Blog prawniczy

Sztuczna inteligencja na dobre zagościła w wielu przedsiębiorstwach i dzisiaj coraz więcej firm używa na co dzień generatywnej AI. Według raportu McKinsey & Company pod koniec 2023 r. z osiągnięć sztucznej inteligencji korzysta niemal 30% organizacji. W 2024 ten trend jest jeszcze silniej widoczny. Po AI sięga około 40% wszystkich firm, a 82% biznesowych użytkowników dostrzega potencjał płynący z tej technologii. Wykorzystanie sztucznej inteligencji jest jak najbardziej zrozumiałe, ale trzeba pamiętać, aby robić to odpowiedzialnie. W tym miejscu pojawia się polityka AI. Kto powinien ją wdrożyć i dlaczego? Jak zrobić to prawidłowo?

Dlaczego firmy decydują się na korzystanie z AI w bieżącej działalności?

Nie ulega wątpliwości, że dzisiaj sztuczna inteligencja stanowi jeden z głównych kierunków rozwoju sektora IT. Po zautomatyzowane algorytmy imitujące zachowanie człowieka sięga wiele sektorów rynku, w tym:

• finanse, księgowość i usługi prawne;
• nowoczesne technologie przemysłowe (np. systemy ERP, CRM);
• telekomunikacja;
• sektor healthcare.

Najczęściej sztuczna inteligencja wykorzystywana jest w marketingu i sprzedaży, ale nie tylko. Stosuje się ją w rozwoju towarów i usług, przy naborze pracowników, zarządzaniu ryzykiem na różnych płaszczyznach, czy w planowaniu łańcucha dostaw.

W jakim celu tworzy się politykę korzystania z AI?

Korzystanie z technologii opartych na uczeniu maszynowym oraz innych standardach AI niesie ze sobą wiele potencjalnych niebezpieczeństw, dlatego nigdy nie należy robić tego bezrefleksyjnie. Potencjalne ryzyka związane z używaniem algorytmów sztucznej inteligencji obejmują m.in. niestabilność oprogramowania, renomę przedsiębiorstwa, powstanie braków kadrowych, naruszenia w obrębie prawa własności intelektualnej.

Trzeba też pamiętać, że obszar AI od niedawna jest regulowany przez przepisy AI Act. Można spodziewać się, że w niedalekiej przyszłości tych regulacji – zarówno unijnych, jak i krajowych – będzie przybywało. Powstaje więc ryzyko niezgodności z tzw. regulatory compliance.

Oparcie decyzji biznesowych na algorytmach maszynowych to również ryzyko niewystarczającej dokładności, zagrożenia ze strony cyberprzestępców, ale także brak self-explainabilty, czyli jasnej odpowiedzi dlaczego wynik jest taki, a nie inny.

Podstawowym zadaniem polityki AI jest zapobieżenie wymienionym wyżej ryzykom lub przynajmniej zminimalizowania ryzyka ich wystąpienia do poziomu, który może być uznany za tolerowalny. Problem leży jednak w tym, że każda branża ma swoją specyfikę i trudno jednoznacznie wskazać zalecane brzmienie polityki AI. Agencja marketingowa korzysta z generatywnej sztucznej inteligencji zupełnie inaczej, niż firma produkcyjna czy spółka zajmująca się doradztwem inwestycyjnym i te odmienności powinny być należycie uwzględnione w dokumencie.

Jakie elementy powinna zawierać firmowa polityka AI?

Dobra polityka AI nie musi być przesadnie rozbudowana. Powinna jednak uwzględniać ryzyka specyficzne dla danej działalności gospodarczej. Warto też pamiętać o jej regularnym audycie i aktualizacji. W końcu nowe technologie cały czas ewoluują, więc w ślad za nimi powinna zmieniać się Twoja polityka AI.

Cel wprowadzenia polityki AI

Celem wprowadzenia wewnętrznej polityki AI jest zwykle zapewnienie odpowiednio wysokich standardów etycznych dla pracowników. Dzięki niej nowe technologie są wykorzystywane z uwzględnieniem misji firmy, pozycji interesariuszy oraz bezpieczeństwa i wymagań prawnych.

Zakres obowiązywania polityki AI

Dokument powinien jasno określać, do których grup pracowników się odnosi. W praktyce zwykle będą to osoby, których obowiązki obejmują tworzenie zasobów wymagających umiejętności twórczych (np. obrazy, muzyka, teksty, kod źródłowy). Warto wyraźnie wskazać, że chodzi nie tylko o programy implementujące AI, jak chociażby sławny już ChatGPT (Open AI) czy Claude (Anthropic), ale też wszelkiego rodzaju wtyczki, a nawet dane dostarczone z zewnątrz, ale wygenerowane przez algorytmy.

Zasady polityki AI

W głównej sekcji warto wskazać na kluczowe elementy, które mają znaczenie dla wykorzystania sztucznej inteligencji w firmie. Może być to np.:

• określenie zasad korzystania z generatywnej AI przez pracowników firmy;
• obowiązek wykorzystania tylko tych narzędzi AI, które są zgodne z przepisami (w tym dotyczącymi ochrony prawnoautorskiej), ochroną danych osobowych oraz przyjętymi zasadami bezpieczeństwa;
• zobligowanie pracowników do wyjaśnienia na żądanie uprawnionej osoby (np. pracownika działu), które decyzje były podjęte lub dzieła zrealizowane przy użyciu AI, a także odniesienia się do uzyskanego wyniku;
• konieczność zapewnienia bezpieczeństwa i ochrony danych uzyskanych z oprogramowania AI zgodnie z wewnętrznymi procedurami bezpieczeństwa (np. poprzez anonimizację danych);
• aktywne wyszukiwanie obszarów, w których narzędzia AI mogą generować niesprawiedliwe lub krzywdzące wyniki;
• regularne szkolenie pracowników w zakresie odpowiedzialnego korzystania z AI, w tym zarówno nowych możliwości, jak i zagrożeń;
• korzystanie z usług podwykonawców wyłącznie tych, którzy stosują się do polityki AI wdrożonej w organizacji będącej zamawiającym.

Wdrożenie i nadzorowanie polityki AI

Duże firmy mogą rozważyć powołanie specjalnej komórki, której zadaniem będzie nadzorowanie stosowania AI w firmie. Dobrze jest zadbać, aby takie ciało składało się z osób specjalizujących się w różnych obszarach, jak nowe technologie, prawo czy etyka biznesowa.

W praktyce warto również wytypować AI Officera (na podobieństwo stanowisk Compliance Officer czy AML Officer), którego zadaniem będzie skuteczne wdrożenie procedury oraz pośredniczenie w zakresie zagadnień związanych ze sztuczną inteligencją między pracownikami a firmą. Do zadań AI Officera należy też regularne aktualizowanie polityki AI, tworzenie raportów w tym zakresie.

Raportowanie incydentów

W polityce AI powinno znaleźć się miejsce na zgłaszanie incydentów dotyczących naruszeń. Można w tym zakresie kierować się wytycznymi w zakresie AML czy ustawy o sygnalistach i utworzyć specjalną procedurę pozwalającą na whistleblowing w przypadku dostrzeżenia nieprawidłowości. Może to wymagać utworzenia specjalnych kanałów do zgłoszeń.

Jak stworzyć politykę AI? Praktyczne wskazówki

Przy formułowaniu treści polityki AI warto zwrócić uwagę na kilka kwestii. Przede wszystkim język dokumentu powinien być przystępny. W końcu adresatami polityki są nie tylko prawnicy, ale też marketingowcy, inżynierowie czy pracownicy działu R&D. Dobrą praktyką jest zaimplementowanie prostych i konkretnych definicji, które nie budzą wątpliwości.

Załącznikiem do polityki powinna być lista software’u, którego użycie w firmie jest dozwolone oraz tego, które zostało zakazane. Warto też wyraźnie wskazać jakiego rodzaju informacje wejściowe nie mogą być wprowadzane do narzędzi (np. dane osobowe). Dobrym przykładem oprogramowania bezpiecznego są programy firmy Adobe Inc. Producent deklaruje, że algorytmy generatywnej sztucznej inteligencji wykorzystują wyłącznie te zasoby, których użycie nie powoduje naruszenia praw autorskich.

Nie ulega wątpliwości, że wdrożenie polityki AI wymaga poniesienia nakładów finansowych – i to często niemałych w firmie, gdzie sztuczna inteligencja wykorzystywana jest intensywnie. Jej odpowiednie stosowanie przez pracowników wymaga też internalizacji nowych zasad. Z pewnością jednak taki proces zwróci się w postaci zwiększonego bezpieczeństwa w organizacji.

Bezpieczne korzystanie z AI w firmie – Kancelaria Linke Kulicki

Jeżeli Twoja organizacja korzysta z potencjału drzemiącego w AI lub planuje podjąć takie kroki w niedalekiej przyszłości, należy się do tego należycie przygotować. Kancelaria Linke Kulicki od lat specjalizuje się w obsłudze prawnej firm wykorzystujących rozwiązania NewTech. Jeśli chcesz mieć pewność, że pracujesz ze sztuczną inteligencją zgodnie z prawem i standardami etycznymi, możemy Ci pomóc.

Nasz zespół opracuje politykę AI uwzględniając specyfikę prowadzonej działalności gospodarczej. Zajmiemy się również szkoleniem pracowników, aby używali oni narzędzi generatywnej sztucznej inteligencji w sposób odpowiedzialny, uwzględniający interes przedsiębiorstwa.