RODO a czaty AI w firmie: praktyczna lista kontrolna

Dlaczego to sprawa dla RODO

Wklejenie tekstu z danymi osobowymi do czatu AI to przetwarzanie danych osobowych. Definicja w art. 4 pkt 2 RODO obejmuje m.in. ujawnianie poprzez przesłanie, więc nie trzeba niczego „robić" z danymi, wystarczy je wysłać. Za zgodność przetwarzania odpowiada przede wszystkim administrator, czyli firma, a nie wyłącznie pracownik, który kliknął „wyślij". Zasada rozliczalności (art. 5 ust. 2) oznacza, że firma ma umieć wykazać, że postępuje zgodnie z przepisami.

W praktyce najczęstszy problem nie polega na tym, że firma świadomie „wdrożyła AI". Pracownicy sięgają po czat sami, często z prywatnego konta, bo jest szybko i wygodnie. Dlatego lista poniżej zaczyna się od rozeznania, a nie od zakazów.

Lista kontrolna: 10 kroków

1. Ustal, kto i do czego używa czatów AI

Zapytaj zespoły, bez szukania winnych: jakie narzędzia, do jakich zadań, z jakiego konta. Bez tego nie da się ocenić ryzyka ani niczego uregulować.

2. Określ, jakich danych nie wolno wklejać

Zasada minimalizacji (art. 5 ust. 1 lit. c) mówi, że dane mają być ograniczone do tego, co niezbędne. Spisz kategorie, które nie trafiają do czatów: PESEL, numery kont i kart, hasła i klucze, dane zdrowotne i inne dane szczególnych kategorii (art. 9), dokumentacja klientów objęta tajemnicą zawodową.

3. Sprawdź podstawę prawną i cel

Każde przetwarzanie wymaga podstawy prawnej (art. 6 ust. 1). Zapytaj, czy wysłanie danych do zewnętrznego narzędzia mieści się w celu, w jakim zostały zebrane (ograniczenie celu: art. 5 ust. 1 lit. b i art. 6 ust. 4). Jeśli nie, samo „wygodniej" nie wystarczy.

4. Ustal relację z dostawcą narzędzia

Jeśli dostawca przetwarza dane w Twoim imieniu, potrzebna jest umowa powierzenia (art. 28). Przeczytaj warunki usługi i ustawienia konta: czy rozmowy są przechowywane, jak długo i czy mogą służyć do rozwijania modelu. Warunki różnią się między dostawcami i planami, więc sprawdzaj je dla konkretnego narzędzia, z którego korzystacie.

5. Sprawdź transfer poza Europejski Obszar Gospodarczy

Jeśli dane trafiają do państwa trzeciego, obowiązują przepisy rozdziału V (art. 44 i następne): potrzebna jest podstawa transferu, np. decyzja stwierdzająca odpowiedni stopień ochrony albo odpowiednie zabezpieczenia. Zapytaj dostawcę, gdzie dane są przetwarzane.

6. Zaktualizuj rejestr czynności i obowiązek informacyjny

Jeśli czaty AI stały się stałym elementem pracy z danymi, rejestr czynności przetwarzania (art. 30) i informacje dla osób, których dane dotyczą (art. 13 i 14), powinny to odzwierciedlać.

7. Oceń ryzyko i, jeśli trzeba, zrób ocenę skutków (DPIA)

Przy nowych technologiach, dużej skali albo danych szczególnych kategorii warto ocenić, czy potrzebna jest ocena skutków dla ochrony danych (art. 35). Szczególną ostrożność zachowaj w rekrutacji i w sprawach pracowniczych: czat może przygotować pytania na rozmowę, ale decyzję o człowieku warto zostawić człowiekowi (zob. art. 22 o decyzjach opartych wyłącznie na zautomatyzowanym przetwarzaniu).

8. Wdróż środki techniczne

Art. 25 i 32 wymagają odpowiednich środków technicznych i organizacyjnych, a jako przykład wymieniają m.in. pseudonimizację. W praktyce: konta firmowe zamiast prywatnych, przegląd ustawień historii rozmów, ograniczenie dostępu i narzędzia, które zamieniają dane na zamienniki, zanim tekst wyjdzie z komputera.

9. Napisz krótką politykę i przeszkol zespół

Jedna strona wystarczy: z jakich narzędzi korzystamy, czego nie wklejamy, kogo pytamy, co robić po pomyłce. Osoby działające z upoważnienia administratora mają przetwarzać dane wyłącznie na jego polecenie (art. 29 i art. 32 ust. 4), więc polityka może stanowić takie polecenie.

10. Ustal, co robić po pomyłce

Każde naruszenie ochrony danych wpisuje się do rejestru (art. 33 ust. 5). Jeśli może powodować ryzyko dla osób, zgłasza się je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w 72 godziny (art. 33 ust. 1); przy wysokim ryzyku zawiadamia się także osoby, których dane dotyczą (art. 34). Podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki (art. 33 ust. 2). Najważniejsze, żeby pracownik wiedział, że ma zgłosić pomyłkę od razu, a nie ją ukrywać. Czas liczy się od stwierdzenia naruszenia, czyli od chwili, gdy firma ma uzasadnioną pewność, że do niego doszło.

Co z pseudonimizacją i maskowaniem danych

Pseudonimizacja to przetworzenie danych w taki sposób, że nie można ich przypisać konkretnej osobie bez dodatkowych informacji, które są przechowywane osobno i zabezpieczone tak, aby nie dało się ich przypisać (art. 4 pkt 5). RODO wymienia ją jako przykład środka technicznego, ale motyw 26 przypomina, że dane spseudonimizowane nadal są danymi osobowymi, jeśli można je przypisać osobie za pomocą dodatkowych informacji. Podmiana nazwiska na zamiennik przed wysłaniem do czatu zmniejsza więc ilość danych, które dostaje dostawca, ale nie zdejmuje z firmy pozostałych obowiązków.

Na podobnej zasadzie działa nasze narzędzie, Do Not Feed AI: wykrywa dane na komputerze, podmienia je na zamienniki przed wysłaniem do czatu, a w odpowiedzi przywraca oryginały. Wykrywanie opiera się na regułach i może coś przeoczyć, a fakty sprawy zostają w tekście, bo na nich pracuje AI. To środek techniczny zmniejszający ilość danych wychodzących z komputera: nie sprawia, że tekst staje się anonimowy, i nie zastępuje reszty kroków. Dlatego to jeden ze środków z kroku 8, a nie zastępstwo reszty listy.

Czego ta lista nie załatwia

• Tajemnica zawodowa (radca prawny, adwokat, doradca podatkowy i inne zawody) wykracza poza RODO i dotyczy także faktów sprawy, nie tylko danych osobowych. Co wolno wprowadzić do narzędzia, ocenia osoba wykonująca zawód.
• Umowy z klientami mogą zawierać własne ograniczenia dotyczące używania zewnętrznych narzędzi.
• Lista nie zastępuje analizy konkretnej sytuacji. Przy wątpliwościach zapytaj IOD albo prawnika.

Najczęstsze pytania

Co dalej

Zacznij od kroków 1, 2 i 9: rozeznanie, krótka lista „czego nie wklejamy" i jedna strona polityki. To zajmuje kilka godzin i od razu zmienia sytuację.

Zobacz też

• Bezpieczeństwo i RODO: jak działa ochrona - mechanizmy programu i cytaty z przepisów z opisem, co robi program
• Pytania i odpowiedzi - co wychodzi z komputera i czego program może nie wykryć
• Dla kancelarii i dla biur rachunkowych - historie z pracy z danymi klientów