ChatGPT w biurze rachunkowym: arkusz idzie do AI, dane klientów zostają w biurze

Co się dzieje w filmie

Oba filmy pokazują dzień bez wtyczki, a potem "jeszcze raz" - ten sam ruch z Do Not Feed AI.

W piątek plik z PESEL-ami i numerami kont 25 pracowników trafia na serwer dostawcy AI. Biuro jest tu administratorem danych, więc zaczyna się procedura: wpis do rejestru naruszeń, ocena ryzyka z inspektorką ochrony danych, decyzja o zgłoszeniu i wyjaśnienia dla pracowników. Weekend przepada. W drugim podejściu wtyczka zatrzymuje plik, a program na komputerze Oli pokazuje wykryte dane. Do czatu trafia kopia z realistycznymi zamiennikami. Odpowiedź, komu brakuje numeru konta, wraca z prawdziwymi nazwiskami.

W czwartek dane nie należą do biura, tylko do klienta. Biuro jest podmiotem przetwarzającym, więc musi bez zwłoki zawiadomić pana Henryka, a to on ocenia sytuację i decyduje o zgłoszeniu. W drugim podejściu kwoty i terminy zostają, a wykryte nazwiska, PESEL-e, konta i NIP-y trafiają do czatu jako zamienniki. Lista faktur po terminie wraca z prawdziwymi nazwami kontrahentów, a telefon do klienta kończy się podziękowaniem.

Co program wykrywa w biurze rachunkowym

• imiona i nazwiska (także w odmianie), PESEL, NIP, REGON, numery kont, numery dowodów, e-maile, telefony, adresy i kody pocztowe z miastem;
• nazwy firm z formą prawną (sp. z o.o., sp. j. i podobne);
• w arkuszach xlsx: tekst komórek we wszystkich arkuszach, a kolumny rozpoznaje także po nagłówkach (imię, nazwisko, PESEL, konto, NIP);
• pliki xlsx, docx, csv i txt przeciągnięte, wklejone albo dodane przyciskiem załącznika. Do czatu trafia czysta kopia z samą treścią: wartości komórek (wyniki formuł jako liczby), bez formatowania, formuł, wykresów i makr.

Czego program nie zmienia albo może nie wykryć:

• kwot, dat, terminów i numerów faktur - zostają celowo, bo na nich pracuje AI;
• NIP-u z błędną sumą kontrolną i nazw firm zapisanych bez formy prawnej - takie nazwy klientów dodasz jako własne frazy do maskowania;
• plików PDF i zdjęć skanów - są domyślnie zatrzymywane, nie maskowane. Zatrzymywane są też stare pliki .xls i .doc oraz pliki zabezpieczone hasłem.

Co mówią przepisy

Gdy biuro wysyła do czatu dane własnych pracowników, jest administratorem. Każde naruszenie wpisuje do rejestru (art. 33 ust. 5 RODO), ocenia ryzyko i, jeśli ryzyko dla osób nie jest mało prawdopodobne, zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny (art. 33 ust. 1). Przy wysokim ryzyku zawiadamia też pracowników (art. 34).

Dane pracowników i kontrahentów klienta biuro przetwarza zwykle jako podmiot przetwarzający (art. 28). Wtedy zawiadamia klienta bez zbędnej zwłoki (art. 33 ust. 2), a ocenę i ewentualne zgłoszenie robi klient. Termin i tryb określa zwykle umowa powierzenia.

RODO wymienia pseudonimizację jako przykład środka technicznego (art. 25 i 32). Dane z zamiennikami nadal są danymi osobowymi, bo biuro może je przypisać osobom (motyw 26). Program ogranicza ryzyko, ale nie zwalnia z obowiązków.

Pytania i odpowiedzi