Polityka AI w firmie: podpis pracownika nie przenosi odpowiedzialności

Politykę AI w małej firmie zacznij od spisu zadań, do których pracownicy używają tych narzędzi. Następnie określ dopuszczone zastosowania i dane, osoby zatwierdzające użycie oraz sposób zgłaszania incydentów. Podpis pracownika potwierdza zapoznanie się z zasadami, ale nie przenosi na niego obowiązków administratora danych: Komisja Europejska wyjaśnia, że organizacja decydująca o celach i sposobach przetwarzania odpowiada za zgodność z RODO, a jej pracownicy przetwarzają dane w ramach jej zadań.

Praktyczny dokument może składać się z zasad dla pracowników i aktualizowanego wykazu narzędzi. Przed dopuszczeniem zastosowań wpływających na sytuację osób potrzebna jest jednak odrębna ocena. UODO udostępnia pytania dla MŚP korzystających z gotowych systemów AI oraz wersję rozszerzoną, obejmującą także klasyfikację ryzyka i wpływ na prawa podstawowe; urząd zastrzega, że listy nie zastępują analizy ryzyka ani oceny skutków dla ochrony danych.

Spisz rzeczywiste zastosowania

Zacznij od rozmowy z osobami odpowiedzialnymi za zadania, a nie od katalogu kupionych usług. Dla każdego użycia zapisz cel, nazwę i wariant narzędzia, rodzaj wprowadzanych informacji, sposób wykorzystania wyniku oraz osobę zatwierdzającą. Uwzględnij także zastosowania nieformalne, na przykład przygotowywanie odpowiedzi klientom przez prywatne konto pracownika. Taki przypadek wymaga oceny nawet wtedy, gdy firma nie płaci za usługę.

Przy każdym zastosowaniu oznacz, czy jest dopuszczone, wstrzymane do oceny czy niedopuszczone. Zapisz, czy wynik pozostaje szkicem, czy ma wpływać na decyzję dotyczącą konkretnej osoby. To rozróżnienie pozwala oddzielić redagowanie publicznego opisu produktu od oceniania kandydatów do pracy. W spisie wskaż również, gdzie trafiają wyniki i kto może uzyskać do nich dostęp.

Ułóż wykaz narzędzi i danych

Załącznik do polityki przygotuj jako tabelę z kolumnami: narzędzie i wariant usługi, dozwolone zadanie, dopuszczalne dane, dane wyłączone, warunki użycia, osoba zatwierdzająca oraz termin ponownej oceny. Sama nazwa marki nie wystarcza, jeśli firma dopuszcza tylko określony wariant lub konfigurację. Właściciel wykazu powinien móc zmienić pojedynczy wpis po ocenie nowej funkcji, bez przepisywania całej polityki.

Warunkowy przykład pokazuje, jak wypełnić wiersze po sprawdzeniu usług używanych w konkretnej firmie:

• Asystent do redagowania: [nazwa i wariant] | szkice treści publicznych | informacje przeznaczone do publikacji | bez danych klientów, pracowników i tajemnic firmy | [osoba zatwierdzająca].
• Transkrypcja rozmów: [nazwa i wariant] | [dokładny cel] | wstrzymane do oceny danych uczestników, warunków dostawcy i ustawień przechowywania | [osoba oceniająca].
• System do selekcji kandydatów: [nazwa i wariant] | [dokładna funkcja] | wstrzymane do odrębnej oceny danych i klasyfikacji systemu | [osoba oceniająca].

Przykładowe wpisy nie stanowią zgody na użycie takich usług. Jako domyślną zasadę firmową możesz wyłączyć wprowadzanie danych identyfikujących klientów i kandydatów, informacji o zdrowiu, danych finansowych, treści umów, haseł, kluczy dostępu i nieopublikowanych informacji firmy. Jeżeli określone zadanie wymaga wyjątku, opisz, kto ocenia konkretny cel, zakres danych i warunki dostawcy oraz kto wydaje zgodę przed użyciem.

Zapisz reguły, według których da się pracować

Główna część polityki powinna wskazywać jej adresatów, właściciela wykazu, osobę przyznającą dostęp i osobę odpowiedzialną za wynik użyty w pracy firmy. Oddziel przygotowanie szkicu przez AI od decyzji o jego wysłaniu klientowi, publikacji lub wykorzystaniu wobec pracownika. Pracownik powinien móc ustalić z dokumentu, co zrobić przed użyciem narzędzia i do kogo zwrócić się w sytuacji, której wykaz nie obejmuje.

1. Używaj wyłącznie narzędzia, wariantu i funkcji dopuszczonych do danego zadania.
2. Przed wprowadzeniem treści sprawdź kategorię danych. Zastąpienie nazwiska inicjałami nie wystarczy, jeśli osobę nadal można rozpoznać z pozostałych informacji.
3. Przed wykorzystaniem wyniku sprawdź fakty, możliwe ujawnienie danych i zgodność odpowiedzi z celem zadania.
4. Nową wtyczkę, integrację lub funkcję przesyłającą dane zgłoś do oceny przed uruchomieniem.

Dokument powinien zawierać datę obowiązywania, właściciela zasad i sposób potwierdzenia, że pracownicy je poznali. Potwierdzenie ułatwia wykazanie, że zasady przekazano; firma nadal musi zadbać o dostęp do narzędzi, ich ustawienia, szkolenie i reakcję na zgłoszenia.

Oddziel politykę od oceny systemu

Jeżeli AI filtruje zgłoszenia kandydatów, tworzy ich ranking albo ocenia pracowników, przed wpisaniem systemu na listę dopuszczonych zastosowań trzeba zbadać jego konkretną funkcję. Przykłady Komisji Europejskiej dotyczące zatrudnienia zaliczają systemy istotnie wpływające na selekcję kandydatów do zastosowań wysokiego ryzyka; opisują też zastosowania kadrowe, które nie służą takiej selekcji. O klasyfikacji nie rozstrzyga więc samo użycie AI przez dział kadr.

Opis takiego procesu przekaż IOD, jeśli został wyznaczony, albo osobie odpowiedzialnej za ochronę danych, oraz prawnikowi znającemu planowane zastosowanie. Ocena powinna objąć podstawę i zakres przetwarzania, rolę dostawcy, potrzebę oceny skutków dla ochrony danych oraz obowiązki wynikające z klasyfikacji systemu według AI Act. Do czasu rozstrzygnięcia wykaz może wskazywać status „wstrzymane do oceny”. Podpis pod polityką nie zastępuje żadnego z tych ustaleń.

Ustal prostą drogę zgłoszenia incydentu

Pracownik potrzebuje jednego kanału zgłoszenia oraz kontaktu zastępczego na czas nieobecności osoby prowadzącej sprawę. Zasada powinna obejmować zarówno przypadkowe wprowadzenie danych do niedopuszczonego narzędzia, jak i wynik ujawniający informacje, których nie powinien zawierać. Nie wymagaj od zgłaszającego samodzielnego ustalenia, czy doszło do naruszenia ochrony danych osobowych.

1. Pracownik przerywa dalsze przesyłanie danych i zgłasza zdarzenie bez zwłoki; zachowuje informacje potrzebne do ustalenia jego przebiegu.
2. W zgłoszeniu podaje narzędzie i konto, przybliżony czas, rodzaj danych oraz informację, czy wynik został komuś przekazany.
3. Wyznaczona osoba ustala zakres zdarzenia, sprawdza możliwości ograniczenia skutków u dostawcy i angażuje osobę odpowiedzialną za ochronę danych.
4. Firma dokumentuje ocenę zdarzenia oraz decyzję o ewentualnym zawiadomieniu organu nadzorczego i osób, których dane dotyczą.

Błędna odpowiedź AI wymaga poprawienia przed użyciem, lecz samo błędne zdanie nie przesądza o naruszeniu danych. Gdy mogło dojść do ujawnienia, utraty lub nieuprawnionego wykorzystania informacji o osobach, ocenę prowadzi firma według swojej procedury ochrony danych. Szybkie zgłoszenie pozwala jej ustalić fakty i podjąć działania we właściwym czasie.

Przeszkol pracowników i aktualizuj zasady

Szkolenie oprzyj na decyzjach zapisanych w polityce: wyborze zatwierdzonego wariantu, rozpoznawaniu danych wyłączonych, kontroli wyniku i zgłaszaniu pomyłki. Przykłady dla osoby redagującej publiczne opisy produktów powinny dotyczyć innych danych i decyzji niż przykłady dla rekrutera. Zakres można dostosować do roli pracownika, bo obowiązek rozwijania kompetencji w korzystaniu z AI nie oznacza jednego identycznego szkolenia dla wszystkich.

Wskaż właściciela polityki i termin jej kolejnego przeglądu. Wcześniejszą aktualizację powinno uruchamiać nowe narzędzie, zmiana funkcji lub warunków dostawcy, nowa kategoria danych albo incydent. Podczas przeglądu porównaj wykaz z rzeczywistym użyciem i sprawdź, czy osoby wymienione w procedurze nadal pełnią przypisane role. Dzięki temu pracownik otrzymuje aktualną instrukcję, a firma zachowuje odrębną ścieżkę dla decyzji wymagających oceny prawnej.

Przeczytaj także:

• AI Act wymaga kompetencji AI, ale nie narzuca jednego szkolenia
• Jak testować agenta AI: odpowiedź może być dobra, a zadanie niewykonane
• Copilot czy Gemini w firmie? Wynik 82% kontra 66% nie rozstrzyga wyboru