Polityka korzystania z AI w agencji i dziale marketingu: wzór zasad z komentarzem

Dlaczego polityka AI w firmie jest potrzebna?

Bez spisanych zasad każdy pracownik sam decyduje, co wkleić do czatu i co opublikować. W praktyce najczęściej kończy się to prywatnymi kontami w narzędziach AI, do których trafiają eksporty z CRM, raporty klientów i treści objęte NDA.

Polityka porządkuje też odpowiedzialność. Jeśli tekst wygenerowany przez model zawiera nieprawdziwą informację o produkcie, odpowiada firma, która go opublikowała, a nie dostawca narzędzia. Jeśli agent AI zmieni budżet kampanii, skutki ponosi właściciel konta. Polityka mówi, kto w tych sytuacjach musi zatwierdzić decyzję.

Trzeci powód to przepisy. AI Act wymaga od podmiotów stosujących AI m.in. oznaczania deepfake’ów i części tekstów (art. 50), a art. 4 – po zmianach z rozporządzenia Digital Omnibus – obowiązku podejmowania starannych działań na rzecz kompetencji w zakresie AI. Do tego dochodzi RODO, prawo autorskie i prawo konsumenckie. Polityka nie zastąpi analizy prawnej, ale pokazuje, że firma ma proces.

Wzór polityki: zakres, narzędzia i role

Pierwsza część określa, kogo dotyczy dokument i z jakich narzędzi wolno korzystać.

1. ZAKRES
1.1. Polityka dotyczy wszystkich pracowników, współpracowników i podwykonawców,
     którzy w imieniu [Firma] korzystają z narzędzi AI do tworzenia treści,
     analizy danych, obsługi klientów i zarządzania kampaniami reklamowymi.
1.2. Narzędzie AI to każde oprogramowanie generujące tekst, obraz, dźwięk, wideo
     lub kod albo podejmujące działania na podstawie modelu AI, w tym funkcje
     wbudowane w platformy reklamowe i edytory.

2. NARZĘDZIA
2.1. Dozwolone są wyłącznie narzędzia z Rejestru narzędzi AI (załącznik 1),
     używane na kontach firmowych.
2.2. Zakazane jest używanie prywatnych kont w narzędziach AI do pracy z danymi
     firmy lub klientów.
2.3. Nowe narzędzie zgłasza się do Opiekuna polityki AI, który ocenia warunki
     korzystania, przetwarzanie danych i ustawienia trenowania modelu.

3. ROLE
3.1. Opiekun polityki AI: prowadzi Rejestr, rozstrzyga wątpliwości, aktualizuje politykę.
3.2. Właściciel treści lub kampanii: odpowiada za weryfikację i publikację.

Komentarz. Rejestr narzędzi to najprostszy sposób na kontrolę. Wystarczy tabela z nazwą narzędzia, typem konta, informacją, czy dostawca używa danych do trenowania modelu, czy jest umowa powierzenia przetwarzania danych i do jakich zadań narzędzie jest dopuszczone. W agencji Opiekunem bywa osoba z zespołu operacyjnego lub prawnego, w dziale marketingu – kierownik zespołu. Ważne, by była jedna, konkretna osoba.

Zapis 1.2 celowo obejmuje funkcje wbudowane w platformy: generowanie zasobów w Google Ads, Advantage+ creative w Meta czy asystentów w edytorach graficznych. Zespoły często nie traktują ich jako „narzędzi AI”, a podlegają tym samym zasadom.

Wzór polityki: dane, które wolno wprowadzać do AI

Ta część decyduje o bezpieczeństwie danych i zgodności z RODO. Najlepiej oprzeć ją na trzech kategoriach danych.

4. DANE
4.1. Do narzędzi AI wolno wprowadzać dane zgodnie z klasyfikacją w załączniku 2.
4.2. Danych osobowych klientów i użytkowników nie wprowadza się do narzędzi AI,
     chyba że narzędzie jest objęte umową powierzenia przetwarzania danych
     i zostało zatwierdzone do tego celu przez Opiekuna polityki AI.
4.3. Przed analizą danych w narzędziu AI usuwa się lub pseudonimizuje identyfikatory
     osób (imię, nazwisko, e-mail, telefon, numer zamówienia powiązany z osobą).
4.4. Haseł, kluczy API i tokenów dostępowych nie wprowadza się do narzędzi AI.
4.5. Dane klientów agencji wprowadza się wyłącznie w zakresie dozwolonym umową z klientem.

Komentarz. Zapis 4.3 jest w praktyce najważniejszy dla specjalistów performance: eksport z CRM czy listy transakcji do analizy w czacie powinny być zagregowane albo pozbawione identyfikatorów. Twoje dane first-party są cennym zasobem i to one najczęściej wyciekają przez przypadkowe wklejenie pliku. Jak bezpiecznie analizować dane klientów w narzędziach AI, opisujemy w artykule o danych klientów w AI a RODO, a podstawy prawne przetwarzania danych w reklamie – w tekście o RODO w reklamie online.

Wzór polityki: tworzenie, weryfikacja i oznaczanie treści

Treści z AI przed publikacją muszą przejść weryfikację człowieka. Ta część opisuje, na czym ona polega i kiedy treść trzeba oznaczyć.

5. TREŚCI
5.1. Każda treść wygenerowana lub istotnie zmodyfikowana przez AI przed publikacją
     jest weryfikowana przez Właściciela treści pod kątem: prawdziwości faktów
     i danych liczbowych, zgodności z tonem marki, zgodności z prawem
     (reklama, ochrona konsumentów, prawa osób trzecich).
5.2. Zakazane jest generowanie opinii klientów, recenzji i rekomendacji, które
     nie pochodzą od prawdziwych osób.
5.3. Treści będące deepfake'ami w rozumieniu AI Act (realistyczne obrazy, wideo
     i audio przypominające istniejące osoby, przedmioty, miejsca lub zdarzenia)
     oznacza się zgodnie z załącznikiem 3.
5.4. Teksty o sprawach interesu publicznego publikuje się po udokumentowanej
     redakcji osoby o odpowiednich kompetencjach albo z oznaczeniem AI.
5.5. W karcie treści zapisuje się, czy i jakie narzędzie AI zostało użyte.

Komentarz. Zapis 5.2 wynika nie tylko z etyki. Publikowanie fałszywych opinii konsumentów jest w Polsce nieuczciwą praktyką rynkową, a model AI potrafi wygenerować przekonujące „opinie” w kilka sekund. Zasady oznaczania z punktu 5.3 i 5.4 szczegółowo opisujemy w tekście o oznaczaniu treści AI według AI Act, a spójność komunikacji przy masowej produkcji – w poradniku o brand voice a AI.

Do tej części dołącz zasady dotyczące praw autorskich: kto może zostać uznany za twórcę, jak dokumentować wkład człowieka, czego nie generować (cudze logotypy, postaci łudząco podobne do znanych osób). Wyjaśnienie, dlaczego to istotne, znajdziesz w artykule o prawach autorskich do treści z AI.

Wzór polityki: kampanie, automatyzacja i komunikacja z klientem

Platformy reklamowe coraz częściej proponują zmiany same. Polityka powinna określać, które z nich wymagają akceptacji człowieka.

6. KAMPANIE I AUTOMATYZACJA
6.1. Zmiany budżetów, stawek, kierowania i stron docelowych proponowane przez
     asystentów i agentów AI zatwierdza Właściciel kampanii.
6.2. Automatycznie generowane zasoby reklamowe (nagłówki, teksty, obrazy, wideo)
     przegląda się przed uruchomieniem lub, gdy to niemożliwe, w ciągu 48 godzin.
6.3. Agentom AI z dostępem do kont reklamowych nadaje się minimalne uprawnienia
     potrzebne do zadania.
6.4. Chatboty i asystenci AI w kontakcie z klientami informują, że rozmówca jest AI,
     i umożliwiają kontakt z człowiekiem.

Komentarz. Ask Advisor w Google Ads (beta, październik 2026) potrafi m.in. wstrzymywać kampanie, zmieniać budżety, lokalizacje i strony docelowe – zawsze po akceptacji użytkownika. Zapis 6.1 sprawia, że akceptację daje osoba, która rozumie skutki, a nie ktokolwiek z dostępem do konta. Zakres możliwości tego narzędzia omawiamy w tekście o Ask Advisor i agentach AI w Google Ads. Zapis 6.2 dotyczy m.in. personalizacji tekstu w AI Max for Search, gdzie Google od października 2026 pokazuje podgląd do 10 przykładowych nagłówków lub tekstów przed włączeniem funkcji.

Zapis 6.3 jest ważny, gdy łączysz modele z kontami przez integracje typu MCP: agent z pełnym dostępem administracyjnym to ryzyko, którego łatwo uniknąć. Zapis 6.4 wynika z art. 50 ust. 1 AI Act – szczegóły znajdziesz w artykule o obowiązkach przy chatbocie AI.

Wzór polityki: kompetencje, rejestr użycia i incydenty

Ostatnia część opisuje szkolenia, dokumentację i postępowanie, gdy coś pójdzie nie tak.

7. KOMPETENCJE
7.1. Każda osoba korzystająca z narzędzi AI przechodzi szkolenie wstępne
     z niniejszej polityki i podstaw działania modeli AI (w tym ich ograniczeń).
7.2. Szkolenie powtarza się po każdej istotnej zmianie polityki.

8. INCYDENTY
8.1. Incydentem jest m.in.: wprowadzenie danych czerwonych do niedozwolonego
     narzędzia, publikacja nieprawdziwej treści z AI, nieautoryzowana zmiana
     w kampanii wykonana przez agenta AI.
8.2. Incydent zgłasza się Opiekunowi polityki AI niezwłocznie, a jeśli dotyczy
     danych osobowych – także osobie odpowiedzialnej za ochronę danych.

9. PRZEGLĄD
9.1. Polityka jest przeglądana co 6 miesięcy oraz po zmianie przepisów lub narzędzi.

Komentarz. Szkolenie nie musi być długie. Wystarczy godzina: jak działa LLM i dlaczego „zmyśla”, które dane są czerwone, jak oznaczać treści i jak zgłosić incydent. Dobrym materiałem do ćwiczeń są gotowe zestawy poleceń, np. prompty dla specjalisty performance. Przy incydencie z danymi osobowymi pamiętaj o terminie 72 godzin na zgłoszenie naruszenia do UODO, jeśli naruszenie wiąże się z ryzykiem dla osób.

Agencja a dział marketingu: czym różnią się polityki?

Rdzeń jest ten sam, ale agencja ma dodatkowe zobowiązania wobec klientów:

• Zgoda klienta. Umowa lub załącznik powinny określać, czy agencja może używać AI przy materiałach klienta i z jakimi ograniczeniami.
• Rozdzielenie danych. Dane jednego klienta nie mogą trafiać do kontekstu pracy dla innego, także w funkcjach pamięci narzędzi AI.
• Przejrzystość. Klient powinien wiedzieć, które materiały powstały z udziałem AI – to wpływa na prawa autorskie i oznaczanie.

Dział marketingu musi z kolei uzgodnić politykę z działem IT i osobą odpowiedzialną za ochronę danych, a także sprawdzić, czy wymaga tego samego od swoich agencji.

Najczęstsze błędy w politykach AI i jak ich uniknąć

Większość polityk AI nie zawodzi z powodu złych zapisów, tylko dlatego, że nikt ich nie stosuje. Oto problemy, które pojawiają się najczęściej.

Dokument za długi i zbyt ogólny. Dwadzieścia stron o „odpowiedzialnym korzystaniu ze sztucznej inteligencji” nie odpowiada na pytanie, czy wolno wkleić do czatu eksport transakcji. Lepiej sprawdzają się konkretne zakazy i przykłady z codziennej pracy zespołu.

Zakaz wszystkiego. Polityka, która zabrania korzystania z AI, przenosi problem do prywatnych kont i telefonów. Skuteczniejsze jest udostępnienie firmowego narzędzia i jasne granice jego użycia.

Brak właściciela. Jeśli nikt nie aktualizuje Rejestru narzędzi, po kilku miesiącach dokument nie odpowiada rzeczywistości. Opiekun polityki powinien mieć to zadanie wpisane w zakres obowiązków.

Pominięcie funkcji wbudowanych. Zespół przestrzega zasad przy pracy z czatem, ale automatycznie generowane zasoby w platformach reklamowych uruchamia bez przeglądu. Rejestr powinien obejmować także te funkcje.

Brak powiązania z procesem. Polityka działa, gdy jej zapisy są w briefie, karcie treści i checkliście publikacji. Sprawdzaj raz na kwartał na kilku losowych kampaniach, czy pola o AI są wypełniane.

Jak wdrożyć politykę AI w 30 dni?

1. Dzień 1–5: ankieta w zespole – z jakich narzędzi AI kto korzysta i do czego.
2. Dzień 6–10: przegląd warunków tych narzędzi, decyzja o Rejestrze i kontach firmowych.
3. Dzień 11–15: dostosowanie wzoru do firmy, konsultacja z prawnikiem i osobą odpowiedzialną za ochronę danych.
4. Dzień 16–20: przygotowanie załączników: Rejestr narzędzi, klasyfikacja danych, szablony oznaczeń.
5. Dzień 21–25: szkolenie zespołu i podwykonawców.
6. Dzień 26–30: dodanie pól o AI do briefów, kart treści i checklist publikacji kampanii.

Pozostałe teksty o regulacjach i ryzykach AI znajdziesz w podtemacie Prawo i etyka AI. Wzór ma charakter poglądowy – przed przyjęciem dostosuj go do swojej organizacji i skonsultuj z prawnikiem. Platformowe zasady ujawniania AI w reklamach omawiamy osobno w tekście o etykietach AI w Google Ads i Meta.