Jak napisać regulamin AI dla personelu szpitala lub przychodni

Regulamin AI to wewnętrzny dokument, który mówi personelowi placówki, z jakich narzędzi sztucznej inteligencji wolno korzystać, jakich danych nie wolno do nich wpisywać i kto odpowiada za wynik. Najkrótsza uczciwa odpowiedź na pytanie, jak go napisać: spiszcie listę zatwierdzonych narzędzi, podzielcie dane na klasy, wyznaczcie osobę zatwierdzającą nowe narzędzia i przeszkólcie ludzi. Całość mieści się zwykle na kilku stronach. Żaden z przepisów, które czytaliśmy do tego tekstu, nie wymaga dokumentu o takiej nazwie, ale kilka z nich wymaga rzeczy, które ten dokument załatwia.

Czy regulamin AI jest obowiązkowy?

Nie w tym sensie, że jakiś przepis nakazuje go wprost. Obowiązki są pośrednie i wynikają z czterech źródeł.

AI Act, art. 4. Dostawcy i podmioty stosujące systemy AI „podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu”. Przepis stosuje się od 2 lutego 2025 r. i dotyczy każdego systemu AI, także tych, które nie są wysokiego ryzyka. Tekst zaznacza też, że obowiązek nie oznacza zapewnienia określonego poziomu kompetencji u każdej osoby. Przepis nie wskazuje formy: środkiem może być szkolenie, instrukcja albo regulamin.

RODO. Art. 5 ust. 2 wymaga, by administrator umiał wykazać przestrzeganie zasad przetwarzania. Art. 24 ust. 2 mówi, że środki administratora obejmują wdrożenie odpowiednich polityk ochrony danych, jeżeli jest to proporcjonalne. Art. 29 i art. 32 ust. 4 stanowią, że osoby z dostępem do danych przetwarzają je wyłącznie na polecenie administratora. W naszej ocenie to najmocniejszy argument za regulaminem: bez pisemnego polecenia, co wolno robić z AI, trudno wykazać, że personel działał na polecenie.

Tajemnica i dokumentacja medyczna. Art. 13 i art. 14 ust. 1 ustawy o prawach pacjenta oraz art. 40 ust. 1 ustawy o zawodach lekarza i lekarza dentysty nakładają obowiązek zachowania tajemnicy informacji związanych z pacjentem. Rozporządzenie Ministra Zdrowia w sprawie dokumentacji medycznej w § 1 ust. 5 pkt 2 wymaga w ramach zabezpieczania dokumentacji „udokumentowanych procedur zabezpieczania dokumentacji i systemów ich przetwarzania”. Wklejenie opisu przypadku do publicznego czatu to przekazanie informacji o pacjencie podmiotowi spoza placówki. Czy w konkretnym przypadku jest to naruszenie tajemnicy, oceni prawnik, ale ryzyko jest wyraźne.

Prawo pracy. Pracownik ma stosować się do poleceń przełożonych dotyczących pracy i przestrzegać tajemnicy określonej w odrębnych przepisach (art. 100 § 1 i § 2 pkt 5 Kodeksu pracy). Regulamin to forma takiego polecenia, które można egzekwować. Współpracowników na kontraktach wiążecie przez umowę lub oświadczenie o zapoznaniu się z regulaminem.

Brak dokumentu nie jest naruszeniem sam w sobie. Trudno jednak obronić sytuację, w której nikt nie potrafi pokazać, co personelowi było wolno i czy ktoś go o tym poinformował.

Kto powinien przyjąć regulamin

Każda placówka, w której ktokolwiek może otworzyć przeglądarkę, także taka, która nie wdrożyła żadnego narzędzia AI. Zastępca Prezesa UODO podczas konferencji w czerwcu 2026 r. wskazał, że według przytoczonych przez niego danych 54% pracowników korzystających z narzędzi AI nie informuje o tym pracodawców. Wymienił skutki: dane trafiają do narzędzi poza wiedzą organizacji, brakuje decyzji i oceny skutków, a przez to rozliczalności. Więcej o tym zjawisku piszemy w tekście o shadow AI i danych medycznych.

Zarządzenie wydaje dyrektor lub inna osoba kierująca podmiotem, po opinii IOD. Dział IT i dyrektor medyczny współredagują swoje części.

Placówka, która wykorzystuje system AI w działalności zawodowej, jest „podmiotem stosującym” w rozumieniu art. 3 pkt 4 AI Act. Przy narzędziach, o których placówka nie wie, ocena jest mniej oczywista. Regulamin ma właśnie ten problem usunąć: zamienia nieformalne używanie narzędzi w używanie kontrolowane.

Co zmienia się od 28 października 2026 r.

Od 28 października 2026 r. zaczynają obowiązywać między innymi przepisy ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) o kontrolach prowadzonych przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Komisja jest organem nadzoru rynku (art. 5 ust. 1). Może kontrolować przestrzeganie AI Act i ustawy (art. 48 ust. 1) oraz żądać dokumentów i dostępu do systemów informatycznych (art. 52 ust. 1 pkt 1). To odrębny nadzór od kontroli z RODO.

Kary wymierza się według rozdziału XII AI Act (art. 104 ust. 1 ustawy). Art. 99 ust. 4 AI Act wylicza obowiązki zagrożone karą do 15 mln EUR lub 3% obrotu, między innymi z art. 26 i art. 50. Art. 4 na tej liście nie występuje. Art. 99 ust. 8 zostawia państwom członkowskim decyzję, w jakim zakresie można karać organy i podmioty publiczne. Nie prognozujemy więc, czy i jaką karę poniesie konkretny szpital.

Obowiązki podmiotów stosujących z art. 26, czyli te dotyczące systemów wysokiego ryzyka, zaczną obowiązywać od 2 grudnia 2027 r. (systemy z załącznika III) lub od 2 sierpnia 2028 r. (systemy z załącznika I). Regulamin, który piszecie dziś, służy więc przede wszystkim RODO, tajemnicy i art. 4.

Szkielet regulaminu

Jedenaście sekcji. W małej przychodni każdą da się sprowadzić do jednego akapitu.

Szkielet regulaminu AI

1. 1

   Zakres i definicje

   kogo dotyczy, co jest AI

2. 2

   Narzędzia

   Wykaz Zatwierdzonych Narzędzi

3. 3

   Klasy danych

   A–D, klasa D tylko z wykazu

4. 4

   Nowe narzędzia

   wniosek, IOD, IT, dyrektor

5. 5

   Weryfikacja wyniku

   wynik AI to propozycja

6. 6

   Szkolenia

   art. 4 AI Act, lista w aktach

7. 7

   Incydenty

   do IOD i IT, krótki termin

8. 8

   Rejestrowanie i audyt

   logi i ich przegląd

9. 9

   Konsekwencje

   tryby, które już macie

10. 10

    Przegląd

    co najmniej raz w roku

11. 11

    Role

    IOD, IT, dyrektor medyczny

1. Zakres i definicje

Kogo dotyczy regulamin: pracowników, współpracowników na kontraktach, rezydentów, wolontariuszy, personel firm zewnętrznych z dostępem do sieci. Co to jest system AI: czat, asystent w przeglądarce, funkcja AI w pakiecie biurowym, narzędzie do transkrypcji, tłumacz. Definicję budujcie wokół zachowania, nie wokół nazw produktów, bo nazwy szybko się zmieniają.

2. Narzędzia dozwolone i zabronione

Jeden dokument pomocniczy: Wykaz Zatwierdzonych Narzędzi, prowadzony przez IT. Przy każdej pozycji: do jakich celów, dla jakich klas danych, kto ma dostęp. Wszystko spoza wykazu jest zakazane do użytku służbowego. Zakaz obejmuje prywatne konta na służbowych komputerach i służbowe dane na prywatnych telefonach.

3. Klasy danych

Cztery klasy wystarczą. Klasa A: informacje publiczne. Klasa B: informacje wewnętrzne bez danych osobowych. Klasa C: dane osobowe pracowników i kontrahentów. Klasa D: dane o zdrowiu pacjentów, dokumentacja medyczna, nagrania rozmów z pacjentami. Dla klasy D reguła jest jedna: tylko narzędzia z wykazu, z umową powierzenia i po ocenie IOD. Nigdy publiczne czaty. Zaznaczcie wprost, że usunięcie imienia i nazwiska zwykle nie wystarcza, bo opis przypadku, daty i rzadka choroba mogą wskazywać osobę. Ocenę, czy dane są naprawdę zanonimizowane, zostawcie IOD.

4. Zatwierdzanie nowych narzędzi

Wniosek na formularzu, opinia IOD i IT, decyzja dyrektora. Przed zatwierdzeniem: umowa powierzenia przetwarzania z art. 28 RODO, gdy dostawca przetwarza dane osobowe, ocena skutków dla ochrony danych z art. 35 RODO, gdy przetwarzanie może powodować wysokie ryzyko, oraz sprawdzenie, gdzie dane są przetwarzane i czy dostawca używa ich do trenowania modeli. UODO opublikował w sierpniu 2026 r. listy pytań inicjalnych o AI i RODO. Nie są wiążące, ale dobrze nadają się na załącznik do formularza. Przy wyborze dostawcy pomoże też nasz tekst o tym, jak wybrać dostawcę AI dla szpitala.

5. Weryfikacja wyniku i odpowiedzialność

Wynik systemu AI jest propozycją. Osoba, która z niego korzysta, sprawdza go przed użyciem i odpowiada za dokument, który podpisuje lub wprowadza do dokumentacji. Decyzje medyczne podejmuje wyłącznie osoba uprawniona do wykonywania zawodu. Dopiszcie zasadę dla komunikacji zewnętrznej: art. 50 ust. 4 AI Act zobowiązuje podmiot stosujący do ujawnienia, że tekst publikowany w celu informowania społeczeństwa o sprawach interesu publicznego został wygenerowany przez AI, chyba że przeszedł weryfikację człowieka i ktoś ponosi za niego odpowiedzialność redakcyjną.

6. Szkolenia (art. 4 AI Act)

Szkolenie wstępne przed dostępem do narzędzi i powtórka w ustalonym rytmie. Lista uczestników i data szkolenia trafiają do akt. Przepis nie podaje częstotliwości, więc rytm ustalacie sami i opisujecie w regulaminie.

7. Zgłaszanie incydentów

Co jest incydentem: dane klasy D wpisane do narzędzia spoza wykazu, wynik AI wprowadzony do dokumentacji bez weryfikacji, nieoczekiwane zachowanie narzędzia. Komu zgłaszać (IOD i IT), w jakim terminie i jakim kanałem. Administrator ma zgłosić naruszenie ochrony danych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 ust. 1 RODO), więc wewnętrzny termin zgłoszenia musi być znacznie krótszy.

8. Rejestrowanie i audyt

Co się loguje (kto, kiedy, jakie narzędzie), jak długo przechowuje się logi i kto je przegląda. AI Act wymaga przechowywania rejestrów zdarzeń przez co najmniej sześć miesięcy od podmiotów stosujących systemy wysokiego ryzyka (art. 26 ust. 6). Podobny okres możecie przyjąć jako praktykę dla pozostałych narzędzi, pamiętając o minimalizacji danych w logach.

9. Konsekwencje

Odwołanie do trybów, które już macie: kary porządkowe z art. 108 Kodeksu pracy, postanowienia umów cywilnoprawnych, w razie potrzeby odpowiedzialność wynikająca z odrębnych przepisów. Nie wymyślajcie nowego systemu kar. Zgodność z prawem pracy sprawdźcie z kadrami lub radcą prawnym.

10. Przegląd regulaminu

Co najmniej raz w roku oraz po każdej zmianie wykazu narzędzi, zmianie przepisów lub incydencie. Właściciel dokumentu, data ostatniego przeglądu i numer wersji na pierwszej stronie.

11. Role IOD, IT i dyrektora medycznego

IOD opiniuje narzędzia, prowadzi szkolenia z ochrony danych i monitoruje przestrzeganie polityk (to zadania z art. 39 ust. 1 RODO). IT prowadzi wykaz, konfiguruje narzędzia, blokuje niezatwierdzone usługi i zbiera logi. Dyrektor medyczny odpowiada za zasady klinicznego użycia wyników i za to, by regulamin był realny dla lekarzy.

Przykładowe klauzule

Poniżej osiem klauzul do skopiowania i dostosowania. W nawiasach kwadratowych są miejsca na wasze dane.

§ 1. Zakres. Regulamin dotyczy wszystkich osób wykonujących pracę lub świadczenia na rzecz [nazwa placówki] na podstawie umowy o pracę, umowy cywilnoprawnej lub kontraktu (dalej: Personel).

§ 2. Definicja. Systemem AI jest każde oprogramowanie lub usługa, które na podstawie danych wejściowych generuje tekst, obraz, dźwięk, podsumowanie lub rekomendację, w tym czaty, asystenci w przeglądarce, funkcje AI w aplikacjach biurowych oraz narzędzia do transkrypcji.

§ 3. Narzędzia. Personel korzysta w pracy wyłącznie z systemów AI wpisanych do Wykazu Zatwierdzonych Narzędzi prowadzonego przez [dział IT]. Korzystanie z innych systemów AI do celów służbowych jest zabronione.

§ 4. Dane. Do systemów AI spoza Wykazu nie wolno wpisywać, wgrywać ani wklejać danych pacjentów, dokumentacji medycznej, wyników badań, nagrań rozmów z pacjentami, danych osobowych pracowników ani informacji objętych tajemnicą [placówki]. Zakaz dotyczy także danych bez imienia i nazwiska, jeżeli pozwalają zidentyfikować osobę.

§ 5. Odpowiedzialność za wynik. Wynik pracy systemu AI jest propozycją. Osoba, która z niego korzysta, weryfikuje go przed użyciem i odpowiada za treść dokumentu, który podpisuje lub wprowadza do dokumentacji. Decyzje medyczne podejmuje wyłącznie osoba uprawniona do wykonywania zawodu.

§ 6. Nowe narzędzia. Nowy system AI może zostać dodany do Wykazu po pozytywnej opinii IOD i [działu IT] oraz, jeżeli przetwarza dane osobowe, po zawarciu umowy powierzenia przetwarzania danych. Wniosek składa się na formularzu stanowiącym załącznik nr [X].

§ 7. Incydenty. Każda osoba, która wprowadziła dane chronione do systemu spoza Wykazu lub zauważyła nieprawidłowe działanie systemu AI, zgłasza to IOD w ciągu [24 godzin] od zauważenia. [Zgłoszenie w dobrej wierze nie stanowi samo w sobie podstawy do wyciągnięcia konsekwencji.]

§ 8. Szkolenia i konsekwencje. Personel przechodzi szkolenie z zasad korzystania z AI przed uzyskaniem dostępu do systemów z Wykazu i powtarza je co [12 miesięcy]. Naruszenie regulaminu może skutkować konsekwencjami przewidzianymi w prawie pracy lub w umowie, niezależnie od odpowiedzialności wynikającej z odrębnych przepisów.

Jak narzędzia on-premise zmieniają regulamin

Jeżeli narzędzie działa na serwerach placówki, część pytań z regulaminu przesuwa się. Dane nie opuszczają placówki, więc nie ma przekazania ich dostawcy chmury i nie trzeba pytać, czy dostawca trenuje model na waszych zapisach. Pozostają uprawnienia, logi, odpowiedzialność za wynik, szkolenia i umowa powierzenia, jeżeli dostawca ma dostęp do systemu przy serwisie. W Medalion pracujemy w tym modelu. Nasze modele są niediagnostyczne i według naszej oceny nie są systemami wysokiego ryzyka. To ocena firmy, nie certyfikat. Pilotaż na prawdziwych danych możliwy jest dopiero po zawarciu umowy powierzenia i z udziałem IOD.

Lista kontrolna

• Zinwentaryzowaliście, z jakich narzędzi AI faktycznie korzysta personel, także tych prywatnych.
• Macie Wykaz Zatwierdzonych Narzędzi z właścicielem i datą przeglądu.
• Dane podzieliliście na klasy, a klasa D ma jedną, zapisaną regułę.
• Jest formularz i ścieżka zatwierdzania nowych narzędzi, z udziałem IOD.
• Dla każdego narzędzia przetwarzającego dane osobowe jest umowa powierzenia.
• Ocena skutków dla ochrony danych jest wykonana tam, gdzie wymaga jej art. 35 RODO.
• Regulamin mówi, kto weryfikuje wynik AI i kto za niego odpowiada.
• Szkolenie odbyło się, a lista uczestników jest w aktach.
• Incydenty mają wyznaczony kanał i termin zgłoszenia krótszy niż 72 godziny.
• Logi i ich przegląd są opisane.
• Współpracownicy na kontraktach potwierdzili zapoznanie się z regulaminem.
• Termin przeglądu regulaminu jest wyznaczony, najpóźniej za 12 miesięcy.

FAQ

Czy regulamin AI jest obowiązkowy?

Żaden przepis, który czytaliśmy, nie wymaga dokumentu o takiej nazwie. Art. 4 AI Act wymaga środków wspierających kompetencje personelu, a RODO wymaga umiejętności wykazania, że personel przetwarza dane na polecenie administratora. Regulamin jest najprostszym sposobem spełnienia obu rzeczy.

Czy lekarz może wkleić opis przypadku do publicznego czatu AI, jeśli usunie nazwisko?

Nie bez oceny IOD. Usunięcie nazwiska często nie wystarcza, bo opis przypadku, daty i rzadka choroba mogą wskazywać konkretną osobę. Regulamin powinien zakazywać wpisywania danych pacjentów do narzędzi spoza wykazu i nie zostawiać decyzji o anonimizacji pojedynczemu użytkownikowi.

Kto powinien podpisać regulamin AI w szpitalu?

Dyrektor lub inna osoba kierująca podmiotem, po opinii IOD. Dział IT i dyrektor medyczny współredagują swoje części. Współpracownicy na kontraktach potwierdzają zapoznanie się z dokumentem w umowie lub oświadczeniu.

Jak często szkolić personel z AI?

AI Act nie podaje częstotliwości. Art. 4 mówi o środkach uwzględniających wiedzę, doświadczenie i kontekst pracy danej osoby. Naszą rekomendacją jest szkolenie przed dostępem do narzędzi i powtórka raz w roku lub po zmianie wykazu, ale to praktyka, nie wymóg.

Czy regulamin chroni przed karą?

Nie daje takiej gwarancji. Pozwala wykazać, jakie środki organizacyjne wdrożono (art. 5 ust. 2 i art. 24 RODO), ale ocena naruszenia i wysokość kary zależą od okoliczności sprawy. Brak regulaminu nie jest sam w sobie naruszeniem.

Źródła

• Rozporządzenie (UE) 2024/1689 (AI Act), tekst skonsolidowany w wersji polskiej, art. 3, 4, 26, 50, 99, 113: ai-act-service-desk.ec.europa.eu
• Rozporządzenie (UE) 2016/679 (RODO), tekst skonsolidowany, art. 5, 24, 28, 29, 32, 33, 35, 39: uodo.gov.pl
• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003: eli.gov.pl
• Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta, tekst jednolity, Dz.U. 2024 poz. 581, art. 13 i 14: eli.gov.pl
• Ustawa o zawodach lekarza i lekarza dentysty, tekst jednolity, Dz.U. 2026 poz. 37, art. 40: eli.gov.pl
• Rozporządzenie Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania, tekst jednolity, Dz.U. 2024 poz. 798, § 1: eli.gov.pl
• Kodeks pracy, tekst jednolity, Dz.U. 2026 poz. 1245, art. 100 i 108: eli.gov.pl
• UODO, „Czy AI to zagrożenie dla danych? Konrad Komornicki podczas AI & MEDTECH CEE 2026”, 10.06.2026: uodo.gov.pl
• UODO, „Zanim wdrożysz narzędzie AI, sprawdź czy jest ono zgodne z zasadami RODO”, 6.08.2026: uodo.gov.pl