Rosnące wykorzystanie AI w firmach sprawia, że compliance przestaje być abstrakcyjną „polityką bezpieczeństwa”, a staje się bardzo konkretnym zestawem decyzji: jakie narzędzia dopuścić, jakie dane im powierzyć i jak udokumentować zgodność z RODO oraz AI Act. Dla działów compliance to praktyczny projekt transformacji, nie tylko prawny obowiązek.
Pierwszym realnym krokiem jest stworzenie pełnego rejestru narzędzi AI używanych w organizacji - zarówno oficjalnie wdrożonych, jak i „shadow AI” wykorzystywanego oddolnie przez pracowników.
1. Zbierz informacje o wszystkich systemach: CRM z funkcjami AI, platformy rekrutacyjne, chatboty, narzędzia do generowania treści, agentów AI wspierających procesy back-office.
2. Dla każdego narzędzia określ rolę firmy w rozumieniu AI Act: dostawca, użytkownik (podmiot stosujący), importer, dystrybutor lub producent produktu z komponentem AI.
3. Wstępnie klasyfikuj poziom ryzyka: systemy wysokiego ryzyka (np. AI w rekrutacji, ocenie pracowników, scoringu klientów), systemy podlegające obowiązkom przejrzystości (chatboty, generatywne treści) oraz narzędzia o minimalnym ryzyku.
Taka mapa stanowi punkt wyjścia do dalszych działań compliance: pozwala zidentyfikować obszary, w których łączą się ryzyka RODO (przetwarzanie danych osobowych) i AI Act (ryzyko systemu, obowiązki transparentności, nadzoru człowieka).
Bezpieczeństwo AI w firmie w praktyce rozgrywa się na poziomie danych wprowadzanych przez pracowników do modeli.
1. Określ, jakie kategorie danych osobowych wolno wprowadzać do danego narzędzia, a jakie są zakazane (np. dane wrażliwe, dane klientów poza EOG, informacje objęte tajemnicą przedsiębiorstwa).
2. Zwróć uwagę na lokalizację przetwarzania: regulatorzy coraz bardziej wymagają, aby dane klientów z UE nie opuszczały Europejskiego Obszaru Gospodarczego na etapie ekstrakcji i transformacji, szczególnie w narzędziach automatyzujących dokumenty i wykorzystujących AI.
3. Dla rozwiązań automatycznego podejmowania decyzji (ADM) z istotnymi skutkami prawnymi lub biznesowymi zapewnij przejrzystość, możliwość wyjaśnienia decyzji i poprawność danych jako minimalny standard zgodności.
Dział compliance powinien przełożyć te zasady na krótkie, zrozumiałe wytyczne operacyjne dla zespołów: co wolno kopiować do ChatGPT czy agentów AI, jak anonimizować dane, jak oznaczać treści generowane przez AI.
AI Act i RODO wymagają nie tylko zgodnego korzystania z AI, ale także wykazania, że organizacja podejmuje odpowiednie działania.
1. Utwórz rejestr systemów AI z opisem zastosowania, rodzaju przetwarzanych danych osobowych, klasy ryzyka oraz odpowiedzialnych właścicieli biznesowych.
2. Opracuj procedurę oceny ryzyka AI: od analizy wpływu na prawa osób, przez testy przejrzystości, po wymagania nadzoru człowieka w decyzjach wysokiego ryzyka.
3. Zweryfikuj umowy z dostawcami AI pod kątem odpowiedzialności za output, praw do treści generowanych przez AI, lokalizacji danych, zgodności z AI Act i RODO.
4. Zadbaj o cykliczne szkolenia łączące AI Act, RODO i praktyczną higienę danych - od 2025 r. przepisy AI Act wprost wymagają zapewnienia odpowiedniego poziomu wiedzy i kompetencji osób korzystających z AI.
5. Wdroż procedury zgłaszania incydentów związanych z AI oraz ich dokumentowania, szczególnie w systemach wysokiego ryzyka.
Spójny program AI compliance łączący RODO i AI Act daje firmie dwie kluczowe korzyści: istotne ograniczenie ryzyka kar (do 35 mln euro lub 7% globalnych obrotów w przypadku naruszeń AI Act) oraz możliwość bezpiecznego skalowania wykorzystania AI w procesach biznesowych. Organizacje, które zbudują rejestr systemów AI, mapę ryzyka danych i udokumentowane procedury nadzoru człowieka, będą w stanie szybciej wdrażać nowe narzędzia przy zachowaniu akceptowalnego poziomu ryzyka - co bezpośrednio przekłada się na przewagę konkurencyjną.
- 1. Czy każda firma korzystająca z AI podlega AI Act? Tak - jeśli działasz w UE i korzystasz z narzędzi zawierających komponent AI (np. CRM, chatbot, platforma rekrutacyjna), przepisy AI Act będą miały zastosowanie, choć zakres obowiązków zależy od klasy ryzyka systemu.
- 2. Jak odróżnić system AI wysokiego ryzyka od „zwykłego” narzędzia? Kluczowe jest to, czy system AI wpływa na prawa lub sytuację ludzi w obszarach takich jak zatrudnienie, edukacja, dostęp do usług finansowych; takie zastosowania są zwykle klasyfikowane jako wysokiego ryzyka i wymagają szczegółowej oceny zgodności i dokumentacji.
- 3. Czy wystarczy mieć politykę korzystania z AI, żeby być zgodnym z RODO i AI Act? Nie - potrzebne są także rejestr systemów, procedury oceny ryzyka, nadzór człowieka, weryfikacja dostawców i realne szkolenia pracowników, które łączą wymogi prawne z praktycznymi zasadami pracy z danymi.
- 4. Jak podejść do „shadow AI” w organizacji? Najpierw należy je zinwentaryzować, następnie ocenić ryzyka prawne i techniczne oraz zdecydować, które narzędzia można zalegalizować i objąć politykami, a które trzeba zablokować ze względu na brak zgodności z RODO lub AI Act.