Firmy nie muszą rezygnować z AI, ale muszą wdrażać je tak, by równolegle spełniać wymagania RODO i AI Act. RODO chroni dane osobowe, a AI Act reguluje same systemy AI - dlatego każde użycie czatu, asystenta lub modelu analitycznego trzeba oceniać pod kątem obu reżimów naraz.
W praktyce największym ryzykiem nie jest sam model, lecz brak kontroli nad tym, gdzie pracownicy wklejają dane. Dlatego pierwszym krokiem powinna być inwentaryzacja wszystkich narzędzi AI używanych w firmie, także prywatnych kont i testowych integracji.
Warto od razu rozdzielić zastosowania na dwa poziomy: zwykłe, takie jak tworzenie tekstów czy analiza dokumentów, oraz wrażliwe, na przykład rekrutacja, ocena pracowników lub decyzje wobec klientów. Te drugie wymagają szczególnej uwagi, bo mogą podpadać pod obszary wysokiego ryzyka wskazywane przez AI Act.
Jeśli do narzędzia trafiają dane osobowe, firma musi mieć podstawę prawną ich przetwarzania i zadbać o minimalizację danych, zgodnie z RODO. W praktyce oznacza to, że nie należy przekazywać do publicznych narzędzi pełnych baz klientów, numerów identyfikacyjnych ani danych pracowniczych bez wyraźnej potrzeby.
Dla rozwiązań biznesowych kluczowe są też umowy z dostawcami. Źródła podkreślają, że warto korzystać z kont firmowych lub API oraz akceptować umowy powierzenia danych tam, gdzie dostawca przetwarza dane w imieniu firmy. To ważne zwłaszcza wtedy, gdy AI wspiera obsługę klienta, sprzedaż lub HR.
AI Act nakłada obowiązki niezależnie od tego, czy system przetwarza dane osobowe. Wśród praktycznych wymogów pojawiają się m.in. klasyfikacja zastosowania, dokumentacja, przejrzystość wobec użytkownika oraz nadzór człowieka nad systemem.
Dla firm oznacza to potrzebę prostych procedur: polityki dozwolonych narzędzi, zasad anonimizacji, wskazania osoby odpowiedzialnej oraz instrukcji zgłaszania incydentów. Jeśli organizacja używa chatbotów lub generuje treści syntetyczne, potrzebny jest także komunikat dla użytkownika albo oznaczenie materiału, jeśli wymaga tego scenariusz użycia.
Największą korzyścią biznesową jest ograniczenie ryzyka prawnego i operacyjnego, zanim projekt AI wejdzie do produkcji. Dobrze przygotowany compliance skraca czas akceptacji nowych narzędzi, porządkuje współpracę z dostawcami i ułatwia audyt wewnętrzny.
1. Czy każda firma używająca AI podlega RODO? Tak, jeśli w procesie pojawiają się dane osobowe klientów, pracowników lub kontrahentów.
2. Czy można korzystać z ogólnodostępnych chatbotów? Tak, ale nie powinno się wklejać do nich wrażliwych danych ani danych osobowych bez podstawy prawnej i kontroli umownej.
3. Czy AI Act dotyczy tylko dużych firm? Nie, obowiązki zależą od zastosowania i ryzyka, a nie od wielkości organizacji.
4. Od czego zacząć wdrożenie compliance dla AI? Od inwentaryzacji narzędzi, klasyfikacji zastosowań i sprawdzenia, gdzie trafiają dane osobowe.