Shadow AI w firmie: wpisywanie danych klientów do chatbotów

Dane wejściowe to odrębne ryzyko prawne

Wprowadzanie do publicznego chatbota treści umów, informacji o klientach lub tajemnic przedsiębiorstwa wymaga analizy warunków usługi, celu przetwarzania i rzeczywistego zakresu przekazywanych danych. Nie wystarczy założyć, że materiał jest bezpieczny tylko dlatego, że program generuje użyteczne podsumowanie. Trzeba sprawdzić, czy dostawca jest odrębnym administratorem czy podmiotem przetwarzającym, gdzie dane trafiają i jakie istnieją możliwości ich dalszego wykorzystania. Nie wszystkie dane można bezpiecznie zanonimizować przez usunięcie imienia i nazwiska.

Polityka dopuszczonych narzędzi i reagowanie na incydent

Organizacja powinna określić, jakie kategorie informacji mogą być używane w narzędziach AI i które aplikacje są dopuszczone do pracy służbowej. Pracownik potrzebuje praktycznego sposobu konsultacji trudnych przypadków, a nie jedynie ogólnego zakazu. Jeśli poufne dane już trafiły do niezatwierdzonej usługi, należy ustalić zakres, odbiorców, możliwość usunięcia i obowiązki informacyjne lub kontraktowe. Sam fakt korzystania z AI nie przesądza jeszcze o naruszeniu RODO; decydują okoliczności konkretnego przetwarzania.

Przykład: umowa klienta trafia do niezatwierdzonej usługi AI

Pracownik przekazuje zewnętrznemu chatbotowi projekt umowy zawierający dane osobowe kontrahentów i nieujawnione informacje o cenie. Reakcja powinna obejmować ustalenie dokładnej treści przekazanego materiału, celu użycia, warunków usługi, możliwych odbiorców i zakresu dostępnych mechanizmów usunięcia. Należy sprawdzić, czy wystąpiło naruszenie poufności danych osobowych, tajemnicy przedsiębiorstwa lub zobowiązania kontraktowego – nie każda sytuacja spełnia wszystkie te przesłanki. Dalsze działania mogą obejmować ograniczenie konta, zabezpieczenie informacji o zdarzeniu i zmianę uprawnień. Organizacja powinna wskazać dozwolone narzędzia oraz sposób anonimizacji, a nie tylko zabronić użycia AI w ogólnym regulaminie.

Podstawa oceny i kwalifikacja zdarzenia

Trzeba ustalić, jakie dane trafiają do narzędzia: publiczne, osobowe, objęte tajemnicą przedsiębiorstwa, zawodową lub kontraktowym NDA. To, że aplikacja jest popularna, nie przesądza o dopuszczalności przesłania jej poufnego pisma procesowego czy informacji identyfikującej klienta.

Obowiązki organizacyjne i dowody

Organizacja powinna zinwentaryzować narzędzia, ocenić role administratora i procesora, konfigurację retencji oraz ewentualny transfer danych poza EOG. Dopuszczenie AI do pracy warto powiązać z klasyfikacją danych, mechanizmami redakcji informacji i kontrolą dostępu.

Postępowanie praktyczne i konsekwencje

Gdy dane zostały wprowadzone do niewłaściwego systemu, potrzebna jest szybka ocena skutków, w tym możliwość ich usunięcia, zabezpieczenia dowodów zdarzenia oraz ocena obowiązków wynikających z RODO i odpowiedzialności kontraktowej.

Przykład zastosowania

Pracownik wkleja do chatbota umowę z danymi kontrahentów. Firma ustala dostawcę, zakres przetwarzania, retencję i możliwość ograniczenia skutków.

Kiedy wykorzystanie chatbota powoduje ujawnienie informacji

Wprowadzenie do zewnętrznego narzędzia AI danych klienta, projektu umowy, kodu źródłowego lub informacji objętych tajemnicą zawodową może oznaczać przekazanie danych poza kontrolowany system organizacji. Ryzyko zależy od dostawcy, umowy, konfiguracji przechowywania, możliwości użycia wejścia do trenowania modeli, lokalizacji infrastruktury i zakresu uprawnień pracownika. Nie każda interakcja z AI jest naruszeniem RODO, ale ocena wymaga sprawdzenia, jakie informacje faktycznie trafiły do systemu i czy były objęte ograniczeniami kontraktowymi.

Polityka korzystania z AI i reagowanie na incydent

Organizacja powinna z góry określić dopuszczalne narzędzia, typy danych, uprawnienia użytkowników i wymagany poziom anonimizacji. Jeśli pracownik już przekazał dane, potrzebne jest ustalenie zakresu ujawnienia oraz możliwości usunięcia materiału, a także analiza obowiązków wobec klientów i organu nadzorczego. Sama deklaracja, że pracownik użył narzędzia w celu zwiększenia wydajności, nie wyłącza odpowiedzialności administratora za dobór procesora i nadzór. W przypadku tajemnicy zawodowej lub danych szczególnej kategorii standard ostrożności powinien być odpowiednio wyższy.

Przypadek analizy nieopublikowanej umowy

Pracownik wkleja do usługi AI projekt kontraktu zawierający dane kontrahenta, marże i szczegóły negocjacji. Nawet jeśli narzędzie generuje bardzo dobre podsumowanie, trzeba ustalić, na jakiej podstawie dane mogły zostać przekazane dostawcy i czy nie naruszono obowiązków poufności. Wymaga to sprawdzenia warunków świadczenia usługi, zasad przechowywania treści, dostępu podwykonawców i zakresu uprawnień pracownika. Usunięcie imienia klienta nie zawsze zapewnia skuteczną anonimizację.

Jak reagować po nieuprawnionym przesłaniu

Organizacja powinna zabezpieczyć dane o zdarzeniu, ustalić zakres ujawnionych informacji i możliwość ich usunięcia z usługi. Dopiero po tej analizie da się odpowiedzieć, czy doszło do naruszenia ochrony danych osobowych, tajemnicy przedsiębiorstwa czy zobowiązania umownego. Nie każdy przypadek użycia AI stanowi incydent podlegający zgłoszeniu do UODO. Trzeba uwzględnić charakter danych, ryzyko i podstawy prawne, a następnie zmienić zasady korzystania z narzędzi, jeżeli były niejasne.

Podstawa prawna

Art. 5, 6, 24, 28, 32–34 RODO; zobowiązania poufności właściwe danej organizacji. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.