Polityka korzystania z modeli AI przez pracowników – WZÓR

Artykuł 1 – Cel Polityki #

Celem niniejszej polityki jest określenie zasad korzystania z systemu sztucznej inteligencji (AI) w celu zapewnienia jego odpowiedzialnego, bezpiecznego i zgodnego z prawem użytkowania, ochrony danych osobowych oraz minimalizacji ryzyk związanych z niewłaściwym wykorzystaniem systemu. Polityka ma na celu promowanie etycznych standardów oraz zapewnienie zgodności z obowiązującymi przepisami prawa, w tym AI Act, RODO oraz innymi regulacjami dotyczącymi ochrony danych i technologii AI.

Artykuł 2 – Zakres podmiotowy #

Polityka dotyczy:

• pracowników, współpracowników, kontrahentów oraz innych osób upoważnionych do korzystania z systemu AI w ramach organizacji;
• administratorów systemu AI odpowiedzialnych za jego utrzymanie i nadzór;
• osób trzecich, które mogą mieć dostęp do systemu AI na podstawie umów lub zgód;
• organizacji jako podmiotu odpowiedzialnego za wdrożenie i nadzór nad systemem AI.

Artykuł 3 – Zakres przedmiotowy #

Polityka obejmuje wszystkie aspekty korzystania z systemu AI, w tym:

• wykorzystanie systemu AI do przetwarzania danych, generowania treści, analizy danych i podejmowania decyzji wspieranych przez AI;
• ochronę danych wprowadzanych do systemu AI oraz generowanych przez niego;
• zarządzanie bezpieczeństwem informacji i incydentami związanymi z systemem AI;
• nadzór nad korzystaniem z systemu oraz odpowiedzialność za naruszenia.

Artykuł 4 – Zasady wykorzystywania systemu AI #

1. 1. System AI może być wykorzystywany wyłącznie w sposób zgodny z obowiązującymi przepisami prawa, w tym regulacjami dotyczącymi AI i ochrony danych osobowych, praw własności intelektualnej oraz etyki AI. Wprowadzanie danych naruszających prawo lub prawa innych osób jest zabronione.
   2. System AI powinien być używany wyłącznie w celach służbowych, zgodnych z obowiązkami i funkcją pełnioną przez użytkownika systemu AI oraz zgodnych z jego przeznaczeniem, określonym przez organizację, np. analiza danych, optymalizacja procesów, generowanie raportów. Niedozwolone jest wykorzystywanie systemu do celów prywatnych lub niezgodnych z celami organizacji.
   3. Użytkownicy systemu AI muszą być poinformowani o zasadach jego działania, ograniczeniach oraz potencjalnych ryzykach związanych z jego użyciem. Decyzje podejmowane z udziałem AI powinny być możliwe do wyjaśnienia. Treści generowane przez AI (np. raporty, analizy, prezentacje, grafiki) powinny być oznaczane jako wytworzone przez AI, jeśli wymaga tego kontekst. Użytkownicy odpowiadają za sprawdzanie poprawności i zgodności wyników dostarczanych przez AI.
   4. Do systemu AI należy wprowadzać tylko te dane, które są niezbędne do realizacji określonego celu. Niedozwolone jest wprowadzanie danych nadmiarowych lub niezwiązanych z zadaniem. Wprowadzanie danych poufnych do systemów AI wymaga zgody organizacji lub osoby odpowiedzialnej za ochronę danych. Systemy AI należy używać w bezpiecznym środowisku, np. na firmowych, zabezpieczonych urządzeniach.
   5. System AI nie może być wykorzystywany do generowania treści niezgodnych z normami etycznymi, w tym treści dyskryminujących, obraźliwych, wprowadzających w błąd lub naruszających prawa innych osób.

Artykuł 5 – Ochrona danych i bezpieczeństwo informacji #

1. 1. Dane osobowe mogą być wprowadzane do systemu AI zgodnie z RODO oraz innymi obowiązującymi przepisami. Użytkownicy, zawsze gdy jest to możliwe, są zobowiązani do anonimizacji danych. System AI powinien być skonfigurowany w sposób minimalizujący ryzyko wycieku danych.
   2. System AI musi być zabezpieczony przed nieautoryzowanym dostępem za pomocą silnych haseł, uwierzytelniania dwuskładnikowego oraz szyfrowania danych. Regularne aktualizacje systemu oraz audyty bezpieczeństwa są obowiązkowe. Użytkownicy są zobowiązani do niezwłocznego zgłaszania wszelkich podejrzeń naruszenia bezpieczeństwa.
   3. W przypadku awarii systemu, celem zapewnienia ciągłości operacyjnej systemów należy postępować zgodnie z odpowiednimi procedurami odzyskiwania danych z kopii zapasowych.

Artykuł 6 – Incydenty #

1. 1. Incydentem jest każde zdarzenie, które może naruszyć bezpieczeństwo systemu AI, danych lub informacji, np. wyciek danych, nieautoryzowany dostęp, błędne działanie systemu skutkujące szkodą.
   2. Użytkownik, który stwierdzi zaistnienie incydentu, jest zobowiązany do niezwłocznego zgłoszenia go do administratora systemu AI lub inspektora ochrony danych (jeśli dotyczy) za pośrednictwem wyznaczonego kanału (np. e-mail, system zgłoszeń). Zgłoszenie powinno zawierać dokładny opis incydentu, czas wystąpienia oraz wszelkie istotne szczegóły, niezbędne do podjęcia stosownych działań naprawczych.
   3. Administrator systemu AI analizuje zgłoszenie i podejmuje działania naprawcze, w tym:
      • zabezpieczenie systemu przed dalszymi naruszeniami;
      • powiadomienie odpowiednich organów (np. UODO w przypadku naruszenia danych osobowych).
   4. W razie potrzeby organizacja przeprowadza dochodzenie wewnętrzne w celu ustalenia przyczyn incydentu.

Artykuł 7 – Nadzór #

1. 1. Organizacja wyznacza osobę (administratora systemu AI) lub zespół odpowiedzialny za nadzór nad systemem AI, w tym monitorowanie jego działania, aktualizacje oraz zgodność z polityką.
   2. Administrator przeprowadza regularne szkolenia dla użytkowników systemu AI. Wszelkie pytania dotyczące polityki należy kierować do administratora systemu AI lub wyznaczonego inspektora ochrony danych.
   3. Organizacja przeprowadza okresowe audyty korzystania z systemu AI, w tym weryfikację zgodności z polityką oraz bezpieczeństwa danych. Wyniki audytów są dokumentowane i wykorzystywane do doskonalenia systemu.
   4. System AI może podlegać monitorowaniu w celu wykrywania nieprawidłowości, przy czym użytkownicy są informowani o zakresie i celu monitorowania. Monitorowanie nie może naruszać prywatności użytkowników ani przepisów prawa.

Artykuł 7 – Odpowiedzialność

1. 1. Użytkownicy systemu AI ponosi odpowiedzialność za przestrzeganie niniejszej polityki oraz za skutki swoich działań lub zaniechań. Dotyczy to m.in. odpowiedzialności za niezgodne z prawem korzystanie z systemu lub za wprowadzanie nieprawidłowych danych.
   2. Naruszenie polityki może skutkować:
      • ograniczeniem lub odebraniem dostępu do systemu AI;
      • postępowaniem dyscyplinarnym, rozwiązaniem umowy o pracę/współpracy, a w ściśle określonych przypadkach i w okolicznościach przewidzianych przez przepisy prawa również odpowiedzialnością finansową;
      • odpowiedzialnością odszkodowawczą;
      • w przypadku naruszeń prawa stanowiących czyn zabroniony zgłoszeniem sprawy do odpowiednich organów ścigania.
   3. Decyzje o pociągnięciu do użytkownika do odpowiedzialności są podejmowane przez kierownika organizacji po analizie okoliczności, rodzaju i stopniu naruszenia.
   4. W przypadku naruszeń wynikających z uchybień organizacyjnych, organizacja podejmuje działania naprawcze i ponosi odpowiedzialność zgodnie z prawem.

Artykuł 8 – Postanowienia końcowe #

1. 1. Polityka wchodzi w życie z dniem jej ogłoszenia i obowiązuje wszystkich użytkowników systemu AI.
   2. Polityka może ulec zmianie w przypadku zmian w prawie, oraz zmian charakterze technologicznym lub organizacyjnym.