Aplikacja greenpoint.pl

Pobierz

POLITYKA ZARZĄDZANIA SYSTEMAMI SZTUCZNEJ INTELIGENCJI

W GREENPOINT S.A.

Wersja: 1.0 

Dokument Wewnętrzny – obowiązujący dla pracowników, współpracowników i innych osób korzystających z AI w imieniu Spółki 

1. Cel i zasady nadrzędne Polityki

Niniejsza Polityka Zarządzania Systemami Sztucznej Inteligencji ustanawia zasady zgodnego z prawem, bezpiecznego, odpowiedzialnego i kontrolowanego wykorzystywania systemów sztucznej inteligencji w działalności Greenpoint S.A. Celem dokumentu jest zapewnienie, aby systemy sztucznej inteligencji wykorzystywane przez Spółkę, niezależnie od tego, czy są opracowywane, nabywane, udostępniane czy wykorzystywane przez Spółkę, były stosowane w sposób odpowiadający charakterowi danego zastosowania, związanym z nim ryzykom oraz wymaganiom wynikającym z obowiązujących przepisów prawa, w szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji Polityka określa w szczególności zasady dotyczące:

1. identyfikacji i klasyfikacji systemów AI oraz oceny ryzyka związanego z ich wykorzystaniem;
2. zgodności wykorzystywania AI z AI Act oraz innymi mającymi zastosowanie przepisami prawa;
3. ochrony danych osobowych, prywatności oraz informacji poufnych i stanowiących tajemnicę przedsiębiorstwa;
4. poszanowania praw podstawowych, praw pracowników, klientów, kontrahentów i innych osób, na które może oddziaływać wykorzystanie AI;
5. przejrzystości i odpowiedniego informowania o wykorzystaniu AI, w przypadkach wymaganych przepisami prawa lub zasadami Spółki;
6. zapewnienia odpowiedniego nadzoru człowieka nad systemami AI i podejmowanymi przy ich wykorzystaniu decyzjami;
7. zarządzania dostawcami, usługodawcami i innymi podmiotami zewnętrznymi dostarczającymi lub obsługującymi systemy AI;
8. zasad bezpiecznego wprowadzania, wdrażania, monitorowania i wycofywania systemów AI;
9. identyfikowania, zgłaszania, dokumentowania i obsługi incydentów związanych z wykorzystaniem AI;
10. zapewnienia odpowiedniego poziomu kompetencji i świadomości pracowników oraz innych osób korzystających z systemów AI („AI literacy”);
11. dokumentowania procesów związanych z wyborem, oceną, wdrożeniem i wykorzystywaniem systemów AI.

1. Zasady nadrzędne

1. legalność i rozliczalność – AI może być wykorzystywana wyłącznie w prawnie dopuszczalnym celu i w oparciu o właściwą podstawę prawną;
2. ochrona prywatności w fazie projektowania (privacy by design) i domyślna ochrona prywatności (privacy by default) – są każdorazowo uwzględniane od etapu planowania projektu przy użyciu AI;
3. minimalizacja danych – do AI przekazuje się tylko niezbędne dane i informacje;
4. poufność i bezpieczeństwo – dane klientów, pracowników, kontrahentów i tajemnice przedsiębiorstwa podlegają ochronie;
5. nadzór człowieka – wynik AI nie jest automatycznie prawidłowy i podlega każdorazowej kontroli;
6. niedyskryminacja i poszanowanie praw podstawowych;
7. przejrzystość – informacje są przekazywane w przypadkach wymaganych prawem, w szczególności przez art. 50 AI Act;
8. proporcjonalność i kontrola – środki kontroli i dokumentacji odpowiadają ryzyku związanego z wykorzystaniem AI.

2. Podstawa prawna

1. Polityka Zarządzania Systemami Sztucznej Inteligencji w Greenpoint S.A. została sporządzona w szczególności w oparciu o następujące akty prawne:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji („AI Act”), w szczególności art. 3, 4, 5, 6, 9–16, 26, 27, 50, 72–73, 78, 86, 99 i 113 oraz odpowiednie załączniki;
• Rozporządzenie (UE) 2016/679 („RODO”), w szczególności art. 5, 6, 9, 13–14, 22, 24–25, 28, 30, 32 i 35;
• ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji – z uwzględnieniem terminów jej wejścia w życie;
• przepisy o tajemnicy przedsiębiorstwa, prawach autorskich, ochronie konsumentów, cyber bezpieczeństwie i innych obszarach właściwych dla danego zastosowania.

2. W przypadku wykorzystywania AI do tworzenia, modyfikowania lub przetwarzania zdjęć, materiałów reklamowych, wizerunku osób, projektów graficznych, opisów produktów lub innych materiałów marketingowych Spółka uwzględnia w szczególności przepisy dotyczące praw autorskich i praw pokrewnych, ochrony dóbr osobistych i wizerunku, znaków towarowych, tajemnicy przedsiębiorstwa, nieuczciwej konkurencji oraz ochrony konsumentów.
3. Przepisy dotyczące kompetencji w zakresie AI (AI literacy), określone w art. 4 AI Act, oraz przepisy rozdziału II dotyczące zakazanych praktyk w zakresie AI stosuje się od dnia 2 lutego 2025 r.;
4. Przepisy dotyczące modeli AI ogólnego przeznaczenia (GPAI) stosuje się zgodnie z właściwymi terminami określonymi w AI Act;
5. Zasadnicza część przepisów AI Act, w tym przepisy dotyczące obowiązków w zakresie przejrzystości określonych w art. 50, znajduje zastosowanie od dnia 2 sierpnia 2026 r.;
6. Przepisy dotyczące systemów AI wysokiego ryzyka stosuje się z uwzględnieniem szczególnych terminów i przepisów przejściowych przewidzianych w AI Act, w szczególności w odniesieniu do art. 6 ust. 1 i art. 6 ust. 2;
7. Przepisy ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003) stosuje się zgodnie z jej przepisami końcowymi i przejściowymi; ustawa weszła zasadniczo w życie w dniu 11 sierpnia 2026 r.

3. Definicje

1. System AI - system maszynowy zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji po wdrożeniu oraz który, na potrzeby wyraźnych lub dorozumianych celów, wnioskuje na podstawie otrzymanych danych wejściowych, jak generować wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne.
2. Model AI ogólnego przeznaczenia (GPAI) - Model sztucznej inteligencji, w tym przeszkolony przy użyciu dużej liczby danych i charakteryzujący się istotną uniwersalnością (np. GPT, Gemini, Claude), zdolny do realizacji szerokiego spektrum różnorodnych zadań;
3. Sztuczna Inteligencja Generatywna (AI Generatywna) – podgrupa systemów sztucznej inteligencji, która opiera się na zaawansowanych modelach uczenia maszynowego (w tym modelach bazowych i wielkojęzykowych), wyszkolonych na ogromnych zbiorach danych. AI generatywna jest zdolna do samodzielnego tworzenia nowych, unikalnych treści w odpowiedzi na instrukcje użytkownika (tzw. prompty). Wynikiem jej działania mogą być teksty, grafiki, pliki wideo, dźwięki, a także kod programistyczny.
4. Dostawca - podmiot określony w art. 3 AI Act, rozwijający system lub zlecający jego rozwój i wprowadzający go pod własną nazwą lub znakiem.
5. Podmiot stosujący / deployer - podmiot wykorzystujący system AI pod swoją kontrolą, z wyjątkiem osobistego, nieprofesjonalnego użycia.
6. System wysokiego ryzyka - system spełniający kryteria art. 6 AI Act, z uwzględnieniem wyjątków i załączników.
7. Praktyka zakazana - praktyka objęta art. 5 AI Act.
8. AI Inventory - centralny rejestr systemów AI używanych, testowanych, nabywanych lub rozwijanych przez Spółkę.
9. Incydent AI - zdarzenie związane z AI mogące naruszać prawo, bezpieczeństwo, ochronę danych, prawa podstawowe lub interes Spółki.
10. Spółka – Greenpoint S.A. z siedzibą w Krakowie.

3.1 Zasada zachowania statusu podmiotu stosującego (deployera)

1. Spółka wdraża i wykorzystuje systemy AI wyłącznie w roli podmiotu stosującego (deployera).
2. W celu uniknięcia automatycznego i przymusowego przejęcia pełnej odpowiedzialności prawnej Dostawcy w oparciu o  art. 25 AI Act, w Spółce wprowadza się bezwzględny zakaz:

1. dokonywania istotnych modyfikacji w rozumieniu AI Act (w tym zmian w działaniu, architekturze, kodzie lub parametrach granicznych) zakupionych systemów AI, w szczególności systemów zakwalifikowanych jako systemy wysokiego ryzyka;
2. zmieniania przewidzianego przez producenta przeznaczenia systemu AI lub wykorzystywania go w sposób sprzeczny z instrukcją i dokumentacją dostawcy – w szczególności, gdyby taka zmiana mogła skutkować zakwalifikowaniem systemu jako systemu AI wysokiego ryzyka;
3. opatrywania systemów AI dostawcy zewnętrznego nazwą, znakiem towarowym lub marką Spółki w sposób sugerujący, że Spółka jest jego producentem (zakaz rebrandingu i white-labelingu systemów AI.

4. Zakazane praktyki AI

W Spółce wprowadza się bezwzględny zakaz wdrażania, udostępniania, wykorzystywania i testowania systemów AI służących do:. 

1. Stosowania technik podprogowych, manipulacyjnych lub wprowadzających w błąd – zakaz obejmuje systemy działające poza świadomością człowieka lub celowo wypaczające jego zachowanie w sposób, który istotnie ogranicza zdolność do podjęcia świadomej decyzji i powoduje (lub może powodować) u tej osoby lub innych osób poważną szkodę;
2. Wykorzystywania podatności i słabości osób lub grup – zakaz dotyczy systemów AI, które ze względu na wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną danej grupy celowo zniekształcają zachowanie tych osób w sposób wyrządzający im (lub innym) poważną szkodę;
3. Niedozwolonej oceny i klasyfikacji społecznej (social scoring) – zakazane jest ocenianie i klasyfikowanie osób fizycznych przez określony czas na podstawie ich zachowań społecznych lub cech osobowości, jeżeli prowadzi to do gorszego traktowania w sytuacjach niezwiązanych z pierwotnym kontekstem zebrania danych lub traktowania nieproporcjonalnego do wagi zachowania;
4. Indywidualnej oceny ryzyka popełnienia przestępstwa (predictive policing) – zakaz dotyczy systemów AI oceniających ryzyko popełnienia przestępstwa przez osobę fizyczną wyłącznie na podstawie profilowania, cech osobowości lub przeszłych zachowań przestępczych (zakaz nie obejmuje systemów wspierających ludzką ocenę opartą na obiektywnych faktach powiązanych z działalnością przestępczą);
5. Tworzenia baz danych do rozpoznawania twarzy poprzez scraping – bezwzględnie zakazane jest nieukierunkowane pobieranie wizerunków twarzy z internetu (np. z mediów społecznościowych) lub z nagrań monitoringu (CCTV) w celu tworzenia lub rozbudowy baz danych służących do rozpoznawania twarzy;
6. Rozpoznawania emocji w miejscu pracy lub instytucjach edukacyjnych – zakazane jest stosowanie systemów AI wykrywających stan emocjonalny pracowników;
7. Niedozwolonej kategoryzacji biometrycznej – zakaz obejmuje systemy, które klasyfikują osoby fizyczne na podstawie ich danych biometrycznych w celu ustalenia lub wnioskowania o ich cechach wrażliwych (takich jak poglądy polityczne, wyznanie, orientacja seksualna, rasa czy przynależność do związków zawodowych);
8. Innych praktyk  objętych zakazem wskazanych w art. 5 AI Act.

5. Klasyfikacja ryzyka i AI Inventory

1. Każdy system AI, w tym funkcja AI w oprogramowaniu SaaS, model generatywny oraz systemy ogólnego przeznaczenia, chatbot, voicebot, narzędzie analityczne lub rozwiązanie wbudowane w system dostawcy, musi zostać zgłoszony do AI Inventory przed regularnym używaniem. Dotyczy to również narzędzi bezpłatnych i testowych, jeżeli mogą przetwarzać dane Spółki. 

2. Klasyfikacji nie dokonuje się wyłącznie na podstawie nazwy produktu lub deklaracji dostawcy. Ocenia się funkcję, przeznaczenie, dane, osoby dotknięte działaniem, autonomię i kontekst.
3. Systemy AI używane do rekrutacji, selekcji, decyzji dotyczących warunków zatrudnienia, przydzielania zadań, monitorowania lub oceny pracowników mogą podlegać kwalifikacji jako wysokiego ryzyka. Nie oznacza to automatycznie, że każdy system HR jest wysokiego ryzyka – konieczna jest analiza art. 6 i załącznika III.

6. Procedura zatwierdzania AI

1. Każdy System AI, w tym aplikacje graficzne, generatory treści, boty oraz funkcje AI wbudowane w systemy SaaS (np. e-commerce, ERP, PIM), musi zostać zgłoszone przez właściciela procesu przed rozpoczęciem jego używania lub testowania.
2. Kwalifikacja ryzyka: Dział IT dokonuje wstępnej klasyfikacji systemu (zgodnie z art. 5, 6 i 50 AI Act). Na tej podstawie system jest kierowany na jedną z trzech ścieżek weryfikacji:

1. Ścieżka Szybka (Ryzyko Minimalne): Narzędzia wspierające codzienne, powtarzalne zadania (np. automatyczna korekta opisów produktów, tłumaczenia językowe na zagraniczne rynki e-commerce, automatyczne wycinanie tła z packshotów). Weryfikacja ogranicza się do potwierdzenia w regulaminie dostawcy opcji opt-out (dane tekstowe lub zdjęcia produktów nie mogą służyć do trenowania modeli publicznych). Zatwierdzenie następuje po wpisaniu do rejestru.
2. Ścieżka Standardowa (Ryzyko Ograniczone / Obowiązki Przejrzystości – Art. 50): AI generatywne lub GPIA kluczowe dla marketingu i e-commerce (np. generatory modeli i modelek do lookbooków, wirtualne przymierzalnie, generatory haseł reklamowych, chatboty obsługi klienta). Weryfikacja obejmuje:

• Aspekt prawno-autorski: Sprawdzenie, czy licencja pozwala na pełne wykorzystanie komercyjne grafik/tekstów bez ryzyka roszczeń osób trzecich.
• Ochronę tajemnicy firmy: Zakaz wgrywania przedpremierowych projektów, wykrojów i wzorów (patternów) ubrań do narzędzi publicznych.
• Zgodność z art. 50 AI Act i prawem konsumenckim: Wdrożenie procedury oznaczania syntetycznych wizerunków modeli tagiem „Wygenerowano przez AI” lub „Zmodyfikowane przez AI” oraz kontrola, czy AI nie przekłamuje realnego wyglądu, kroju i koloru sprzedawanego ubrania.

3. Ścieżka Pełna (Wysokie Ryzyko / Dane Wrażliwe): Systemy AI wpływające na decyzje wobec ludzi (np. algorytmy HR do rekrutacji i oceny pracowników salonów/centrali, systemy AI analizujące wydajność pracy magazynierów w centrum logistycznym, zaawansowane systemy scoringowe do oceny ryzyka nadużyć przy zwrotach konsumenckich). Narzędzie przechodzi pełny, 7-stopniowy audyt prawno-techniczny (w tym pełna ocena RODO z DPIA, audyt cyberbezpieczeństwa IT, wdrożenie procedury nadzoru człowieka nad decyzjami bota oraz rejestracja logów.

3. Zgodę na System AI ze ścieżki szybkiej i standardowej wydaje Dział IT po wypełnieniu przez właściciela procesu Oceny Systemu AI. Systemy ze ścieżki pełnej (Wysokie Ryzyko) każdorazowo i obligatoryjnie wymagają formalnej akceptacji Zarządu Spółki.

7. RODO i ochrona danych osobowych

1. Wprowadzanie danych osobowych pracowników, klientów lub kontrahentów do publicznych lub niezatwierdzonych systemów AI (ścieżka zielona bez weryfikacji lub narzędzia prywatne) jest całkowicie zabronione. Dane osobowe mogą być przetwarzane przez systemy AI wyłącznie przy istnieniu ważnej podstawy prawnej, jasno określonym celu biznesowym, przy zachowaniu zasady minimalizacji danych oraz zastosowaniu odpowiednich zabezpieczeń technicznych (np. pseudonimizacji).Jeżeli dostawca AI przetwarza dane osobowe w imieniu Spółki, przed rozpoczęciem przetwarzania należy zweryfikować zawarcie właściwej umowy powierzenia zgodnej z art. 28 RODO. Deklaracja dostawcy, że „nie trenuje modelu na danych klienta”, nie zastępuje analizy ról, podstawy prawnej, transferów, bezpieczeństwa i retencji.
2. W przypadku przetwarzania danych osobowych w imieniu Spółki (np. system rekrutacyjny, chatbot zbierający dane klientów) przez dostawcę Systemu AI, przed rozpoczęciem wdrożenia należy zawrzeć właściwą umowę powierzenia przetwarzania danych osobowych (DPA) zgodną z art. 28 RODO. Marketingowa deklaracja dostawcy, że „nie trenuje modelu na danych klienta”, chroni tajemnicę przedsiębiorstwa, ale nie zastępuje i nie zwalnia Spółki z formalnej analizy ról (administrator/podmiot przetwarzający), podstawy prawnej, transferów danych, bezpieczeństwa oraz okresów retencji.
3. Przed użyciem Systemu AI, które może przekazywać dane poza Europejski Obszar Gospodarczy (EOG) – w szczególności do dostawców z USA – należy precyzyjnie ustalić lokalizację serwerów oraz podstawę prawną transferu z rozdziału V RODO. Wymagane jest zweryfikowanie, czy dostawca posiada certyfikat zgodności z decyzją Komisji Europejskiej o adekwatności (np. Data Privacy Framework) lub podpisanie Standardowych Klauzul Umownych (SCC) wraz z przeprowadzeniem oceny skutków transferu (TIA).
4. Profilowanie i automatyczne decyzje (Art. 22 RODO):** Jeżeli system AI podejmuje decyzje wywołujące wobec człowieka skutki prawne lub w podobny sposób istotnie na niego wpływające (np. automatyczne odrzucenie kandydata w rekrutacji, automatyczne blokowanie konta klienta z podejrzeniem oszustwa), przed wdrożeniem należy przeprowadzić szczegółową analizę pod kątem art. 22 RODO oraz AI Act. Zakazane jest obchodzenie przepisów poprzez formalne nazywanie wyniku działania AI „rekomendacją”, jeżeli w praktyce operacyjnej pracownik bezrefleksyjnie i automatycznie ją akceptuje (tzw. "fikcyjny nadzór ludzki").
5. Każde wdrożenie Systemu AI przetwarzającego dane osobowe wymaga aktualizacji odpowiednich klauzul informacyjnych (polityki prywatności dla klientów e-commerce lub pracowników/kandydatów). Spółka musi zapewnić techniczną możliwość realizacji praw tych osób, w szczególności prawa do usunięcia danych („bycia zapomnianym”) oraz prawa do sprzeciwu wobec profilowania opartego na algorytmach AI.

8. Poufność i tajemnica przedsiębiorstwa

1. Przekazywanie jakichkolwiek informacji stanowiących własność Spółki do systemów AI, które nie zostały formalnie zweryfikowane i zatwierdzone przez Dział IT jest całkowicie zabronione. W szczególności zakaz ten obejmuje:

1. Dane klientów, pracowników, kontrahentów Spółki (RODO): Zakaz wprowadzania imion, nazwisk, adresów dostaw e-commerce, numerów telefonów, adresów e-mail, historii zakupów, a także danych pracowników sklepów, centrali i magazynów umożliwiających ich bezpośrednią lub pośrednią identyfikację.
2. Dane kadrowo-płacowe i szczególnie chronione: Zakaz wgrywania dokumentów zawierających zestawienia wynagrodzeń, plany premiowe, oceny okresowe pracowników, dane medyczne (np. zwolnienia lekarskie) lub informacje o sporach pracowniczych.
3. Tajemnice handlowe i operacyjne Spółki: Zakaz wprowadzania plików lub promptów zawierających np.: 

• Projekty ubrań, wykroje, rysunki techniczne, unikalne wzory (patterny) oraz specyfikacje materiałowe przedpremierowych kolekcji.
• Warunki handlowe z dostawcami (szwalniami, producentami dzianin, logistykami), umowy NDA, negocjacje cenowe, plany marketingowe, budżety kampanii oraz marże i strategie cenowe Spółki.
• Inne stanowiące lub mogące stanowić tajemnicę przedsiębiorstwa Spółki.

4. Dane uwierzytelniające i infrastrukturę IT: Zakaz wgrywania haseł, kluczy API (np. do bramek płatności lub systemów kurierskich), tokenów dostępowych, konfiguracji sieciowych oraz logów systemowych z platformy e-commerce czy systemów ERP/WMS.
5. Własność intelektualną (Kod i Bazy Danych): Zakaz wprowadzania niepublicznego kodu źródłowego aplikacji sprzedażowych, skryptów automatyzujących marketing, struktur baz danych oraz baz zawierających historię transakcyjną klientów.
6. Materiały wizualne (Zrzuty ekranu i pliki): Zakaz wgrywania zrzutów ekranu z wewnętrznych systemów firmy (np. ERP), jeśli widoczne są na nich dane objęte poufnością lub tajemnicą przedsiębiorstwa.

2. W przypadku korzystania z narzędzi oficjalnie zatwierdzonych do użytku biznesowego (Ścieżka Standardowa i Pełna), użytkownik ma obowiązek stosować zasadę minimalizmu. Przed wprowadzeniem danych należy bezwzględnie:

1. Anonimizować dane osobowe
2. Agregować i generalizować dane biznesowe.
3. Upewnić się, że sesja odbywa się na koncie firmowym z aktywną opcją „opt-out” (całkowity zakaz wykorzystywania promptów do uczenia modeli dostawcy).

9. Prawa autorskie

1. Wszelkie rezultaty pracy wygenerowane przez pracowników lub współpracowników przy użyciu zatwierdzonych, firmowych narzędzi AI stanowią wyłączną własność Spółki (lub Spółka posiada do nich pełne, wyłączne prawa zależne), w maksymalnym zakresie dopuszczalnym przez obowiązujące przepisy prawa autorskiego oraz umowy z dostawcami Systemów AI.
2. Wszelkie materiały wygenerowane w 100% automatycznie przez sztuczną inteligencję (bez istotnego wkładu człowieka) nie stanowią utworu i nie podlegają ochronie prawa autorskiego. Oznacza to, że firmy konkurencyjne w stosunku do Spółki mogą zgodnie z prawem skopiować np. lookbook lub opis kolekcji wygenerowany w całości przez Systemy AI.
3. Aby zapewnić Spółce ochronę prawną przed kopiowaniem przez firmy konkurencyjne, każdy materiał wygenerowany przez AI na potrzeby zewnętrzne Spółki musi zostać istotnie zmodyfikowany, przetworzony lub połączony z twórczą pracą człowieka (np. poprzez autorski montaż grafik, korektę redakcyjną tekstów haseł reklamowych, ręczny retusz i wkomponowanie elementów marki w lookbook AI).
4. Zabrania się generowania grafik i tekstów poprzez celowe wpisywanie promptów nakazujących AI kopiowanie unikalnego stylu, logotypów, znaków towarowych lub projektów innych marek odzieżowych, projektantów czy fotografów. Pracownik oraz współpracownik Spółki ponosi odpowiedzialność za zweryfikowanie, czy końcowy produkt nie jest łudząco podobny do istniejących na rynku utworów.
5. Wykorzystanie jakichkolwiek materiałów wygenerowanych przez AI w celach komercyjnych (np. nadruki na odzież, grafiki do kampanii reklamowych, posty w social mediach) jest dozwolone wyłącznie przy użyciu narzędzi ze Ścieżki Standardowej lub Ścieżki Pełnej.

10. AI Generatywna/GPAI

1. Użytkownik przed jakąkolwiek publikacją, wdrożeniem lub przekazaniem na zewnątrz materiałów współtworzonych przez System AI ma obowiązek przeprowadzić szczegółową weryfikację w następujących obszarach:

1. Fakty i źródła: Sprawdzenie poprawności merytorycznej oraz eliminacja tzw. „halucynacji AI” (zmyślonych informacji).
2. Prawa autorskie i znaki towarowe: Upewnienie się, że wygenerowany materiał nie narusza cudzej własności intelektualnej.
3. Poufność: Bezwzględny zakaz wprowadzania danych objętych tajemnicą przedsiębiorstwa do systemów, które tego nie gwarantują.
4. Prawo konsumenckie i wizerunek: Analiza, czy treść nie wprowadza klientów w błąd.
5. Bezpieczeństwo kodu: Każdy fragment kodu programistycznego wygenerowany przez AI przed wdrożeniem produkcyjnym wymaga obligatoryjnej kontroli pod kątem bezpieczeństwa IT, jakości architektury oraz zgodności licencyjnej (open-source).

2. Wykorzystywanie publicznych i darmowych wersji modeli GPAI (np. darmowy ChatGPT, Midjourney, Copilot) w celach służbowych jest dozwolone wyłącznie do zadań kreatywnych i redakcyjnych, które nie wymagają wprowadzania jakichkolwiek danych osobowych, tajemnic przedsiębiorstwa oraz projektów graficznych nowej odzieży przed ich oficjalną premierą.

Wdrożenie produkcyjne narzędzia opartego na GPAI (np. integracja bota obsługi klienta przez API w sklepie internetowym Spółki) wymaga weryfikacji, czy dostawca modelu zapewnia warunki, w których dane Spółki i jej klientów są odizolowane i nie są wykorzystywane do dalszego trenowania modelu publicznego.

3. Wykorzystywanie AI Generatywnych do tworzenia wizerunków osób (np. nieistniejących modeli/modelek prezentujących odzież Spółki) lub generowania realistycznych teł sesji zdjęciowych, wymaga każdorazowej analizy pod kątem art. 50 ust. 4 AI Act.
4. Zabrania się wykorzystywania systemów AI do masowego kopiowania, replikowania lub modyfikowania wzorów odzieży i grafik marek konkurencyjnych bez posiadania odpowiednich licencji, z uwagi na ryzyko naruszenia praw autorskich i zarzutu czynu nieuczciwej konkurencji.
5. Każdy obraz, wideo lub materiał graficzny wygenerowany bądź istotnie zmodyfikowany przez AI, który przedstawia realistyczne wizerunki osób, obiektów lub scenerii (mogący wywołać u konsumenta wrażenie autentycznej fotografii), podlega obowiązkowemu oznaczeniu przed publikacją. Spółka wdraża dwupoziomowy standard oznaczania materiałów wizualnych AI:

1. Oznaczenie wizualne (warstwa prezentacji): Na materiał nakłada się widoczny, jasny i czytelny dla konsumenta komunikat tekstowy lub oficjalną ikonę informacyjną zalecaną przez Komisję Europejską (np. w formie grafiki z adnotacją przy najechaniu kursem lub kliknięciu). Spółka rozróżnia dwa komunikaty w zależności od stopnia użycia technologii:

• „Wygenerowane przez AI” (AI Generated): dla treści stworzonych przez algorytm całkowicie od zera (gdy produkt i postać są fikcją);
• „Zmodyfikowane przez AI” (AI Modified): dla treści, w których bazą było autentyczne zdjęcie produktu/osoby, ale AI stworzyło na tej podstawie nowy element lub wprawiło obraz w ruch (np. animacja statycznego zdjęcia produktowego do formy wideo).

Oznaczenie musi być łatwo dostępne przy pierwszej interakcji klienta z treścią.

2. Oznaczenie maszynowe (warstwa danych): Zabrania się celowego usuwania, modyfikowania lub oczyszczania plików graficznych z technicznych metadanych pochodzenia (standard C2PA, IPTC) oraz cyfrowych znaków wodnych zaimplementowanych automatycznie przez dostawcę systemu AI. Systemy oraz skrypty kompresujące zdjęcia na stronie e-commerce Spółki muszą zachowywać te znaczniki.

6. W przypadku grafik o charakterze ewidentnie artystycznym, abstrakcyjnym lub kreatywnym, które nie udają rzeczywistości (np. fantazyjne grafiki tła), dopuszcza się ograniczenie oznaczenia do formy, która nie zakłóca odbioru powstałego dzieła (np. informacja w stopce strony lub opisie postu).
7. Zgodnie z oficjalnymi wytycznymi Komisji Europejskiej do art. 50 AI Act, obowiązkowi oznaczania nie podlegają materiały, w których Systemy AI pełniły wyłącznie rolę pomocniczą przy standardowej edycji (np. automatyczne usuwanie tła ze zdjęć produktowych, korekcja kolorów ubrań, upscaling, usuwanie drobnych skaz). Obowiązkowi oznakowania wizualnego nie podlegają również opisy produktów i treści tekstowe np. marketingowe generowane przez modele GPAI, o ile przed ich publikacją zostały poddane pełnej weryfikacji oraz kontroli redakcyjnej przez pracownika Spółki.
8. Jeżeli System AI jest przeznaczony do bezpośredniej interakcji z osobą fizyczną np. czat bot, w pierwszej kolejności należy ją poinformować o interakcji z Systemem AI. Jako przykład poinformowania osoby fizycznej Spółka wskazuje:  „Rozmawiasz z asystentem wykorzystującym sztuczną inteligencję”.

11. DPIA/FRIA

1. Nie każdy System AI automatycznie wymaga przeprowadzenia procedury DPIA. Przeprowadzenie DPIA jest obowiązkowe, jeżeli planowane wykorzystanie Systemu AI wiąże się z przetwarzaniem danych osobowych, które z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw lub wolności osób fizycznych.
2. Systemy AI obligatoryjnie wymagają DPIA, jeżeli służą do: automatycznego podejmowania decyzji wywołujących skutki prawne wobec ludzi, masowego profilowania klientów lub przetwarzania danych wrażliwych (np. dane o zdrowiu).Każdorazowy zamiar wdrożenia takiego systemu musi zostać zgłoszony do Inspektora Ochrony Danych Osobowych w celu weryfikacji konieczności wykonania DPIA przed uruchomieniem nowego Systemu AI.
3. Ze względu na rodzaj prowadzonej działalności gospodarczej przez Spółkę, obowiązek przeprowadzania oceny skutków dla praw podstawowych (FRIA) na podstawie art. 27 AI Act co do zasady Spółki nie dotyczy. Spółka nie jest podmiotem publicznym, nie świadczy usług publicznych ani nie kwalifikuje się jako instytucja finansowa oceniająca zdolność kredytową czy ryzyko ubezpieczeniowe. Przeprowadzenie procedury FRIA jest obligatoryjne wyłącznie w przypadku nadzwyczajnego wdrożenia Systemu AI dedykowanego do celów wprost wskazanych w art. 27 AI Act.

12. Nadzór Człowieka

1. Każdy System AI wykorzystywany w Spółce pełni wyłącznie funkcję doradczą, pomocniczą lub optymalizacyjną. Za dany wynik działania Systemu AI i jego wykorzystanie odpowiedzialność ponosi pracownik lub współpracownik Spółki.
2. Kontrola pracownika lub współpracownika nad wynikami Systemów AI obligatoryjnie musi mieć charakter rzeczywisty, merytoryczny i aktywny, a nie wyłącznie formalny. Zabronione jest się bezrefleksyjnego i automatyczne akceptowania propozycji generowanych przez algorytmy (tzw. "klikania na oślep"). Pracownik oraz współpracownik Spółki ma obowiązek każdorazowo krytycznie ocenić wynik Systemu AI, opierając się na własnej wiedzy zawodowej i doświadczeniu.
3. Restrykcyjna, podwójna weryfikacja ludzka oraz krytyczna ocena poprawności odpowiedzi Systemu AI jest szczególnie obligatoryjna w procesach o podwyższonym ryzyku operacyjnym, prawnym lub biznesowym, do których w szczególności zalicza się:

1. Ocena aplikacji CV, rekrutacja, monitoring efektów pracy lub analiza kandydatów.
2. Formułowanie odpowiedzi na skargi konsumenckie, przyznawanie rekompensat, rozpatrywanie zwrotów towarów.
3. Kwalifikacja kosztów, analizy budżetowe, prognozy finansowe.
4. Analiza umów handlowych, weryfikacja regulaminów akcji marketingowych.
5. W każdym procesie biznesowym, w którym wykorzystywane jest System AI,  użytkownik musi mieć zapewnioną techniczną i proceduralną możliwość zignorowania, zakwestionowania, ręcznej korekty lub całkowitego wstrzymania (zablokowania) wyniku wygenerowanego przez System AI, jeśli uzna go za błędny, nieetyczny lub niezgodny z prawem.
6. Każda treść, pismo, odpowiedź lub dokument generowany przy wsparciu AI, który ma zostać wysłany do podmiotu zewnętrznego – w szczególności klienta, kontrahenta, organu administracji publicznej lub sądu – wymaga uprzedniej, skrupulatnej kontroli użytkownika. Niedozwolone jest wysyłanie pism wychodzących stworzonych w całości przez AI bez autoryzacji pracownika lub współpracownika.

13. Incydenty AI