Większość firmowych polityk AI ma ten sam problem: liczy dwanaście stron, powstała w dziale prawnym i nikt w zespole marketingu jej nie przeczytał. Tymczasem copywriter, który o 22:00 wkleja do czatu brief klienta z danymi sprzedażowymi, potrzebuje jednej rzeczy: jasnej odpowiedzi, czy wolno mu to zrobić. Poniższy szablon jest zbudowany właśnie pod takie sytuacje. Mieści się na dwóch stronach, ma siedem sekcji i każdą z nich da się uzupełnić w ciągu jednego spotkania.
Dokument nie zastępuje analizy prawnej. Jeśli pracujecie dla klientów z branż regulowanych albo wdrażacie systemy, które mogą podlegać wymogom AI Act, zacznijcie od checklisty zgodności AI Act dla działu marketingu, a politykę traktujcie jako jej operacyjne przełożenie na codzienną pracę.
Zakres dokumentu i kogo obowiązuje
Pierwsza sekcja odpowiada na pytanie, które w praktyce pada najczęściej: czy to mnie dotyczy. Wpiszcie tu wprost wszystkie grupy osób, które tworzą lub zatwierdzają treści: pracowników etatowych, freelancerów, podwykonawców i stażystów. Polityka, która obejmuje tylko etat, zostawia lukę dokładnie tam, gdzie AI jest używane najintensywniej, czyli u zewnętrznych autorów rozliczanych od tekstu.
Wzór zapisu do skopiowania:
- Obowiązuje: wszystkie osoby tworzące, redagujące lub publikujące materiały w imieniu firmy albo jej klientów, niezależnie od formy współpracy.
- Dotyczy: tekstów, grafik, wideo, nagrań głosowych, kodu na stronach oraz analiz danych przygotowanych z użyciem narzędzi generatywnych.
- Nie dotyczy: standardowych funkcji edytorów (sprawdzanie pisowni, autokorekta), o ile nie generują nowych treści.
Warto też dopisać jedno zdanie o obowiązku szkoleniowym. Art. 4 AI Act, stosowany od 2 lutego 2025 roku, wymaga od podmiotów używających systemów AI zapewnienia odpowiedniego poziomu kompetencji w tym zakresie. Polityka jest naturalnym miejscem, by wskazać, kto i kiedy przechodzi takie szkolenie.
Lista dozwolonych i zakazanych narzędzi
Zamiast ogólnych sformułowań typu „korzystamy z AI odpowiedzialnie” lepiej działa prosta tabela z trzema statusami. Zespół widzi od razu, czego może używać bez pytania, a co wymaga zgody.
| Status | Przykładowe narzędzia | Warunek |
|---|---|---|
| Dozwolone | Firmowe konto czatu z wyłączonym trenowaniem na danych, generator grafik w planie firmowym | Logowanie kontem służbowym, nie prywatnym |
| Za zgodą | Nowe wtyczki do przeglądarki, narzędzia do transkrypcji, agenci z dostępem do skrzynki lub dysku | Akceptacja osoby odpowiedzialnej za politykę, wpis do rejestru |
| Zakazane | Darmowe wersje narzędzi bez umowy powierzenia danych, aplikacje o nieznanym operatorze | Brak wyjątków dla danych klientów |
Kluczowe jest rozróżnienie konta prywatnego i służbowego. To samo narzędzie może mieć zupełnie inne warunki przetwarzania danych w wersji konsumenckiej i biznesowej, dlatego w tabeli wskazujcie konkretny plan, a nie samą nazwę produktu. Listę aktualizujcie przy każdym przeglądzie polityki; nowe narzędzia pojawiają się szybciej, niż ktokolwiek nadąża je oceniać.
Dane, których nie wolno wklejać do modeli
To najważniejsza sekcja całego dokumentu i jedyna, którą warto wydrukować i powiesić przy biurku. Lista powinna być zamknięta i konkretna, bez słowa „wrażliwe”, które każdy rozumie inaczej.
- Dane osobowe klientów końcowych: imiona i nazwiska, adresy e-mail, numery telefonów, historie zamówień.
- Dane finansowe klientów agencji: przychody, marże, budżety mediowe, jeśli nie zostały wcześniej opublikowane.
- Treść umów, ofert przetargowych i korespondencji objętej klauzulą poufności.
- Hasła, klucze API, tokeny dostępowe i eksporty z paneli administracyjnych.
- Niepublikowane informacje o produktach, kampaniach i premierach klienta.
- Dane pracowników: oceny, wynagrodzenia, informacje kadrowe.
Do sekcji dodajcie krótką instrukcję anonimizacji: zamiana nazwy klienta na „Klient A”, zaokrąglenie liczb, usunięcie nazwisk z transkrypcji. W ten sposób zespół nie dostaje samego zakazu, tylko sposób, jak mimo wszystko skorzystać z narzędzia przy analizie briefu czy raportu.
Obowiązkowa weryfikacja przed publikacją
Polityka powinna jasno mówić, że odpowiedzialność za treść ponosi człowiek, który ją publikuje, a nie narzędzie. W praktyce oznacza to wpisanie weryfikacji w istniejący proces redakcyjny, a nie tworzenie osobnej ścieżki. Jeśli w zespole działa już proces akceptacji treści w agencji, wystarczy dopisać do niego trzy kontrolne pytania:
- Czy każda liczba, data i nazwa własna została sprawdzona w źródle pierwotnym?
- Czy cytaty i wypowiedzi przypisane osobom rzeczywiście padły?
- Czy tekst nie powiela fragmentów cudzych materiałów w sposób, który narusza prawa autorskie?
Warto przy tym rozróżnić poziomy ryzyka. Post w mediach społecznościowych z ogólną poradą wymaga innej kontroli niż artykuł ekspercki z danymi rynkowymi czy treść dla klienta z branży medycznej. W szablonie wpiszcie, które typy materiałów przechodzą przez drugą parę oczu obowiązkowo. Dobrym punktem odniesienia jest etap fact-checku opisany w schemacie brief, draft, fact-check, publish.
Oznaczanie materiałów i informowanie klienta
Ta sekcja ma dwa wymiary: wobec odbiorców i wobec klienta agencji. Wobec odbiorców punktem wyjścia jest art. 50 AI Act, którego obowiązki przejrzystości stosuje się od 2 sierpnia 2026 roku. Dotyczą one między innymi deepfake’ów oraz tekstów generowanych przez AI publikowanych w celu informowania opinii publicznej, przy czym tekst, który przeszedł ludzką kontrolę redakcyjną i za który ktoś ponosi odpowiedzialność redakcyjną, korzysta z wyjątku. Pełne brzmienie przepisu znajdziecie w tekście rozporządzenia 2024/1689 na EUR-Lex.
Praktyczny zapis do polityki może wyglądać tak: „Materiały wizualne przedstawiające realistyczne osoby, miejsca lub zdarzenia, wygenerowane lub istotnie zmienione przez AI, oznaczamy w opisie lub metadanych. Teksty przechodzą weryfikację redakcyjną zgodnie z sekcją 4 i za ich treść odpowiada wskazany redaktor”.
Wobec klienta sprawa jest prostsza, ale równie istotna. Wpiszcie, czy informujecie klienta o użyciu AI domyślnie, czy na życzenie, i odwołajcie się do zapisów umowy. Część klientów zastrzega w umowach zakaz używania narzędzi generatywnych przy ich materiałach; polityka powinna nakazywać sprawdzenie tego przed rozpoczęciem projektu.
Ścieżka zgłaszania wątpliwości i incydentów
Nawet najlepsza lista zakazów nie przewidzi wszystkiego. Dlatego polityka potrzebuje prostej ścieżki: do kogo piszę, gdy nie wiem, czy mogę czegoś użyć, i co robię, gdy coś już poszło nie tak.
- Wątpliwość przed działaniem: wiadomość do osoby odpowiedzialnej za politykę, odpowiedź w ciągu jednego dnia roboczego.
- Incydent: wklejenie zakazanych danych, publikacja treści z błędem merytorycznym wygenerowanym przez AI, reklamacja klienta. Zgłoszenie od razu, bez czekania na koniec dnia.
- Wyciek danych osobowych: natychmiastowe przekazanie do inspektora ochrony danych albo osoby pełniącej tę funkcję, bo na zgłoszenie naruszenia do UODO RODO daje 72 godziny.
Ważne, żeby ta sekcja nie brzmiała jak zapowiedź kar. Zespół, który boi się konsekwencji, ukrywa incydenty, a ukryty incydent jest zawsze droższy niż zgłoszony. Dobrą praktyką jest prowadzenie prostego rejestru zgłoszeń, z którego co kwartał wyciąga się wnioski do aktualizacji polityki. Firmy, które poszły krok dalej i zbudowały wewnętrznego asystenta AI na bazie wiedzy agencji, mogą podpiąć pod niego samą politykę, tak by odpowiadał na pytania o dozwolone narzędzia.
Przegląd polityki: kto i jak często ją aktualizuje
Ostatnia sekcja to metryczka dokumentu. Wskażcie z imienia i nazwiska właściciela polityki (zwykle head of content albo operations manager), datę ostatniej zmiany i termin kolejnego przeglądu. Proponujemy rytm kwartalny dla listy narzędzi i półroczny dla reszty dokumentu, z przeglądem nadzwyczajnym po każdym poważnym incydencie albo zmianie przepisów.
Przy przeglądzie warto zadać zespołowi trzy pytania: z jakich narzędzi korzystacie, których nie ma na liście; która zasada przeszkadza w pracy i dlaczego; jakie sytuacje nie zostały opisane. Odpowiedzi pokazują, gdzie polityka rozjeżdża się z praktyką, zanim rozjedzie się na dobre.
Na koniec jedna zasada redakcyjna: każda zmiana skraca dokument albo zostawia go tej samej długości. Polityka, która rośnie z każdym przeglądem, po roku wraca do punktu wyjścia, czyli do dwunastu stron, których nikt nie czyta.
FAQ
Czy mała agencja w ogóle potrzebuje polityki AI?
Tak, i to szczególnie. W małym zespole jedna osoba często pracuje dla kilku klientów naraz, więc ryzyko wklejenia danych jednego klienta przy pracy nad materiałem drugiego jest większe. Dwustronicowy dokument wystarczy.
Czy polityka AI musi być zatwierdzona przez prawnika?
Nie jest to wymóg, ale warto, by prawnik przejrzał sekcje o danych osobowych, oznaczaniu treści i informowaniu klienta. Pozostałe części to decyzje organizacyjne, które zespół może podjąć samodzielnie.
Czy freelancerzy muszą podpisywać politykę AI?
Najlepiej, by polityka była załącznikiem do umowy współpracy albo by umowa się do niej odwoływała. Sama informacja mailowa nie daje podstawy do egzekwowania zasad, gdy coś pójdzie nie tak.
Czy trzeba oznaczać każdy tekst napisany z pomocą AI?
Nie. Art. 50 AI Act przewiduje wyjątek dla tekstów, które przeszły ludzką kontrolę redakcyjną i za które ktoś ponosi odpowiedzialność redakcyjną. Obowiązek oznaczania dotyczy przede wszystkim realistycznych materiałów wizualnych i dźwiękowych oraz treści publikowanych bez takiej kontroli.
Jak często aktualizować listę dozwolonych narzędzi?
Co najmniej raz na kwartał, a dodatkowo po każdej zmianie warunków korzystania z narzędzia, z którego zespół już korzysta. Zmiana planu albo regulaminu potrafi z dnia na dzień przesunąć narzędzie z kategorii dozwolonych do zakazanych.