Najczęstszym błędem przy korzystaniu z narzędzi AI w miejscu pracy jest wprowadzanie przez pracowników danych osobowych do narzędzia takiego jak ChatGPT, Copilot lub podobny chatbot, bez wiedzy firmy, że to się dzieje. CV, dossier klienta lub wymiana e-maili zostaje szybko podsumowana lub przepisana, podczas gdy nikt nie sprawdził, gdzie następnie znajdują się te dane, kto je może zobaczyć i czy istnieje umowa z dostawcą narzędzia.
To nie jest mały szczegół. Gdy tylko narzędzie przetwarza dane osobowe, obowiązują dla nich te same zasady co dla każdej innej aplikacji SaaS: musi być podstawa prawna, przetwarzanie powinno być zarejestrowane w rejestrze operacji, a jeśli dostawca pełni rolę przetwarzającego dane, musi istnieć umowa z przetwarzającym dane. W przypadku wielu bezpłatnych narzędzi AI to ostatnie nie istnieje lub warunki użytkowania stanowią, że dane wejściowe mogą być używane do trenowania modelu. Różni się to znacznie w zależności od dostawcy i formy abonamentu i właśnie dlatego niezbędna jest kontrola wcześniejsza.
Jak to działa w praktyce
W większości przypadków problem powstaje nie z zaniedbania, ale z braku wiedzy. Pracownik HR wklejający list motywacyjny do chatbota, aby ulepszyć tekst oferty pracy. Kierownik projektu zlecający podsumowanie wiadomości e-mail od klienta. Żaden z nich nie myśli o RODO, ponieważ postrzegają to jako narzędzie, a nie jako przetwarzanie danych osobowych. Sama firma często nie ma przeglądu, które narzędzia AI są używane codziennie, a tym bardziej czy te narzędzia znajdują się w rejestrze operacji lub na jakiejś liście zatwierdzonego oprogramowania.
Drugi powracający błąd to to, że firmy, które posiadają politykę AI, nie uzgadniają tej polityki z istniejącym rejestrem operacji i umowami z przetwarzającymi dane. Narzędzie AI jest wtedy traktowane niezależnie od pozostałej administracji RODO, podczas gdy w istocie chodzi o to samo pytanie, które pojawia się również przy każdym innym narzędziu SaaS: kto przetwarza jakie dane, w jakim celu i na jakiej podstawie. baza wiedzy z wyjaśnieniami dla każdego tematu dotyczy tego pytania również w przypadku innego powszechnie używanego oprogramowania i pokazuje, że narzędzia AI w praktyce nie stanowią wyjątku od systematyki, która już obowiązuje dla innych dostawców.
Dlaczego mogą to być dane osobowe, nawet jeśli nie o to chodzi
RODO przyjmuje szerokie rozumienie danych osobowych: wszelkie informacje, które mogą być związane z identyfikowalną osobą fizyczną. Imię i nazwisko, numer klienta, zdjęcie, notatka telefoniczna lub kombinacja danych, które razem wskazują na konkretną osobę, wchodzą w to pojęcie. W przypadku korzystania z narzędzi AI nie chodzi więc tylko o jawne dane osobowe, takie jak CV, ale także o fragmenty ukryte w większym dokumencie, takie jak imię i nazwisko w załączniku, które zostają skopiowane.
Urząd Ochrony Danych Osobowych i EDPB publikują wytyczne dotyczące postępowania ze sztuczną inteligencją i danymi osobowymi, które się rozwijają; to, co dzisiaj jest uważane za powszechną interpretację, może być w niektórych aspektach sprecyzowane. To jeden z powodów, dla których stała procedura w firmie zapewnia większą pewność niż luźne umowy między pracownikami.
Jak uniknąć tego błędu
Istota rozwiązania jest prosta do sformułowania, choć wdrożenie wymaga czasu: zmapuj, które narzędzia AI są używane w firmie, i ustal dla każdego narzędzia, czy wprowadzane są do niego dane osobowe. Jeśli tak, narzędzie powinno znaleźć się w rejestrze operacji i należy sprawdzić, podobnie jak w przypadku innych dostawców SaaS, czy dostawca pełni rolę przetwarzającego dane i czy dostępna jest umowa z przetwarzającym dane. jak dane są chronione u przetwarzających dane daje przegląd istotnych w tym kontekście punktów.
Ponadto krótka, konkretna instrukcja dla pracowników jest bardziej użyteczna niż obszerny dokument polityki, który nikt nie czyta: które narzędzia są dozwolone, jakie dane mogą się w nich znaleźć, a jakie nie, i do kogo pracownik się zwraca, gdy ma wątpliwości. Ten ostatni krok jest być może najważniejszy, ponieważ większość błędów nie wynika z braku woli, ale z braku jasnego punktu kontaktowego.
Jeśli już się to stało
Jeśli przypadkowo duża ilość danych osobowych została wprowadzona do narzędzia AI bez istniejącej umowy pomiędzy administratorem a podmiotem przetwarzającym, warto ocenić, czy kwalifikuje się to jako zdarzenie wymagające podjęcia działań, na przykład w ramach obowiązku powiadomienia o naruszeniu bezpieczeństwa danych. na kilka pytań uzyskać wstępną ocenę może tutaj stanowić wstępną wskazówkę, niezależnie od pytania, czy powiadomienie jest w konkretnym przypadku konieczne; ocena ta należy do administratora samego lub do prawnika.
Czy chcielibyście dla swojej firmy sporządzić zestawienie, które narzędzia, w tym aplikacje AI, wymagają uwagi? Przeprowadźcie darmową szybką ocenę lub przeczytajcie tematy w często zadawanych pytań dotyczących RODO i oprogramowania aby zobaczyć, jakie wyzwania stanowi twoja sytuacja.