Czy RODO ma zastosowanie, jeśli Twoja firma korzysta z ChatGPT lub innych narzędzi AI?
Tak, ale nie dlatego, że sam w sobie używasz narzędzia AI. RODO ma zastosowanie, gdy tylko przetwarzasz dane osobowe, a to może się zdarzyć zarówno w edytorze tekstu, jak i w chatbocie. Nie chodzi więc o to, które narzędzie używasz, ale o to, co do niego wpisujesz i co narzędzie z tym robi.
Jeśli używasz AI tylko do tekstów ogólnych, streszczeń informacji publicznej lub pomocy programistycznej bez nazw, adresów e-mail ani innych danych umożliwiających identyfikację, to RODO nie dotyczy tej konkretnej czynności. Jeśli jednak wpisujesz dane klientów, kandydatów lub pracowników, na przykład aby wygenerować e-mail na podstawie teczki klienta, to przetwarzasz dane osobowe i obowiązują zwykłe zasady.
Jaka jest dokładnie różnica
Rozróżnienie opiera się na zawartości tego, co wpisujesz, a nie na etykiecie "AI". Firma instalacyjna, która każe przepisać opis oferty bez nazwy klienta, działa inaczej niż kierownik HR, który każe streszczać list motywacyjny z nazwiskiem, adresem i notatkami ze spotkania. W pierwszym przypadku nie ma nic umożliwiającego identyfikację osoby. W drugim przypadku tak, a wtedy wpis liczy się jako przetwarzanie.
To samo dotyczy wyniku. Narzędzie AI, które na podstawie wpisanych danych klienta generuje profil lub rekomendację, przetwarza dalej te dane. To ma znaczenie, ponieważ RODO nie patrzy tylko na przechowywanie danych, ale na każdą czynność: zbieranie, wpisywanie, przetwarzanie przez stronę trzecią i wykorzystywanie wyniku.
Kto jest wtedy administratorem
Większość narzędzi AI, które używają firmy, działa na serwerach zewnętrznego dostawcy. Jeśli wpisujesz tam dane osobowe, ten dostawca jest w praktyce często przetwarzającym: stronę, która przetwarza dane w zleceniu Twojej firmy. To ten sam podmiot, co w przypadku systemu księgowego lub CRM, tyle że w narzędziach AI jest to mniej widoczne, ponieważ wpis wygląda jak luźny tekst zamiast ustrukturyzowanego zestawu danych.
EDPB i Urząd Ochrony Danych Osobowych zwracają na to uwagę, ponieważ dla użytkowników często nie jest jasne, czy i jak długo wpisane dane są przechowywane oraz czy są używane do szkolenia modelu bazowego. To pytania, które znajdziesz w warunkach dostawcy, i to one określają, czy potrzebna jest umowa o przetwarzaniu danych. Jeśli masz wątpliwości, czy umowa, którą już podpisałeś, obejmuje tego rodzaju użycie, to możesz ją sprawdzić w bazie wiedzy w oparciu o tekst RODO.
Kiedy to Cię nie dotyczy
Jeśli Twoja firma korzysta z AI wyłącznie do zadań bez danych umożliwiających identyfikację, takich jak generowanie ogólnych tekstów marketingowych, tłumaczenie publicznie dostępnych informacji o produktach lub streszczanie własnych procesów wewnętrznych bez nazw, to dla tej konkretnej aplikacji nie ma przetwarzania danych osobowych i tym samym nie ma dodatkowego obowiązku wynikającego z RODO. To nie oznacza, że korzystanie z AI w ogóle unika odpowiedzialności; oznacza to, że musisz sprawdzić każdą aplikację z osobna, aby zobaczyć, co faktycznie jest wpisywane.
Co to oznacza w praktyce dla Twojej dokumentacji
Gdy tylko narzędzie AI przetwarza dane osobowe, to przetwarzanie, podobnie jak każde inne, powinno się znaleźć w rejestrze przetwarzania: jaki cel, jakie dane, jaki okres przechowywania i która strona dostarcza narzędzie. Wiele firm to pomija, ponieważ korzystanie z AI często powstaje ad hoc, za pośrednictwem indywidualnego konta pracownika, bez postrzegania go jako "systemu". Niemniej jednak liczy się to tak samo jak CRM lub system wynagrodzeń.
Czy Twoja firma naprawdę będzie tego dotyczyć, zależy od tego, jak sztuczna inteligencja jest używana w Twojej organizacji i przez kogo. Dyrektor, który od czasu do czasu pozwala sprawdzić tekst bez danych klientów, znajduje się w innej sytuacji niż dział HR, który podsumowuje dane dotyczące kandydatów. W przypadku wątpliwości warto rozmawiać o tym z prawnikiem lub Prezesem Urzędu Ochrony Danych Osobowych, zwłaszcza gdy dotyczą wrażliwych informacji, takich jak dane zdrowotne lub finansowe.
Chcesz szybko wiedzieć, czy korzystanie ze sztucznej inteligencji w Twojej firmie podlega RODO i co się z tym wiąże? Wykonaj bezpłatną szybką ocenę z kilkoma pytaniami i bezpośrednią wskazówką, sprawdź, jak zbudowane są źródła podstawowe via objaśnienie, skąd pochodzą informacje, lub przeczytaj często zadawane pytania, jeśli najpierw chcesz zobaczyć, jak inni przedsiębiorcy sobie radzą.