Dlaczego każde narzędzie AI to potencjalne przetwarzanie danych osobowych w świetle RODO
Polskie firmy coraz chętniej sięgają po narzędzia sztucznej inteligencji. ChatGPT, Claude, Gemini i dziesiątki innych rozwiązań trafiają na firmowe komputery. Problem w tym, że temat AI RODO w firmie pozostaje jedną z największych luk w świadomości przedsiębiorców. Wklejasz umowę do chatbota? Właśnie przekazałeś dane osobowe zewnętrznemu podmiotowi.
Każde zapytanie wysłane do narzędzia AI to przesłanie danych na serwery dostawcy. Jeśli w treści promptu znajdują się imiona, nazwiska, adresy e-mail, numery PESEL czy dane kontrahentów, mamy do czynienia z przetwarzaniem danych osobowych w rozumieniu RODO. Nie ma znaczenia, czy robisz to świadomie, czy przypadkiem.
Kluczowa jest też różnica między planami darmowymi a biznesowymi. Darmowe wersje ChatGPT czy Gemini mogą wykorzystywać dane z konwersacji do trenowania modeli. Plany biznesowe (ChatGPT Enterprise, Claude for Business) zazwyczaj gwarantują, że dane nie są używane do uczenia. To fundamentalna różnica z perspektywy ochrony danych w organizacji.
Z punktu widzenia RODO, firma korzystająca z narzędzia AI pełni rolę administratora danych. Dostawca AI jest podmiotem przetwarzającym. To oznacza konkretne obowiązki prawne: potrzebna jest podstawa prawna przetwarzania, umowa powierzenia danych oraz odpowiednie zabezpieczenia techniczne i organizacyjne.
5 zasad bezpiecznego korzystania z AI w firmie zgodnie z RODO
Wdrożenie AI nie musi oznaczać problemów prawnych. Wystarczy przestrzegać pięciu podstawowych zasad, które sprawią, że sztuczna inteligencja i RODO nie będą się wzajemnie wykluczać. Oto sprawdzony zestaw reguł dla każdej organizacji.
Zasada 1: Stwórz politykę dopuszczalnych danych
Pierwszym krokiem jest jasne określenie, jakie dane wolno, a jakich nie wolno wprowadzać do narzędzi AI. Polityka powinna precyzyjnie wskazywać kategorie informacji:
Dozwolone - ogólne pytania merytoryczne, publiczne informacje, anonimowe dane statystyczne
Warunkowo dozwolone - dane firmowe po anonimizacji, treści marketingowe, szkice dokumentów bez danych osobowych
Zakazane - dane osobowe pracowników i klientów, umowy, dane finansowe, dokumenty poufne, numery PESEL i NIP osób fizycznych
Każdy pracownik powinien znać tę klasyfikację zanim otworzy jakiekolwiek narzędzie AI.
Zasada 2: Wybieraj narzędzia z umową powierzenia danych (DPA)
Nie każde narzędzie AI nadaje się do użytku firmowego. Przed wdrożeniem sprawdź, czy dostawca oferuje Data Processing Agreement (DPA) zgodne z wymaganiami RODO. Taką umowę oferują m.in. OpenAI (plany Team i Enterprise), Anthropic (Claude for Business) oraz Google (Gemini for Workspace).
DPA reguluje sposób przetwarzania danych, okres ich przechowywania, środki bezpieczeństwa i procedury w przypadku naruszenia. Bez tej umowy korzystanie z narzędzia AI w kontekście danych osobowych jest ryzykowne prawnie.
Zasada 3: Anonimizuj dane przed wklejeniem
Nawet z narzędziem posiadającym DPA, najlepszą praktyką jest anonimizacja danych przed ich wprowadzeniem do AI. Zamień imiona i nazwiska na inicjały lub fikcyjne dane. Usuń numery telefonów, adresy i inne identyfikatory. To proste działanie drastycznie zmniejsza ryzyko.
W praktyce można stosować technikę „zamień i przywróć”. Przed wklejeniem tekstu do AI zastąp dane osobowe symbolami (np. [IMIĘ], [FIRMA]). Po otrzymaniu odpowiedzi przywróć oryginalne dane. To zajmuje minutę, a może uchronić firmę przed poważnymi konsekwencjami.
Zasada 4: Prowadź rejestr czynności przetwarzania z AI
RODO wymaga prowadzenia rejestru czynności przetwarzania (art. 30). Korzystanie z narzędzi AI powinno być w tym rejestrze uwzględnione. Zapisuj, jakie narzędzia AI są używane w firmie, do jakich celów i jakie kategorie danych mogą być przetwarzane.
Rejestr nie musi być skomplikowany. Wystarczy prosty dokument zawierający nazwę narzędzia, cel przetwarzania, kategorie danych, podstawę prawną i okres przechowywania. Aktualizuj go przy każdym nowym wdrożeniu.
Zasada 5: Przeszkol pracowników z bezpiecznego korzystania z AI
Najlepsza polityka jest bezużyteczna, jeśli pracownicy jej nie znają. Szkolenie pracowników z bezpiecznego korzystania z narzędzi AI to nie opcja, lecz konieczność. Według badań, aż 70% pracowników korzysta z AI bez formalnego przeszkolenia. To oznacza, że mogą nieświadomie naruszać RODO każdego dnia.
Szkolenie powinno obejmować praktyczne scenariusze: co wolno wklejać, czego nie wolno, jak anonimizować dane i do kogo zgłaszać wątpliwości. Krótkie, regularne warsztaty są skuteczniejsze niż jednorazowa prezentacja.
Checklist: czy Twoje narzędzie AI jest zgodne z RODO
Zanim wdrożysz jakiekolwiek narzędzie AI w firmie, przejdź przez poniższą listę kontrolną AI RODO. Odpowiedz na każde pytanie tak lub nie. Jeśli choćby na jedno odpowiesz przecząco, wdrożenie AI wymaga dodatkowej analizy.
Czy dostawca narzędzia oferuje umowę powierzenia danych (DPA)?
Czy serwery przetwarzające dane znajdują się w UE lub kraju z decyzją o adekwatności?
Czy narzędzie pozwala na wyłączenie trenowania modelu na danych firmowych?
Czy istnieje możliwość usunięcia danych na żądanie?
Czy dostawca stosuje szyfrowanie danych w transmisji i w spoczynku?
Czy narzędzie posiada certyfikaty bezpieczeństwa (SOC 2, ISO 27001)?
Czy dostawca informuje o naruszeniach bezpieczeństwa danych w ciągu 72 godzin?
Czy możesz kontrolować, kto w firmie ma dostęp do narzędzia?
Czy narzędzie oferuje logi aktywności do celów audytowych?
Czy przeprowadziłeś ocenę skutków przetwarzania (DPIA) dla tego narzędzia?
Ta lista nie zastępuje profesjonalnej analizy prawnej, ale pomaga szybko zidentyfikować potencjalne problemy. Wydrukuj ją i stosuj przy każdym nowym narzędziu AI.
Najczęstsze błędy polskich firm przy wdrażaniu AI a ochrona danych
W praktyce firmy popełniają podobne błędy. Znajomość tych pułapek pozwala ich uniknąć. Oto najczęstsze naruszenia, które obserwujemy w kontekście AI ochrona danych w polskich organizacjach.
Wklejanie umów i dokumentów do darmowego ChatGPT. To jeden z najczęstszych scenariuszy. Pracownik chce szybko streścić umowę albo wyłapać kluczowe zapisy. Wkleja cały dokument do darmowej wersji chatbota, nie zdając sobie sprawy, że te dane mogą być wykorzystane do trenowania modelu. W umowie są dane osobowe stron, kwoty, warunki, a czasem numery PESEL.
Używanie AI do analizy CV kandydatów bez podstawy prawnej. Coraz więcej firm korzysta z AI do wstępnej selekcji kandydatów. To może stanowić zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO. Kandydat ma prawo wiedzieć, że jego CV ocenia algorytm, i może żądać ludzkiej weryfikacji.
Brak informacji w klauzuli informacyjnej. Jeśli przetwarzasz dane osobowe z wykorzystaniem AI, powinieneś o tym poinformować w klauzuli informacyjnej. Większość firm tego nie robi, bo nawet nie zdaje sobie sprawy, że korzystanie z narzędzi AI to forma przetwarzania danych.
Ignorowanie transferu danych poza EOG. Serwery wielu dostawców AI znajdują się w USA. Transfer danych osobowych do USA wymaga dodatkowych zabezpieczeń, takich jak standardowe klauzule umowne (SCC). Wiele firm pomija ten wymóg, narażając się na kary.
Polityka korzystania z AI w firmie: od czego zacząć wdrożenie zgodne z prawem
Każda firma, która korzysta z narzędzi AI, powinna posiadać wewnętrzną politykę regulującą zasady ich użytkowania. Dokument nie musi być obszerny, ale powinien jasno komunikować zasady zgodnego z prawem wdrożenia AI. Oto kluczowe elementy takiej polityki:
Cel dokumentu - określenie zakresu stosowania i definicje narzędzi AI objętych polityką
Dozwolone narzędzia - lista zatwierdzonych narzędzi AI z informacją o planach i licencjach
Klasyfikacja danych - jasny podział na dane dozwolone, warunkowo dozwolone i zakazane do wprowadzania w AI
Procedura anonimizacji - instrukcja krok po kroku, jak usuwać dane osobowe przed wklejeniem do narzędzia
Odpowiedzialność - kto w firmie odpowiada za nadzór nad korzystaniem z AI (najczęściej IOD)
Procedura zgłaszania incydentów - co robić, gdy przypadkiem wkleisz dane osobowe do narzędzia AI
Szkolenia - harmonogram i zakres obowiązkowych szkoleń dla pracowników
Przygotowanie takiej polityki to pierwszy konkretny krok w kierunku zgodnego z prawem korzystania z AI. Nie czekaj na kontrolę UODO — temat AI RODO w firmie wymaga działania już teraz. Zacznij od prostego dokumentu i rozwijaj go w miarę rosnącego wykorzystania AI w organizacji.
Potrzebujesz wsparcia? Sprawni Cyfrowo pomoże Ci wdrożyć AI bezpiecznie
Temat AI RODO w firmie może wydawać się skomplikowany, ale z odpowiednim przygotowaniem jest całkowicie do ogarnięcia. Kluczem jest świadome podejście: znajomość zasad, przeszkolony zespół i jasne procedury.
Jeśli chcesz wdrożyć narzędzia AI w swojej firmie zgodnie z RODO, Sprawni Cyfrowo oferuje dedykowane szkolenia i konsultacje. Nasze warsztaty obejmują zarówno praktyczne korzystanie z AI, jak i aspekty prawne, w tym przygotowanie polityki AI i szkolenie pracowników z ochrony danych.
Skontaktuj się z nami, aby omówić potrzeby Twojej organizacji. Pomożemy Ci wykorzystać potencjał sztucznej inteligencji bez ryzyka prawnego. Bo AI ochrona danych to nie przeciwieństwa, lecz dwa elementy odpowiedzialnego wdrożenia technologii w firmie.
