Twoi pracownicy już używają ChatGPT do firmowej roboty. Wklejają w niego maile od klientów, oferty, fragmenty umów i dane z faktur. Pytanie nie brzmi „czy", tylko „na ilu kontach prywatnych" i „co z tym dalej". Polityka AI w firmie nie musi mieć trzydziestu stron — wystarczy jedna kartka, której zespół nie odłoży po pierwszym akapicie.
W ostatnich miesiącach mieliśmy kilka rozmów, które zaczynały się tak: „chcemy wdrożyć AI". A potem okazywało się, że AI już jest wdrożone — tylko nikt o tym nie wie. Pracownicy, którzy mają być wspierani, sami sobie pomogli. Z prywatnych przeglądarek, prywatnych kont Google, prywatnych planów ChatGPT Plus. Z najlepszymi intencjami. I z firmowymi danymi.
To nie jest artykuł o tym, że trzeba „zakazać AI" albo „przyjąć compliance framework". To jest artykuł o tym, jak w trzy godziny zrobić coś, co dorośli ludzie naprawdę będą respektować.
Co się dzieje, zanim w ogóle zaczniesz
Typowy obrazek z polskiego MŚP. Handlowiec dostaje zapytanie od klienta — sześć akapitów po niemiecku. Wkleja je do ChatGPT.com, każe przetłumaczyć i streścić. Księgowa dostaje załącznik PDF z dziwnie sformatowaną fakturą — wrzuca do darmowego konwertera „PDF to Excel" w nieznanym serwisie. Prawnik wewnętrzny każe AI „uprościć ten paragraf z umowy NDA". Asystent zarządu prosi o przepisanie maila prezesa „tak żeby brzmiał ostrzej".
Każde z tych działań jest racjonalne. Każde z nich oszczędza ludziom czas. I każde z nich wysyła firmowe dane do systemu, który Twoja firma nigdy nie autoryzowała, na konto, do którego nie masz dostępu, z warunkami, których nikt nie czytał.
U jednego z naszych klientów — 18-osobowa kancelaria prawna w średniej wielkości mieście — krótki audyt rozmów wykazał, że jedenastu z osiemnastu pracowników regularnie używało ChatGPT.com na prywatnych kontach do pracy zawodowej. Średnio od czterech miesięcy. Wśród wklejanych treści były fragmenty umów klientów, treści wezwań do zapłaty i jedna kompletna opinia prawna. Nikt nikomu nie chciał zrobić krzywdy. Po prostu działało.
Trzy ryzyka, które naprawdę liczą się dla MŚP
Internetowe checklisty „AI compliance" potrafią mieć sześćdziesiąt punktów. Dla 25-osobowej firmy to absurd. W praktyce ryzyk, które naprawdę musisz adresować, jest trzy.
Wyciek danych klientów. Wszystko, co Twoi pracownicy wklejają w konsumencki czat AI, może (w zależności od dostawcy i planu) zostać użyte do treningu modeli, trafić do logów dostępnych pracownikom dostawcy albo zostać ujawnione przy ewentualnym wycieku po stronie dostawcy. Z perspektywy RODO Twoja firma jest administratorem tych danych — niezależnie od tego, czy pracownik użył konta firmowego, czy prywatnego.
Halucynacje wstawione do dokumentu, który idzie do klienta. Model generuje brzmiącą rozsądnie odpowiedź, pracownik kopiuje, klient czyta. Numer paragrafu, którego nie ma. Cytat z normy, której nie ma. Termin, który jest o tydzień zły. To nie jest „błąd AI" — to jest błąd Twojej firmy, podpisany Twoją pieczątką.
Naruszenie umów z klientami. Coraz więcej polskich kontraktów B2B zawiera klauzule typu „dane przetwarzane wyłącznie w UE", „bez podpowierzenia poza zatwierdzonej liście" lub „bez użycia AI bez pisemnej zgody". Jeden wklejony do ChatGPT.com akapit może oznaczać złamanie umowy, której pracownik nigdy nie widział.
Pozostałe ryzyka (prawa autorskie do outputu, wpływ na własność intelektualną, dyskryminacja w rekrutacji) też istnieją. Ale jeśli kontrolujesz te trzy, masz pokryte 90% tego, co realnie wybucha.
Polityka na jedną kartkę
Polityka, której zespół nie przeczyta, nie istnieje. Cel: jedna strona A4, w punktach, w języku, którym ludzie naprawdę mówią. Oto szkielet, który u naszych klientów się sprawdza.
- Co jest dozwolone. Nazwij konkretne narzędzia, na które firma się zgadza (np. ChatGPT Business / Team na koncie firmowym, Microsoft 365 Copilot, lokalny model do podsumowań). Wszystko inne — domyślnie nie.
- Co jest zakazane. Wklejanie do publicznych czatów AI: danych osobowych klientów, treści umów, ofert, faktur, treści maili od klientów, kodu źródłowego, wewnętrznych dokumentów finansowych. Krótka lista, prostym językiem.
- Kiedy AI weryfikuje człowiek. Każdy output, który idzie na zewnątrz (mail do klienta, oferta, opinia, kalkulacja), musi być przeczytany przez człowieka. Bez wyjątku. Liczby — sprawdzone w źródle.
- Komu zgłaszać wątpliwości. Jedna osoba w firmie (najczęściej osoba odpowiedzialna za IT lub compliance). Mail, kanał Teams, cokolwiek — byleby był znany.
- Co się stanie, jeśli pracownik się pomyli. Pierwsze zdarzenie — rozmowa i przeszkolenie. Powtarzające się — konsekwencje pracownicze. Bez polowania na czarownice, ale bez udawania, że nic się nie stało.
Tyle. Jedna strona. Podpis pracownika przy umowie lub aneks do regulaminu pracy. Krótkie szkolenie dla zespołu — 45 minut, raz na pół roku.
Wybór narzędzia — konsumenckie kontra firmowe
Drugi krok po napisaniu polityki: dać pracownikom narzędzie, które mogą używać legalnie. Bo jeśli zakażesz konsumenckiego ChatGPT i nie dasz nic w zamian, polityka zamieni się w fikcję w trzy tygodnie.
Różnica między planem konsumenckim a firmowym jest realna. W planach typu ChatGPT Team / Enterprise, Microsoft 365 Copilot for Business, Claude for Work — dane domyślnie nie idą do treningu modeli, retencja może być zerowa, dostawca ma podpisane DPA (umowa powierzenia danych) zgodne z RODO. To nie marketing, to różnica kontraktowa.
We wspomnianej kancelarii zrobiliśmy następujące. Audyt narzędzi: 2 godziny. Polityka na jedną kartkę: 3 godziny pracy zespołu z prawnikiem. Migracja na ChatGPT Team dla 18 osób + Microsoft 365 Copilot dla 6 osób z biura: koszt łączny około 2 700 zł netto miesięcznie. Szkolenie zespołu: 90 minut. Całość — od decyzji do działania — w 10 dni roboczych. Po pół roku konta prywatne na ChatGPT.com w pracy spadły z 11 osób do zera, a wewnętrzny audyt nie znalazł żadnego nowego incydentu.
Cena, którą się płaci — kilka tysięcy złotych miesięcznie. Cena, której się unika — dyskusje z klientem o tym, czemu fragment jego umowy znalazł się w cudzym czacie.
Co dalej
Jeśli w Twojej firmie nie ma polityki AI, prawdopodobnie nie potrzebujesz konsultanta od „strategii AI". Potrzebujesz pół dnia, kogoś, kto już to robił, i decyzji, kogo z zarządu w niedzielę nie obudzi telefon od wkurzonego klienta.
Jeśli chcesz, możemy razem przejść przez to: audyt dzisiejszych nawyków zespołu, jedna kartka polityki, wybór planu narzędzia, krótkie szkolenie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Polityka AI w firmie nie jest dokumentem prawnym. Jest umową między Tobą a zespołem, że wiemy, czego nie wklejamy w internet.