AI a RODO: co sprawdzić przed wysłaniem dokumentu klienta

Czy mogę wkleić umowę klienta do ChatGPT?

Prawnik wyłącza trening w ChatGPT i wgrywa umowę klienta. Czy to wystarczy? Nie.

Wyłączenie treningu ogranicza tylko jeden sposób wykorzystania danych. Jeśli dokument zawiera informacje o osobach, które da się zidentyfikować, samo przekazanie go dostawcy jest przetwarzaniem danych osobowych. Za cały ten proces odpowiada organizacja, która wysyła plik. Podstawy ochrony danych według EROD.

Ustawienia kont omawiamy w poradniku Jak wyłączyć trening na swoich danych w ChatGPT, Gemini i Claude, a plany firmowe i serwery w Europie w poradniku ChatGPT, Gemini i Claude w firmie. Tutaj zajmujemy się obowiązkami, które zostają po Twojej stronie bez względu na wybraną usługę.

Jakie sześć kroków wykonać przed dopuszczeniem usługi AI?

1. Określ cel i podstawę prawną. Ustal, do czego potrzebujesz AI i które informacje są do tego konieczne. Podstawę dobierz z art. 6 RODO. Dane o zdrowiu i inne szczególne kategorie wymagają także spełnienia warunków z art. 9. Podstawy prawne.
2. Sprawdź role i umowę powierzenia. Gdy dostawca działa jako podmiot przetwarzający, potrzebujesz warunków odpowiadających art. 28. Zweryfikuj zakres DPA, listę podwykonawców i pomoc przy usuwaniu danych. Jeżeli sam przetwarzasz dane na zlecenie klienta, upewnij się, że możesz powierzyć je dalszemu procesorowi. Administrator, procesor i dalszy procesor.
3. Ogranicz treść i czas przechowywania. Wyślij tylko potrzebny fragment, po usunięciu zbędnych identyfikatorów. Ustal okres retencji i sposób realizacji praw osób, których dane dotyczą, a potem przekaż im wymagane informacje o przetwarzaniu. Zasady RODO.
4. Oceń transfery poza EOG. Sprawdź odbiorców, wsparcie techniczne i podwykonawców. Przy transferach opartych na standardowych klauzulach umownych oceń prawo państwa odbiorcy i potrzebne środki uzupełniające. Wytyczne EROD o transferach.
5. Zabezpiecz dostęp. Włącz uwierzytelnianie wieloskładnikowe, ogranicz uprawnienia i połączone aplikacje. Napisz pracownikom, jakie dane mogą przekazywać do AI. Zabezpieczenia techniczne i organizacyjne.
6. Udokumentuj ocenę. Zapisz wybraną usługę, jej ustawienia, retencję i przepływ danych. Oceń, czy potrzebujesz DPIA, czyli oceny skutków dla ochrony danych. Jest ona wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla osób. Rozliczalność i DPIA.

Czy wolno przekazać dane na serwery poza EOG?

RODO dopuszcza zgodne z prawem transfery poza EOG. Jednym z mechanizmów jest decyzja Komisji Europejskiej o odpowiednim poziomie ochrony. W przypadku USA obejmuje ona organizacje uczestniczące w EU-US Data Privacy Framework, dlatego sprawdź konkretny podmiot i aktualny zakres jego uczestnictwa. Decyzje Komisji Europejskiej.

Przy wyborze regionu odróżniaj UE od EOG i od szerzej rozumianej Europy, bo dostawcy używają tych nazw różnie. Lokalizacja serwerów pomaga spełnić wymagania organizacji, jednak podstawę prawną i warunki powierzenia trzeba ocenić także dla serwerów europejskich. Przy danych objętych tajemnicą zawodową uwzględnij również przepisy Twojego zawodu.

Jak przygotować dokument przed wysłaniem do AI?

Jeżeli AI ma porównać postanowienia umowy, zapytaj najpierw, czy potrzebuje do tego nazwisk, adresów i numerów identyfikacyjnych stron. Często treść potrzebną do analizy da się zachować po zastąpieniu danych, które pozwalają rozpoznać osoby.

Anonimator przetwarza dokumenty lokalnie, na Twoim komputerze. Pokazuje wykryte dane do przejrzenia, zastępuje je pseudonimami i zapisuje chroniony plik przywracania. Przygotowaną kopię przekazujesz do wybranej usługi AI samodzielnie. Po otrzymaniu odpowiedzi przywracasz oryginalne wartości w tekście pochodnym, na przykład w projekcie pisma przygotowanym przez model. Zanonimizowany dokument wejściowy pozostaje bez zmian. Jak działa Anonimator.

Przed wysłaniem przejrzyj też kontekst. Opis stanowiska, mała miejscowość albo charakterystyczne zdarzenie mogą wystarczyć, żeby rozpoznać osobę mimo zmienionego nazwiska. Plik przywracania przechowuj osobno i nigdy nie przekazuj go dostawcy AI.

Pseudonimizacja, czyli odwracalna zamiana danych, różni się od anonimizacji tym, że tożsamość da się odtworzyć. W praktyce oznacza to, że organizacja, która ma plik przywracania, nadal podlega obowiązkom RODO. Rzeczywista anonimowość wymaga oceny, czy osobę można rozpoznać z pozostałej treści. Wyjaśnienie anonimizacji i pseudonimizacji przez CNIL.

Co zrobić przy następnym dokumencie?

Sprawdź ustawienie treningu i konto, z którego korzystasz. Potem ogranicz treść do tego, czego wymaga zadanie. Firmowe dane osobowe wysyłaj tylko do usługi, której warunki przetwarzania, retencję i lokalizację Twoja organizacja wcześniej zaakceptowała.