Polityka korzystania z AI
Polityka korzystania z AI to spisane zasady firmy dotyczące korzystania z narzędzi AI w pracy: które narzędzia są zatwierdzone, jakie dane mogą trafić do promptów, jak weryfikuje się wyniki i kogo powiadomić, gdy coś pójdzie nie tak.
Dlaczego to ważne dla firm
Pracownicy korzystają z AI niezależnie od tego, czy polityka istnieje. Jasna polityka pozwala im robić to bezpiecznie i daje przełożonym konkretny punkt odniesienia.
Polityka działa najlepiej wtedy, gdy egzekwują ją same narzędzia, tak aby zatwierdzona droga była też tą najprostszą.
Przykład
Polityka stanowi, że dane osobowe klientów mogą trafiać wyłącznie do zatwierdzonych narzędzi z przetwarzaniem w Europie. Dział IT egzekwuje to, wydając pracownikom klucze z ograniczeniem do Europy.
Co to oznacza dla firmy korzystającej z API AI
Polityka korzystania z AI działa najlepiej, gdy każdej regule odpowiada mechanizm kontroli: zatwierdzonym narzędziom logowanie jednokrotne (SSO) i listy dozwolonych, regułom dotyczącym danych ustawienia regionu i retencji, a wydatkom budżety. Niech będzie na tyle krótka, żeby pracownicy ją przeczytali, i aktualizujcie ją przy każdym nowym narzędziu. Na przykład firma doradcza zatrudniająca 150 osób spisuje dwustronicową politykę, która wymienia trzy zatwierdzone narzędzia, zakazuje wprowadzania danych osobowych klientów do jakiegokolwiek innego narzędzia i wskazuje, komu zgłosić pomyłkę w ciągu jednego dnia roboczego.
Gdzie pojęcie jest zdefiniowane: Żaden przepis nie wymaga dokumentu nazwanego polityką korzystania z AI. Najbliższym punktem zaczepienia w prawie UE jest obowiązek dotyczący kompetencji w zakresie AI z art. 4 AI Act, w brzmieniu nadanym rozporządzeniem (UE) 2026/1744: dostawcy i podmioty stosujące podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu, a spisana polityka jest jednym z typowych sposobów, aby to robić.
Jak robi to Standard Compute
Nasz bezpłatny wzór polityki korzystania z AI ma dwanaście edytowalnych sekcji. Wymienione w nim mechanizmy kontroli odpowiadają ustawieniom w Standard Compute: logowaniu jednokrotnemu (SSO) przez SAML, listom dozwolonych dostawców i modeli, ograniczeniu do Europy, zerowej retencji danych (ZDR), stałym miesięcznym budżetom i dziennikowi audytu.
Pytania, które zadają firmy
- Czy polityka korzystania z AI jest obowiązkowa według AI Act?
- AI Act nie wymaga dokumentu o takiej nazwie. Art. 4 zobowiązuje dostawców i podmioty stosujące do podejmowania środków, które wspierają rozwój kompetencji w zakresie AI, a od zmian wprowadzonych omnibusem cyfrowym stanowi, że obowiązek ten nie oznacza konieczności zapewnienia osiągnięcia określonego poziomu kompetencji w zakresie AI przez poszczególne osoby. Polityka razem ze szkoleniami to praktyczny sposób, aby pokazać te środki.
- Co powinna obejmować polityka korzystania z AI?
- Co najmniej: zatwierdzone narzędzia, dane, które mogą trafić do promptów, sposób sprawdzania wyników przed ich użyciem, właściciela polityki i sposób zgłaszania problemów. Dodajcie reguły dla agentów i kluczy API, jeśli pracownicy budują własne narzędzia.
- Czy musimy informować przedstawicieli pracowników lub związki zawodowe?
- W przypadku systemów AI wysokiego ryzyka w miejscu pracy art. 26 ust. 7 AI Act zobowiązuje podmioty stosujące będące pracodawcami, aby przed oddaniem systemu do użytku poinformowały przedstawicieli pracowników i pracowników, których to dotyczy. W Polsce obowiązki informacyjne i konsultacyjne wobec związków zawodowych lub rady pracowników mogą również mieć zastosowanie; warto omówić wdrożenie z nimi na wczesnym etapie.