Największe ryzyko RODO w erze AI rzadko wynika z „złośliwego algorytmu”. Częściej z prostego odruchu: pracownik wkleja listę klientów, CV albo fragment dokumentacji medycznej do publicznego chatbota, bo „trzeba szybko”.
Poniżej praktyczny przewodnik — nie zastępuje oceny skutków (DPIA) ani opinii IOD, ale porządkuje minimum organizacyjne.
Shadow AI: problem numer jeden
Zanim kupisz „bezpieczne” narzędzie firmowe, sprawdź, czy ludzie nie korzystają już z pięciu innych. Anonimowa ankieta + logi proxy/DNS często ujawniają więcej niż oficjalny rejestr aplikacji.
- Ustal listę zatwierdzonych narzędzi.
- Wyjaśnij dlaczego inne są zakazane (przykłady incydentów działają lepiej niż paragrafy).
- Daj alternatywę: jeśli zabronisz wszystkiego bez zamiennika, Shadow AI wraca tylnymi drzwiami.
Powierzenie przetwarzania i umowa z dostawcą
Gdy narzędzie przetwarza dane osobowe w imieniu administratora, zwykle potrzebujesz umowy powierzenia (art. 28 RODO) oraz jasnych odpowiedzi:
| Pytanie | Dlaczego ważne |
|---|---|
| Czy prompty są używane do trenowania modelu? | Ryzyko „wycieku” wiedzy firmowej do modelu |
| Gdzie fizycznie są przetwarzane dane? | Transfery poza EOG, SCC |
| Jak długo trzymane są logi? | Retencja i prawo do usunięcia |
| Kto ma dostęp po stronie dostawcy? | Podpowierzenie, support |
Higiena promptów w zespole
- Minimalizacja: wklejaj tylko to, co niezbędne.
- Pseudonimizacja: zamieniaj nazwiska i NIP na tokeny.
- Rozdział środowisk: dane produkcyjne ≠ sandbox.
- Review: przy decyzjach wobec osób — zawsze człowiek w pętli.
RODO nie banuje AI. Banuje bezmyślność przy danych, które identyfikują człowieka.
Na koniec: zaktualizuj rejestr czynności przetwarzania i politykę bezpieczeństwa informacji. AI to nowa czynność lub istotna zmiana istniejącej — nie „tylko kolejna apka”.