AI a RODO: od czego zacząć
Większość wdrożeń AI w małych i średnich firmach dotyka danych osobowych. Chatbot na stronie zbiera imię, telefon i opis sprawy. Agent AI czyta maile od klientów. Asystent na danych firmy przeszukuje umowy, oferty i notatki z CRM. W każdym z tych przypadków Twoja firma przetwarza dane osobowe, a więc obowiązuje ją RODO.
Dobra wiadomość: RODO nie zabrania korzystania z AI. Stawia te same pytania co przy każdym innym systemie. Jakie dane zbierasz, w jakim celu, na jakiej podstawie, kto ma do nich dostęp, gdzie są przechowywane i jak długo. Różnica polega na tym, że przy AI odpowiedzi na te pytania łatwiej przeoczyć, bo dane trafiają do zewnętrznego modelu językowego, a jego działanie bywa mniej przejrzyste niż działanie zwykłego programu.
Zanim wybierzesz narzędzie, opisz proces w kilku zdaniach: skąd przychodzą dane, co AI ma z nimi zrobić i gdzie trafia wynik. Taki opis przyda się przy rozmowie z dostawcą, z prawnikiem i z zespołem.
Ważne: ten artykuł zawiera ogólne, praktyczne wskazówki i nie jest poradą prawną. Każda firma ma inną sytuację, dlatego decyzje dotyczące przetwarzania danych osobowych skonsultuj z prawnikiem lub inspektorem ochrony danych (IOD).
Minimalizacja danych: daj AI tylko to, czego potrzebuje
Zasada minimalizacji to najprostszy i najskuteczniejszy sposób, żeby bezpiecznie wdrożyć AI. Im mniej danych osobowych trafia do modelu, tym mniejsze ryzyko i mniej formalności.
- Usuwaj zbędne pola. Jeśli agent ma klasyfikować zgłoszenia według tematu, zwykle nie potrzebuje numeru PESEL ani adresu zamieszkania.
- Stosuj pseudonimizację. Zamiast nazwiska klienta przekaż modelowi identyfikator, a dane osobowe dołącz dopiero w Twoim systemie, po otrzymaniu wyniku.
- Ogranicz formularze. Chatbot nie musi pytać o dane, których potem nie wykorzystasz. Każde dodatkowe pole to dodatkowa odpowiedzialność.
- Uważaj na dane szczególnych kategorii. Informacje o zdrowiu, poglądach czy przynależności związkowej wymagają szczególnej ostrożności. Często najlepiej zaprojektować proces tak, żeby AI ich w ogóle nie przetwarzało.
Minimalizacja dotyczy też bazy wiedzy. Jeśli budujesz asystenta AI na danych firmy, wybierz dokumenty, które naprawdę są mu potrzebne. Folder z całą korespondencją kadrową nie powinien trafić do indeksu tylko dlatego, że leżał na tym samym dysku.
Podstawa prawna i cel przetwarzania
Każde przetwarzanie danych osobowych potrzebuje podstawy prawnej z RODO. Przy typowych zastosowaniach AI w firmie najczęściej w grę wchodzą:
- wykonanie umowy lub działania przed jej zawarciem, gdy chatbot odpowiada na zapytanie klienta o ofertę albo agent obsługuje zamówienie,
- prawnie uzasadniony interes administratora, na przykład usprawnienie obsługi zgłoszeń, przy czym trzeba ocenić, czy nie przeważa nad interesami osób, których dane dotyczą,
- zgoda, gdy przetwarzanie wykracza poza to, czego osoba może się rozsądnie spodziewać, na przykład przy marketingu.
Równie ważny jest cel. Dane zebrane przez chatbota do odpowiedzi na pytanie o termin wizyty nie powinny bez dodatkowej analizy trafiać do kampanii marketingowych ani do trenowania własnego modelu. Zapisz cel każdego procesu z AI w rejestrze czynności przetwarzania, jeśli go prowadzisz, i trzymaj się go przy rozbudowie rozwiązania.
Przy procesach, które mogą nieść wysokie ryzyko dla osób, na przykład przy ocenie klientów lub pracowników, RODO może wymagać oceny skutków dla ochrony danych (DPIA). O tym, czy jest potrzebna w Twoim przypadku, zdecyduj razem z prawnikiem lub IOD.
Umowa powierzenia AI i wybór dostawcy
Gdy korzystasz z zewnętrznego modelu językowego, platformy chatbota albo narzędzia automatyzacji, dostawca zwykle przetwarza dane w Twoim imieniu. Wtedy potrzebujesz umowy powierzenia przetwarzania danych, często nazywanej DPA (Data Processing Agreement). Umowa powierzenia AI powinna określać między innymi:
- przedmiot, cel i czas przetwarzania,
- rodzaj danych i kategorie osób,
- środki bezpieczeństwa stosowane przez dostawcę,
- zasady korzystania z podwykonawców, czyli tzw. dalsze powierzenie,
- pomoc przy realizacji praw osób i obsłudze naruszeń,
- usunięcie lub zwrot danych po zakończeniu współpracy.
Wielu dużych dostawców modeli i platform udostępnia gotowe umowy DPA w panelu konta lub na stronie. Sprawdź też, czy dane z Twojego konta są wykorzystywane do trenowania modeli. W usługach biznesowych i przy dostępie przez API często można to wyłączyć albo jest wyłączone domyślnie, ale zawsze potwierdź to w warunkach usługi.
Pamiętaj, że w jednym wdrożeniu może być kilku dostawców: model językowy, platforma automatyzacji, baza wektorowa, hosting, system CRM. Każdy z nich, jeśli ma dostęp do danych osobowych, powinien być objęty odpowiednią umową. Narysuj prostą mapę przepływu danych i przy każdym elemencie zaznacz, czy masz podpisane DPA.
Gdzie są dane: lokalizacja, retencja i dostęp
Lokalizacja danych
RODO dopuszcza przekazywanie danych poza Europejski Obszar Gospodarczy, ale tylko przy spełnieniu określonych warunków, na przykład na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub standardowych klauzul umownych. Sprawdź, gdzie dostawca przetwarza dane i na jakiej podstawie je przekazuje. Część dostawców oferuje przetwarzanie lub przechowywanie danych w regionie UE, co upraszcza sprawę.
Retencja
Ustal, jak długo przechowujesz rozmowy z chatbotem, logi agenta i pliki przesłane przez klientów. Dotyczy to zarówno Twoich systemów, jak i dostawcy. Dane powinny być usuwane, gdy przestają być potrzebne do celu, w którym je zebrano. Logi przydają się do kontroli jakości, dlatego warto rozdzielić logi techniczne, przechowywane krócej i bez zbędnych danych osobowych, od dokumentacji spraw, która podlega Twoim zwykłym zasadom archiwizacji.
Kontrola dostępu
- Agent AI dostaje tylko te uprawnienia, których potrzebuje do zadania. Na początek często wystarczy odczyt i tworzenie szkiców.
- Asystent na danych firmy powinien respektować uprawnienia użytkownika. Handlowiec nie powinien przez AI zobaczyć dokumentów, do których nie ma dostępu w zwykłym systemie.
- Klucze API przechowuj w bezpiecznym miejscu, nie w arkuszach ani w treści instrukcji.
- Prowadź listę osób z dostępem administracyjnym i przeglądaj ją po zmianach w zespole.
RODO a chatbot: jak informować użytkowników
Osoba, która pisze do chatbota lub której mail przetwarza agent AI, ma prawo wiedzieć, co dzieje się z jej danymi. W przypadku chatbota na stronie dobrą praktyką jest:
- krótka informacja na początku rozmowy, że odpowiada asystent AI,
- link do polityki prywatności, w której opisujesz cel, podstawę prawną, odbiorców danych i okres przechowywania,
- prośba, żeby nie podawać w rozmowie danych wrażliwych, jeśli nie są potrzebne,
- łatwa możliwość przejścia do kontaktu z człowiekiem.
Zaktualizuj politykę prywatności o nowych odbiorców danych, czyli dostawców AI, i o ewentualne przekazywanie danych poza EOG. Przygotuj też sposób obsługi praw osób: dostępu do danych, sprostowania, usunięcia. Jeśli rozmowy są zapisywane, musisz umieć je odnaleźć i usunąć na żądanie. Więcej o projektowaniu takich rozwiązań przeczytasz na stronie o chatbotach i voicebotach dla firm.
AI Act w skrócie
Oprócz RODO w Unii Europejskiej obowiązuje rozporządzenie o sztucznej inteligencji, nazywane AI Act. Opiera się na podejściu opartym na ryzyku: im większe ryzyko danego zastosowania dla ludzi, tym więcej obowiązków. Przewiduje też obowiązki przejrzystości, na przykład informowanie, że ktoś rozmawia z systemem AI. Typowy chatbot do obsługi zapytań należy zwykle do mniej ryzykownych zastosowań, ale systemy używane na przykład w rekrutacji czy ocenie zdolności kredytowej mogą podlegać dalej idącym wymaganiom. Zakres obowiązków w Twojej firmie ustal z prawnikiem.
Checklista: AI zgodne z RODO krok po kroku
Zanim uruchomisz chatbota, agenta lub asystenta AI na danych firmy, przejdź przez tę listę:
- Opisałeś proces: skąd przychodzą dane, co robi z nimi AI i gdzie trafia wynik.
- Wiesz, jakie dane osobowe przetwarza rozwiązanie, i usunąłeś te, które nie są potrzebne.
- Masz określony cel i podstawę prawną przetwarzania.
- Oceniłeś z prawnikiem lub IOD, czy potrzebna jest ocena skutków (DPIA).
- Masz podpisane umowy powierzenia z każdym dostawcą, który ma dostęp do danych.
- Sprawdziłeś, czy dostawca nie trenuje modeli na Twoich danych.
- Wiesz, gdzie dane są przetwarzane i na jakiej podstawie trafiają poza EOG, jeśli trafiają.
- Ustaliłeś okres przechowywania rozmów, logów i plików.
- Uprawnienia AI i użytkowników są ograniczone do niezbędnego minimum.
- Użytkownicy wiedzą, że rozmawiają z AI, i mają dostęp do polityki prywatności.
- Umiesz odnaleźć i usunąć dane konkretnej osoby na jej żądanie.
- Decyzje ważne dla ludzi zatwierdza człowiek, co opisujemy w artykule o tym, kiedy AI nie powinno decydować samo.
- Zespół wie, czego nie wklejać do narzędzi AI, i przeszedł krótkie przeszkolenie.
Ostatni punkt bywa najczęściej pomijany. Nawet dobrze zaprojektowany system nie pomoże, jeśli pracownicy wklejają dane klientów do prywatnych kont w darmowych narzędziach. Jasne zasady i szkolenia AI dla zespołu są tu równie ważne jak technologia.
Bezpłatna konsultacja: wdrożenie AI z myślą o RODO
Planujesz chatbota, agenta AI albo asystenta na danych firmy i chcesz od początku zaprojektować go z myślą o ochronie danych? Porozmawiajmy. W 30 minut przejdziemy przez Twój proces, wskażemy, gdzie pojawiają się dane osobowe, i podpowiemy, jak ograniczyć ich zakres oraz jakie pytania zadać dostawcom i prawnikowi.
Umów bezpłatną 30-minutową konsultację o bezpiecznym wdrożeniu AI przez formularz na dole strony.