Jak wdrożyć AI w firmie i nie złamać RODO? Krótki przewodnik po AI Act

Wdrażanie AI w firmach staje się obecnie standardowa praktyką, która jednocześnie cały czas zmienia się wraz z wraz z rozwojem rewolucji technologicznej i zastosowaniem sztucznej inteligencji. AI Act formalnie wprowadzony w 2024 r. obowiązuje od tego czasu, jednak jego przepisy są wdrażane etapami. Choć pierwotnie kluczowe obowiązki miały wejść w życie w 2026 r., obecnie trwają prace nad ich przesunięciem – w praktyce pełna stosowalność regulacji może przypadać dopiero na lata 2027–2028.

Firmy wdrażające narzędzia AI muszą jednakże już teraz starać się przygotowywać do spełnienia wymogów unijnych przepisów. Wprowadzanie sztucznej inteligencji do marketingu, HR czy obsługi klienta to nie tylko dostosowanie się do AI Act. Podczas tych działań nieuchronnie przetwarza się liczne dane osobowe, a takie działania regulują obowiązki wynikające z RODO. O czym więc należy pamiętać?

Ustal, jaki poziom ryzyka ma Twój system AI

W kontekście przetwarzania danych osobowych istotne jest podział na poziomy ryzyka systemów sztucznej inteligencji, którego dokonuje AI Act. Rozporządzenie o Sztucznej Inteligencji wprowadza podejście oparte na ryzyku i dzieli systemy na kilka kategorii: 

• systemy zakazane – np. naruszające prawa podstawowe;
• wysokiego ryzyka – np. wykorzystywane w rekrutacji, ocenie pracowników czy scoringu kredytowym;
• ograniczonego ryzyka – np. chatboty stosowane przy obsłudze klienta;
• minimalnego ryzyka – np. systemy rekomendacji treści.

Od tej klasyfikacji zależy zakres obowiązków po stronie firmy – im wyższe ryzyko, tym bardziej rozbudowane wymagania prawne. Stosowanie systemu wysokiego ryzyka wiąże się między innymi z testowaniem systemu przed wdrożeniem, zapewnieniem nadzoru człowieka nad jego działaniem czy przeprowadzeniem analizy ryzyka i wdrożeniem procedur ograniczających potencjalne negatywne skutki działania AI.

Ustal, czy są przetwarzane dane osobowe, a jeśli tak, to jakie

Kolejnym kluczowym krokiem jest ustalenie, czy wdrażany system AI przetwarza dane osobowe w rozumieniu RODO. Jak już wspomniałem – będzie to raczej odpowiedź twierdząca, gdyż trudno sobie wyobrazić wykorzystanie systemu AI, który nie pracowałby na żadnych danych osobowych.

Działanie przedsiębiorcy, jako administratora danych, musi podążać za podstawami przepisów RODO. Co to oznacza?

• w pierwszej kolejności należy określić podstawę przetwarzania danych, zgodnie z art. 6 RODO, czyli np. np. zgodę użytkownika, wykonanie umowy lub uzasadniony interes administratora (podstawa przetwarzania powinna odpowiadać rzeczywistemu celowi i sposobowi wykorzystania danych przez system AI);
• koniecznie należy zadbać o obowiązek informacyjny – czyli poinformować użytkownika danych o samym przetwarzaniu danych oraz jak są one wykorzystywane w systemach opartych na AI, w jakim celu oraz jakie mogą być konsekwencje takiego przetwarzania;
• w kontekście narzędzi AI koniecznie należy przeanalizować czy system sztucznej inteligencji prowadzi do zautomatyzowanego podejmowania decyzji (art. 22 RODO) – zgodnie z przepisami osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, dlatego np. system AI wykorzystany przy rekrutacji będzie wiązał się z zapewnieniem interwencji człowieka oraz prawem do zakwestionowania decyzji.

Źródło: https://paluckiszkutnik.pl/proces-rekrutacji-zgodny-z-rodo-cv-klauzule-a-ochrona-danych-osobowych-kandydatow/

Zapewnij transparentność działania AI 

Jednym z kluczowych wymogów zarówno dla RODO, jak i dla AI Act jest zapewnienie przejrzystości i transparentności działania systemów AI. użytkownik powinien mieć świadomość, że wchodzi w interakcję z technologią opartą na sztucznej inteligencji – np. w wypadku komunikowania się z chatbotem, a nie z człowiekiem.

Co oznacza w praktyce zapewnienie transparentności działania systemu AI? Użytkownik musi otrzymać jasny komunikat, że firma korzysta z AI, w jakim celu system jest wykorzystywany (np. obsługa klienta, personalizacja oferty), a także jakie dane są przetwarzane i w jaki sposób wpływają na działanie systemu. Informacje te powinny być przekazywane w sposób zrozumiały i dostępny. W szczególności istotne będzie to w sytuacjach, gdy narzędzie AI wpływa na decyzje dotyczące użytkownika.  Powinien mieć on możliwość zrozumienia ogólnej logiki działania systemu oraz potencjalnych konsekwencji jego użycia. Brak takich informacji może zostać uznany za naruszenie obowiązków informacyjnych, a dodatkowo prowadzić do utraty zaufania klientów, co w praktyce bywa równie dotkliwe jak sankcje prawne.

Pamiętaj o wdrożeniu dokumentacji i procedur

W wypadku używania w firmie systemu AI przygotowanie odpowiedniej dokumentacji i procedur wewnętrznych jest kluczowe dla zgodności z przepisami RODO. Jako przedsiębiorca-administrator musisz być w stanie udokumentować, w jaki sposób działa system AI, jakie dane wykorzystuje oraz jakie środki bezpieczeństwa zostały zastosowane.

Co musisz przygotować? Na pewno będą to:

• opisu systemu AI, obejmującego jego funkcjonalność, zakres zastosowania oraz sposób podejmowania decyzji;
• analiza ryzyka, która identyfikuje potencjalne zagrożenia dla użytkowników oraz wskazuje środki ich ograniczenia;
• polityka dotycząca przetwarzania danych, w tym zasady dostępu do danych, ich przechowywania i usuwania;
• procedury bezpieczeństwa – np. reagowania na incydenty czy naruszenia danych.

Pamiętaj, że w szczególności w przypadku systemów AI, które nieustannie ewoluują, musisz stale monitorować użytkowane w Twojej firmie narzędzia i wciąż dostosowywać istniejące już procedury bezpieczeństwa.