Regulamin AI: to pracodawca ma zapewnić narzędzia, nie pracownik — odpowiedzialność

Podpis pracownika pod oświadczeniem, że z prywatnych narzędzi AI korzysta „na własną odpowiedzialność”, niczego nie przenosi. Dostarczenie bezpiecznego narzędzia do pracy jest obowiązkiem pracodawcy — a próba zdjęcia go z siebie jednym podpisem nie działa w żadnym z reżimów, które mają tu znaczenie. W niekorzystnym scenariuszu sam dokument działa przeciwko firmie

Problem zaczyna się wcześniej, na poziomie samej decyzji. Jeżeli pracodawca dopuszcza prywatne narzędzia właśnie po to, by uniknąć kosztu licencji, podejmuje decyzję organizacyjną mieszczącą się w jego ryzyku gospodarczym i technicznym. Pracownik nie ma wpływu ani na to, jaki model przetwarza dane, ani na warunki konta konsumenckiego, ani na to, czy jego prompty zasilają trenowanie. Przerzucanie skutków takiej decyzji na osobę, która nie miała narzędzi, by ją kontrolować, godzi w samą konstrukcję stosunku pracy.

W nowym wpisie rozkładamy tę konstrukcję na czynniki pierwsze

• Kodeks pracy — wobec osób trzecich za szkodę odpowiada wyłącznie pracodawca (art. 120 § 1 KP), a regres przy winie nieumyślnej kończy się na trzymiesięcznym wynagrodzeniu. Klauzula rozszerzająca odpowiedzialność pracownika jest nieważna z mocy art. 18 § 2 KP.
• Prawo karne — odpowiedzialność jest osobista i niezbywalna, a oświadczenie dowodzi jedynie, że ryzyko było przewidywane; po stronie zarządzających może być czytane jako zaniechanie.
• AI Act — podmiotem stosującym jest pracodawca, niezależnie od tego, na kogo zarejestrowane jest konto i kto płaci abonament. Model „podpisz, że na własną odpowiedzialność” nie daje się pogodzić z obowiązkiem zapewnienia personelowi kompetencji w zakresie AI — dokument może więc stanowić dowód naruszenia.
• RODO — podpis pracownika nie zmienia rozkładu ról administrator – podmiot przetwarzający.
• ISO/IEC 27001 i ISO/IEC 42001 — dopuszczenie narzędzia zewnętrznego może być decyzją organizacji, ale musi być wpisane w system zarządzania i w zatwierdzony plan postępowania z ryzykiem. Podpis pracownika nie jest ani zabezpieczeniem, ani akceptacją ryzyka szczątkowego — tej dokonuje wyłącznie właściciel ryzyka po stronie organizacji.

Najdroższej pozycji nie wykaże jednak żadna tabela kar. Know-how organizacji — sposoby kalkulacji ofert, struktury umów, argumentacja w sporach — osadza się w historiach rozmów na prywatnych kontach: nie da się go przeszukać, zaudytować ani przekazać następcy, a wraz z odejściem pracownika znika bezpowrotnie.

Działa to też w drugą stronę: prywatne narzędzie nie zna kontekstu organizacji, więc każdy buduje własny, fragmentaryczny — i synergia nigdy nie powstaje.

Wniosek

Oświadczenie ma sens wyłącznie jako element polityki wewnętrznej — instrukcja korzystania i katalog danych, których wprowadzać nie wolno.

Realną ochronę daje dopiero architektura:

• narzędzie firmowe zamiast prywatnych,
• warstwa decydująca, które dane trafiają do których modeli,
• rejestrowanie operacji,
• przeszkolony personel.

Regulamin bez kontroli technicznej jest deklaracją, a kontrola techniczna bez regulaminu jest ślepa.

• Przeczytaj cały wpis →
• Zobacz, jak działa PROXY:AI →
• Sprawdź nasze szkolenia z AI →