Regulamin AI: to pracodawca ma zapewnić narzędzia, nie pracownik — odpowiedzialność
Podpis pracownika pod oświadczeniem, że z prywatnych narzędzi AI korzysta „na własną odpowiedzialność”, niczego nie przenosi. Dostarczenie bezpiecznego narzędzia do pracy jest obowiązkiem pracodawcy — a próba zdjęcia go z siebie jednym podpisem nie działa w żadnym z reżimów, które mają tu znaczenie. W niekorzystnym scenariuszu sam dokument działa przeciwko firmie
Scenariusz jest znany z rynku: firma nie kupuje licencji, pozwala pracownikom korzystać z prywatnych chatbotów i bierze od nich podpis. Dokument trafia do akt osobowych i wszyscy czują się bezpiecznie — do pierwszego incydentu u dostawcy.
Problem zaczyna się wcześniej, na poziomie samej decyzji. Jeżeli pracodawca dopuszcza prywatne narzędzia właśnie po to, by uniknąć kosztu licencji, podejmuje decyzję organizacyjną mieszczącą się w jego ryzyku gospodarczym i technicznym. Pracownik nie ma wpływu ani na to, jaki model przetwarza dane, ani na warunki konta konsumenckiego, ani na to, czy jego prompty zasilają trenowanie. Przerzucanie skutków takiej decyzji na osobę, która nie miała narzędzi, by ją kontrolować, godzi w samą konstrukcję stosunku pracy.
W nowym wpisie rozkładamy tę konstrukcję na czynniki pierwsze
- Kodeks pracy: wobec osób trzecich za szkodę odpowiada wyłącznie pracodawca (art. 120 § 1 KP), a regres przy winie nieumyślnej kończy się na trzymiesięcznym wynagrodzeniu. Klauzula rozszerzająca odpowiedzialność pracownika jest nieważna z mocy art. 18 § 2 KP.
- Prawo karne: odpowiedzialność jest osobista i niezbywalna, a oświadczenie dowodzi jedynie, że ryzyko było przewidywane; po stronie zarządzających może być czytane jako zaniechanie.
- AI Act: podmiotem stosującym jest pracodawca, niezależnie od tego, na kogo zarejestrowane jest konto i kto płaci abonament. Model „podpisz, że na własną odpowiedzialność” nie daje się pogodzić z obowiązkiem zapewnienia personelowi kompetencji w zakresie AI — dokument może więc stanowić dowód naruszenia.
- RODO: podpis pracownika nie zmienia rozkładu ról administrator – podmiot przetwarzający.
- ISO/IEC 27001 i ISO/IEC 42001: dopuszczenie narzędzia zewnętrznego może być decyzją organizacji, ale musi być wpisane w system zarządzania i w zatwierdzony plan postępowania z ryzykiem. Podpis pracownika nie jest ani zabezpieczeniem, ani akceptacją ryzyka szczątkowego — tej dokonuje wyłącznie właściciel ryzyka po stronie organizacji.
Najdroższej pozycji nie wykaże jednak żadna tabela kar. Know-how organizacji — sposoby kalkulacji ofert, struktury umów, argumentacja w sporach — osadza się w historiach rozmów na prywatnych kontach: nie da się go przeszukać, zaudytować ani przekazać następcy, a wraz z odejściem pracownika znika bezpowrotnie.
Działa to też w drugą stronę: prywatne narzędzie nie zna kontekstu organizacji, więc każdy buduje własny, fragmentaryczny — i synergia nigdy nie powstaje.
Wniosek
Oświadczenie ma sens wyłącznie jako element polityki wewnętrznej — instrukcja korzystania i katalog danych, których wprowadzać nie wolno.
Realną ochronę daje dopiero architektura
- narzędzie firmowe zamiast prywatnych
- warstwa decydująca, które dane trafiają do których modeli
- rejestrowanie operacji
- przeszkolony personel
Regulamin bez kontroli technicznej jest deklaracją, a kontrola techniczna bez regulaminu jest ślepa.
Pełna analiza z podstawami prawnymi jest na blogu
Co jeszcze warto zobaczyć
Regulamin AI w firmie: ile kosztuje zgoda na prywatne AI
Od pilotażu AI do produkcji w 90 dni
Polityka korzystania z AI w firmie — wzór do pobrania | allclouds.pl