Jak napisać regulamin korzystania z AI w urzędzie?

Regulamin korzystania z AI w urzędzie powinien zawierać co najmniej: wykaz narzędzi dopuszczonych do użycia służbowego, zasady dotyczące danych osobowych (konkretnie: jakich kategorii danych nie wolno wprowadzać do zewnętrznych systemów AI), wymóg weryfikacji każdego wyniku wygenerowanego przez AI przed umieszczeniem w aktach lub wysłaniem oraz odpowiedzialność pracownika za naruszenie zasad. Formą prawną wystarczającą w większości urzędów jest zarządzenie wójta, burmistrza, starosty lub dyrektora instytucji. Dokument nie musi liczyć dziesiątek stron, ale musi być konkretny: po jego przeczytaniu pracownik ma wiedzieć, co może zrobić, a czego nie.

Po co pisać regulamin, skoro pracownicy i tak korzystają z AI?

Właśnie dlatego. Jeśli w urzędzie nie ma żadnych zasad, każdy pracownik sam sobie odpowiada na pytanie "czy mogę to wkleić?". Jedna osoba uzna, że można, bo "to tylko roboczy szkic". Inna będzie się bać i straci dwie godziny na ręczne przepisywanie tekstu, który AI przygotowałaby w minutę. Trzecia wklei imię i PESEL wnioskodawcy do ChatGPT bez zastanowienia, bo nikt jej nie powiedział, że to problem.

Brak regulaminu nie chroni urzędu. Gdy dojdzie do incydentu z danymi osobowymi, urząd jako administrator nie będzie mógł wykazać, że wdrożył odpowiednie procedury. A to już konkretne ryzyko z punktu widzenia RODO, nie hipotetyczne.

U jednego z naszych klientów, urzędu miejskiego zatrudniającego kilkudziesięciu pracowników, audyt ujawnił, że referenci działu świadczeń od miesięcy korzystali z prywatnych kont ChatGPT do parafrazowania projektów decyzji. Nikt nie zakazał, nikt nie powiedział, że jest inaczej. Po wprowadzeniu regulaminu ta sama praca nadal jest wykonywana z pomocą AI, tyle że przez zatwierdzone narzędzie, na koncie firmowym, bez danych osobowych wnioskodawców wklejanych w okno czatu.

Jest jeszcze jeden argument. Regulamin daje pracownikom pewność. Zamiast wahać się przy każdym zadaniu, mają dokument, który mówi: "tu możesz, tu nie możesz". To zmniejsza stres i przyspiesza pracę.

Co musi znaleźć się w każdym takim dokumencie

Regulamin AI nie musi być rozbudowany. Musi być precyzyjny. Poniżej elementy, których nie można pominąć:

• Zakres podmiotowy: kogo dotyczy dokument. Wszyscy pracownicy? Tylko wybrane referaty? Osoby zatrudnione na umowę zlecenie? Stażyści? To warto doprecyzować, bo pominięcie tej grupy tworzy lukę.
• Wykaz narzędzi dopuszczonych do użycia służbowego z rozróżnieniem, czy chodzi o wersje z subskrypcją firmową (np. Microsoft Copilot w ramach licencji Microsoft 365), darmowe konta prywatne czy narzędzia działające lokalnie w sieci urzędu. Warunki przetwarzania danych przez te trzy typy narzędzi są zasadniczo różne.
• Katalog danych, których nie wolno wprowadzać do zewnętrznych systemów AI: imiona i nazwiska stron postępowań, numery PESEL, adresy zamieszkania, dane o sytuacji rodzinnej lub zdrowotnej, treść dokumentów objętych klauzulą niejawności. Lepiej wypisać to wprost, nie odsyłać tylko do RODO.
• Wymóg weryfikacji wyników: każdy tekst, projekt decyzji lub odpowiedź wygenerowana przez AI musi być sprawdzona i zaakceptowana przez pracownika przed umieszczeniem w aktach lub wysłaniem do adresata. AI nie podpisuje, nie zatwierdza, nie wysyła.
• Zasady zgłaszania incydentów: co zrobić, gdy pracownik zauważy, że naruszył zasady lub że ktoś inny je naruszył. Do kogo zgłosić, w jakim czasie i w jakiej formie.
• Konsekwencje naruszenia: odesłanie do przepisów prawa pracy i procedury dyscyplinarnej obowiązującej w urzędzie. Wystarczy jedno konkretne zdanie, które pokazuje, że temat jest traktowany poważnie.

Jak opisać narzędzia: wymienić z nazwy czy ogólnie?

To pytanie, przy którym wiele urzędów się zatrzymuje. Jeśli wpiszesz "ChatGPT" i "Microsoft Copilot" z nazwy, za rok lista będzie nieaktualna: pojawią się nowe wersje, nowe narzędzia, zmienią się warunki świadczenia usług. Jeśli napiszesz tylko "narzędzia AI zaakceptowane przez przełożonego" bez żadnej konkretyzacji, regulamin staje się dokumentem bez treści.

Praktyczne wyjście wygląda tak: w treści zarządzenia opisujesz kategorie narzędzi i kryteria ich dopuszczenia (np. "zewnętrzne narzędzia generatywne AI, do których urząd posiada subskrypcję z umową powierzenia przetwarzania danych lub które zostały zaakceptowane przez Inspektora Ochrony Danych"), natomiast jako załącznik do zarządzenia dodajesz aktualny wykaz z nazwami, numerem wersji i datą zatwierdzenia. Załącznik możesz zaktualizować bez zmiany całego zarządzenia, wystarczy nowe zarządzenie zmieniające załącznik.

Typowo wygląda to tak, że w wykazie na start trafiają dwa, trzy narzędzia faktycznie już używane w urzędzie, a reszta jest wprost zakazana do celów służbowych lub wymaga odrębnego wniosku do IOD. Pracownicy wiedzą wtedy, że nie mogą po prostu zainstalować sobie nowego narzędzia bez zgody.

Kto zatwierdza i w jakiej formie prawnej

Forma zależy od struktury instytucji:

• Urząd gminy lub miasta: zarządzenie wójta, burmistrza lub prezydenta miasta.
• Starostwo powiatowe: zarządzenie starosty.
• Urząd marszałkowski: zarządzenie marszałka lub, jeśli dotyczy wybranego departamentu, decyzja dyrektora departamentu.
• Instytucje podległe, takie jak ośrodek pomocy społecznej, centrum kultury, biblioteka publiczna: zarządzenie dyrektora.

Przed przyjęciem dokumentu koniecznie skonsultuj go z Inspektorem Ochrony Danych (IOD). To nie jest opcja: IOD powinien ocenić, czy proponowane zasady są wystarczające z punktu widzenia RODO i polityki bezpieczeństwa informacji obowiązującej w urzędzie. Część urzędów ma też obowiązek prowadzenia rejestru czynności przetwarzania, a wdrożenie AI może wymagać jego aktualizacji o nowe czynności.

Jeśli urząd stosuje politykę bezpieczeństwa informacji opartą na wymaganiach Krajowych Ram Interoperacyjności, regulamin AI powinien być z nią spójny. Nie osobny byt, lecz uzupełnienie istniejących dokumentów.

Jak wdrożyć regulamin wśród pracowników, żeby nie skończył się w szufladzie

Podpisanie zarządzenia to połowa roboty. Nawet najlepszy dokument nie zadziała, jeśli pracownicy go nie znają.

• Zorganizuj krótkie spotkanie lub szkolenie, nawet 30-minutowe, na którym omówisz najważniejsze zasady na konkretnych przykładach: "tego nie wolno i dlatego", "tak można bezpiecznie". Scenariusze z codziennej pracy referenta trafiają lepiej niż abstrakcyjne klauzule.
• Poproś pracowników o pisemne potwierdzenie zapoznania się z regulaminem. Oświadczenie w papierze albo kliknięcie w formularzu elektronicznym, o ile urząd ma taki system. Ślad w aktach osobowych jest ważny, bo w razie naruszenia pokazuje, że pracownik wiedział o zasadach.
• Przygotuj jedną stronę A4 ze ściągawką: co wolno, czego nie wolno, do kogo zgłosić wątpliwości. Powieś ją przy stanowiskach albo umieść w intranecie. Regulamin jest dokumentem prawnym, ściągawka jest narzędziem codziennej pracy.
• Wyznacz osobę, do której pracownicy mogą się zwrócić z pytaniem: "czy mogę to zrobić?". Często jest to IOD, ale może być też koordynator ds. cyfryzacji lub wyznaczony pracownik IT.

Od czego zaczynamy

Najpierw sprawdź, jakie narzędzia AI pracownicy już używają, nawet nieoficjalnie. Krótka rozmowa z referentami z kilku referatów daje obraz stanu faktycznego. Bez tego łatwo napisać regulamin oderwany od rzeczywistości, który zakazuje czegoś, co i tak się dzieje, albo pomija narzędzia powszechnie stosowane.

Następnie skontaktuj się z IOD i wspólnie ustalcie, które narzędzia mogą dostać zielone światło od razu, a które wymagają najpierw analizy ryzyka lub zawarcia umowy powierzenia przetwarzania danych z dostawcą. Dopiero mając tę mapę, siadasz do pisania.

Szkic możesz przygotować samodzielnie, opierając się na elementach opisanych wyżej. Potem konsultacja z IOD, parafka radcy prawnego, podpisanie zarządzenia i wdrożenie wśród pracowników ze szkoleniem i oświadczeniami. Cały proces, jeśli nie ma sporów wewnętrznych ani czekania na zewnętrznych konsultantów, da się zamknąć w kilku tygodniach.

Chcesz wiedzieć, od czego zacząć w swoim urzędzie i jak to przeprowadzić bez zbędnych potknięć? Umów się na bezpłatny audyt, przejdziemy przez to razem. Możesz też zobaczyć, jak inne jednostki samorządowe już to zrobiły, na stronie realnych wdrożeń.