stanowi podstawowy dokument porządkujący relacje między pracodawcą a pracownikiem.

Określa zasady organizacji pracy, obowiązki stron, kwestie BHP oraz odpowiedzialności. W większości jednak takie dokumenty nie zawierają szczegółowych zasad korzystania ze sztucznej inteligencji.

Stworzenie dobrze skonstruowanej polityki AI może nie być jednak takie proste, gdyż aktualne tempo rozwoju technologii znacząco wyprzedza regulacje prawne, przez co ciężko dokładnie wskazać co wymaga regulacji i w jakim zakresie.

Jednocześnie to na przedsiębiorcy leży odpowiedzialność związana z niewłaściwym korzystaniem z algorytmów.

Przedsiębiorcy muszą mierzyć się z obowiązkami wynikającymi z przepisów o ochronie danych osobowych, praw autorskich, a także cały czas rozwijanymi regulacjami dotyczącymi sztucznej inteligencji, które nakładają dodatkowe wymogi w zakresie transparentności, bezpieczeństwa i zarządzania ryzykiem.

Stąd też profesjonalnie przygotowana polityka korzystania z AI nie jest jedynie elementem dobrych praktyk, a bardziej koniecznym elementem zarządzania organizacją.

Jej rolą jest bowiem stworzenie realnych mechanizmów kontroli i ograniczania ryzyka.

Odpowiednio skonstruowany dokument pozwala uporządkować sposób korzystania z narzędzi AI wykorzystywanych przez pracowników, wskazując jasne granice ich użycia oraz zasady bezpiecznego przetwarzania danych.

Ponadto wdrożenie polityki AI pozwala nie tylko na ograniczenie ryzyka sankcji, ale również budowanie wiarygodności firmy w oczach klientów i partnerów biznesowych.

Transparentność w zakresie wykorzystania sztucznej inteligencji staje się bowiem coraz ważniejszym elementem zaufania na rynku.

W rezultacie polityka AI powinna być dziś postrzegana nie jako kolejny zbędny dokument, który po stworzeniu trafi do szuflady, a jako integralna część systemu zarządzania ryzykiem w organizacji.

Kto potrzebuje polityki AI?

W zasadzie polityki AI będzie potrzebował każdy podmiot, który w trakcie swojego funkcjonowania skorzystał z dokonań sztucznej inteligencji.

W praktyce jednak okazjonalne zapytanie ChataGPT o jakiś fakt to za mało, aby przedsiębiorcy tworzyli cały rozbudowany dokument.

Polityka korzystania ze sztucznej inteligencji jest potrzebna tym firmom, w których pracownicy korzystają z narzędzi AI w codziennej pracy.

Przy czym nie ma tutaj znaczenia czy chodzi o tworzenie treści, analizę danych, programowanie czy obsługę klientów. W końcu głównym celem tego dokumentu jest ograniczenie ryzyk prawnych, administracyjnych i biznesowych.

Brak zasad często prowadzi do nieświadomego ujawniania danych, naruszeń praw autorskich czy problemów z odpowiedzialnością za treści generowane przez AI.

Kto zatem szczególnie potrzebuje polityki AI? Z całą pewnością będą to:

• firmy działające w obszarze e-commerce wykorzystujące sztuczną inteligencję do tworzenia treści sprzedażowych i materiałów reklamowych;
• agencje marketingowe – tworzenie treści dla klientów wymaga szczególnej dbałości o prawa autorskie i bezpieczeństwo prawne;
• start-upy i firmy technologiczne – podmioty korzystające z AI do kodowania i prowadzenia analiz muszą chronić swoje know-how, ale również dbać, aby generowane kody nie naruszały praw autorskich i patentów;
• firmy w sposób zautomatyzowany przetwarzające dane osobowe lub dane wrażliwe – np. z branż medycznych, fintech czy edukacyjnych, gdzie kluczowe jest bezpieczeństwo danych;
• firmy współpracujące z podwykonawcami (B2B) z branż kreatywnych – aby jasno określić zasady korzystania z AI i odpowiedzialność za efekty jego użycia we współpracy.

Dlaczego firmy powinny wdrożyć politykę AI?

Zapewne wielu przedsiębiorców zastanawia się teraz czy rzeczywiście potrzebują polityki AI, podczas gdy większość ich pracowników już teraz w sposób nieformalny i niekontrolowany korzysta w pracy z pomocy sztucznej inteligencji.

Używa jej do pisania maili w obcych językach, analizowania i streszczania dokumentów, tworzenia treści marketingowych, tworzenia prezentacji czy nawet opracowywania strategii biznesowych.

Problem polega na tym, że brak jasno określonych zasad prowadzi do poważnych zagrożeń i nie chodzi tu wyłącznie, że „ślepe” ufanie AI grozi wieloma błędami (wszak AI ma tendencje do halucynacji i nie zanosi się, aby w bliskiej przyszłości się to zmieniło), a o przekazywanie jej danych osobowych, tajemnic przedsiębiorstwa, a także kopiowanie prac innych osób (AI głównie bazuje na treściach wyszukanych w sieci).

Dla przedsiębiorców zapewne najistotniejsze będzie ochrona tajemnicy przedsiębiorstwa.

Wprowadzanie poufnych danych do zewnętrznych systemów (np. danych klientów, umów, strategii, know-how) może skutkować ich nieautoryzowanym przetwarzaniem.

W wielu przypadkach użytkownik traci kontrolę nad tym, gdzie i w jaki sposób dane są przechowywane oraz czy nie zostaną wykorzystane do trenowania modeli.

Kolejnym istotnym obszarem jest zgodność z przepisami o ochronie danych osobowych.

Przetwarzanie danych przez narzędzia AI najczęściej oznacza ich udostępnienie podmiotom trzecim, a także może prowadzić do przekazania ich poza granice UE, co bez odpowiednich podstaw prawnych stanowi naruszenie prawa.

Konsekwencje takich działań mogą być bardzo poważne, od kar finansowych, przez odpowiedzialność cywilną, aż po utratę reputacji firmy.

Polityka AI – co powinna zawierać?

Polityka AI to zbiór zasad regulujących sposób korzystania ze sztucznej inteligencji w przedsiębiorstwie.

Jej celem jest zwiększenie efektywności pracy oraz ograniczenie ryzyk w zakresie prawna, biznesu i dbania o reputacje.

Może dotyczyć zarówno pracowników etatowych (UoP), współpracowników (B2B), jak i podmiotów zewnętrznych (outsourcing).

Przedmiotowy dokument powinien obejmować między innymi:

• zakres dopuszczalnego użycia AI – chodzi o określenie, w jakich obszarach pracownicy mogą korzystać ze sztucznej inteligencji oraz jakie modele językowe są dopuszczone. Warto wskazać konkretne rozwiązania zatwierdzone przez firmę;
• zakaz przetwarzania określonych danych – wyraźne wskazanie, jakich danych nie można wprowadzać do aplikacji AI (np. danych poufnych, danych osobowych, informacji objętych tajemnicą przedsiębiorstwa itd.);
• zasady weryfikacji wyników wygenerowanych przez AI – AI może się mylić, korzystać z nieaktualnych danych lub po prostu tworzyć nieprawdziwe treści. Polityka powinna zobowiązywać pracowników do weryfikowania wszelkich treści przed ich wykorzystaniem;
• odpowiedzialność pracowników – określenie konsekwencji naruszenia zasad, w tym odpowiedzialności porządkowej lub dyscyplinarnej za korzystanie z AI wbrew regulacjom polityki;
• ochrona praw autorskich i własności intelektualnej – uregulowanie kwestii związanych z tworzeniem treści przy użyciu AI oraz możliwości wykorzystania takich tworów;
• ochronę tajemnicy przedsiębiorstwa – każde wprowadzenie danych do programu AI może oznaczać ich utratę, a nawet częściowe informacje mogą zostać wykorzystane do odtworzenia pełnego obrazu działalności firmy. To zaś oznacza, że kwestie ochrony tajemnicy firmy powinny stanowić jej priorytet. Warto w tym zakresie powiązać politykę AI z już istniejącymi regulacjami wewnętrznymi, takimi jak polityka bezpieczeństwa informacji czy umowy o zachowaniu poufności.

Plan wdrożenia krok po kroku

1. Audyt stanu faktycznego : Zanim napiszesz dokument, dowiedz się, z czego Twój zespół już korzysta. Zrób anonimową ankietę. Musisz wiedzieć, czy graficy generują tła w Midjourney, a programiści wrzucają kod do ogólnodostępnego Copilota.
2. Klasyfikacja systemów i ryzyka: Podziel narzędzia na trzy kategorie: Dozwolone (np. firmowy, zamknięty profil ChatGPT Enterprise), Warunkowe (wymagające zgody przełożonego) oraz Zakazane (narzędzia darmowe, które karmią się wprowadzanymi danymi).
3. Szkolenie i „AI Literacy”: Pamiętaj, że unijny AI Act nakłada na pracodawców formalny obowiązek budowania kompetencji AI wśród pracowników (tzw. AI literacy). Zanim zaczniesz egzekwować kary za złamanie polityki, musisz przeszkolić zespół z bezpiecznego promptowania i ochrony danych.
4. Formalne przyjęcie dokumentu i monitoring: Wdrożenie procedury prawnej (szczegóły poniżej) i uruchomienie mechanizmów kontrolnych.

Jak formalnie wprowadzić dokument?

W zespołach hybrydowych jedno zarządzenie nie zadziała. Musisz rozdzielić procedurę na dwa różne instrumenty prawne:

• Umowy o pracę (UoP) – Ścieżka Kodeksu Pracy
  • Forma wprowadzenia: Zarządzenie wewnętrzne Dyrekcji/Zarządu lub aneks do Regulaminu Pracy.
  • Warunek skuteczności: Pracownik musi złożyć (pisemnie lub w systemie HR) oświadczenie o zapoznaniu się z polityką. Bez tego podpisu nie możesz nałożyć kar porządkowych (upomnienia, nagany) ani zwolnić dyscyplinarnie za złamanie zasad.

• Kontrakty B2B / Umowy cywilnoprawne – Ścieżka Kontraktowa
  • Ryzyko prawne: Zarządzenia wewnętrzne nie wiążą zewnętrznych firm (B2B). Narzucenie im regulaminu pracowniczego grozi zarzutem ze strony PIP o ukrywanie stosunku pracy (tzw. reformatyzacja umowy).
  • Rozwiązanie: Wdrożenie poprzez aneks do umowy ramowej lub jako obowiązkowy załącznik do nowego kontraktu. Złamanie Polityki AI przez kontrahenta musi skutkować karami umownymi lub rozwiązaniem umowy w trybie natychmiastowym, a nie karami z Kodeksu Pracy.

Brak polityki AI może mieć przykre konsekwencje

Brak zasad korzystania z AI nie oznacza, że firma nie ponosi odpowiedzialności w tym zakresie.

W praktyce zlekceważenie polityki AI prowadzi do zwiększenia ryzyka naruszeń i chaosu organizacyjnego. Najczęstsze konsekwencje takiego działania to:

• wycieki danych;
• naruszenie przepisów prawa – zwłaszcza w zakresie ochrony danych osobowych;
• utrata reputacji – klienci coraz bardziej zwracają uwagę na bezpieczeństwo danych, a nieodpowiedzialne korzystanie z AI oznacza dla nich brak profesjonalizmu;
• spadek jakości pracy – bez kontroli nad wykorzystaniem AI, pracownicy mogą całkowicie „przerzucić” swoje zadania na sztuczną inteligencję;
• odpowiedzialność finansowa pracodawcy za działania pracowników i naruszenie przez nich praw podmiotów trzecich.

Najlepszym rozwiązaniem wydaje się zatem stworzenie odrębnego dokumentu polityki AI i powiązanie go z regulaminem pracy.

Najważniejsze jest, aby był on prosty i zrozumiały dla pracowników, obejmował realne scenariusze użycia AI, a także był aktualizowany wraz z rozwojem technologii.

Nie chodzi tu o nadmierne ograniczanie pracowników (gdyż sztuczna inteligencja potrafi być bardzo pomocna), ale o stworzenie bezpiecznych granic korzystania z pracy sztucznej inteligencji.

Artykuł przygotowany przez naszego specjalistę Radosława Pilarskiego