Polityka korzystania z AI

1. Zakres i cel polityki

Bilans Plus sp. z o.o., NIP 000-000-00-00, ul. Przykładowa 12, Kraków, to agencja księgowa zatrudniająca 12 osób. Firma obsługuje dane finansowe klientów, w tym faktury i dokumenty VAT. Pracownicy już korzystają z narzędzi AI (ChatGPT, Claude) do maili i analiz, dlatego polityka ma uregulować praktykę, która już istnieje w firmie, a nie wprowadzić ją od zera.

2. Rejestr narzędzi AI w firmie

Zgodnie z ustaleniami, narzędzia mają być oznaczane w rejestrze wg wzoru: nazwa, dostawca, do czego wolno używać, kto ma dostęp. Dostęp wyłącznie z kont służbowych, konta prywatne są wyłączone z użycia służbowego.

Konta służbowe, konta prywatne pracowników nie są dopuszczone do pracy z danymi firmy i klientów.

3. Zasady dozwolonego użycia

• ChatGPT i Claude mogą być używane wyłącznie z kont służbowych, nigdy z kont prywatnych pracowników.
• Dostęp do ChatGPT mają wyłącznie osoby z ustalonej listy; [UZUPEŁNIJ: konkretna lista ról lub imion oraz miejsce jej przechowywania, np. załącznik do polityki].
• Wynik pracy AI (np. analiza faktury VAT) musi zostać zweryfikowany przez człowieka przed wysłaniem do klienta lub użyciem w sprawozdaniu; [UZUPEŁNIJ: kto konkretnie pełni rolę zatwierdzającego - imię/rola].
• Każde nowe narzędzie AI przed wdrożeniem trafia do rejestru z sekcji 2 i wymaga akceptacji nadzoru (Maria Wiśniewska) oraz właścicielki (Anna Nowak).
• Pracownicy dokumentują, które dane klienta zostały wprowadzone do narzędzia AI, zgodnie z zasadami z sekcji 4.

4. Dane, których nie wolno wklejać

Z rozmowy wynika, że pracownicy już wklejają do ChatGPT dane osobowe klientów (PESEL, NIP, imiona i nazwiska osób fizycznych) oraz faktury VAT. To wymaga świadomego ograniczenia zakresu i dodatkowych zabezpieczeń, a nie całkowitego zakazu, jeśli firma świadomie decyduje się na taką praktykę.

• Bez zatwierdzonego procesu i zgody nadzoru nie wolno wklejać: wyciągów bankowych i zeznań PIT/CIT - [WYMAGA WERYFIKACJI: czy te dokumenty faktycznie trafiają do ChatGPT, bo w rozmowie nie uzyskano jednoznacznej odpowiedzi].
• Dane logowania, hasła, klucze dostępowe do systemów księgowych i bankowości elektronicznej klientów - zakaz wklejania w każdym przypadku.
• Pełne kopie umów z klientami i inne niepubliczne materiały handlowe firmy - zakaz bez odrębnej zgody właścicielki.
• Faktury VAT i dane osobowe klientów (PESEL, NIP, imię i nazwisko) - dopuszczone warunkowo, wyłącznie na kontach służbowych, z listy uprawnionych osób. [UZUPEŁNIJ: czy firma chce ograniczyć zakres danych osobowych wklejanych do ChatGPT, np. przez anonimizację przed wklejeniem].

5. Nadzór człowieka i odpowiedzialność

Odpowiedzialność za użycie wyniku AI pozostaje po stronie pracownika, który go wysłał lub wykorzystał, oraz nadzoru wskazanego w metryczce dokumentu (Maria Wiśniewska). Ostateczną odpowiedzialność organizacyjną ponosi właścicielka firmy, Anna Nowak.

6. Obowiązki informacyjne (AI Act)

Firma nie ustaliła jeszcze szczegółowo, w jakich sytuacjach klienci powinni być informowani o wykorzystaniu AI przy przygotowywaniu analiz, korespondencji lub dokumentów księgowych. [UZUPEŁNIJ: czy i jak firma planuje informować klientów o użyciu AI w obsłudze ich dokumentów].

[WYMAGA WERYFIKACJI: zakres, forma i moment obowiązku informacyjnego wynikającego z AI Act dla biura rachunkowego przetwarzającego dane osobowe i finansowe klientów za pomocą ChatGPT i Claude; źródło: AI Act, Komisja Europejska, właściwy polski organ nadzorczy (UODO), ewentualnie przepisy branżowe dotyczące tajemnicy zawodowej].

7. Postępowanie przy incydencie

1. Wstrzymanie: Pracownik, który zauważy incydent (np. wyciek danych klienta przez narzędzie AI), natychmiast przerywa dalsze korzystanie z narzędzia w danej sprawie.
2. Zgłoszenie: Incydenty zgłaszane są mailem do wspólniczki (Maria Wiśniewska) w dniu roboczym, w którym doszło do zdarzenia. [UZUPEŁNIJ: dokładny adres mailowy i zastępca na czas nieobecności].
3. Zabezpieczenie faktów: [UZUPEŁNIJ: co dokładnie należy zapisać - np. treść zapytania do AI, godzina, rodzaj danych - bez powielania zbędnych danych osobowych].
4. Ocena skutku: Maria Wiśniewska wraz z Anną Nowak oceniają, czy doszło do błędu AI, naruszenia danych osobowych czy problemu po stronie dostawcy narzędzia.
5. Decyzja: Anna Nowak decyduje o ewentualnym powiadomieniu klienta lub organu nadzorczego oraz o wznowieniu korzystania z narzędzia. [WYMAGA WERYFIKACJI: obowiązki notyfikacyjne wobec UODO w razie naruszenia danych osobowych].
6. Wnioski: Po incydencie aktualizowany jest rejestr narzędzi (sekcja 2) oraz zakres szkolenia, jeśli wynika to z przyczyny zdarzenia.

8. Przegląd i aktualizacja

Właściciel dokumentu (Anna Nowak) przegląda politykę co 6 miesięcy, pierwszy przegląd w styczniu 2027, oraz dodatkowo po każdym zgłoszonym incydencie lub istotnej zmianie w wykorzystywanych narzędziach AI.

Szkolenie: Każdy nowy pracownik przechodzi szkolenie wstępne z zasad polityki AI w pierwszym tygodniu zatrudnienia. Dla wszystkich pracowników szkolenie odświeżające odbywa się raz w roku. [UZUPEŁNIJ: gdzie i w jakiej formie zapisywane jest potwierdzenie odbycia szkolenia].

Historia zmian:

Braki do domknięcia

• Lista konkretnych ról lub imion pracowników z dostępem do ChatGPT - domyka Anna Nowak / Maria Wiśniewska, przed zatwierdzeniem dokumentu.
• Wskazanie osoby zatwierdzającej wyniki analiz AI przed wysłaniem do klienta lub użyciem w sprawozdaniu - domyka Maria Wiśniewska, do najbliższego przeglądu.
• Potwierdzenie, czy do ChatGPT trafiają wyciągi bankowe i zeznania PIT/CIT, czy wyłącznie faktury VAT - domyka Anna Nowak, pilnie, przed publikacją dokumentu.
• Wskazanie zastępcy właścicielki dokumentu na czas jej nieobecności - domyka Anna Nowak.
• [WYMAGA WERYFIKACJI: obowiązki wynikające z AI Act oraz przepisów o ochronie danych osobowych dla biura rachunkowego] - domyka osoba wskazana przez właścicielkę, np. doradca prawny, przed pierwszym przeglądem w styczniu 2027.