Polityka AI w firmie i ISO/IEC 42001 — governance, które nie zabija innowacji

6 sierpnia 2026 minęło pół roku od wejścia w życie obowiązku „AI literacy” z art. 4 AI Act, a dokładnie 2 sierpnia 2026 krajowe organy nadzoru rynku w całej Unii dostały formalne uprawnienia, by to sprawdzać. Pakiet Digital Omnibus, uzgodniony politycznie 7 maja 2026 i obowiązujący od 27 lipca 2026, złagodził brzmienie przepisu — z „obowiązku zapewnienia” na „obowiązek wspierania rozwoju” AI literacy — ale nie zniósł go. W praktyce oznacza to jedno: firma musi wykazać realny, udokumentowany wysiłek, nie tylko dobre intencje. A tego dokumentu — spisanej polityki AI — nie ma dziś zdecydowana większość MŚP, które już używają AI na co dzień.

Sześć tygodni temu krajowe organy nadzoru rynku w całej UE dostały formalne uprawnienia, by sprawdzać, czy firmy realnie spełniają obowiązek AI literacy z art. 4 AI Act — i czy mają na to dokumenty, nie tylko dobre chęci. Większość MŚP, które wdrożyły AI, nie ma jednej rzeczy: spisanej polityki AI. Wyjaśniam, co taka polityka musi zawierać, jak zbudować rejestr systemów AI, kiedy sięgnąć po ISO/IEC 42001 zamiast wewnętrznego dokumentu, i kto w małej firmie powinien być „AI ownerem” bez etatu Chief AI Officer.

To domyka trzeci element układanki, którą budowałem w poprzednich wpisach: Shadow AI diagnozuje problem — pracownicy używają AI bez wiedzy firmy. AI Act i RODO a AI opisują obowiązki prawne, których nie da się uniknąć. Ten wpis to systemowe rozwiązanie: jak zbudować dobrowolny system zarządzania AI, który te obowiązki porządkuje raz, zamiast gasić pożary przy każdym nowym narzędziu.

Dlaczego „brak polityki” to domyślny stan większości firm

Rozmawiam z dziesiątkami firm wdrażających AI i wzorzec jest identyczny: ktoś w zespole zaczyna używać ChatGPT albo Claude, działa to dobrze, więc narzędzie „samo się" rozprzestrzenia. Po kilku miesiącach firma ma pięć różnych asystentów AI wdrożonych przez pięć różnych osób, zero wspólnej klasyfikacji danych i zero odpowiedzi na pytanie „kto za to odpowiada, jeśli coś pójdzie źle". To nie jest hipotetyczne ryzyko — to opisany w Shadow AI domyślny stan firmy bez polityki. Różnica między firmą, która ma politykę AI, a tą, która jej nie ma, nie ujawnia się w spokojnym dniu — ujawnia się w dniu incydentu, kontroli albo audytu klienta korporacyjnego, który pyta o Twój system zarządzania AI.

Co musi zawierać polityka AI — sześć elementów, nie sto stron

Polityka AI, która działa, mieści się na 2–4 stronach i odpowiada na sześć konkretnych pytań. Dłuższy dokument nikt nie przeczyta — a niesprawdzana polityka jest gorsza niż jej brak, bo daje fałszywe poczucie bezpieczeństwa.

1. 1.Lista dozwolonych narzędzi. Konkretne nazwy: „ChatGPT Enterprise — tak, do zadań ogólnych i dokumentów bez PII" / „darmowy ChatGPT w przeglądarce — nie, do niczego związanego z pracą". Bez tej listy każdy pracownik sam decyduje, co jest bezpieczne — a zwykle nie ma do tego kompetencji.
2. 2.Klasyfikacja danych. Proste trzy kategorie: dane publiczne (bez ograniczeń), dane wewnętrzne (tylko narzędzia z DPA), dane szczególnie chronione — PII klientów, dane finansowe, tajemnica handlowa (tylko środowiska z Zero Data Retention lub self-hosted). Pełną metodykę klasyfikacji i wymogi DPA rozkładam w RODO a AI i bezpieczeństwie danych przy AI.
3. 3.Próg nadzoru człowieka (human-in-the-loop). Jasna reguła: które decyzje AI może podejmować samodzielnie, a które wymagają zatwierdzenia człowieka przed wdrożeniem — szczególnie istotne przy systemach dotykających klientów czy pracowników (art. 22 RODO).
4. 4.Procedura zgłaszania incydentów. Jedno zdanie: „jeśli AI wygenerowało błędną, stronniczą albo ujawniającą dane odpowiedź — zgłoś to [komu] w ciągu [ile] godzin". Bez tej ścieżki incydenty giną w milczeniu, aż wybuchną publicznie.
5. 5.Role i odpowiedzialność. Kto jest „AI ownerem", kto zatwierdza nowe narzędzia, kto aktualizuje rejestr systemów — rozwijam to w sekcji o AI ownerze w MŚP niżej.
6. 6.Szkolenie i przegląd. Krótkie wdrożenie dla nowych pracowników + coroczny przegląd polityki. To jest właśnie ten „udokumentowany wysiłek" z art. 4 AI Act, którego szukają teraz kontrolerzy — obowiązki AI Act rozkładam szczegółowo tutaj.

Rejestr systemów AI — arkusz, który wystarczy na start

Rejestr systemów AI nie musi być oprogramowaniem GRC za kilkadziesiąt tysięcy złotych rocznie. Dla firmy do 100 osób wystarczy jeden arkusz kalkulacyjny z sześcioma kolumnami:

Ten sam arkusz jest punktem wyjścia do klasyfikacji ryzyka z przewodnika po AI Act i do oceny, czy dane wdrożenie wymaga DPIA opisanej w RODO a AI. Aktualizacja rejestru przy każdym nowym narzędziu — nie raz w roku — to jedyny sposób, żeby nie stracił on kontaktu z rzeczywistością.

ISO/IEC 42001, EU AI Act i NIST AI RMF — kiedy który

To pytanie pada na niemal każdej konsultacji: „mam AI Act, to chyba wystarczy?". Nie do końca — to trzy różne warstwy, które się uzupełniają, a nie zastępują:

Wdrożenie ISO/IEC 42001 pokrywa w praktyce około 70% dokumentacji wymaganej dla systemów wysokiego ryzyka w AI Act — jeśli i tak musisz to udokumentować, certyfikacja bywa tańsza niż się wydaje w przeliczeniu na unikniętą pracę prawną. Dla typowego MŚP bez sprzedaży do dużych korporacji najlepszym punktem startu jest wewnętrzna polityka wzorowana luźno na funkcjach NIST AI RMF — bez certyfikacji, bez kosztu, z pełną elastycznością. ISO 42001 dokłada się dopiero, gdy klient albo rynek tego realnie wymaga.

AI owner w MŚP — kto to robi bez etatu Chief AI Officer

Największy mit blokujący wdrożenie polityki AI w małej firmie: że potrzeba do tego osobnego stanowiska. Nie potrzeba. Potrzeba jednej osoby z jasno przypisaną odpowiedzialnością — zwykle 10–20% czasu pracy, nie pełny etat.

• Zatwierdza nowe narzędzia przed wdrożeniem — sprawdza je względem listy dozwolonych narzędzi i klasyfikacji danych.
• Utrzymuje rejestr systemów AI — aktualizuje go przy każdym nowym wdrożeniu, nie raz do roku.
• Jest pierwszym punktem kontaktu przy incydencie — zbiera fakty, eskaluje do IOD lub prawnika, jeśli sprawa dotyka danych osobowych.
• Prowadzi coroczny przegląd polityki — i dokumentuje ten przegląd, bo to właśnie ten dowód „wspierania rozwoju AI literacy", którego szukają kontrolerzy.

W firmach do 20 osób tę rolę zwykle bierze na siebie właściciel, COO albo lider IT. Kluczowe jest nie stanowisko, tylko jednoznaczność — jedna nazwana osoba, nie „zespół" ani „każdy z nas".

Najczęstsze błędy przy budowie polityki AI

Dobra polityka AI nie hamuje wdrożeń — pozwala je bezpiecznie skalować i realnie mierzyć ich zwrot, zamiast zgadywać, jak w kalkulacji ROI z automatyzacji. Złe podejście robi coś przeciwnego: albo blokuje każdą inicjatywę biurokracją, albo istnieje wyłącznie jako plik PDF, którego nikt nie czytał.

Szablon polityki AI — jak zacząć w tym tygodniu

Nie musisz pisać polityki od zera. Struktura z sześciu elementów opisanych wyżej mieści się w prostym szablonie: jedna strona zasad, jedna zakładka rejestru systemów, jedna procedura incydentowa. Buduję takie szablony — dopasowane do konkretnej branży i skali firmy — jako pierwszy krok każdego audytu governance AI, który prowadzę w ramach konsultingu AI oraz szkoleń AI dla zespołów. Napisz do mnie — przygotuję szkic polityki dopasowany do Twojej firmy i pomogę wdrożyć go bez zatrudniania nikogo nowego.

---

Prowadzę audyty governance AI dla MŚP — od zera do gotowej polityki, rejestru systemów i jasno przypisanej roli AI ownera, bez zatrudniania nowych ludzi. Robię to w ramach konsultingu AI i szkoleń dla zespołów. Napisz do mnie — zacznę od przeglądu tego, jakie systemy AI już działają w Twojej firmie i czego naprawdę brakuje w dokumentacji.

Warto przeczytać dalej:

• Shadow AI — pracownicy używają AI bez Twojej wiedzy
• AI Act w praktyce — co Twoja firma musi zrobić w 2026
• RODO a AI — dane osobowe w promptach i DPIA
• Bezpieczeństwo danych przy wdrożeniu AI
• ROI z automatyzacji AI — jak policzyć zwrot