Pracownik korzysta z ChatGPT i innych narzędzi AI – jakie zasady powinien wprowadzić pracodawca?

Korzystanie z narzędzi sztucznej inteligencji w pracy staje się codziennością. Pracownicy wykorzystują je do przygotowywania wiadomości e-mail, tłumaczenia dokumentów, tworzenia ofert, analizowania danych, sporządzania raportów czy podsumowywania długich materiałów.
Z punktu widzenia pracodawcy problem często nie polega więc już na odpowiedzi na pytanie, czy dopuścić AI w firmie, ale na ustaleniu, na jakich zasadach pracownicy mogą z niej korzystać.
Pozostawienie tej kwestii bez uregulowania może prowadzić do ujawnienia danych osobowych, informacji poufnych lub tajemnicy przedsiębiorstwa, wykorzystania nierzetelnych treści wygenerowanych przez AI, a także problemów związanych z prawami autorskimi.
Dlatego pracodawca powinien określić jasne zasady korzystania z narzędzi AI i zadbać o to, aby pracownicy wiedzieli nie tylko, z jakich narzędzi mogą korzystać, ale przede wszystkim jakich informacji nie wolno do nich wprowadzać.

Dlaczego pracodawca powinien zainteresować się tym, jak pracownicy korzystają z AI?

Narzędzia generatywnej sztucznej inteligencji są wyjątkowo łatwe w użyciu. Wystarczy wkleić tekst dokumentu, fragment umowy czy dane z arkusza kalkulacyjnego i poprosić system o ich analizę.
Właśnie ta prostota stanowi jedno z największych zagrożeń.
Pracownik, który chce szybko wykonać swoje zadanie, może przekazać zewnętrznemu narzędziu informacje, których firma w innych okolicznościach nigdy nie udostępniłaby podmiotowi trzeciemu.
Może to być przykładowo:
    • umowa z kontrahentem, 
    • dane klienta, 
    • CV kandydata do pracy, 
    • dane pracownika, 
    • reklamacja klienta, 
    • informacje o wynagrodzeniach, 
    • zestawienie sprzedaży, 
    • dokumentacja techniczna, 
    • informacje dotyczące cen lub marży, 
    • niepubliczne dane finansowe przedsiębiorstwa. 
Szczególnej ostrożności wymagają oczywiście dane osobowe. Europejska Rada Ochrony Danych podkreśla, że wykorzystywanie modeli AI może wiązać się z przetwarzaniem danych osobowych i wymaga oceny m.in. podstawy prawnej oraz rzeczywistego stopnia anonimowości danych

Czy pracownik może wkleić dokument firmowy do ChatGPT?

Nie powinno się przyjmować ogólnej zasady, że każdy dokument firmowy można przekazać do narzędzia AI tylko dlatego, że pracownik korzysta z niego w celu służbowym.
Przed użyciem konkretnego narzędzia należy ustalić między innymi, jak dostawca przetwarza wprowadzane informacje, w jakim celu są one wykorzystywane, jak długo mogą być przechowywane, gdzie następuje ich przetwarzanie oraz jakie rozwiązania dotyczące ochrony danych oferuje konkretna wersja usługi.
Nie bez znaczenia jest również to, czy pracownik korzysta z rozwiązania udostępnionego przez pracodawcę, czy samodzielnie założył prywatne konto w ogólnodostępnej usłudze.
UODO w sierpniu 2026 r. wskazał, że przed wdrożeniem narzędzia AI organizacja powinna przeanalizować m.in. jego zgodność z zasadami RODO, cel i zakres przetwarzania danych, dostawcę rozwiązania, ryzyka oraz potrzebę przeprowadzenia oceny skutków dla ochrony danych. 
Z punktu widzenia pracodawcy bezpieczniejsze jest zatem wskazanie konkretnych, zaakceptowanych narzędzi, zamiast pozostawienia każdemu pracownikowi swobody wyboru aplikacji AI.

Jakich informacji pracownik nie powinien wprowadzać do AI?

To jeden z najważniejszych elementów firmowej polityki korzystania z AI.
Pracodawca powinien jasno określić kategorie informacji, których nie wolno przekazywać do zewnętrznych narzędzi AI, chyba że konkretne rozwiązanie zostało wcześniej zatwierdzone do przetwarzania takich danych.
W szczególności ograniczenia powinny dotyczyć:
    • danych osobowych pracowników, klientów i kontrahentów,
    • szczególnych kategorii danych osobowych, w tym danych dotyczących zdrowia,
    • informacji stanowiących tajemnicę przedsiębiorstwa,
    • informacji poufnych otrzymanych od klientów lub kontrahentów,
    • haseł, danych dostępowych i informacji dotyczących zabezpieczeń,
    • niepublicznych danych finansowych i handlowych,
    • dokumentacji objętej obowiązkiem zachowania poufności.
Samo napisanie w procedurze „nie wolno wprowadzać danych poufnych” może być niewystarczające. Pracownik powinien wiedzieć, co firma uważa za informację poufną i jak postąpić, gdy ma wątpliwości.
Kancelaria może pomóc w przygotowaniu takiego katalogu z uwzględnieniem rodzaju działalności przedsiębiorstwa oraz informacji, którymi rzeczywiście posługują się jego pracownicy.

Czy można korzystać z AI po usunięciu danych osobowych?

Anonimizacja lub odpowiednie usunięcie informacji identyfikujących może w wielu sytuacjach istotnie ograniczyć ryzyko, ale samo wykreślenie imienia i nazwiska nie zawsze oznacza, że dane przestały być danymi osobowymi.
Osoba może być możliwa do zidentyfikowania również na podstawie zestawienia innych informacji.
Dlatego firmowa procedura może przewidywać możliwość korzystania z AI po uprzednim usunięciu określonych danych, ale pracownicy powinni otrzymać jasną instrukcję, jak prawidłowo przygotować materiał przed przekazaniem go do narzędzia AI.

Odpowiedź AI zawsze powinna zostać sprawdzona przez człowieka 

Drugim istotnym ryzykiem jest bezkrytyczne korzystanie z treści wygenerowanych przez AI.
System może przygotować odpowiedź, która wygląda profesjonalnie i przekonująco, ale zawiera błędy, nieaktualne informacje albo nieistniejące źródła.
Dlatego dobrą zasadą wewnętrzną jest przyjęcie, że:

AI może wspierać pracownika, ale nie zastępuje jego odpowiedzialności za rezultat pracy.
Pracownik powinien zweryfikować wygenerowaną treść przed jej wykorzystaniem, zwłaszcza jeżeli dokument ma zostać przekazany klientowi, kontrahentowi, organowi administracji albo ma stanowić podstawę decyzji biznesowej.
Im większe znaczenie ma dana decyzja, tym większy powinien być zakres kontroli człowieka.

AI w rekrutacji i zarządzaniu pracownikami wymaga szczególnej ostrożności
Inną kategorię stanowi wykorzystanie AI przez samego pracodawcę do podejmowania lub wspomagania decyzji dotyczących pracowników.
AI Act zalicza określone systemy wykorzystywane m.in. przy rekrutacji, wyborze kandydatów, podejmowaniu decyzji wpływających na warunki zatrudnienia, awansach, rozwiązaniu stosunku pracy, przydzielaniu zadań oraz monitorowaniu i ocenie pracowników do systemów wysokiego ryzyka. Unijny prawodawca wskazuje przy tym m.in. na możliwość utrwalania przez takie systemy istniejących wzorców dyskryminacji. 
W lipcu 2026 r. Prezes UODO zwrócił dodatkowo uwagę na potrzebę ochrony kandydatów i pracowników przed dyskryminacyjnymi skutkami wykorzystywania AI w zatrudnieniu oraz na skalę danych osobowych, które mogą być w takich procesach przetwarzane. 
Inaczej należy więc oceniać użycie AI przez pracownika do poprawienia stylistyki wiadomości e-mail, a inaczej wykorzystanie systemu, który ocenia kandydatów do pracy albo pracowników i wpływa na podejmowane wobec nich decyzje.

Pracodawca powinien również zadbać o kompetencje pracowników w zakresie AI
Samo wprowadzenie regulaminu może nie wystarczyć.
AI Act nakłada na podmioty stosujące systemy AI obowiązek podejmowania działań wspierających rozwój odpowiednich kompetencji personelu korzystającego z tych systemów. Zakres takich działań powinien uwzględniać m.in. wiedzę, doświadczenie i szkolenie pracowników oraz kontekst, w którym AI jest wykorzystywana. 
W praktyce oznacza to, że pracodawca powinien pomyśleć nie tylko o dokumencie, ale także o przeszkoleniu pracowników.
Szkolenie nie musi być rozbudowanym kursem technicznym. Ważniejsze jest, aby pracownik wiedział, co wolno mu zrobić, czego robić nie powinien, jak chronić informacje firmowe i kiedy wykorzystanie AI wymaga konsultacji z przełożonym, działem IT, IOD lub prawnikiem.

Co powinna zawierać firmowa polityka korzystania z AI?

Nie ma potrzeby tworzenia kilkudziesięciostronicowego regulaminu. W wielu przedsiębiorstwach skuteczniejszy będzie krótki i zrozumiały dokument odpowiadający na rzeczywiste sytuacje występujące w pracy.
Powinien on określać przede wszystkim:
    1. jakie narzędzia AI są dopuszczone do użytku służbowego; 
    2. do jakich celów pracownicy mogą z nich korzystać; 
    3. jakich danych i dokumentów nie wolno wprowadzać do AI; 
    4. kiedy konieczna jest anonimizacja danych; 
    5. czy można korzystać z prywatnych kont w usługach AI; 
    6. jak należy weryfikować treści wygenerowane przez AI; 
    7. kiedy pracownik musi uzyskać zgodę przełożonego; 
    8. jak postępować w przypadku przypadkowego ujawnienia informacji; 
    9. jakie zasady obowiązują przy wykorzystywaniu treści chronionych prawem autorskim; 
    10. kto w firmie odpowiada za zatwierdzanie nowych narzędzi AI. 
W większych organizacjach warto dodatkowo wprowadzić prostą procedurę zgłaszania nowych zastosowań AI. Dzięki temu pracownik, który znajduje narzędzie mogące usprawnić jego pracę, nie musi korzystać z niego „po cichu”, lecz może wystąpić o jego ocenę i dopuszczenie.

Zakazać AI czy uregulować jej wykorzystanie?

Całkowity zakaz korzystania z AI może wydawać się najprostszym rozwiązaniem, ale nie zawsze jest rozwiązaniem najbardziej praktycznym.
Jeżeli narzędzia AI rzeczywiście pozwalają usprawnić wykonywanie określonych zadań, lepszym rozwiązaniem może być kontrolowane dopuszczenie ich wykorzystania – z określeniem dozwolonych narzędzi, danych, celów i zasad bezpieczeństwa.
Brak jakichkolwiek zasad również nie jest neutralnym rozwiązaniem. Może jedynie powodować, że pracodawca nie wie, z jakich narzędzi korzystają jego pracownicy i jakie informacje są do nich przekazywane.
Dobrym punktem wyjścia jest więc ustalenie, w jaki sposób AI jest już dziś wykorzystywana w organizacji, a dopiero następnie stworzenie zasad odpowiadających rzeczywistym potrzebom firmy.

 

Jak możemy pomóc? 

Kancelaria wspiera pracodawców w bezpiecznym i zgodnym z prawem wdrażaniu narzędzi sztucznej inteligencji w miejscu pracy.
Pomoc może obejmować w szczególności audyt sposobu korzystania z AI w przedsiębiorstwie, przygotowanie polityki korzystania z ChatGPT i innych narzędzi AI, określenie zasad dotyczących danych osobowych i informacji poufnych, przygotowanie zasad dla pracowników i kadry kierowniczej oraz ocenę nowych zastosowań AI przed ich wdrożeniem.
W przypadku wykorzystywania AI w obszarze HR możliwa jest również analiza rozwiązania pod kątem przepisów prawa pracy, RODO i wymagań wynikających z AI Act.
Warto uporządkować te zasady zanim dojdzie do incydentu. Krótka, dostosowana do konkretnej firmy polityka korzystania z AI może jednocześnie umożliwić pracownikom korzystanie z nowych technologii i ograniczyć ryzyko niekontrolowanego przekazywania danych oraz informacji przedsiębiorstwa.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Ocena konkretnego przypadku wymaga uwzględnienia sposobu wykorzystania danego narzędzia AI oraz okoliczności jego zastosowania.