Jak napisać regulamin korzystania z AI dla pracowników w firmie?

Regulamin korzystania z AI w firmie powinien odpowiadać na trzy pytania: co pracownicy mogą robić z narzędziami AI, czego robić nie wolno i kto odpowiada za konkretne decyzje. Nie potrzeba 40-stronicowego dokumentu. U większości firm wystarczają cztery, może sześć stron z przykładami i jasną listą danych, które nie mogą opuścić firmowych systemów. Pisanie tego dokumentu warto zacząć od sprawdzenia, z czego pracownicy już korzystają, bo często okazuje się, że trzeba nadgonić za rzeczywistością, a nie ją wyprzedzić.

Zanim zaczniesz pisać: sprawdź, co się już dzieje w firmie

U zdecydowanej większości firm, z którymi rozmawiamy, pracownicy od dawna używają ChatGPT, Gemini albo Microsoft Copilota. Robią to po cichu, bo nikt nie powiedział, że można, ale nikt też nie powiedział, że nie można. To nie jest złośliwość. Narzędzie pomaga, więc go używam.

Przed napisaniem regulaminu przeprowadź krótką ankietę albo porozmawiaj bezpośrednio z kierownikami działów. Pytania proste: z jakich narzędzi AI korzystają teraz, do czego ich używają, czy zdarzało im się wrzucać dane klientów albo wewnętrzne dokumenty. Odpowiedzi zaskakują. Jeden z naszych klientów, firma dystrybucyjna z kilkudziesięcioma pracownikami, odkrył podczas takiej rozmowy, że handlowcy wklejają fragmenty umów z klientami do publicznego ChatGPT, żeby szybciej porównywać warunki płatności. Nikt nie powiedział im, że to problem. Bo nikt w ogóle o tym nie mówił.

Ten obraz wyjściowy jest ważny, bo regulamin musi odpowiadać na prawdziwe zachowania w firmie, a nie na wyobrażenie o tym, co pracownicy mogą robić. Szablon pobrany z internetu tego nie zastąpi.

Co musi znaleźć się w każdym regulaminie AI

Dokument powinien mieć kilka wyraźnych sekcji. Bez nich szybko robi się nieczytelny, a pracownik zamiast szukać odpowiedzi na konkretne pytanie, odkłada plik na bok.

• Zakres stosowania: kogo obejmuje regulamin (wszyscy pracownicy, ale też podwykonawcy, stażyści i firmy zewnętrzne mające dostęp do systemów), których narzędzi AI dotyczy i jakie obszary pracy reguluje.
• Dozwolone zastosowania z przykładami: lista konkretna, nie ogólna. Przykłady: redagowanie korespondencji e-mail bez danych osobowych nadawcy, streszczanie wewnętrznych procedur pozbawionych danych poufnych, tworzenie szkiców treści marketingowych, tłumaczenia robocze materiałów nieoznaczonych klauzulą poufności.
• Zakazane działania: dokładna lista bez niedomówień. Nie "należy zachować ostrożność z danymi wrażliwymi", tylko "zakazane jest wklejanie danych osobowych klientów do zewnętrznych narzędzi AI".
• Odpowiedzialność za treść wygenerowaną przez AI: jasne stwierdzenie, że każdy materiał wychodzący z firmy, który powstał z pomocą AI, musi być zweryfikowany przez człowieka przed wysyłką. Pracownik podpisuje się pod treścią. Nie model.
• Procedura zgłaszania incydentów: co zrobić, jeśli coś pójdzie nie tak. Kto jest pierwszym kontaktem, jak go znaleźć i w jakim czasie reagować.
• Zasady aktualizacji dokumentu: regulamin AI starzeje się znacznie szybciej niż regulamin pracy. Warto zapisać, że przegląd odbywa się co pół roku albo przy każdej istotnej zmianie używanych narzędzi.

Dane firmowe a AI: co wolno wrzucać, czego absolutnie nie

To serce każdego regulaminu. I najczęstsze źródło problemów, bo pracownicy zwykle nie wiedzą, gdzie jest granica.

Zacznij od prostego podziału danych na trzy kategorie. Dane publiczne: informacje dostępne na stronie firmy, katalogi produktów, materiały marketingowe. Można je wrzucać do narzędzi AI bez ograniczeń. Dane wewnętrzne: procedury operacyjne, szablony dokumentów, cenniki robocze, raporty bez danych osobowych. Tu potrzebna jest ostrożność i najlepiej korzystać tylko z firmowych narzędzi AI, nie publicznych. Dane poufne i osobowe: numery PESEL, adresy i dane kontaktowe klientów, treść umów z klauzulą poufności, wyniki ocen pracowniczych, dokumentacja medyczna. Zakaz bez wyjątków.

Typowy błąd wygląda tak: pracownik wkleja do ChatGPT cały e-mail od klienta, łącznie z jego imieniem, firmą i treścią zapytania handlowego. Cel zrozumiały: chce szybko napisać odpowiedź. Ale dane klienta trafiają do zewnętrznego systemu bez umowy powierzenia przetwarzania danych. To potencjalne naruszenie RODO, które przy kontroli będzie trudne do wytłumaczenia.

W regulaminie zamieść tabelę z dwiema kolumnami: "mogę zrobić" i "nie mogę zrobić", z konkretnymi przykładami z branży firmy. Działa lepiej niż trzy strony tekstu z definicjami.

Kto w firmie odpowiada za politykę AI

Dokument bez właściciela to dokument, który nikt nie aktualizuje i nikt nie egzekwuje. Regulamin musi mieć wskazaną konkretną osobę albo rolę, nie tylko nazwę działu.

W firmach do kilkudziesięciu pracowników to często właściciel albo dyrektor operacyjny. W firmach od kilkudziesięciu wzwyż zwykle ktoś z działu IT albo osoba odpowiedzialna za compliance. Ta osoba powinna mieć też uprawnienia do oceny nowych narzędzi AI, które chcą wprowadzać poszczególne działy. Kiedy handlowcy przynoszą propozycję nowego asystenta do obsługi CRM, ktoś musi sprawdzić, gdzie trafiają dane, zanim wszyscy zaczną z tego korzystać.

Warto też wyznaczyć pierwszego kontaktu do zgłaszania incydentów. Może to być ta sama osoba. Chodzi o to, żeby pracownik, który podejrzewa, że coś poszło nie tak, wiedział dokładnie, do kogo iść i nie czekał z tym do przyszłego tygodnia.

Jak wdrożyć regulamin, żeby pracownicy faktycznie go zapamiętali

Wysłanie e-maila z PDF-em w załączniku to najpopularniejszy i zarazem najgorszy sposób na wdrożenie polityki AI. Większość pracowników plik otworzy, przewinie i zamknie. Po dwóch tygodniach nikt nie będzie pamiętał szczegółów.

Kilka rzeczy, które u naszych klientów działają lepiej:

• Krótkie spotkanie działowe, 30 do 45 minut, z omówieniem konkretnych przykładów: co wolno, czego nie, co się stanie, jeśli pracownik popełni błąd. Pytania podczas spotkania są zwykle cenniejsze niż sama prezentacja, bo pokazują, gdzie są prawdziwe wątpliwości.
• Podpisanie oświadczenia o zapoznaniu się z regulaminem. Prosta formalność, ale sprawia, że dokument przestaje być opcjonalny.
• Skrótowa karta A4 z najważniejszymi zasadami i tabelą przykładów. Do wrzucenia do intranetu, Teams albo na tablicę ogłoszeń. Nie jako zamiennik pełnego dokumentu, tylko jako szybka ściąga przy biurku.
• Aktualizacja onboardingu dla nowych pracowników. Regulamin AI powinien być częścią materiałów na wejściu do firmy, obok zasad bezpieczeństwa IT i regulaminu pracy.

U jednego z klientów po spotkaniu zrobiliśmy krótki quiz: dziesięć scenariuszy, każdy z pytaniem "czy to jest OK?". Pracownicy przyznali, że dopiero po tym quizie wiedzieli, co regulamin naprawdę mówi. Bez scenariuszy tekst brzmi abstrakcyjnie.

Od czego zaczynamy u klientów RedAI

Kiedy firma zgłasza się do nas z prośbą o pomoc przy polityce AI, zaczynamy od krótkiego audytu. Sprawdzamy, jakich narzędzi AI pracownicy używają już teraz, co na ten temat mówią istniejące dokumenty takie jak regulamin IT, umowy o poufności i polityka bezpieczeństwa oraz czy firma przetwarza dane wymagające szczególnej ostrożności, na przykład dane medyczne albo finansowe klientów.

Na tej podstawie przygotowujemy projekt dokumentu dostosowany do specyfiki firmy: jej branży, wielkości i rodzaju danych, z którymi pracownicy pracują na co dzień. Producent z sektora farmaceutycznego ma inne potrzeby niż agencja marketingowa. Szablon do samodzielnego wypełnienia rzadko to oddaje.

Potem przeprowadzamy szkolenie dla zespołu. Krótkie, konkretne, z przykładami z branży klienta. Regulamin czytają wszyscy, ale rozumieją go tylko ci, którzy mieli okazję zadać pytanie.

Jeśli chcesz sprawdzić, jak to wyglądałoby w Twojej firmie i od czego warto zacząć, zapraszamy na bezpłatny audyt. A żeby zobaczyć, jak polityka AI działa u innych, zajrzyj do naszych realnych wdrożeń.