AI a RODO — jak korzystać ze sztucznej inteligencji w firmie i chronić dane osobowe?

Sztuczna inteligencja pomaga pisać wiadomości, analizować dokumenty i usprawniać obsługę klientów. Problem pojawia się, gdy do narzędzia AI trafiają dane pracowników, klientów lub pacjentów. Czy można przekazać chatbotowi CV albo poprosić go o analizę reklamacji? Odpowiedź zależy od tego, jakie dane przekazujemy, w jakim celu i na jakich warunkach działa konkretna usługa.

Czy RODO dotyczy sztucznej inteligencji?

Tak — jeżeli korzystanie z AI wiąże się z przetwarzaniem danych osobowych. Wklejenie do chatbota wiadomości klienta lub przesłanie dokumentu zawierającego informacje o pracowniku może stanowić takie przetwarzanie. Firma musi zadbać m.in. o podstawę prawną, ograniczenie zakresu danych, bezpieczeństwo oraz obowiązki informacyjne. Dane dotyczące zdrowia wymagają dodatkowo spełnienia warunków z art. 9 RODO.

Co o AI mówi EROD?

Europejska Rada Ochrony Danych w opinii 28/2024 podkreśla, że modelu AI wytrenowanego na danych osobowych nie można automatycznie uznać za anonimowy. Trzeba ocenić m.in. możliwość uzyskania z niego informacji o konkretnych osobach.

EROD dopuszcza możliwość oparcia określonych operacji na prawnie uzasadnionym interesie, ale wymaga zbadania celu, niezbędności przetwarzania oraz wpływu na prawa i wolności osób. Sama chęć usprawnienia pracy nie przesądza o legalności wykorzystania danych. Także ich dostępność w internecie nie oznacza dowolności użycia.

Na jakie zagrożenia zwraca uwagę UODO?

UODO wskazuje na ryzyko korzystania z narzędzi AI przez pracowników bez wiedzy organizacji. Do zewnętrznych usług mogą wówczas trafiać dane osobowe, dokumenty i tajemnice firmowe, bez wcześniejszej oceny ryzyka i ustalenia zasad postępowania.

Praktyczny wniosek dla przedsiębiorcy: warto ustalić, z jakich narzędzi zespół już korzysta, i przygotować krótkie zasady ich używania. Pracownik powinien wiedzieć, które rozwiązania są dopuszczone i jakie informacje może do nich wprowadzać.

Jak bezpieczniej korzystać z AI w firmie?

Przed przekazaniem danych sprawdź:

• Czy są potrzebne? Do przygotowania wzoru odpowiedzi często wystarczy opis sytuacji bez danych klienta.
• Co robi z nimi dostawca? Zweryfikuj zasady przechowywania, usuwania i wykorzystywania treści do trenowania modeli.
• Jaką rolę pełni dostawca? Jeżeli przetwarza dane w imieniu firmy, potrzebna jest umowa zgodna z art. 28 RODO.
• Czy dane trafiają poza EOG? Jeżeli tak, należy sprawdzić warunki transferu wynikające z rozdziału V RODO.
• Jakie ryzyko tworzy zastosowanie AI? Gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób, przed rozpoczęciem wymagana jest ocena skutków dla ochrony danych — DPIA.

Czy usunięcie nazwiska wystarczy?

Niekoniecznie. Stanowisko, miejsce pracy i szczegółowy opis zdarzenia nadal mogą pozwalać rozpoznać osobę. Zastąpienie nazwiska inicjałami nie gwarantuje anonimizacji. Jeżeli identyfikacja pozostaje możliwa, RODO nadal ma zastosowanie.

Przykładowo: zamiast przesyłać pełną reklamację z podpisem i danymi kontaktowymi, przygotuj ogólny opis problemu albo fikcyjny przykład.

Czy AI może samodzielnie decydować o pracowniku lub kliencie?

Prezes UODO zwraca uwagę na ochronę przed decyzjami opartymi wyłącznie na automatycznym przetwarzaniu danych. Art. 22 RODO co do zasady chroni przed takimi decyzjami, gdy wywołują skutki prawne lub podobnie istotnie wpływają na człowieka; wyjątki wymagają spełnienia określonych warunków. Szczególnej ostrożności wymaga więc np. automatyczne odrzucanie kandydatów do pracy.

Autor: ResData — ochrona danych osobowych i bezpieczeństwo informacji.