Dane studentów w narzędziach AI: obowiązki uczelni, RODO i granice automatyzacji

Cyfryzacja dziekanatu nie znosi odpowiedzialności uczelni

Generatywna sztuczna inteligencja może ułatwić przygotowanie wzorów pism, tłumaczenie komunikatów, układanie instrukcji i tworzenie roboczych zestawień. Wprowadzenie do systemu danych studenta jest jednak czymś innym niż wygenerowanie pustego szablonu. Akta osobowe, skany dokumentów pobytowych, korespondencja o zaległościach w opłatach, informacje o niepełnosprawności oraz dokumentacja zdrowotna mogą być objęte różnymi reżimami prawnymi. Odpowiedzialność za ich przetwarzanie nie znika tylko dlatego, że pracownik korzysta z komercyjnego narzędzia AI.

Po pierwsze: czy dane są konieczne?

RODO wymaga zgodności celu przetwarzania, podstawy prawnej i zakresu danych. Zasada minimalizacji z art. 5 ust. 1 lit. c nakazuje ograniczenie informacji do tego, co adekwatne i niezbędne. W przypadku przygotowania ogólnego pisma dotyczącego urlopu od zajęć zwykle nie ma potrzeby wysyłania numeru albumu, PESEL, adresu zamieszkania czy diagnozy studenta. Nawet zamiana nazwiska na inicjały nie gwarantuje anonimizacji, jeśli pozostałe okoliczności pozwalają rozpoznać osobę. Pseudonimizacja może zmniejszać ryzyko, lecz dane nadal mogą pozostawać danymi osobowymi.

Podstawa przetwarzania: nie każdą sprawę rozwiąże zgoda

Art. 6 RODO wymaga odpowiedniej podstawy prawnej dla danej operacji. Gdy przetwarzane są szczególne kategorie danych, w tym dotyczące zdrowia, dochodzą przesłanki art. 9. W relacji administracyjnej uczelnia–student dobrowolność zgody trzeba oceniać szczególnie ostrożnie. Zgoda nie powinna być mechanicznie wykorzystywana do uzasadnienia operacji, których student realnie nie może odmówić. Inna podstawa może znajdować zastosowanie przy realizacji prawnego obowiązku uczelni, inna przy dobrowolnej usłudze. Analiza musi odnosić się do konkretnego celu i operacji.

Czy dostawca AI jest podmiotem przetwarzającym?

Odpowiedź zależy od tego, czy wykonuje operacje w imieniu uczelni, czy samodzielnie decyduje o celach wykorzystania informacji. W pierwszym wariancie znaczenie ma art. 28 RODO: odpowiedni dobór usługodawcy, weryfikacja gwarancji, umowa powierzenia, udokumentowane polecenia, reguły podpowierzenia oraz możliwość uzyskania dowodów zgodności. W drugim wariancie potrzebna jest odrębna analiza udostępnienia danych i transparentności. Nie należy zakładać, że standardowy regulamin narzędzia automatycznie spełnia wymogi każdej uczelni.

Szczególnie ważne jest ustalenie, czy dane wpisane do systemu będą wykorzystywane do dalszego treningu lub udoskonalania modeli, jak długo są przechowywane, kto ma do nich dostęp oraz czy mogą być przekazywane do innych podmiotów. W przypadku przetwarzania lub transferu poza Europejski Obszar Gospodarczy należy osobno zbadać rozdział V RODO.

Art. 32 RODO: bezpieczeństwo to także procedura

Dostawca może deklarować szyfrowanie, ale bezpieczeństwo wymaga więcej niż jednego technicznego zapewnienia. Uczelnia powinna przyjąć zasady dostępu do narzędzi, konfigurację kont, retencję danych, kontrolę uprawnień, reakcję na incydenty i listę informacji, których nie wolno wpisywać do otwartych czatów. Potrzebne są szkolenia pracowników i zasada zatwierdzania narzędzi przez właściwe osoby. Nieformalna praktyka kopiowania dokumentów do prywatnych kont pracowników utrudnia spełnienie wymogów rozliczalności.

Kiedy potrzebna jest ocena skutków dla ochrony danych?

Art. 35 RODO nakazuje przeprowadzenie oceny skutków dla ochrony danych (DPIA), gdy dany rodzaj przetwarzania prawdopodobnie powoduje wysokie ryzyko naruszenia praw lub wolności osób. Nie każda pomoc w redagowaniu korespondencji oznacza automatyczny obowiązek DPIA. Ryzyko rośnie jednak przy masowym profilowaniu, łączeniu wielu baz, wykorzystywaniu szczególnych kategorii danych i zautomatyzowanych ocenach mających istotny wpływ na sytuację studenta. Dokumentacja ryzyka powinna powstać przed wdrożeniem, a nie dopiero przy kontroli.

Automatyczna ocena a realny udział człowieka

Należy odróżnić system przygotowujący propozycję pisma od systemu, który faktycznie rozstrzyga o przyjęciu na studia, zaliczeniu przedmiotu czy dostępie do świadczeń. Art. 22 RODO w określonych warunkach chroni przed decyzją opartą wyłącznie na zautomatyzowanym przetwarzaniu, wywołującą skutki prawne albo w podobny sposób istotnie wpływającą na osobę. Podobnie AI Act wyróżnia określone zastosowania edukacyjne jako wysokiego ryzyka. Należy jednak osobno zbadać kwalifikację konkretnego narzędzia oraz harmonogram stosowania właściwych przepisów, zamiast ogłaszać jeden obowiązek dla wszelkiej AI. Kontrola człowieka musi być rzeczywista i pozwalać krytycznie ocenić wynik, a nie sprowadzać się do formalnego kliknięcia akceptacji.

Przykład z dziekanatu

Pracownik ma przygotować odpowiedź na wniosek studenta o indywidualną organizację studiów związany ze stanem zdrowia. Wpisanie pełnej dokumentacji medycznej do otwartego narzędzia byłoby znacznie bardziej ryzykowne niż opracowanie anonimowego wzoru odpowiedzi w oparciu o regulamin studiów, a następnie samodzielne uzupełnienie go w zatwierdzonym systemie uczelni. Drugie rozwiązanie pozwala ograniczyć zakres ujawnianych informacji i zachować kontrolę nad rozstrzygnięciem.

Siedem kroków wdrożenia AI zgodnego z prawem

1. Utworzyć rejestr zastosowań AI i danych, które miałyby być w nich używane.
2. Oddzielić anonimizowane szablony od rzeczywistych spraw studentów.
3. Zbadać cel, podstawę prawną i kategorię danych z art. 6 i 9 RODO.
4. Zweryfikować rolę dostawcy, umowę z art. 28 oraz ewentualny transfer.
5. Ocenić bezpieczeństwo i potrzebę DPIA oraz obowiązki wynikające z AI Act.
6. Wprowadzić uprawnienia, politykę używania narzędzi i nadzór człowieka.
7. Zapewnić jasne informacje dla studentów i obsługę ich praw.

Podstawa legalności nie jest zgodą na dowolny przepływ danych

Przed udostępnieniem rzeczywistych danych studentów systemowi zewnętrznemu konieczne jest rozdzielenie czynności wymaganych do wykonania obowiązków uczelni od dodatkowych zastosowań technologicznych. Nawet gdy uczelnia może legalnie prowadzić określone akta, nie wynika z tego automatycznie możliwość udostępnienia ich każdemu dostawcy AI. Umowa licencyjna i ustawienia prywatności wymagają odrębnej analizy. Należy sprawdzić, czy dostawca przechowuje zapytania, czy umożliwia ich wykorzystanie do trenowania modeli oraz jakie uprawnienia mają podwykonawcy.

Przykładowo redagowanie ogólnego wzoru odpowiedzi na prośbę o urlop dziekański może odbyć się bez danych osobowych. Natomiast automatyczne kwalifikowanie konkretnych studentów do pomocy materialnej, typowanie osób zagrożonych skreśleniem lub ocenianie spełnienia warunków rekrutacji wymaga znacznie staranniejszej analizy. Istotne stają się przejrzystość kryteriów, ryzyko dyskryminacji, możliwość korekty błędu i przepisy regulujące podejmowanie decyzji.

Jak udokumentować odpowiedzialność organizacyjną

Dobrym punktem wyjścia jest rejestr zastosowań obejmujący właściciela procesu, cel, kategorię danych, dopuszczonych użytkowników, dostawcę, podstawę prawną oraz sposób weryfikowania wyników. Inspektor ochrony danych powinien uczestniczyć w ocenie ryzyka, a osoby przygotowujące decyzje muszą mieć realną możliwość odmowy zastosowania wadliwego wyniku. Polityka korzystania z AI powinna przewidywać także reakcję na błędną odpowiedź oraz nieuprawnione ujawnienie informacji, a nie tylko zasady tworzenia zapytań.

Wniosek

Rozważnie wdrożona AI może odciążyć administrację uczelni, ale nie powinna zastępować odpowiedzialnej oceny prawnej, pracy dziekanatu ani gwarancji przysługujących studentowi. WILIŃSKI LEGAL wspiera podmioty edukacyjne w analizie ryzyk, dokumentacji i prawnych aspektach transformacji cyfrowej.

Źródła: RODO, tekst urzędowy; wyjaśnienia UODO dotyczące dostawcy przetwarzania; AI Act.