Quality Power
AI a ochrona danych osobowych w małej firmie
Trzy pytania, które trzeba zadać przed wprowadzeniem jakichkolwiek danych osób do narzędzia.
Przy danych osobowych korzystanie z zewnętrznego narzędzia to nie jest drobna zmiana techniczna — to przekazanie danych innemu podmiotowi. Ta jedna rzecz zmienia sytuację prawną i jest powodem, dla którego temat nie daje się rozstrzygnąć samodzielnie.
To nie jest porada prawna. Ocena podstawy przetwarzania, wymaganych umów i obowiązków informacyjnych należy do prawnika albo specjalisty od ochrony danych. Poniżej pytania, z którymi warto do niego pójść, i rzeczy, które możesz zrobić sam bez żadnej analizy.
Trzy pytania do zadania specjaliście
| Pytanie | Czego dotyczy |
|---|---|
| Czy mamy podstawę do takiego przetwarzania? | Dopuszczalność w ogóle |
| Czy potrzebna jest umowa z dostawcą narzędzia? | Relacja z podmiotem przetwarzającym |
| Czy trzeba poinformować osoby, których dane dotyczą? | Obowiązki informacyjne |
| Gdzie dane są przetwarzane i przechowywane? | Lokalizacja i transfery |
| Jak długo są przechowywane i czy da się je usunąć? | Retencja i prawa osób |
Co możesz zrobić sam, bez żadnej analizy
Niezależnie od odpowiedzi na powyższe, jedna rzecz działa zawsze i nie wymaga niczyjej zgody: nie wprowadzaj danych osobowych tam, gdzie nie są potrzebne do uzyskania wyniku.
- Analiza treści zapytania nie wymaga imienia, nazwiska ani adresu e-mail pytającego.
- Przygotowanie odpowiedzi nie wymaga danych kontaktowych — można je wstawić później.
- Porządkowanie notatek ze spotkania rzadko wymaga pełnych danych uczestników.
- Analiza opinii działa równie dobrze na treściach bez nazwisk autorów.
W większości codziennych zastosowań dane osobowe są dodatkiem, który trafia do narzędzia tylko dlatego, że był w skopiowanym fragmencie. Usunięcie ich przed wklejeniem zajmuje kilka sekund i usuwa większą część problemu.
Czego nie robić
- Nie wklejaj eksportów z bazy klientów „żeby narzędzie miało kontekst”.
- Nie zakładaj, że dane znikają po zamknięciu okna. To zależy od usługi i planu.
- Nie rozstrzygaj tego sam, jeśli przetwarzasz dane osobowe w większej skali albo dane szczególnych kategorii.
- Nie odkładaj tematu do czasu, aż się wydarzy problem — po fakcie wybór możliwych działań jest znacznie węższy.
Rzecz najtańsza i najbardziej pomijana
Zapisz jedną zasadę dla zespołu zamiast prowadzić analizę przy każdym zadaniu. Jeśli domyślną praktyką jest usuwanie danych identyfikujących przed wprowadzeniem czegokolwiek, większość wątpliwości w ogóle nie powstaje — a te, które zostają, dotyczą rzeczywiście trudnych przypadków i wtedy warto zapytać specjalisty.
Jak to spisać, opisuję w tekście o polityce korzystania z AI w firmie, a szerzej o danych — w tekście o danych wprowadzanych do narzędzi.
Test wiedzy — sprawdź się
Odpowiedz w myślach, potem rozwiń odpowiedź. Na końcu policz trafienia.
1. Czym jest wprowadzenie danych osobowych do zewnętrznego narzędzia?
- Zwykłą operacją techniczną
- Przekazaniem danych innemu podmiotowi
- Czynnością bez znaczenia prawnego
Sprawdź odpowiedź
Przekazaniem danych innemu podmiotowi
To zmienia sytuację prawną i wymaga oceny specjalisty.
2. Co można zrobić bez żadnej analizy prawnej?
- Wszystko, jeśli narzędzie jest popularne
- Usuwać dane osobowe tam, gdzie nie są potrzebne do wyniku
- Poprosić klienta o zgodę ustną
Sprawdź odpowiedź
Usuwać dane osobowe tam, gdzie nie są potrzebne do wyniku
W większości zadań są dodatkiem ze skopiowanego fragmentu.
3. Czy analiza treści zapytania wymaga danych pytającego?
- Tak, dla kontekstu
- Nie
- Tak, przy klientach firmowych
Sprawdź odpowiedź
Nie
Imię, nazwisko i adres można pominąć bez wpływu na wynik.
4. Czy dane znikają po zamknięciu okna narzędzia?
- Zawsze
- To zależy od usługi i planu
- Nigdy
Sprawdź odpowiedź
To zależy od usługi i planu
Dlatego warunki trzeba sprawdzić, a nie zakładać.
5. Kiedy zwrócić się do specjalisty?
- Dopiero po wystąpieniu problemu
- Przed — zwłaszcza przy większej skali lub danych szczególnych kategorii
- Nigdy, przy małej firmie
Sprawdź odpowiedź
Przed — zwłaszcza przy większej skali lub danych szczególnych kategorii
Po fakcie wybór możliwych działań jest znacznie węższy.
Twój wynik
- 5 na 5 — Zostaje ustalić domyślną zasadę usuwania danych przed wprowadzeniem.
- 3–4 — Dobrze; najczęściej pomijane jest sprawdzenie warunków konkretnego planu.
- 0–2 — Zacznij od jednego: nie wklejaj niczego, co zawiera imiona i adresy.
Obieg, w którym dane osobowe nie trafiają tam, gdzie nie muszą
Przy wdrożeniach układam przepływ tak, żeby do narzędzi trafiała sama treść zadania, bez danych kontaktowych i identyfikujących. Wynik jest ten sam, a większość wątpliwości w ogóle nie powstaje.
Najczęstsze pytania
Czy można wprowadzać dane osobowe do narzędzi AI?
To przekazanie danych innemu podmiotowi, więc wymaga oceny podstawy przetwarzania i warunków współpracy — tę ocenę wykonuje prawnik lub specjalista od ochrony danych.
Co można zrobić bez analizy prawnej?
Usuwać dane osobowe wszędzie tam, gdzie nie są potrzebne do uzyskania wyniku — w większości zadań są jedynie dodatkiem ze skopiowanego fragmentu.
Czy dane znikają po zamknięciu okna?
To zależy od usługi i wybranego planu — warunki trzeba sprawdzić, a nie zakładać.
Kiedy skonsultować się ze specjalistą?
Przed wdrożeniem, zwłaszcza przy większej skali przetwarzania lub danych szczególnych kategorii.
