Закону про штучний інтелект в Україні поки немає: станом на 30 жовтня 2026 року ми не знайшли у Верховній Раді зареєстрованого законопроєкту, а Мінцифри пише про робочу групу, яка має підготувати закон «протягом 2026 року». Чат-боти тим часом уже стали частиною щоденної роботи, і компанія відповідає за те, що в них потрапляє, за чинними законами, а не за майбутніми. Нижче політика використання ШІ в компанії у вигляді шаблону на одну сторінку і чекліст, як її запровадити за два тижні. Окремо розділяємо, що в такій політиці є вимогою закону, а що нашою порадою.
Чому політика потрібна і що буває без неї, ми вже розбирали в матеріалі про тіньовий ШІ: там цифри, умови провайдерів і п’ять загальних кроків. Тут готовий документ і пояснення, на яких нормах він тримається.
Чи обов’язкова політика використання ШІ в компанії: що каже закон
Прямого обов’язку мати саме таку політику українське право на сьогодні не встановлює. Рекомендації Держспецзв’язку з кіберзахисту систем, які використовують ШІ, затверджені наказом від 23 лютого 2026 року № 154 і мають добровільний характер. Адресовані вони власникам і розпорядникам систем із ШІ, тобто тим, хто такі системи розробляє, впроваджує чи експлуатує, і не є правилами для працівників, які користуються чужим чат-ботом. Для банків і фінкомпаній є ще дискусійний документ НБУ від 24 березня 2026 року про відповідальне використання ШІ, але це обговорення підходів, а не вимога.
Натомість діють загальні норми, які можуть застосовуватися і до тексту, вставленого в чат, якщо в ньому є персональні дані, комерційна таємниця чи інформація під договором про нерозголошення. Політика перетворює ці загальні обов’язки на зрозумілі працівникові правила й дає компанії доказ, що вона вжила заходів.
Закон про захист персональних даних зобов’язує працівника зберігати конфіденційність: за частиною третьою статті 10 він має «не допускати розголошення у будь-який спосіб» персональних даних, які йому довірено або які стали відомі у зв’язку з виконанням обов’язків, крім випадків, передбачених законом. Це зобов’язання діє і після припинення діяльності, пов’язаної з персональними даними. Практичний наслідок: працівникові варто прямо сказати, що вставляти такі дані в зовнішні сервіси не можна, бо те, чи вважається це «розголошенням», закон не уточнює.
Другий блок норм того ж закону стосується сервісів, які обробляють дані за вашим дорученням. Володілець, який доручає обробку іншій особі, має укласти з нею письмовий договір (стаття 4, частина четверта), а розпорядник обробляє дані лише з мети і в обсязі, визначених договором (частина п’ята). Тобто якщо ШІ-сервіс обробляє персональні дані клієнтів за вашим дорученням, потрібен письмовий договір, а не лише згода з типовими умовами.
Третій блок — передача за кордон. Персональні дані іноземним суб’єктам можна передавати за умови, що держава отримувача забезпечує належний захист (стаття 29, частина третя); без цього закон допускає передачу в окремих випадках, зокрема за однозначної згоди людини (частина четверта). ШІ-сервіси часто розміщені за межами України, тож цей блок стосується їх особливо.
Чи є введення персональних даних у публічний чат-бот передачею третій особі чи іноземному суб’єкту, закон прямо не каже, а позиції Уповноваженого з цього питання ми не знайшли. Це відкрите питання, і політика має його обходити забороною, а не покладатися на оптимістичне тлумачення.
Одна з умов, за яких інформація лишається комерційною таємницею, — заходи для збереження її секретності. За статтею 505 Цивільного кодексу таємницею є інформація, яка «була предметом адекватних існуючим обставинам заходів щодо збереження її секретності, вжитих особою, яка законно контролює цю інформацію». Письмова заборона вносити такі дані в публічні сервіси може бути одним із таких заходів, а чи достатньо його, оцінюватиме суд. Це наше читання норми: судової практики про втрату режиму таємниці через ШІ-чат ми не знайшли, тож автоматичну втрату таємниці стверджувати не можна.
Шаблон політики використання ШІ в компанії: 12 пунктів на одну сторінку
Нижче текст, який можна скопіювати й адаптувати. Підставте назву компанії, відповідальну особу і перелік інструментів. Це наш проєкт документа, а не норма закону: формулювання ви змінюєте під себе.
1. Для кого і про що. Ця політика діє для всіх працівників і підрядників [назва компанії], які використовують генеративні ШІ-сервіси (чат-боти, асистентів у документах і коді, генератори зображень, ШІ-нотатори на зустрічах) у роботі. Відповідальна за політику особа: [посада, ім’я].
2. Схвалені інструменти. Для роботи дозволено лише інструменти з реєстру [де лежить реєстр]. До реєстру входять сервіси, для яких компанія уклала договір чи ознайомилась з умовами обробки даних і відключила навчання на наших даних. Особисті акаунти для робочих завдань заборонені, незалежно від того, платні вони чи безкоштовні.
3. Що не можна вносити в ШІ-сервіси. Персональні дані клієнтів, працівників і контрагентів (імена, контакти, номери документів, фінансові дані). Відомості, які ми визначили комерційною таємницею. Інформацію, на яку поширюється договір про нерозголошення. Паролі, ключі доступу, токени, облікові записи. [Для банків і фінкомпаній: банківська таємниця.] Виняток лише для сервісу, який у реєстрі прямо позначено як дозволений для персональних даних: для нього компанія уклала письмовий договір обробки й перевірила, чи не передаються дані за кордон без підстав.
4. Що можна вносити лише в схвалені інструменти. Внутрішні документи без персональних даних і таємниці, чернетки текстів, код без ключів, узагальнені дані без ідентифікації людей. Знеособлення не гарантує безпеки: людину іноді можна встановити за сукупністю відомостей, тому, якщо сумніваєтеся, запитайте відповідальну особу.
5. Що можна без обмежень. Публічна інформація, загальні питання без даних компанії, навчальні приклади.
6. Відповідальність за результат. ШІ допомагає, але не відповідає. Працівник, який використав результат, відповідає за його точність: факти, цифри, цитати, посилання на закони й код перевіряються за першоджерелом до того, як вони потраплять у документ, клієнтові чи в продукт. Правило не залежить від того, наскільки впевнено звучить відповідь.
7. Відкритість щодо ШІ. Якщо результат ШІ йде клієнтові або в публічний матеріал, працівник дотримується правил компанії про позначення такого контенту [вказати, коли позначаємо]. Бот, що спілкується з клієнтами, має чітко повідомляти, що це ШІ.
8. Права на результати. Ми не вважаємо згенерований результат автоматично об’єктом нашого авторського права. Перш ніж видавати згенерований текст чи зображення за власний, працівник суттєво його опрацьовує; умови сервісу щодо прав на результат перевіряються до початку роботи.
9. Якщо дані вже внесено. Працівник негайно припиняє роботу з сервісом, повідомляє відповідальну особу й фіксує, що саме було введено і в якому акаунті. Відповідальна особа вирішує, чи звертатись до провайдера з вимогою видалити дані, чи змінювати паролі й ключі та чи треба повідомляти клієнтів або контрагентів.
10. Навчання. Кожен новий працівник проходить коротке ознайомлення з політикою до отримання доступу до інструментів. Для чинних працівників — раз на [період] з розбором реальних випадків.
11. Порушення. Порушення політики розглядається за правилами внутрішнього розпорядку й умовами трудового договору або договору з підрядником [уточнити з юристом].
12. Перегляд. Політику переглядає відповідальна особа не рідше ніж раз на [період] і щоразу, коли змінюються умови сервісів із реєстру чи законодавство.
Авторське право на результати ШІ: пояснення до пункту 8
За статтею 33 закону про авторське право і суміжні права неоригінальний об’єкт, згенерований програмою «без безпосередньої участі фізичної особи», який відрізняється від наявних подібних об’єктів, охороняється правом особливого роду (sui generis), яке діє 25 років від 1 січня року, наступного за роком генерування, і лише за умови дотримання прав на твори, використані під час генерування. Особисті немайнові права при цьому не виникають, а суб’єктом права стає особа, якій належать майнові права на програму чи яка має ліцензійні повноваження, і це можна змінити договором.
Твори, створені людьми з використанням комп’ютерних технологій, під цей режим не підпадають, але де закінчується «безпосередня участь» людини, закон не визначає. Тому для компанії з цього випливає таке: в політиці варто вимагати суттєвого людського опрацювання й перевіряти умови сервісу. Подробиці режиму ми розбирали в матеріалі про авторське право на результати ШІ.
Які пункти політики використання ШІ вимагає закон, а які лише радимо ми
Таблиця показує, на чому тримаються блоки шаблону. Пункти 1, 4 і 5 організаційні, окремої правової підстави не мають. Якщо ви працюєте з клієнтами з ЄС, прочитайте ще й абзац після таблиці.
| Блок шаблону | Статус | Підстава |
|---|---|---|
| 2. Реєстр інструментів, відключене навчання | Залежить від ситуації: якщо сервіс обробляє персональні дані за вашим дорученням, потрібен письмовий договір; решта — порада | Закон про захист персональних даних, ст. 4, ч. 4–5 |
| 3. Заборонені дані | Закон вимагає захищати персональні дані й не допускати їх розголошення, а таємниця охороняється за наявності заходів збереження; заборона на ШІ — наш спосіб це виконати, поділ на три класи — порада | Закон про захист персональних даних, ст. 10, 24, 29; ЦК ст. 505; договори про нерозголошення |
| 6. Перевірка результату | Порада; для персональних даних точність є вимогою закону | Закон про захист персональних даних, ст. 6; про відповідальність компанії за відповіді бота — наш розбір відповідальності компанії за чат-бота |
| 7. Відкритість щодо ШІ | Порада; в Україні такої норми немає, для компаній з європейською прив’язкою діє стаття 50 AI Act з 2 серпня 2026 року | AI Act, ст. 50 |
| 8. Права на результати | Режим sui generis встановлено законом, а хто суб’єкт, залежить від прав на програму, ліцензії й договору | Закон про авторське право і суміжні права, ст. 33 |
| 9. Інцидент | Порада; чи потрібно повідомляти Уповноваженого або людей про витік персональних даних, уточніть у юриста до запуску | — |
| 10, 11, 12. Навчання, порушення, перегляд | Порада; для компаній у сфері дії AI Act навчання персоналу — обов’язок за статтею 4 (див. нижче) | AI Act, ст. 4 |
Для компаній з європейською прив’язкою, тобто тих, хто виводить ШІ-системи на ринок ЄС чи використовує їх в ЄС, або чиї системи впливають на людей в ЄС, додається AI Act. Його стаття 4 про ШІ-грамотність діє з 2 лютого 2025 року, а нагляд за нею почався 2 серпня 2026 року. Після змін, які набули чинності влітку 2026 року, Єврокомісія пояснює, що обов’язок вживати заходів для підтримки ШІ-грамотності персоналу лишається, але без гарантії конкретного рівня знань. Чи підпадає під цей режим конкретна українська компанія, залежить від її ринків. Про те, що вже заборонено, а що тільки планують заборонити, ми писали в матеріалі про закон про ШІ в Україні.
Чекліст запровадження політики використання ШІ за два тижні
Шаблон без запровадження залишається папером, тому ось порядок дій. Він наш, не з закону.
Тиждень 1. Підготовка. Призначте відповідальну особу й впишіть її в пункт 1. Складіть перший реєстр схвалених інструментів: лише ті, якими вже користуються й які готові залишити. Для кожного перевірте умови: чи навчається сервіс на ваших даних, де зберігаються дані, чи є письмовий договір обробки, якщо через сервіс проходять персональні дані. Визначте, що саме у вас є комерційною таємницею, і запишіть це в пункт 3 переліком, а не загальним словом.
Тиждень 1. Юрист. Покажіть шаблон юристу з двома питаннями: як пункт 11 узгоджується з трудовими договорами й правилами внутрішнього розпорядку і що ваші договори з клієнтами кажуть про передачу інформації третім особам. Договірні обмеження в окремих клієнтів можуть бути суворішими за закон, і політика має це враховувати.
Тиждень 2. Запуск. Проведіть коротку зустріч на 20–30 хвилин: покажіть реєстр, три класи даних (пункти 3–5 шаблону: заборонено, лише в схвалені інструменти, без обмежень) і приклад інциденту з пункту 9. Попросіть кожного підтвердити, що ознайомився, у письмовій формі чи в корпоративному месенджері, щоб було що показати, якщо виникне суперечка.
Далі. Контроль. Раз на квартал звіряйте реєстр з фактичним використанням, а після кожної зміни умов сервісу чи законодавства переглядайте насамперед пункти 2, 3 і 8. Для компаній, які самі розробляють чи впроваджують ШІ-системи, корисно прочитати й рекомендації Держспецзв’язку: у них згадано стандарти ISO/IEC 42001 і 23894 для управління ризиками ШІ. Рекомендації Мінцифри для наукових установ, які ми розбирали в матеріалі про ШІ в науці, містять схожі кроки: реєстр інструментів і перегляд політики «як правило» не рідше ніж раз на два роки. Для бізнесу це лише приклад, а не норма: ми радимо частіше.
Що лишається невідомим
Закон про ШІ, коли він з’явиться, може встановити обов’язки для користувачів ШІ, а не лише для розробників. Тоді політику доведеться доповнити. Невизначеними залишаються й межа між згенерованим об’єктом і твором людини за статтею 33, і те, чи є введення персональних даних у публічний чат передачею третій особі. Якщо ви працюєте з великими обсягами персональних даних або з клієнтами з ЄС, юридичну перевірку шаблону варто провести до запуску, а не після.
Часті запитання про політику використання ШІ в компанії
Прямого обов’язку мати саме таку політику українське право на сьогодні не встановлює. Рекомендації Держспецзв’язку з кіберзахисту систем, які використовують ШІ (наказ від 23 лютого 2026 року № 154), мають добровільний характер. Водночас діють загальні норми про персональні дані та комерційну таємницю, і політика перетворює ці загальні обов’язки на зрозумілі працівникові правила.
За шаблоном це персональні дані клієнтів, працівників і контрагентів, відомості, визначені комерційною таємницею, інформація під договором про нерозголошення, а також паролі, ключі доступу й токени. Банкам і фінкомпаніям додається банківська таємниця. Виняток можливий лише для сервісу, який у реєстрі прямо позначено як дозволений для персональних даних.
За статтею 33 закону про авторське право і суміжні права неоригінальний об’єкт, згенерований програмою без безпосередньої участі фізичної особи, охороняється правом особливого роду (sui generis) протягом 25 років, і лише за умови дотримання прав на використані твори. Де закінчується «безпосередня участь» людини, закон не визначає, тому в політиці варто вимагати суттєвого людського опрацювання й перевіряти умови сервісу.
Перший тиждень: призначити відповідальну особу, скласти реєстр схвалених інструментів з перевіркою їхніх умов, визначити, що є комерційною таємницею, і показати шаблон юристу. Другий тиждень: провести зустріч на 20–30 хвилин і попросити кожного письмово підтвердити ознайомлення. Далі раз на квартал звіряти реєстр з фактичним використанням.