W praktyce największy problem nie zaczyna się od modelu AI, tylko od danych: imion, adresów e-mail, historii zgłoszeń, umów, transkryptów rozmów i innych materiałów, które pozwalają zidentyfikować osobę. Według UODO przed wdrożeniem narzędzia AI warto zadać zestaw pytań inicjalnych, ale nie zastępują one oceny ryzyka, DPIA ani analizy wpływu na prawa podstawowe.
Według UODO samo korzystanie z AI nie przesądza o naruszeniu prawa, ale wymaga sprawdzenia, czy system faktycznie przetwarza dane osobowe, kto jest administratorem, jaki jest cel przetwarzania i czy dostawca narzędzia nie wykracza poza uzgodniony zakres.
Według UODO i praktycznych przewodników wdrożeniowych punkt wyjścia jest prosty: trzeba zinwentaryzować dane wchodzące do systemu, wskazać podstawę prawną przetwarzania i ocenić, czy potrzebna jest DPIA. Jeśli system korzysta z danych pracowników, klientów albo kandydatów do pracy, ryzyko rośnie, bo łatwo przekroczyć zasadę minimalizacji danych i wprowadzić do narzędzia informacje zbędne dla celu biznesowego.
W artykułach UODO podkreślono też, że pytania kontrolne pomagają wykryć luki, ale nie zwalniają z obowiązku dokumentowania decyzji i wykazania zgodności z RODO. Z kolei według materiałów praktyków wdrożeniowych warto z góry ustalić procedurę realizacji praw osób, których dane dotyczą: dostępu, usunięcia, sprzeciwu i informacji o przetwarzaniu.
Zgodność z AI Act nie zastępuje RODO, a RODO nie zastępuje AI Act. To ważne zwłaszcza wtedy, gdy narzędzie AI służy do klasyfikacji zgłoszeń, analizy dokumentów, wsparcia HR albo automatyzacji obsługi klienta, bo wtedy równolegle trzeba pilnować zasad ochrony danych i obowiązków właściwych dla systemu AI.
W praktyce oznacza to trzy warstwy kontroli: po pierwsze, ograniczenie danych wejściowych do tego, co rzeczywiście potrzebne; po drugie, sprawdzenie umowy z dostawcą i zasad podpowierzania; po trzecie, aktualizację polityk prywatności i procedur wewnętrznych tak, by obejmowały użycie AI. Według UODO i źródeł branżowych szczególnie ryzykowne jest wprowadzanie danych do publicznych narzędzi bez zgody organizacji oraz bez sprawdzenia, gdzie trafiają dane i jak długo są przechowywane.
Lub System pomaga firmom B2B wdrażać AI, automatyzację i rozwiązania IT kompleksowo - od strategii po wdrożenie. Zobacz nasze usługi lub skontaktuj się z nami, aby omówić Twój przypadek.
Źródło: https://uodo.gov.pl/pl/138/4533