RODO a sztuczna inteligencja w firmie

Jak bezpiecznie korzystać z narzędzi AI?

Narzędzia wykorzystujące sztuczną inteligencję coraz częściej wspierają codzienną pracę. Pomagają przygotowywać treści, analizować dokumenty, porządkować informacje czy automatyzować część procesów. Ich wykorzystanie może jednak wiązać się z przetwarzaniem danych osobowych. Jeżeli w związku z korzystaniem z systemu AI przetwarzane są dane osobowe klientów, pracowników, osób reprezentujących kontrahentów lub innych osób fizycznych, musi zapewnić zgodność tego przetwarzania z RODO. Warto więc ustalić zasady korzystania z takich narzędzi, zanim staną się one powszechnym elementem pracy. Przy korzystaniu z AI trzeba brać pod uwagę nie tylko RODO, ale też AI Act. Zakres obowiązków zależy od rodzaju systemu i sposobu jego wykorzystania.

Jakie dane mogą trafiać do narzędzi AI?

Ryzyko pojawia się przede wszystkim wtedy, gdy do narzędzia wprowadzane są dokumenty, wiadomości, zestawienia lub polecenia zawierające informacje umożliwiające identyfikację konkretnych osób. Mogą to być nie tylko imię, nazwisko czy adres e-mail, ale również dane dotyczące zatrudnienia, klientów, reklamacji, sytuacji finansowej czy stanu zdrowia.

Przed wykorzystaniem narzędzia należy ocenić, czy przekazanie danych osobowych jest rzeczywiście potrzebne. Zgodnie z zasadą minimalizacji ich zakres powinien zostać ograniczony do niezbędnego minimum. Jeżeli jest to możliwe, warto wykorzystywać dane zanonimizowane lub informacje przykładowe. Szczególne kategorie danych osobowych wymagają dodatkowej weryfikacji podstaw prawnych przetwarzania, w tym spełnienia jednej z przesłanek określonych w art. 9 ust. 2 RODO. Niezależnie od tego należy uwzględnić obowiązki wynikające z tajemnic prawnie chronionych oraz zobowiązań do zachowania poufności.

RODO a AI – warto wiedzieć, co dzieje się z danymi

Popularność danego narzędzia nie oznacza, że można przekazywać do niego dane bez wcześniejszej weryfikacji. Przed rozpoczęciem korzystania z systemu należy ustalić, kto jest jego dostawcą i jaką rolę pełni wobec przekazywanych danych, czy wykorzystuje je wyłącznie na potrzeby świadczenia usługi, czy również do własnych celów, jak długo dane są przechowywane, jakie inne podmioty uczestniczą w uch przetwarzaniu oraz czy dane są przekazywane poza Europejski Obszar Gospodarczy. Jeżeli dostawca przetwarza dane w imieniu firmy, trzeba odpowiednio uregulować tę współpracę.

Należy również ustalić właściwą podstawę prawną przetwarzania danych w związku z wykorzystaniem AI oraz ocenić, czy takie wykorzystanie danych jest zgodne z celem, dla którego zostały zebrane. Każde rozwiązanie należy oceniać indywidualnie, uwzględniając charakter danych, sposób działania systemu i rzeczywisty cel jego wykorzystania. Weryfikację funkcjonujących w organizacji procesów może ułatwić audyt RODO.

Jeśli chcesz sprawdzić czy Twoja firma bezpiecznie zarządza danymi osobowymi - skontaktuj się z nami!

Organizacja powinna określić zasady korzystania z AI

Jednym z zagrożeń jest samodzielne korzystanie przez pracowników z ogólnodostępnych narzędzi bez wiedzy osób odpowiedzialnych za bezpieczeństwo informacji. W praktyce pracownik może np. wkleić do systemu fragment umowy, korespondencję z klientem lub dokument kadrowy, nie analizując wcześniej zakresu zawartych w nim danych.

Dlatego warto określić, z jakich narzędzi można korzystać, jakie informacje mogą być do nich przekazywane oraz jakie zastosowania wymagają wcześniejszej konsultacji. Same procedury nie wystarczą, jeżeli pracownicy nie wiedzą, jak stosować je podczas codziennej pracy. Szkolenia RODO dla pracowników mogą obejmować również zasady bezpiecznego korzystania narzędzi AI oraz podstawowe obowiązki związane z ich wykorzystaniem.

Czy wykorzystanie sztucznej inteligencji wymaga DPIA?

Wdrożenie systemu wykorzystującego AI może wymagać przeprowadzenia oceny skutków dla ochrony danych, jeżeli dany rodzaj przetwarzania, w szczególności z wykorzystaniem nowych technologii, z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Ocenę należy przeprowadzić przed rozpoczęciem takiego przetwarzania.

Przy ocenie należy uwzględnić m.in. profilowanie, zautomatyzowane podejmowanie decyzji, przetwarzanie danych na dużą skalę, wykorzystywanie szczególnych kategorii danych, łączenie danych z różnych źródeł oraz innowacyjne zastosowanie technologii. Ochronę danych należy uwzględnić już na etapie projektowania i konfiguracji rozwiązania, zgodnie z zasadami privacy by design i privacy by default.

AI w firmie a wsparcie Inspektora Ochrony Danych

Jeżeli organizacja wyznaczyła Inspektora Ochrony Danych, należy zapewnić jego właściwe i terminowe włączenie we wszystkie kwestie dotyczące ochrony danych osobowych związane z planowaniem i wdrażaniem rozwiązań AI. IOD może doradzać w zakresie ryzyka, obowiązków informacyjnych, okresów przechowywania danych i stosowanych zabezpieczeń, a w odniesieniu do DPIA udziela zaleceń oraz monitoruje jej wykonanie.

Stałe wsparcie specjalisty, realizowane również w ramach outsourcingu IOD, ułatwia ocenę nowych technologii jeszcze na etapie ich wdrażania. Pozwala to ograniczyć ryzyko sytuacji, w której dopiero po uruchomieniu systemu okazuje się, że sposób przetwarzania danych wymaga zmiany. Korzystasz z narzędzi AI lub planujesz ich wdrożenie w swojej organizacji? Skontaktuj się z Direct Group. Pomożemy przeanalizować proces pod kątem ochrony danych, zidentyfikować ryzyka i zaplanować rozwiązania odpowiadające wymaganiom RODO.