W Polsce mamy ustawę o AI – co to zmienia dla właścicieli firm?

Szczególnego znaczenia nabierają dane wejściowe. Część ryzyka powstaje jeszcze przed wygenerowaniem odpowiedzi, w chwili gdy pracownik przekazuje do zewnętrznego systemu umowę, korespondencję klienta, dane osobowe, informacje finansowe czy inne poufne treści. Firma powinna wiedzieć, jakie informacje trafiają do narzędzia i czy wszystkie są rzeczywiście potrzebne do wykonania danego zadania. Waga tej kwestii rośnie wraz z uruchomieniem uprawnień kontrolnych: od 28 października 2026 r. KRiBSI będzie mogła w toku kontroli żądać dostępu m.in. do korespondencji elektronicznej oraz systemów informatycznych i chmury obliczeniowej zawierających dane kontrolowanego, w zakresie, w jakim ma on do nich dostęp (art. 52 ustawy). To, co pracownicy przekazali zewnętrznym narzędziom AI, może więc stać się elementem materiału kontrolnego.

W przypadku danych osobowych punktem odniesienia pozostaje także wynikająca z RODO zasada minimalizacji danych. Organizacja powinna ocenić, czy zakres informacji przekazywanych do systemu AI jest adekwatny i ograniczony do tego, co rzeczywiście potrzebne do realizacji konkretnego celu. AI Act jest tu ważnym kontekstem regulacyjnym, ale problem kontroli zakresu danych nie zaczyna się wraz z nową ustawą.

Korzystanie z wersji enterprise może ograniczać część ryzyk związanych ze sposobem przetwarzania danych przez dostawcę, ale nie rozwiązuje za firmę podstawowego pytania: czy model w ogóle potrzebuje wszystkich informacji zawartych w dokumencie. Wybór bezpieczniejszego narzędzia powinien więc być elementem szerszego procesu zarządzania danymi.

11 sierpnia 2026 r. nie jest jedyną datą istotną dla przedsiębiorców. Część przepisów polskiej ustawy zacznie obowiązywać 28 października 2026 r., dotyczy to m.in. ww. przepisów o kontrolach, postępowaniach przed KRiBSI i karach administracyjnych, a także o opiniach indywidualnych. Równolegle firmy muszą śledzić terminy wynikające z AI Act: np. od 2 sierpnia 2026 r. – obowiązki przejrzystości z art. 50 AI Act, w tym informowanie o interakcji z systemem AI i oznaczanie treści generowanych przez AI. Dostosowanie do regulacji AI będzie więc procesem rozłożonym w czasie.

Problemem jest to, że rzeczywista skala wykorzystania AI często pozostaje poza pełną kontrolą organizacji. Jak wskazywał zastępca prezesa UODO, 54 proc. pracowników korzystających z narzędzi AI nie informuje o tym pracodawców. Raport PARP i Uniwersytetu Jagiellońskiego pokazuje dodatkowo, że tylko 38 proc. badanych firm deklarowało posiadanie polityki zarządzania danymi. Jednocześnie 64 proc. firm korzystających z AI sięgało po narzędzia darmowe i ogólnodostępne.

Z perspektywy prawnej pierwszym krokiem powinno być więc ustalenie, gdzie AI jest już faktycznie używane. Trzeba uwzględnić zarówno rozwiązania oficjalnie wdrożone przez dział IT, jak i narzędzia używane samodzielnie przez pracowników. Pracownicy wykorzystują narzędzia generatywne do streszczania umów, tłumaczenia dokumentów, przygotowywania korespondencji czy pracy na materiałach klientów. Dopiero znajomość rzeczywistego sposobu używania AI pozwala sensownie określić zasady i ocenić ryzyko.

Dlatego samo szkolenie i polityka AI mogą nie wystarczyć. Potrzebne są rozwiązania, które pozwalają stosować przyjęte zasady w codziennej pracy. Jednym z takich mechanizmów jest ograniczanie zakresu danych jeszcze przed przekazaniem dokumentu do systemu AI. Taką funkcję realizują narzędzia do lokalnej anonimizacji lub pseudonimizacji dokumentów. W tej kategorii działa m.in. Anonimizer, narzędzie które pozwala lokalnie przygotować dokument do dalszej pracy z AI i ograniczyć zakres informacji przekazywanych do zewnętrznego systemu. Wybór konkretnego rozwiązania powinien jednak wynikać z analizy ryzyka i rzeczywistych potrzeb organizacji.

Istotna jest przy tym sama zasada: jeżeli firma wymaga od pracownika ograniczenia zakresu danych przed użyciem AI, powinna zapewnić mu realny sposób wykonania tego obowiązku. Połączenie procedury organizacyjnej z zabezpieczeniem technicznym zwiększa szansę, że polityka AI będzie działała w praktyce. Anonimizacja nie zastępuje analizy prawnej, oceny ryzyka ani kontroli człowieka, ale może ograniczyć ryzyko na etapie danych wejściowych.

Nie oznacza to też, że całe ryzyko można przerzucić na pracownika. Jeżeli firma dopuszcza korzystanie z generatywnej AI, powinna jasno określić dozwolone narzędzia, zasady pracy z danymi i sposób weryfikacji wyników. Przy ocenie ewentualnego naruszenia znaczenie będzie miało również to, czy pracownik znał reguły i miał realną możliwość postąpić zgodnie z nimi. Trzeba przy tym pamiętać, że wobec organu nadzoru np. Prezesa UODO czy KRiBSI, odpowiada co do zasady firma jako administrator danych lub podmiot stosujący system AI. Świadomość reguł po stronie pracownika ma znaczenie przede wszystkim dla jego odpowiedzialności pracowniczej oraz dla oceny, czy pracodawca wdrożył odpowiednie środki organizacyjne.

Nowe instrumenty, takie jak opinie indywidualne KRiBSI, mogą zwiększyć pewność prawną przedsiębiorców, ale pozostają elementem szerszego systemu. Dla większości firm kluczowe będzie bieżące zarządzanie sposobem korzystania z AI i danymi przekazywanymi do modeli.

AI compliance nie powinno więc zaczynać się od wyboru narzędzia. Najbliższe tygodnie warto potraktować jako okres przygotowawczy: ustalić, gdzie AI jest już faktycznie używane, określić zasady dotyczące danych wejściowych i dać pracownikom realne narzędzia ich przestrzegania. Po tej dacie pytanie nie będzie już brzmieć, czy firma ma politykę AI, lecz czy potrafi wykazać, że polityka ta działa w praktyce.

Paweł Sokołowski, radca prawny z kancelarii IT Legal