RODO a sztuczna inteligencja, czyli gdzie tak naprawdę idą Twoje dane

Trzy rzeczy, które dzieją się z wprowadzonym tekstem

Plany biznesowe większości dostawców wyłączają wykorzystanie treści do doskonalenia modeli, plany darmowe i konsumenckie często nie. Praca produkcyjna na darmowym koncie prywatnym pracownika jest z tego powodu jednym z najczęstszych naruszeń w polskich firmach.

• Przesłanie: tekst opuszcza Twoją sieć i trafia na serwer dostawcy, często poza Europejski Obszar Gospodarczy.
• Przetworzenie: model generuje odpowiedź. To sam moment obliczeń, zwykle krótki.
• Przechowanie: treść może zostać zapisana w historii rozmów, w logach albo w zbiorze służącym doskonaleniu modeli. To właśnie ta trzecia rzecz decyduje o zgodności.

Firma jest administratorem, dostawca procesorem

Gdy pracownik wkleja do narzędzia dane klienta, to firma pozostaje administratorem tych danych, a dostawca narzędzia staje się podmiotem przetwarzającym. Oznacza to konieczność zawarcia umowy powierzenia i sprawdzenia, na jakich zasadach przetwarza dane dalszy podwykonawca dostawcy.

To nie jest formalność do odhaczenia. Bez umowy powierzenia firma nie ma podstawy do przekazania danych, a w razie kontroli nie potrafi wskazać, gdzie te dane się znalazły.

Co trzeba sprawdzić przy transferze poza EOG

Przekazanie danych do dostawcy spoza Europejskiego Obszaru Gospodarczego wymaga podstawy prawnej. W praktyce oznacza to sprawdzenie, czy dostawca korzysta z mechanizmu uznanego przez prawo unijne i czy oferuje region przetwarzania w Unii.

Dla części procesów prostszym rozwiązaniem jest wybór dostawcy z siedzibą w Unii albo uruchomienie modelu na własnej infrastrukturze. W kategorii transkrypcji i analizy dokumentów takie opcje realnie istnieją, co opisujemy w katalogu narzędzi do analizy dokumentów.

Zasady, które warto spisać i przekazać zespołowi

• Do narzędzi bez umowy powierzenia nie trafiają dane osobowe klientów ani pracowników.
• Do żadnego narzędzia nie trafia tajemnica przedsiębiorstwa: umowy, cenniki wewnętrzne, dane finansowe.
• Dokumenty przed wysłaniem są pozbawiane danych, które nie są potrzebne do zadania.
• Praca odbywa się na kontach firmowych, nie prywatnych.
• Każdy wynik dotyczący klienta jest zatwierdzany przez człowieka przed wysłaniem.

Co z audytem i rejestrem czynności

Korzystanie z narzędzia AI, które przetwarza dane osobowe, powinno znaleźć się w rejestrze czynności przetwarzania. Przy zastosowaniach o większym ryzyku, na przykład przy analizie nagrań rozmów, potrzebna bywa ocena skutków dla ochrony danych.

W praktyce najtrudniejsze nie jest przygotowanie dokumentów, tylko ustalenie, co w firmie faktycznie działa. Dlatego pierwszym krokiem jest zawsze spis narzędzi, a nie formularz. Ten sam spis przyda się przy obowiązkach wynikających z AI Act.

Pytania do dostawcy, które warto zadać na piśmie

Odpowiedzi na piśmie mają dwie zalety. Po pierwsze, dają podstawę do wpisu w rejestrze czynności przetwarzania. Po drugie, są jedynym dowodem, jaki firma będzie miała, gdy okaże się, że rzeczywistość różni się od materiałów marketingowych dostawcy.

• Czy treści wprowadzone przez nas służą doskonaleniu modeli i czy da się to wyłączyć w naszym planie.
• W jakim regionie odbywa się przetwarzanie i czy możemy wskazać region w Unii Europejskiej.
• Jak długo przechowywane są treści zapytań, załączniki i logi, i czy możemy skrócić ten okres.
• Kto jest dalszym podmiotem przetwarzającym i gdzie znajduje się jego infrastruktura.
• Czy udostępniacie umowę powierzenia i czy obejmuje ona wybrany przez nas plan.
• Jak wygląda procedura zgłoszenia naruszenia i w jakim czasie zostaniemy poinformowani.