AI w firmie a RODO: co sprawdzić przed wklejeniem danych klienta

Pracownik dostaje długiego maila od klienta z reklamacją. Żeby szybciej odpisać, kopiuje całą wiadomość do czatu AI: imię i nazwisko, adres, numer zamówienia, opis problemu. Odpowiedź jest gotowa po kilkunastu sekundach. Klient jest zadowolony. A firma właśnie przekazała dane osobowe do zewnętrznego narzędzia, nie wiedząc, gdzie są przetwarzane i czy są przechowywane.

Takie sytuacje zdarzają się codziennie w wielu firmach. Zwykle nie wynikają ze złej woli, tylko z braku zasad. W tym artykule pokazuję, co sprawdzić, zanim dane klienta trafią do narzędzia AI, i jak ułożyć proste zasady dla zespołu.

Dlaczego AI i RODO to temat dla właściciela, a nie tylko dla IT

RODO nakłada obowiązki na administratora danych, czyli najczęściej na firmę. To firma odpowiada za to, komu przekazuje dane, w jakim celu i na jakiej podstawie. Jeśli pracownik używa narzędzia AI w pracy, w świetle przepisów to firma przetwarza dane.

Dlatego pytanie „czy możemy używać AI z danymi klientów” to decyzja biznesowa, a nie wyłącznie techniczna. Wymaga odpowiedzi od osoby, która odpowiada za dane w firmie.

7 pytań przed wklejeniem danych klienta do AI

1. Czy w ogóle potrzebujesz danych osobowych?

Najprostsze rozwiązanie: nie przekazuj danych, które nie są potrzebne. Do napisania odpowiedzi na reklamację zwykle wystarczy opis problemu, bez imienia, adresu i numeru telefonu.

Praktyka: usuwaj lub zastępuj dane identyfikujące przed wklejeniem (na przykład „Klient A”, „zamówienie X”).

2. Z jakiej wersji narzędzia korzystasz?

Wersje bezpłatne i prywatne konta mają zwykle inne warunki niż wersje firmowe. Różnią się tym, czy treści mogą być używane do trenowania modeli, jak długo są przechowywane i kto ma do nich dostęp.

Sprawdź: warunki korzystania i ustawienia prywatności w wersji, z której faktycznie korzysta zespół.

3. Czy dostawca narzędzia podpisuje umowę powierzenia przetwarzania danych?

Jeśli dostawca przetwarza dane osobowe w Twoim imieniu, zwykle potrzebna jest umowa powierzenia (DPA). Wielu dostawców narzędzi AI oferuje takie umowy w planach firmowych.

Sprawdź: czy umowa jest dostępna, czy została zaakceptowana i kto w firmie ją przechowuje.

4. Gdzie dane są przetwarzane?

Przekazanie danych poza Europejski Obszar Gospodarczy wymaga spełnienia dodatkowych warunków.

Sprawdź: lokalizację przetwarzania i podstawę przekazania danych, którą wskazuje dostawca.

5. Czy klienci wiedzą, że ich dane mogą być przetwarzane w ten sposób?

Obowiązek informacyjny dotyczy też nowych sposobów przetwarzania.

Sprawdź z prawnikiem: czy polityka prywatności i klauzule informacyjne obejmują użycie narzędzi AI i dostawców tych narzędzi.

6. Czy wśród danych są dane szczególnych kategorii?

Dane o zdrowiu, poglądach, przekonaniach religijnych, danych biometrycznych i inne dane szczególnych kategorii podlegają ostrzejszym zasadom. Podobnie dane objęte tajemnicą zawodową, na przykład w kancelariach czy gabinetach.

Praktyka: takich danych nie wklejaj do ogólnodostępnych narzędzi bez decyzji osoby odpowiedzialnej za dane i porady prawnej.

7. Kto w firmie decyduje, czego wolno używać?

Bez wskazanej osoby zasady szybko przestają obowiązywać.

Praktyka: jedna osoba zatwierdza narzędzia, prowadzi listę dozwolonych zastosowań i odpowiada na pytania zespołu.

Proste zasady AI dla zespołu: wzór na jedną stronę

Nie potrzebujesz od razu rozbudowanej polityki. Na początek wystarczy jedna strona, którą każdy pracownik przeczyta i zrozumie. Przykładowy układ:

Co wolno

• używać zatwierdzonych narzędzi AI na kontach firmowych,
• pracować z tekstami bez danych osobowych i tajemnic firmy,
• korzystać ze wspólnych wzorów i promptów.

Czego nie wolno

• wklejać danych osobowych klientów i pracowników do narzędzi niezatwierdzonych przez firmę,
• wklejać danych szczególnych kategorii i danych objętych tajemnicą,
• używać prywatnych kont do zadań służbowych,
• wysyłać klientowi treści wygenerowanej przez AI bez sprawdzenia.

Co zrobić w razie wątpliwości

• zapytać osobę odpowiedzialną za AI w firmie,
• zgłosić sytuację, w której dane trafiły do narzędzia przez pomyłkę.

To wzór ilustracyjny. Treść zasad dopasuj do swojej firmy z prawnikiem lub inspektorem ochrony danych.

AI Act: co jeszcze warto wiedzieć

Poza RODO w Unii Europejskiej obowiązuje rozporządzenie o sztucznej inteligencji (AI Act). Jego obowiązki są wprowadzane etapami i zależą od tego, jak firma używa AI oraz jakiego ryzyka dotyczy zastosowanie. Dla większości małych i średnich firm, które używają AI do zadań biurowych, kluczowe są dziś: znajomość narzędzi, z których korzystają, przeszkolenie zespołu w podstawach korzystania z AI oraz przejrzystość wobec klientów tam, gdzie mają kontakt z AI. Szczegóły warto sprawdzić z prawnikiem, bo przepisy i wytyczne są wciąż doprecyzowywane.

Jak bezpiecznie zaplanować projekt AI z danymi

Jeśli chcesz, żeby AI pracowało na danych klientów w ramach procesu (na przykład obsługi zapytań czy reklamacji), zaplanuj to jak projekt, a nie jak eksperyment:

1. Opisz proces i dane: jakie dane wchodzą, skąd, dokąd trafiają.
2. Ogranicz dane do minimum: co da się usunąć lub zanonimizować.
3. Wybierz narzędzie z odpowiednimi warunkami: wersja firmowa, umowa powierzenia, lokalizacja przetwarzania.
4. Ustal punkt kontroli człowieka: kto sprawdza wynik, zanim trafi do klienta.
5. Zaktualizuj dokumenty: rejestr czynności przetwarzania, klauzule informacyjne.
6. Przeszkol zespół: krótko, praktycznie, na przykładach z Waszej pracy.

Przykład ilustracyjny

Biuro rachunkowe chce, żeby AI pomagało przygotowywać odpowiedzi na pytania klientów. Zamiast wklejać całe maile do prywatnych kont, firma wybiera narzędzie w wersji firmowej z umową powierzenia, ustala, że dane identyfikujące są usuwane przed przetworzeniem, a każda odpowiedź jest sprawdzana przez księgową. To przykład ilustracyjny, nie opis konkretnej firmy.

Tak właśnie podchodzę do wdrożeń AI w firmach: dane i ryzyka opisujemy na początku projektu, a nie po uruchomieniu.

FAQ

Czy mogę wkleić dane klienta do ChatGPT?

To zależy od wersji narzędzia, warunków dostawcy, podstawy przetwarzania i rodzaju danych. Bezpieczna zasada na start: nie wklejaj danych osobowych, jeśli nie są niezbędne, i usuwaj dane identyfikujące. W konkretnych sprawach skonsultuj się z prawnikiem.

Czy firma odpowiada za to, co pracownik wkleił do AI?

Co do zasady to firma jako administrator danych odpowiada za przetwarzanie danych osobowych w ramach swojej działalności. Dlatego warto mieć zasady i przeszkolić zespół.

Czy potrzebuję umowy powierzenia z dostawcą narzędzia AI?

Jeśli dostawca przetwarza dane osobowe w imieniu Twojej firmy, zwykle tak. Sprawdź, czy dostawca ją oferuje i w jakim planie.

Czy anonimizacja danych rozwiązuje problem?

Prawidłowa anonimizacja może wyłączyć dane spod RODO, ale samo usunięcie imienia nie zawsze wystarcza. Czasem z kontekstu da się zidentyfikować osobę. W razie wątpliwości traktuj dane jako osobowe.

Od czego zacząć porządkowanie AI w firmie pod kątem RODO?

Od listy narzędzi, z których zespół faktycznie korzysta, i od jednej strony prostych zasad. Potem przejrzyj umowy z dostawcami i dokumenty RODO z prawnikiem lub inspektorem ochrony danych.

Podsumowanie

AI może bezpiecznie pracować z danymi firmy, ale wymaga to decyzji, a nie przypadku. Ogranicz dane do minimum, korzystaj z narzędzi z odpowiednimi warunkami, ustal proste zasady dla zespołu i wskaż osobę odpowiedzialną. Resztę omów z prawnikiem.

To nie jest porada prawna.

Autor: Mariusz Galewski, doradca ds. wdrożeń AI w małych i średnich firmach, certyfikat Master AI (AI Managers). mariuszgalewski.com