UODO wskazuje, że właściciel firmy lub osoba odpowiedzialna za wdrożenie narzędzia AI, powinni już przed zakupem i wdrożeniem przeanalizować każde zastosowanie danego rozwiązania AI. To samo narzędzie sztucznej inteligencji stwarza bowiem inne ryzyko, gdy służy do przygotowywania tekstów marketingowych, a inne, gdy wykorzystuje się je do obsługi klientów czy rekrutacji.
Urzędnicy podsuwają metodę kilku kroków: po pierwsze, należy określić, jaki problem ma rozwiązać AI i czy jej wykorzystanie jest rzeczywiście potrzebne. Następnie należy ocenić korzyści i ryzyka związane z planowanym zastosowaniem takich narzędzi.
Drugi etap to ustalenie, jakie informacje będą trafiały do AI. Przedsiębiorca powinien wiedzieć, czy pracownicy będą wprowadzać do niego dane osobowe klientów, pracowników, kandydatów do pracy lub kontrahentów. Szczególnej ostrożności wymagają dane wrażliwe, czyli np. medyczne.
Czytaj też w LEX: Audyt aplikacji mobilnych pod kątem cyberbezpieczeństwa i prywatności - przewodnik po wymogach wynikających z RODO, NIS 2, AI Act, wytycznych OWASP i norm ISO >
Firma powinna też zweryfikować, czy ma odpowiednią podstawę prawną przetwarzania danych. UODO przypomina też o obowiązku poinformowania o tym fakcie wszystkich osób, których dane są przetwarzane z użyciem AI. Przedsiębiorca powinien również wiedzieć, co dostawca narzędzia AI robi z przekazywanymi informacjami, np. czy wykorzystuje je do trenowania lub ulepszania własnych modeli, jak długo je przechowuje i czy przekazuje je innym podmiotom.
Czytaj też w LEX: Ocena ryzyka systemów AI – jak klasyfikować i zarządzać zgodnie z AI Act? >
Kluczowe dla mitygacji ryzyka prawnego przedsiębiorcy jest zawarcie odpowiedniej umowy z dostawcą AI. Jeśli dostawca przetwarza dane osobowe w imieniu przedsiębiorcy, konieczne może być zawarcie umowy powierzenia przetwarzania zgodnej z RODO. To jednak nie wystarczy – należy przeanalizować nie tylko umowę, ale również regulamin usługi i politykę prywatności. Przedsiębiorca powinien również sprawdzić, gdzie znajdują się serwery dostawcy i czy dane wprowadzane do narzędzia AI mogą być przekazywane poza Europejski Obszar Gospodarczy. Transfer danych poza EOG wymaga bowiem dodatkowej analizy prawnej i odpowiednich zabezpieczeń.
Czytaj też w LEX: Obowiązki w zakresie przejrzystości dla dostawców i podmioty stosujące AI >
Oprócz zabezpieczeń prawnych potrzebne są też zabezpieczenia organizacyjne. Przedsiębiorca musi wiedzieć, kto w firmie ma dostęp do konta i do danych wprowadzanych do AI. Powinien też mieć plan działania w sytuacji, jeśli dane wyciekną z narzędzia albo trafią do niewłaściwej osoby. Nawet poprawne stosowanie AI rodzi też jednak kolejne kwestie do rozwiązania. Chodzi m.in. o weryfikacje, czy AI wpływa na sytuację prawną ludzi (pracowników bądź klientów). AI jest obecnie bowiem stosowane w rekrutacji, ocenach pracowniczych czy scoringu klientów. To nakłada na firmy dodatkowe obowiązki, w tym zwłaszcza zapewnienie rzeczywistej możliwości weryfikacji wyniku otrzymanego od AI przez pracownika. Dlatego ważne jest przeszkolenie pracowników, gdyż ogranicza ono ryzyko niewłaściwego użycia AI, w tym wycieku danych osobowych. UODO radzi również, aby firmy MŚP stworzyły zasady dla pracowników, które określą, jakie informacje wolno wpisywać do rozwiązania AI, jakie zastosowania są dopuszczone przez firmę i jak postępować w przypadku błędnej odpowiedzi systemu lub podejrzenia wycieku danych.
Czytaj też w LEX: Obowiązki dokumentacyjne przy wdrażaniu rozwiązań AI w przedsiębiorstwie – ocena ryzyka, zarządzanie jakością, procedury i informacje >
Eksperci zalecają ostrożność, pomimo tego, że polskie przepisy nie są jeszcze kompletne. Nie powstała np. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która ma kontrolować stosowanie nowych przepisów.
W efekcie firmy podlegają obowiązkom i grożą im kary (do 15 milionów euro lub 3 proc. obrotu), ale żadna instytucja tego jeszcze nie kontroluje. Nie jest jasne, czy KRiBSI będzie mogła karać retroaktywnie za naruszenia z okresu przejściowego. Jednak w branży IT nie widać kombinowania, jak ominąć AI Act. Unijne przepisy nie krępują. Są sensowne i często już dawno zaimplementowane - zauważa Piotr Polus, CEO z firmy Miquido, zajmującej się wdrażaniem narzędzi AI.
Najmniej gotowe na nowe zmiany są branże e-commerce i rozrywki.
Obowiązek, który wszedł w życie na początku sierpnia, obejmuje ich szczególnie, gdyż to one najczęściej korzystają z dobrodziejstw generatywnego AI: chatbotów, generowanych opisów i zdjęć produktów, syntetycznych głosów w reklamach, wirtualnych influencerów. Tymczasem e-commerce i rozrywka zwykle zakładają, że AI Act ich nie dotyczy – podkreśla Polus.
Czytaj też w LEX: Budowa systemu zarządzania ryzykiem wdrażania mechanizmów opartych o AI w organizacji zgodnie z normami ISO i dobrymi praktykami >
Lista kontrolna dla firm korzystających z AI
Wychodząc naprzeciw nieuświadomionym przedsiębiorcom, UODO przygotował też - oprócz poradnika - listę pytań inicjalnych, które w każdej firmie warto sobie zadać zanim podejmie się decyzję o stworzeniu lub wykorzystywaniu systemów AI.
Pytania nie zastąpią analizy ryzyka, oceny skutków dla ochrony danych i wpływu na prawa podstawowe, ale stanowią dobry punkt wyjścia do tych analiz. Nie są wiążącą wykładnią przepisów i nie przesądzają o zgodności z RODO. Odpowiedzi na pytania nie trzeba przedstawiać organowi nadzorczemu – zastrzega UODO.
A świadomość mocnego powiązania AI z RODO wśród polskich przedsiębiorców jest bardzo mała. Społeczny Zespół Ekspertów przy Prezesie UODO (SZE) przeprowadził badanie, z którego wynika, że od 41 do 58,5 proc. podmiotów nie dostrzega związku między narzędziami sztucznej inteligencji a przetwarzaniem danych osobowych. Z kolei aż 95,9 proc. ankietowanych nie uważa się za przygotowane do wdrożenia AI zgodnie z RODO. Pytanie o zgodność pada zwykle wtedy, gdy narzędzie już działa, a rozstrzygnięcia o wykorzystywanych danych i dostawcy zapadły wcześniej.
Dlatego UODO przygotował swoistą checklistę dla firm, którą powinny sprawdzić przed uruchomieniem systemu AI. Na stronie internetowej UODO znajdziemy cztery zestawy dostosowane do poszczególnych grup i etapów wdrażania AI. Pierwszy zestaw jest dedykowany sektorowi MŚP, które korzystają z gotowych systemów AI. W ich przypadku nie dochodzi do trenowania sztucznej inteligencji i nie mają one rozbudowanej wiedzy prawnej. Drugi zestaw pytań UODO kieruje do podmiotów sektora publicznego – uwzględnia on zasadę legalizmu i reguły postępowania administracyjnego.
Jak zadawać pytania sztucznej inteligencji, aby wspierała myślenie prawnicze, a nie je zastępowała? - czytaj w LEX >
Jest też wersja skierowana do organizacji, które nie mieszczą się w żadnej z dwóch wcześniejszych grup – w tym budujących lub trenujących własne modele AI. Wreszcie ostatnia, czwarta wersja (rozszerzona) jest dedykowana do wszystkich wcześniejszych trzech grup.
Uwzględnia ona nie tylko RODO, ale też sygnalizuje obowiązki z AI Act: klasyfikację ryzyka i ocenę wpływu na prawa podstawowe; wypełniana, gdy lista wejściowa wykaże przesłanki wskazane w jej opisie, w szczególności budowę lub dotrenowywanie modelu albo wpływ na sytuację prawną osób – tłumaczy UODO.
Czytaj też w LEX: Informowanie przez prasę o udziale sztucznej inteligencji w tworzeniu materiałów prasowych jako obowiązek etyczny >
Autorem wszystkich list jest dr hab. Dominik Lubasz (profesor Uniwersytetu Łódzkiego), który napisał je przy wsparciu pozostałych członków SZE oraz ekspertów UODO. Urzędnicy zachęcają do korzystania z tych list nie tylko inspektorów ochrony danych (IOD), ale także osoby odpowiedzialne za zakupy i wdrożenia technologiczne w firmach. UODO do końca września czeka też na feedback – w tym okresie można do urzędników przesyłać wszelkie uwagi i doświadczenia z korzystania z list, które zostaną wykorzystane przy aktualizacji przestawionych materiałów.
Cyfrowa higiena priorytetem
Oprócz przedsiębiorców, na wykorzystanie danych powinni też zwracać uwagę klienci. Część dobrych praktyk dotyczy zresztą zarówno przedsiębiorców, jak i konsumentów.
Sztuczna inteligencja daje ogromne możliwości personalizacji, ale budzi też obawy klientów o prywatność, etykę i transparentność algorytmów. Granica między trafnym odpowiadaniem na potrzeby a przekraczaniem prywatności jest dziś niezwykle cienka – ostrzega Izba Gospodarki Elektronicznej w komunikacie wydanym z okazji wejście w życie AI Act.
Halucynacje AI: Jak weryfikować informacje i unikać błędów - zobacz w LEX >
Cyfrowa higiena zaczyna się przed kliknięciem „wyślij”. Przy formularzu, zakładaniu konta czy przekazywaniu dokumentu warto sprawdzić, czy wszystkie informacje są rzeczywiście potrzebne do wykonania danej czynności. Dotyczy to zarówno danych, które podajemy świadomie, takich jak imię, adres czy numer telefonu, jak i całych dokumentów zawierających znacznie więcej informacji.
Umowa, CV, faktura czy korespondencja mogą zawierać dane, które nie mają znaczenia dla konkretnego zadania, a mimo to trafiają dalej razem z całą treścią. Nie mamy wpływu na to, czy ktoś zaatakuje firmę, której wcześniej powierzyliśmy dane. Możemy jednak ograniczać liczbę miejsc, do których sami te dane przekazujemy. Warto wyrobić sobie prosty nawyk: zanim coś wyślemy, sprawdzić, czy odbiorca rzeczywiście potrzebuje wszystkich zawartych tam informacji. Dotyczy to formularzy internetowych, aplikacji i narzędzi AI. Wrzucenie do AI umowy z własnym numerem PESEL tylko po to, żeby streścić jej zapisy, oznacza przekazanie informacji, których model do tego zadania po prostu nie potrzebuje - mówi Wojciech Chmiel, współtwórca Anonimizera, polskiego startupu technologicznego, który przygotowuje i weryfikuje dokumenty do pracy z AI.
Czytaj też w LEX: Odpowiedzialność cywilna za szkody wyrządzone klientom w wyniku wykorzystywania przez radców prawnych systemów sztucznej inteligencji >
Chmiel daje kilka rad przydatnych też firmom, które z nieostrożności bądź lenistwa kopiują do AI całe dokumenty. Podkreśla, że ten sam dokument może trafiać do skrzynki e-mail, chmury, komunikatora i kolejnych aplikacji. Każde takie przekazanie oznacza następne środowisko, w którym jego treść jest przetwarzana. Jeżeli do wykonania zadania wystarczy fragment dokumentu albo wersja pozbawiona części danych identyfikujących, warto ograniczyć jego zakres przed wysłaniem.
Jeżeli model AI ma streścić umowę, zwykle nie potrzebuje numeru PESEL, adresu zamieszkania czy numeru rachunku stron. Przy tłumaczeniu dokumentu nie musi znać danych klienta, jeśli nie mają znaczenia dla treści zadania. Przed przekazaniem pliku warto więc sprawdzić, które informacje można usunąć albo zastąpić – tłumaczy Chmiel.
Promptowanie, czyli sztuka zadawania trafnych pytań przez prawników - zobacz w LEX >
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
