Polityka AI w firmie: zawartość i wzór

Polityka AI (polityka korzystania z AI) to udokumentowany i zatwierdzony przez zarząd dokument, który określa, jak wolno, a jak nie wolno wykorzystywać AI w firmie. Definiuje zakres stosowania, dozwolone i zakazane wykorzystanie, ochronę danych i poufność, zatwierdzone narzędzia, oznaczanie treści generowanych przez AI, odpowiedzialność, szkolenia oraz konsekwencje naruszeń. Zgodnie z ISO/IEC 42001:2023 jest obowiązkowym dokumentem na mocy klauzuli 5.2 i zabezpieczenia A.2.2 z załącznika A oraz stanowi ramy dla wszystkich mierzalnych celów AI.

• Obowiązek, nie opcja: bez udokumentowanej i zatwierdzonej przez zarząd polityki AI certyfikacja ISO 42001 nie jest możliwa (klauzula 5.2 / zabezpieczenie A.2.2).
• Konkret zamiast frazesów: ogólnikowa polityka („Korzystamy z AI w sposób odpowiedzialny”) to według praktyki audytowej z lat 2024-2026 jedno z najczęstszych zastrzeżeń. Musi być sprawdzalna punkt po punkcie i egzekwowalna.
• Zintegrowana, nie odizolowana: musi być spójna z istniejącymi politykami dotyczącymi bezpieczeństwa informacji, ochrony danych, etyki i HR (zabezpieczenie A.2.3).

Po co firmie polityka AI i gdzie jest osadzona w ISO 42001

Klauzula 5.2 normy ISO/IEC 42001 wymaga, aby najwyższe kierownictwo ustanowiło udokumentowaną politykę AI, która odpowiada celowi organizacji, zapewnia ramy dla celów AI i zawiera zobowiązanie do spełniania mających zastosowanie wymagań oraz do ciągłego doskonalenia. Zabezpieczenie A.2.2 z załącznika A wzmacnia ten wymóg i wymaga udokumentowanej polityki AI. A.2.3 wymaga jej uzgodnienia z innymi politykami firmy, a A.2.4 regularnego przeglądu.

Logika jest kaskadowa: polityka (5.2) wyznacza ramy dla mierzalnych celów AI (6.2), które z kolei są nadzorowane poprzez monitorowanie (9.1) i przegląd zarządzania (9.3). Polityka bez wynikających z niej mierzalnych celów pozostaje nieskuteczna i zostaje zakwestionowana podczas audytu.

Obowiązkowe elementy polityki AI

Solidna polityka AI obejmuje według praktyki ISO 42001 następujące elementy. Możesz ich użyć wprost jako listy kontrolnej do odhaczania.

Dozwolone i zakazane wykorzystanie

To serce polityki w codziennej pracy. W przypadku agentów AI polityka powinna wyraźnie określać poziomy autonomii (tylko odczyt, rekomendowanie, działanie po zatwierdzeniu, działanie autonomiczne), a także granice korzystania z narzędzi, zasady eskalacji i human-in-the-loop oraz zróżnicowanie dostawców modeli. Lista zakazów zaczyna się od praktyk zakazanych przez art. 5 AI Act, takich jak rozpoznawanie emocji w miejscu pracy, scoring społeczny i techniki manipulacyjne, które mogą wyrządzić poważną szkodę (zakazane od 2 lutego 2025 r.). Rozporządzenie (UE) 2026/1744 (omnibus cyfrowy) rozszerza art. 5 o kolejne zakazy, np. systemy AI, które bez zgody tworzą realistyczne intymne wizerunki osób możliwych do zidentyfikowania, oraz generowanie materiałów przedstawiających seksualne wykorzystywanie dzieci. Do tego dochodzą własne zakazy, np. brak autonomicznego doradztwa prawnego czy autonomicznych decyzji kadrowych bez kontroli człowieka (HITL). Kluczowe jest tu zabezpieczenie A.9.4: jeśli firma wykorzystuje agenta poza przeznaczeniem określonym przez dostawcę i system staje się przez to systemem wysokiego ryzyka, firma sama jest uznawana za dostawcę zgodnie z art. 25 AI Act. Przejmuje wtedy obowiązki dostawcy wynikające z art. 16, w tym ocenę zgodności.

Ochrona danych i zatwierdzone narzędzia

Polityka musi określać, jakie dane mogą trafiać do promptów, systemów wyszukiwania lub danych treningowych. Zatwierdzone narzędzia wymienia się wraz z dostawcą; zabezpieczenie A.10.3 przewiduje udokumentowane badanie due diligence obejmujące certyfikaty (ISO 27001, SOC 2 Type II, ISO 42001), podejście do ochrony danych, podmioty podprzetwarzające i zasady wycofywania modeli. Nieaktualna lista narzędzi lub nieprowadzony rejestr dostawców należą do najczęściej kwestionowanych punktów.

Oznaczanie treści generowanych przez AI

Przejrzystość to jedna z kluczowych zasad z załącznika C.2. Zabezpieczenie A.8.2 wymaga dokumentacji systemu i informacji dla użytkowników: model cards, instrukcji obsługi, opisu możliwości i ograniczeń. Pokrywa się to z art. 13 AI Act (przejrzystość i udostępnianie informacji podmiotom stosującym). Art. 13 dotyczy jednak wyłącznie systemów wysokiego ryzyka i reguluje przejrzystość oraz instrukcję obsługi wobec podmiotów stosujących, a nie oznaczanie treści. Oznaczanie reguluje art. 50, który obowiązuje od 2 sierpnia 2026 r. Dostawcy muszą informować osoby, że wchodzą w interakcję z systemem AI, o ile nie jest to oczywiste, oraz oznaczać syntetyczne treści audio, obrazy, wideo i teksty w formacie nadającym się do odczytu maszynowego. Podmioty stosujące muszą ujawniać deepfake'i i oznaczać teksty wygenerowane przez AI, które są publikowane w celu informowania opinii publicznej o sprawach leżących w interesie publicznym. Obowiązek ten nie ma zastosowania, jeśli tekst został sprawdzony przez człowieka lub poddany kontroli redakcyjnej, a osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną. Dla systemów generatywnej AI, które były na rynku już przed 2 sierpnia 2026 r., w zakresie oznaczania obowiązuje okres przejściowy do 2 grudnia 2026 r. Polityka powinna określać, kiedy i w jaki sposób oznacza się treści wygenerowane lub współtworzone przez AI.

Szkolenia i kompetencje w zakresie AI

Klauzule 7.2 (kompetencje) i 7.3 (świadomość) wymagają dowodów, że pracownicy pełniący aktywne role związane z AI zostali przeszkoleni. Nawiązuje to do art. 4 AI Act (kompetencje w zakresie AI). Od zmiany wprowadzonej rozporządzeniem (UE) 2026/1744 (obowiązującym od 27 lipca 2026 r.) art. 4 zobowiązuje dostawców i podmioty stosujące do podejmowania działań wspierających kompetencje w zakresie AI ich personelu. Nie muszą oni gwarantować określonego poziomu kompetencji. Plan szkoleń w polityce dokumentuje te działania. We wdrożeniach agentów właśnie ten dowód jest częstym słabym punktem, ponieważ kompetencji poza zespołami czysto technicznymi często się nie dokumentuje.

ISO 42001 a AI Act: pomost

ISO 42001 nie jest normą zharmonizowaną i nie daje domniemania zgodności z AI Act. Uchodzi jednak za najsolidniejszą podstawę organizacyjną do przygotowania się na AI Act. Dla polityki istotne są przede wszystkim cztery artykuły: art. 4 (kompetencje w zakresie AI) jest odzwierciedlony w klauzulach 7.2/7.3, a art. 13 (przejrzystość i informacje dla podmiotów stosujących systemy wysokiego ryzyka) w zabezpieczeniach A.8.2 i A.8.5. Art. 5 (zakazane praktyki) należy do listy zakazów, a art. 50 (informacja o interakcji z AI, oznaczanie treści syntetycznych i deepfake'ów) do sekcji o oznaczaniu. Zobowiązanie do przestrzegania obowiązujących przepisów (RODO, AI Act, regulacje branżowe) musi znaleźć się wprost w tekście.

Uwaga: ten artykuł ma charakter informacyjny i nie zastępuje porady prawnej. Konkretne obowiązki, odniesienia do artykułów i terminy należy w każdym przypadku zweryfikować pod kątem prawnym.

Wzór: struktura polityki AI w formie listy kontrolnej

```
Polityka AI [firma], wersja x.y, zatwierdzenie [data/zarząd]

1. Cel i zakres stosowania

• systemy AI/agenci AI i obszary objęte polityką
  
• Rola: dostawca / podmiot stosujący / obie
  

2. Zasady przewodnie (nadzór człowieka, przejrzystość, sprawiedliwość, ochrona danych, bezpieczeństwo, solidność)
3. Role i odpowiedzialność (kierownictwo, AI Officer/menedżer AIMS, właściciele zabezpieczeń)
4. Dozwolone wykorzystanie

• Poziomy autonomii dla każdego przypadku użycia
  
• Granice korzystania z narzędzi, eskalacja/HITL
  

5. Zakazane wykorzystanie (lista zakazów: wszystkie praktyki zakazane przez art. 5 AI Act, np. rozpoznawanie emocji w miejscu pracy, scoring społeczny; do tego własne zakazy, np. autonomiczne decyzje kadrowe/prawne)
6. Ochrona danych i poufność (dopuszczalne dane w promptach/wyszukiwaniu)
7. Zatwierdzone narzędzia i dostawcy (+ due diligence dostawców A.10.3)
8. Oznaczanie treści generowanych przez AI (art. 50 AI Act, przejrzystość, model cards, instrukcja obsługi)
9. Ocena ryzyka i skutków (zobowiązanie)
10. Szkolenia i kompetencje w zakresie AI (plan, częstotliwość)
11. Naruszenia i egzekwowanie (konsekwencje, kanał zgłoszeń)
12. Zobowiązanie do zgodności z prawem (RODO, AI Act) i ciągłego doskonalenia
13. Harmonogram przeglądów, kontrola wersji, podpisy zatwierdzające
    ```

Przykład z praktyki: mierzalne cele i poświadczenie szkoleń

Polityka zaczyna działać dopiero dzięki mierzalnym celom zgodnie z klauzulą 6.2. Średniej wielkości firma z regionu DACH zatrudniająca od 500 do 2000 pracowników może skonkretyzować swoją politykę na przykład tak:

• Kompetencje (klauzula 7.2 + art. 4 AI Act): „Wszyscy pracownicy pełniący aktywną rolę związaną z AI co roku przechodzą szkolenie z kompetencji w zakresie AI; 100% poświadczeń”.
• Przejrzystość: „100% agentów wysokiego ryzyka ma do Q3 aktualną model card i instrukcję dla użytkownika”.
• Pokrycie: „100% agentów AI w środowisku produkcyjnym jest rejestrowanych w inwentarzu AI i przypisywanych do klasy ryzyka w ciągu 14 dni od uruchomienia”.

Takie cele sprawiają, że polityka jest gotowa do audytu, i zamykają lukę między deklaracjami a dowodami, dokładnie tam, gdzie zawodzą ogólnikowe polityki.

Dla agencji i B2B

Dla agencji marketingowych polityka AI ma podwójne znaczenie: wewnętrznie jako dowód własnych kompetencji zgodnie z art. 4 AI Act, zewnętrznie jako sygnał zaufania w pitchach i przetargach. Klienci ze spółek z indeksów DAX, SMI i ATX coraz częściej pytają o ład AI w zapytaniach ofertowych (RFP). Dla decydentów B2B polityka to pierwszy i niedrogi krok w stronę certyfikacji ISO 42001 (według naszych szacunków ok. 50 000-150 000 EUR i 9-12 miesięcy dla firmy zatrudniającej od 500 do 2000 pracowników, stan na 2026 r.): można ją przygotować w cztery do ośmiu tygodni na etapie tworzenia pakietu polityk, a stanowi ona fundament dla procesów zarządzania ryzykiem, skutkami i cyklem życia. Pomagamy przygotować sprawdzalną punkt po punkcie, egzekwowalną politykę AI i powiązać ją z mierzalnymi celami, bez frazesów i z myślą o gotowości do audytu.