UODO: małe i średnie firmy powinny analizować każde zastosowanie narzędzia AI i to przed zakupem

W opracowaniu UODO znajduje się zestaw pytań m.in. dla sektora MŚP, które pomogą przedsiębiorcy ustalić, czy korzystanie z danego narzędzia AI nie narusza przepisów o ochronie danych osobowych i co trzeba zrobić, żeby było zgodne z prawem.

Wskazówki zostały skierowane m.in. dla firm, które chcą korzystać z gotowego rozwiązania AI np. asystenta tekstowego, systemu do obsługi klienta, wsparcia rekrutacji czy analizy dokumentów, i sprawdzić, czy nie narusza przy tym przepisów o ochronie danych osobowych. Chodzi o systemy, których firma nie trenuje na swoich danych.

UODO wskazał, że właściciel firmy lub osoba odpowiedzialna za wdrożenie narzędzia AI, powinien osobno przeanalizować każde zastosowania danego rozwiązania AI i to przed jego zakupem lub wdrożeniem w organizacji. To samo narzędzie sztucznej inteligencji może bowiem stwarzać inne ryzyko, gdy służy do przygotowywania tekstów marketingowych, a inne, gdy jest wykorzystywane do obsługi klientów czy rekrutacji.

Jak podał urząd, pierwszym krokiem przedsiębiorcy powinno być określenie, jaki problem ma rozwiązać sztuczna inteligencja i czy wykorzystanie AI jest rzeczywiście potrzebne. Następnie należy ocenić korzyści i ryzyka związane z planowanym zastosowaniem narzędzia AI.

Kolejnym zadaniem jest ustalenie, jakie informacje będą trafiały do systemu sztucznej inteligencji. Przedsiębiorca powinien wiedzieć, czy pracownicy będą wprowadzać do niego dane osobowe klientów, pracowników, kandydatów do pracy lub kontrahentów. Szczególnej ostrożności wymagają tzw. dane wrażliwe, czyli dotyczące m.in. zdrowia i dzieci.

Jeśli przedsiębiorca ustali, że do narzędzia AI będą trafiać dane osobowe, to przed rozpoczęciem korzystania z niego, powinien ustalić podstawę prawną przetwarzania danych. UODO przypomniał również o obowiązku poinformowania o tym fakcie wszystkich osób, których dane są przetwarzane z użyciem AI.

Firma powinna również wiedzieć, co dostawca narzędzia robi z przekazywanymi informacjami, np. czy wykorzystuje je do trenowania lub ulepszania własnych modeli, jak długo je przechowuje i czy przekazuje je innym podmiotom.

Istotne znaczenie ma umowa między firmą sektora MŚP a dostawcą narzędzia AI. Jeżeli dostawca przetwarza dane osobowe w imieniu przedsiębiorcy, konieczne może być zawarcie umowy powierzenia przetwarzania zgodnej z RODO - podkreślił urząd. Dodał, że przedsiębiorca powinien przeanalizować nie tylko umowę, ale również regulamin usługi i politykę prywatności. Przedsiębiorca powinien również sprawdzić, gdzie znajdują się serwery dostawcy i czy dane wprowadzane do narzędzia AI mogą być przekazywane poza Europejski Obszar Gospodarczy. Transfer danych poza EOG wymaga bowiem dodatkowej analizy prawnej i odpowiednich zabezpieczeń.

Według poradnika przedsiębiorca powinien wiedzieć, kto w firmie ma dostęp do konta i do danych wprowadzanych do narzędzia AI. Powinien też mieć plan działania w sytuacji, jeśli dane wyciekną z narzędzia albo trafią do niewłaściwej osoby.

Przed wdrożeniem rozwiązania AI trzeba ponadto ustalić, czy może ono bezpośrednio wpływać na sytuację prawną ludzi. Chodzi o narzędzia sztucznej inteligencji, które są stosowane np. do rekrutacji, oceny pracowników czy scoring klientów. Ich używanie nakłada bowiem na przedsiębiorców dodatkowe obowiązki. Jeżeli narzędzie AI będzie wpływać na sytuację ludzi, organizacja musi a m.in. zapewnić rzeczywistą możliwość weryfikacji wyniku przez pracownika - wskazał urząd.

Przedsiębiorcy sektora MŚP powinni również przygotować pracowników do korzystania z wybranego narzędzia AI. „Szkolenie użytkowników ogranicza ryzyko niewłaściwego użycia” - zaznaczył UODO. Przedsiębiorcy powinni też stworzyć zasady dla pracowników, które określą, jakie informacje wolno wpisywać do rozwiązania AI, jakie zastosowania są dopuszczone przez firmę i jak postępować w przypadku błędnej odpowiedzi systemu lub podejrzenia wycieku danych.

Urząd podkreślił, że jeśli firma nie zna odpowiedzi na któreś pytanie z listy, nie powinna tego zostawić bez dalszego działania. Jeżeli przedsiębiorca nie wie np., gdzie dostawca przechowuje dane, powinien wskazać, kto ma to ustalić i w jakim terminie. W opracowaniu UODO wskazano też, że więcej niż trzy odpowiedzi „NIE” na pytania z listy, powinny skłonić firmę do konsultacji ze specjalistą. (PAP)

mbl/ drag/