Korzystanie z AI przez pracowników: jakie reguły pracodawcy powinni stworzyć wewnętrznie

Shadow AI rzadko powstaje ze złej woli.

Najczęściej powstaje, bo pracownicy chcą rozwiązać problem. E-mail ma brzmieć lepiej. Ofertę trzeba napisać szybciej. Tabela ma być bardziej zrozumiała. Prezentacja potrzebuje struktury. Aplikacja ma zostać podsumowana. Protokół ma stać się czytelny.

AI pomaga.

Ale często pomaga szybciej, niż firma formułuje reguły.

Wtedy każdy decyduje sam: jakie narzędzie jest używane, jakie dane są wprowadzane, które wyniki są przejmowane, które źródła są sprawdzane i co pozostaje poufne.

To jest punkt krytyczny.

Nie samo korzystanie z AI jest właściwym problemem. Problemem jest korzystanie nieuregulowane.

Korzystanie z AI przez pracowników to nie tylko IT.

Dotyczy obowiązków pracodawcy, organizacji pracy, ochrony danych, tajemnic przedsiębiorstwa, rady zakładowej, prawa autorskiego, ochrony klientów, odpowiedzialności i zarządzania.

Do wyjaśnienia są w szczególności:

Pracodawcy nie muszą porządkować AI dopiero wtedy, gdy zdarzy się błąd.

Wtedy z potrzeby regulacji najczęściej zrobiło się już ograniczanie szkód.

Dobra wewnętrzna reguła AI nie rozróżnia tylko między dozwolone a zakazane. Rozróżnia według ryzyka.

Niektóre zastosowania mogą być mniej problematyczne, np. ogólna pomoc w formułowaniu bez poufnych informacji. Inne zastosowania mogą być ryzykowne, np. wprowadzanie danych klientów, danych pracowników, tajemnic przedsiębiorstwa, projektów umów, kalkulacji, danych o zdrowiu lub danych osobowych o wydajności.

Do uregulowania są w szczególności:

Reguła AI, która wszystko zakazuje, jest na co dzień obchodzona.

Reguła AI, która wszystko dozwala, nie jest regułą.

Sztuka leży w użytecznej granicy.

Korzystanie z AI może wywołać kwestie ochrony danych, gdy przetwarzane są dane osobowe.

Dotyczy to nie tylko danych klientów. Mogą być dotknięte także dane pracowników: dokumenty aplikacyjne, dane o chorobie, notatki o wydajności, protokoły rozmów, realizacja celów, czas pracy, akta osobowe, feedback, e-maile lub konflikty wewnętrzne.

W zależności od przetwarzania istotne mogą stać się RODO, art. 88 RODO oraz § 26 BDSG (niemiecka ustawa o ochronie danych). § 26 BDSG reguluje przetwarzanie danych w celach stosunku pracy. Art. 28 RODO może stać się istotny przy powierzeniu przetwarzania. Art. 32 RODO dotyczy bezpieczeństwa przetwarzania.

Do zbadania są w szczególności:

Zdanie „tylko szybko coś skopiowałem do AU" rzadko jest dobrą obroną z perspektywy ochrony danych.

Szybko nie jest celem. Praktycznie nie jest podstawą prawną.

Narzędzia AI są szczególnie chętnie karmione informacjami, które właściwie powinny być szczególnie chronione.

Kalkulacje. Listy klientów. Dokumenty strategiczne. Projekty umów. Pomysły produktowe. Dokumentacje techniczne. Kod źródłowy. Dokumenty M&A. Profile kandydatów. Wewnętrzne notatki o konfliktach. Oferty. Cenniki. Wiedza procesowa.

§ 2 GeschGehG definiuje tajemnice przedsiębiorstwa m.in. jako informacje, które są poufne, mają wartość gospodarczą, są przedmiotem odpowiednich środków zachowania poufności i przy których istnieje uzasadniony interes w zachowaniu poufności.

Dla pracodawców oznacza to: wewnętrzne reguły AI mogą być częścią odpowiednich środków ochrony. Bez jasnych wytycznych trudniej będzie wyjaśnić, jak chronione są informacje poufne.

Tajemnice przedsiębiorstwa nie tracą ochrony dopiero wtedy, gdy ktoś je sprzeda.

Czasem problem zaczyna się od dobrze pomyślanego promptu.

AI jest często używana do tekstów, obrazów, prezentacji, kodu, tłumaczeń, koncepcji, materiałów marketingowych, materiałów szkoleniowych lub komunikacji z klientami.

Mogą przy tym powstać kwestie z zakresu prawa autorskiego i praw użytkowania.

Do zbadania są w szczególności:

Wynik AI może brzmieć przekonująco i mimo to być błędny, niesprawdzony lub ryzykowny prawnie.

Ładny język nie jest wyjaśnieniem praw.

Jeśli istnieje rada zakładowa, prawa współdecydowania należy zbadać wcześnie.

§ 87 ust. 1 nr 6 BetrVG może stać się istotny, gdy wprowadza się lub stosuje urządzenia techniczne przeznaczone do monitorowania zachowania lub wydajności pracowników. W zależności od narzędzia dotknięte mogą być również inne przesłanki współdecydowania, np. porządek zakładu lub kwestie czasu pracy.

Nie oznacza to, że każde korzystanie z AI automatycznie podlega współdecydowaniu. Oznacza: firmy powinny zbadać konkretny sposób użycia.

Do wyjaśnienia są w szczególności:

Rada zakładowa nie staje się niewłaściwa przez to, że narzędzie wygląda nowocześnie.

Nowoczesność nie zastępuje badania współdecydowania.

Art. 4 AI Act dotyczący kompetencji w zakresie AI obowiązuje według informacji Komisji Europejskiej od 2 lutego 2025 r. Dostawcy i operatorzy systemów AI muszą według niego dołożyć wszelkich starań, by zapewnić wystarczający poziom kompetencji w zakresie AI u swojego personelu i innych osób, które na ich zlecenie mają do czynienia z systemami AI. Komisja Europejska wskazuje ponadto, że reguły nadzoru i egzekwowania w tym zakresie obowiązują od 3 sierpnia 2026 r.

Dla pracodawców oznacza to: szkolenie nie jest tylko miłym dodatkiem do wprowadzenia AI. Jest centralnym elementem odpowiedzialnego korzystania.

Do wyjaśnienia są w szczególności:

Kompetencja w zakresie AI nie oznacza, że wszyscy zostaną artystami promptów.

Oznacza, że pracownicy rozumieją, kiedy AI pomaga, kiedy się myli i kiedy staje się niebezpiecznie praktyczna.

AI tworzy wyniki. Odpowiedzialna pozostaje firma.

Gdy pracownicy używają wyników AI bez sprawdzenia, błędy mogą powstać w komunikacji z klientami, tekstach fachowych, umowach, ofertach, decyzjach kadrowych, analizach danych lub procesach wewnętrznych.

Do wyjaśnienia są w szczególności:

AI nie odpowiada.

Być może formułuje przekonująco. Czasem przeprasza bardzo uprzejmie. Ale nie siedzi na sali sądowej i nie tłumaczy, dlaczego firma przejęła błędny wynik.

Pracodawcy mogą co do zasady porządkować korzystanie z narzędzi pracy poprzez polecenia służbowe i wewnętrzne polityki. § 106 GewO (niemiecka ustawa o działalności gospodarczej) może stać się istotny jako punkt wyjścia dla prawa polecenia pracodawcy.

Polityka AI nie powinna jednak tylko zakazywać. Musi być zrozumiała na co dzień.

Do uregulowania są w szczególności:

Wewnętrzna reguła AI nie musi być obszerna.

Musi być tylko na tyle jasna, by nikt nie mógł twierdzić, że poważnie ją źle zrozumiał.

Nie każde narzędzie AI nadaje się do użytku firmowego.

Pracodawcy powinni sprawdzić, jakie warunki dostawcy obowiązują, czy dane wejściowe są wykorzystywane do treningu, gdzie przetwarzane są dane, jakie istnieją standardy bezpieczeństwa, czy włączeni są podwykonawcy i jakie prawa do wyników są przyznawane.

Do zbadania są w szczególności:

Narzędzie nie jest odpowiednie tylko dlatego, że szybko dostarcza dobrych odpowiedzi.

Odpowiednie staje się dopiero wtedy, gdy wydajność, umowa, dane i odpowiedzialność do siebie pasują.

Ostatni błąd jest decydujący.

To, że wszyscy korzystają z AI, nie oznacza jeszcze, że firma ma praktykę AI. Ma najpierw tylko wiele pojedynczych decyzji ze wspólnym ryzykiem.

Lepszym momentem na wsparcie prawne nie jest chwila, w której błąd AI już się zdarzył.

Lepszym momentem jest czas przedtem. Wtedy, gdy korzystanie, dane, wybór narzędzi, rada zakładowa, szkolenia i odpowiedzialność można jeszcze uporządkować.

Korzystanie z AI przez pracowników jest już dawno rzeczywistością.

Pytanie nie brzmi, czy firmy lubią ten rozwój. Pytanie brzmi, czy go porządkują.

Z perspektywy adwokackiej kluczowe pytanie nie brzmi więc: czy pracownicy mogą korzystać z AI?

Lepsze pytanie brzmi: jakich reguł firma potrzebuje, by korzystanie z AI w codziennej pracy pozostało stabilne prawnie, organizacyjnie i ludzko?

W tym celu narzędzia, dane, tajemnice przedsiębiorstwa, rada zakładowa, ochrona danych, prawo autorskie, szkolenia, kontrola i odpowiedzialność muszą zostać wcześnie wyjaśnione.

AI nie trzeba dramatyzować.

Ale nie powinna też bez nadzoru spacerować po aktach osobowych, umowie z klientem i kalkulacji.