Rewolucja technologiczna napędzana przez sztuczną inteligencję zmienia współczesne miejsca pracy. Narzędzia oparte na AI stały się codziennością w pracy, niezależnie od branży, w której działa organizacja. Dla pracodawców i działów HR oznacza to nowe wyzwanie – jak umożliwić pracownikom czerpanie korzyści z tych technologii, jednocześnie minimalizując ryzyko prawne i biznesowe? Odpowiedzią powinna być kompleksowa i dostosowana do specyfiki organizacji polityka AI. W dzisiejszych realiach staje się ona nie tyle opcjonalnym uzupełnieniem dokumentacji organizacyjnej, ile istotnym elementem zarządzania organizacją i porządkiem pracy.

Jasne zasady korzystania

Wraz z rosnącym znaczeniem sztucznej inteligencji w codziennych operacjach biznesowych pracodawcy muszą zadbać o jasne i spójne zasady korzystania z narzędzi AI przez pracowników. Wdrożenie polityki AI w organizacji przynosi wiele korzyści.

Ochrona danych osobowych

Przede wszystkim polityka AI pomaga pracodawcy w określeniu zasad ochrony danych osobowych, tajemnicy przedsiębiorstwa oraz innych informacji poufnych. Dzięki ustaleniu jasnych reguł organizacja zmniejsza ryzyko naruszenia prawa. Zdefiniowanie wytycznych dotyczących korzystania z narzędzi sztucznej inteligencji pozwala też przypisać odpowiedzialność pracownikom za ewentualne naruszenia, takie jak udostępnienie danych za pośrednictwem narzędzi AI bez zgody pracodawcy.

W przypadku braku wytycznych pracodawca może mieć trudności w egzekwowaniu odpowiedzialności pracownika, który nieświadomie lub celowo naruszy zasady ochrony danych. Wprowadzenie polityki umożliwia jednoznaczne określenie, jakie działania są akceptowane, a jakie stanowią naruszenie obowiązków pracowniczych.

Ważne

Polityka AI zwiększa zakres odpowiedzialności pracownika, przy czym decydujące znaczenie ma zawsze ocena, czy jego zachowanie służyło wykonywaniu obowiązków pracowniczych i czy mieściło się w granicach praktyk akceptowanych przez pracodawcę, ukształtowanych realiami organizacji pracy. Gdy pracodawca wprowadził wyraźne zakazy korzystania z nieautoryzowanych narzędzi AI, a pracownik je naruszył, wykazanie jego winy staje się istotnie łatwiejsze.

Firmowe narzędzia

Polityka AI umożliwia pracownikom bezpieczne i efektywne korzystanie z firmowych narzędzi, co może przyczynić się do poprawy wydajności w organizacji.

Dobrze skrojona polityka AI wspomaga zarządzanie ryzykiem prawnym. Może stanowić dowód dochowania przez pracodawcę należytej staranności w zakresie ochrony danych oraz tajemnicy przedsiębiorstwa, co ma istotne znaczenie w ewentualnych postępowaniach prowadzonych przed organami nadzorczymi. Posiadanie udokumentowanych procedur i szkoleń może być okolicznością łagodzącą w przypadku incydentów oraz dowodem profesjonalnego podejścia do zarządzania bezpieczeństwem informacji.

Jeśli bowiem pracownik wprowadzi dane osobowe klientów, kontrahentów czy innych pracowników do zewnętrznego narzędzia AI, może dojść do naruszenia bezpieczeństwa ich danych osobowych, a pracodawca może wówczas odpowiadać m.in. za brak odpowiednich środków technicznych i organizacyjnych zabezpieczających dane lub ich ujawnienie bez podstawy prawnej, co może się wiązać z sankcjami administracyjnymi, jakie może nałożyć na organizację prezes Urzędu Ochrony Danych Osobowych.

Ochrona tajemnicy przedsiębiorstwa

Wprowadzenie informacji, które stanowią tajemnicę przedsiębiorstwa, do publicznie dostępnych narzędzi AI może skutkować utratą statusu prawnego takich informacji jako tajemnicy. Jeśli systemy AI wykorzystają te informacje do trenowania modeli lub – w zależności od ustawień – udostępnią je innym użytkownikom, może to oznaczać utratę ochrony prawnej i prowadzić do utraty przewagi konkurencyjnej organizacji, której odbudowanie będzie niemożliwe lub niezwykle kosztowne.

Ważne

Polityka AI, która precyzyjnie określa, jakie informacje mogą być wprowadzane do narzędzi AI, a jakie są objęte bezwzględnym zakazem, stanowi istotny mechanizm ochrony aktywów niematerialnych przedsiębiorstwa. Jej celem jest zapewnienie spójności i bezpieczeństwa w podejściu do wykorzystania tych technologii w organizacji.

Rola działów HR

Działy HR odgrywają istotną rolę we wdrażaniu i przestrzeganiu polityki AI w organizacji. To właśnie HR odpowiada za komunikowanie zasad pracownikom i zapewnienie im odpowiednich szkoleń. Ważne jest, aby ten dział monitorował przestrzeganie polityki AI przez pracowników, a także współpracował z IT i inspektorem ochrony danych osobowych oraz Compliance Officerem w zakresie zapewnienia odpowiednich zabezpieczeń.

Niezbędny nadzór…

Rola HR w tym procesie to także nadzór nad odpowiedzialnością pracowników, zarówno w zakresie przestrzegania polityki, jak i ewentualnych konsekwencji jej naruszenia. HR musi współpracować w tym zakresie z działem prawnym, aby ustalić, jakie konsekwencje mogą wynikać z nieprzestrzegania polityki AI, w tym możliwe sankcje i procedury dyscyplinarne.

…i aktualizacja

Ze względu na dynamiczny rozwój technologii AI działy HR – we współpracy z działami IT i prawnym – powinny zapewnić regularną aktualizację polityki. Zmiany w dostępnych narzędziach, ich funkcjonalnościach oraz zagrożeniach wymagają ciągłego dostosowywania regulacji wewnętrznych.

Ryzyka i konsekwencje braku polityki AI

Brak polityki AI naraża pracodawcę na liczne ryzyka, które mogą prowadzić do poważnych konsekwencji prawnych i finansowych. Jednym z najpoważniejszych zagrożeń jest utrata danych osobowych lub tajemnicy przedsiębiorstwa. Wprowadzenie poufnych informacji do publicznych narzędzi AI, takich jak darmowe wersje ChatGPT, może prowadzić do ich wycieku, co z kolei naraża organizację na sankcje administracyjne, w tym grzywny i inne kary.

Pracodawca jako administrator danych osobowych odpowiada za zapewnienie ich bezpieczeństwa, a zgodnie z art. 32 RODO jego obowiązkiem jest wdrożenie odpowiednich środków technicznych i organizacyjnych, by zapewnić stopień bezpieczeństwa odpowiadający ryzyku. Pod pojęciem takich środków niewątpliwie powinniśmy rozumieć chociażby jasno określone i zakomunikowane pracownikom zasady korzystania z narzędzi AI.

Brak odpowiednich regulacji wewnętrznych w zakresie wykorzystywania AI może być interpretowany jako niedopełnienie obowiązków administratora danych, co naraża organizację na sankcje ze strony organów nadzorczych, w tym prezesa Urzędu Ochrony Danych Osobowych.

Nieautoryzowane przetwarzanie

Kolejnym ryzykiem jest odpowiedzialność prawna za nieautoryzowane przetwarzanie danych lub naruszenie tajemnicy przedsiębiorstwa. Pracodawcy, którzy nie wprowadzą odpowiednich zasad, mogą napotkać trudności w przypisaniu odpowiedzialności pracownikom za takie naruszenia, a także w obronie przed roszczeniami ze strony osób trzecich – klientów, kontrahentów.

Brak polityk AI, szkoleń oraz jasno określonych reguł przez pracodawcę istotnie osłabia też podstawy rozwiązania umowy o pracę w trybie dyscyplinarnym. Trudno bowiem uznać za bezprawne zachowanie pracownika polegające na wykonywaniu obowiązków służbowych przy braku jednoznacznie określonego przez pracodawcę sposobu organizacji pracy z wykorzystaniem narzędzi AI.

Niezależnie od konsekwencji wewnętrznych wyciek danych lub poufnych informacji, naruszenie autorskich praw majątkowych innych osób mogą skutkować roszczeniami klientów, kontrahentów czy pracowników, na przykład przy naruszeniu danych osobowych. Konsekwencje wizerunkowe i reputacyjne takiego incydentu mogą przewyższać bezpośrednie straty finansowe, prowadząc do utraty kontraktów, obniżenia wartości marki i trudności w pozyskiwaniu nowych klientów.

Nie opcja, ale konieczność

Organizacje powinny potraktować zasady korzystania z AI jako element zarządzania ryzykiem przedsiębiorstwa, a nie wyłącznie kwestię narzędzia ułatwiającego i przyspieszającego pracę. Polityka AI to fundament proaktywnego podejścia do zarządzania ryzykiem. Pozwala na identyfikację, ocenę i mitygację zagrożeń, które wiążą się z wykorzystywaniem technologii AI w codziennych procesach biznesowych.

W obliczu rosnącej roli sztucznej inteligencji w biznesie pracodawcy nie mogą sobie pozwolić na brak takich regulacji. Wdrożenie polityki AI, której zasady są zgodne z przepisami prawa, pozwala nie tylko chronić organizację przed ryzykiem prawnym, ale również budować zaufanie wśród pracowników i partnerów biznesowych, pokazując, że firma podchodzi odpowiedzialnie do kwestii ochrony danych i poufności.

Ważne

Inwestycja w kompleksową politykę AI, szkolenia i bieżące dostosowywanie regulacji do zmieniającej się rzeczywistości technologicznej to dziś nie opcja, ale konieczność dla każdego odpowiedzialnego pracodawcy. ©℗

Kluczowe elementy polityki AI w miejscu pracy

1. Zakres dozwolonego korzystania z narzędzi AI – pracodawca musi wyraźnie określić, które narzędzia AI są dozwolone w organizacji, a także w jakich celach i w jaki sposób pracownicy mogą z nich korzystać. Istotne jest również wskazanie, które rozwiązania są zabronione ze względu na ryzyko związane z bezpieczeństwem danych.

2. Klasyfikacja danych i informacji – kluczowym elementem jest jednoznaczne określenie, które kategorie danych mogą być wprowadzane do narzędzi AI. Polityka powinna zawierać:

  • listę danych bezwzględnie zakazanych do wprowadzania (m.in. dane osobowe, tajemnica przedsiębiorstwa, informacje objęte klauzulami poufności);
  • dane wymagające specjalnej autoryzacji (informacje wewnętrzne, dane biznesowe niestanowiące tajemnicy);
  • dane dopuszczone do przetwarzania przez narzędzia AI (informacje publicznie dostępne, ogólne zapytania merytoryczne).

3. Ochrona danych i poufności – polityka powinna szczegółowo wskazywać zasady ochrony danych osobowych, tajemnicy przedsiębiorstwa oraz innych informacji poufnych, które mogą być przetwarzane przez narzędzia AI. Powinna zawierać wytyczne dotyczące bezpiecznego przechowywania danych oraz zasad ich udostępniania, aby zapobiec ich wyciekom.

4. Szkolenia i świadomość – opracowanie polityki AI to dopiero pierwszy krok. Kluczowe jest odpowiednie i praktyczne przeszkolenie pracowników w zakresie bezpiecznego korzystania z narzędzi AI. Szkolenia powinny obejmować zarówno teoretyczne aspekty polityki, jak i praktyczne zasady korzystania z narzędzi, a także potencjalne ryzyka związane z ich niewłaściwym użyciem.

5. Mechanizmy odpowiedzialności i konsekwencje – dokument powinien jasno określać konsekwencje naruszenia zasad korzystania z narzędzi AI.

6. Procedury zgłaszania incydentów – polityka AI powinna zawierać jasne procedury postępowania w przypadku wykrycia naruszenia zasad, takich jak nieautoryzowane wprowadzenie danych do narzędzi AI. Powinny one obejmować zarówno reakcję na incydenty, jak i ocenę ich wpływu na bezpieczeństwo organizacji. ©℗

Podstawa prawna

rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L. z 2016 r. poz. 119 str. 1)

ustawa z 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2025 r. poz. 277; ost.zm. Dz.U. z 2026 r. poz. 25)