Shadow AI w firmie: wpisywanie danych klientów do chatbotów

Niezatwierdzone narzędzia AI używane przez personel mogą powodować niekontrolowane przekazanie poufnych informacji. Odpowiedzialność organizacji wymaga oceny przepływów danych, a nie samego zakazu korzystania z AI.

Podstawa oceny i kwalifikacja zdarzenia

Trzeba ustalić, jakie dane trafiają do narzędzia: publiczne, osobowe, objęte tajemnicą przedsiębiorstwa, zawodową lub kontraktowym NDA. To, że aplikacja jest popularna, nie przesądza o dopuszczalności przesłania jej poufnego pisma procesowego czy informacji identyfikującej klienta.

Obowiązki organizacyjne i dowody

Organizacja powinna zinwentaryzować narzędzia, ocenić role administratora i procesora, konfigurację retencji oraz ewentualny transfer danych poza EOG. Dopuszczenie AI do pracy warto powiązać z klasyfikacją danych, mechanizmami redakcji informacji i kontrolą dostępu.

Postępowanie praktyczne i konsekwencje

Gdy dane zostały wprowadzone do niewłaściwego systemu, potrzebna jest szybka ocena skutków, w tym możliwość ich usunięcia, zabezpieczenia dowodów zdarzenia oraz ocena obowiązków wynikających z RODO i odpowiedzialności kontraktowej.

Przykład zastosowania

Pracownik wkleja do chatbota umowę z danymi kontrahentów. Firma ustala dostawcę, zakres przetwarzania, retencję i możliwość ograniczenia skutków.

Model postępowania zgodny z zasadą rozliczalności

Działanie powinno obejmować identyfikację stanu faktycznego, mapę systemów i przepływu danych, kwalifikację prawną, decyzję organizacyjną i dokumentację jej wykonania. Nie można zastąpić tej sekwencji gotową formułką o zgodności z RODO. Dla każdej operacji należy określić cel, podstawę przetwarzania, dostępne zabezpieczenia i osobę odpowiedzialną za ich okresowy przegląd.

Podstawa prawna

Art. 5, 6, 24, 28, 32–34 RODO; zobowiązania poufności właściwe danej organizacji. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.