Co wolno wrzucać do narzędzi AI, a czego lepiej nie

W każdej firmie powyżej dwudziestu osób ktoś już wkleił do czatu AI fragment umowy, listę kontrahentów albo treść maila od klienta. Zwykle bez złej woli, zwykle po to, żeby szybciej napisać odpowiedź.

Warto więc wiedzieć, jak daleko to zaszło, i mieć zasady, które ktokolwiek rozumie.

Trzy różne sytuacje, często mylone

Konto darmowe albo prywatne. Dane wysłane z takiego konta mogą trafić do trenowania modeli, zależnie od regulaminu i ustawień. Dla firmy to przekazanie danych na zewnątrz bez umowy.

Konto firmowe w planie biznesowym. Dostawcy zwykle deklarują, że danych nie używają do trenowania, i podpisują umowę powierzenia przetwarzania. Od tego powinna zaczynać się rozmowa.

Model uruchomiony na własnej infrastrukturze. Dane nie opuszczają firmy. Droższe i zwykle słabsze jakościowo, ale czasem jedyne dopuszczalne.

Większość kłopotów bierze się stąd, że pracownicy nie odróżniają pierwszej sytuacji od drugiej. Interfejs wygląda tak samo.

Co mówi RODO

O samym AI nic szczególnego i dobrze, bo zasady są znane.

Dane osobowe w cudzym narzędziu to powierzenie przetwarzania, więc potrzebujecie umowy powierzenia z dostawcą. Do tego podstawy prawnej i informacji dla osób, których dane dotyczą. Kiedy dane wychodzą poza Europejski Obszar Gospodarczy, dochodzą standardowe klauzule umowne.

Dla firmy produkcyjnej czy logistycznej wniosek jest prostszy, niż się wydaje. Dane kontrahentów i pracowników wymagają konta firmowego z umową. Parametry techniczne wyrobu, specyfikacje i dokumentacja produkcyjna nie są danymi osobowymi, więc ocenia się je inaczej. Bywają za to tajemnicą przedsiębiorstwa, a to już osobna sprawa.

Co zmienia AI Act

Dla firmy, która używa gotowych narzędzi, mniej, niż się zwykle opowiada. Obowiązki rosną razem z ryzykiem zastosowania.

Automatyzacja obsługi dokumentów, odczyt zamówień i pomoc przy pisaniu tekstów mieszczą się w niskim ryzyku. Trzeba tylko informować, że po drugiej stronie jest system, a nie człowiek.

Rekrutacja, ocena pracowników i ocena zdolności kredytowej to wysokie ryzyko. Dochodzą tam wymagania co do dokumentacji, nadzoru człowieka i jakości danych. Jeśli planujecie AI w rekrutacji, zacznijcie od tej listy, a nie od narzędzia.

Zasady, które faktycznie działają

Regulamin na dziesięć stron nie zadziała, bo nikt go nie przeczyta. Zadziała krótka lista, którą da się zapamiętać.

Co wolno zawsze: teksty, które i tak są publiczne, własne notatki, pytania ogólne, kod bez danych dostępowych.

Co wolno na koncie firmowym: korespondencja z klientami, dokumenty wewnętrzne, dane kontrahentów.

Czego nie wolno nigdzie: hasła, klucze dostępowe, dane osobowe wrażliwe, dokumenty objęte umowami o poufności z zakazem przetwarzania przez podmioty trzecie, dane objęte tajemnicą zawodową.

Do tego jedna zasada na sytuacje spoza listy. Jeśli nie wysłałbyś tego mailem do obcej firmy bez podpisanej umowy, nie wklejaj tego do czatu.

Jak to sprawdzić u siebie

Zacznij od tego, czego ludzie faktycznie używają. W większości firm odpowiedź zaskakuje, bo obok narzędzi wdrożonych oficjalnie działa kilka, o których nikt nie wie.

Potem trzy pytania do każdego z nich. Czy mamy z tym dostawcą umowę. Czy to konto firmowe. Czy dane wychodzą poza Europę.

Jeśli wolicie zacząć od strony technicznej, od tego, co w ogóle wycieka z Waszych systemów na zewnątrz, pomoże test bezpieczeństwa. Sprawdza konfigurację, nagłówki i to, co strona oddaje o sobie bez pytania.