UODO opublikował 5 sierpnia zestaw „List pytań inicjalnych – RODO & AI”. Jedna z wersji została przygotowana specjalnie dla małych i średnich firm korzystających z gotowych narzędzi sztucznej inteligencji, bez trenowania własnych modeli. Urząd podkreśla, że taka analiza powinna zostać wykonana już na etapie wyboru rozwiązania – przed zakupem lub rozpoczęciem korzystania z systemu.
To samo AI, zupełnie inne ryzyko
Najważniejsza zasada brzmi prosto: nie ocenia się wyłącznie programu, ale konkretny sposób jego wykorzystania. Ten sam asystent tekstowy może być stosunkowo nieskomplikowanym narzędziem przy tworzeniu hasła reklamowego, ale sytuacja zmienia się, gdy pracownik wprowadza do niego CV kandydatów, reklamacje klientów, umowy, dane o wynagrodzeniach czy informacje dotyczące zdrowia.
Dlatego UODO zaleca wypełnianie checklisty oddzielnie dla każdego procesu. Sam urząd zaznacza, że wersja przeznaczona dla MŚP ma być możliwa do przejścia bez specjalistycznej wiedzy prawniczej i powinna zająć około pół godziny. Nie zastępuje jednak porady prawnej, analizy ryzyka ani oceny skutków dla ochrony danych.
Skala problemu nie jest marginalna. W materiale towarzyszącym poradnikowi UODO wskazuje, że 95,9 proc. badanych organizacji nie uważa się za przygotowane do wdrażania AI zgodnie z RODO. Urząd zwraca też uwagę, że pytania o zgodność z prawem często pojawiają się dopiero wtedy, gdy system już działa, dostawca został wybrany, a dane zaczęły do niego trafiać.
Najważniejsze pytanie: co właściwie wpisujemy do AI?
Dla przedsiębiorcy kluczowe jest ustalenie, czy do zewnętrznego systemu trafiają dane klientów, pracowników, kandydatów do pracy albo kontrahentów. Jeszcze większej ostrożności wymagają informacje szczególnie chronione, dotyczące m.in. zdrowia, a także dane dzieci.
Jeżeli dane osobowe są przetwarzane, firma musi ustalić podstawę prawną takiego działania, spełnić obowiązki informacyjne oraz sprawdzić rolę dostawcy systemu. Gdy dostawca przetwarza dane w imieniu firmy, może być konieczna umowa powierzenia przetwarzania zgodna z art. 28 RODO. Trzeba także sprawdzić regulamin, politykę prywatności, okres przechowywania danych oraz to, czy informacje mogą trafiać poza Europejski Obszar Gospodarczy. UODO wskazuje te kwestie wprost w części checklisty dotyczącej dostawcy i przepływu danych.
W praktyce oznacza to koniec podejścia: „pracownik znalazł fajne narzędzie, więc od jutra wszyscy z niego korzystamy”. Sztuczna inteligencja może oszczędzić godziny pracy, ale źle wdrożona może równie szybko zamienić firmowy dokument, CV albo bazę klientów w problem prawny.
Rekrutacja i ocena pracowników. Tu poprzeczka idzie wyżej
Szczególnie wrażliwe są systemy pomagające podejmować decyzje dotyczące ludzi – m.in. rekrutacji, oceny pracowników czy scoringu klientów. UODO wskazuje, że jeśli narzędzie wpływa na sytuację człowieka, firma powinna zapewnić rzeczywistą możliwość zweryfikowania jego wyniku przez pracownika. W uproszczonej checkliście dla MŚP urząd zaleca zmianę sposobu korzystania z narzędzia lub rezygnację z niego, jeżeli system miałby samodzielnie podejmować decyzje wobec ludzi bez udziału człowieka.
Tu pojawia się również unijny AI Act. Po przyjęciu w 2026 roku zmian w ramach tzw. AI Omnibus termin stosowania szczegółowych wymogów dla systemów wysokiego ryzyka wykorzystywanych m.in. w zatrudnieniu został przesunięty na 2 grudnia 2027 roku. Nie oznacza to jednak prawnej próżni – RODO obowiązuje już dziś, a od 2 sierpnia 2026 roku stosowane są również nowe wymogi przejrzystości dotyczące m.in. chatbotów oraz oznaczania określonych treści generowanych lub zmienianych przez AI.
Tomaszów też jest częścią tej rewolucji
To nie jest temat wyłącznie dla technologicznych korporacji z Warszawy, Londynu czy Doliny Krzemowej. Dotyczy również małych przedsiębiorstw z Tomaszowa Mazowieckiego i powiatu tomaszowskiego: biur rachunkowych, sklepów internetowych, firm produkcyjnych, gabinetów, pośredników, pracodawców prowadzących rekrutację czy przedsiębiorców wykorzystujących chatboty do kontaktu z klientami.
Wystarczy, że pracownik skopiuje do popularnego asystenta fragment umowy z nazwiskiem i numerem telefonu klienta albo całe CV osoby ubiegającej się o pracę. Od tej chwili rozmowa o AI przestaje być rozmową o modnym programie. Staje się rozmową o danych osobowych, odpowiedzialności i bezpieczeństwie firmy.
Cztery odpowiedzi „NIE”? UODO radzi iść do specjalisty
Poradnik zawiera bardzo praktyczną granicę bezpieczeństwa. Jeżeli w checkliście przedsiębiorca udzieli więcej niż trzech odpowiedzi „NIE”, UODO zaleca konsultację ze specjalistą przed dalszym korzystaniem z narzędzia. Wypełnioną listę warto zachować – urząd wskazuje, że może być ona elementem dokumentacji pokazującej, iż firma sprawdziła ryzyka jeszcze przed wdrożeniem.
Sztuczna inteligencja nie musi być dla małych firm prawnym polem minowym. Warunek jest jeden: nie można traktować jej jak kolejnego edytora tekstu instalowanego jednym kliknięciem. Najpierw trzeba wiedzieć, po co firma chce używać AI, jakie dane do niego trafią, kto będzie miał do nich dostęp i co zrobi z nimi dostawca. Dopiero później warto nacisnąć „kup”.
Napisz komentarz
Komentarze