Wdrożenia AI w firmie. Ważne ostrzeżenia UODO

Według UODO firma powinna analizować osobno każde zastosowanie danego systemu. Inne ryzyko wiąże się bowiem z użyciem AI do tworzenia treści marketingowych, a inne z wykorzystaniem go do rekrutacji, oceny pracowników czy obsługi klientów.

Pierwszym pytaniem powinno być więc: czy AI rzeczywiście jest potrzebne i jaki problem ma rozwiązać?

Następnie firma powinna ustalić, jakie informacje będą trafiały do systemu. Szczególnie istotne jest to wtedy, gdy pracownicy mogą wpisywać dane klientów, kandydatów do pracy, pracowników lub kontrahentów. Jeszcze większej ostrożności wymagają dane wrażliwe, np. dotyczące zdrowia.

Jeżeli do narzędzia trafiają dane osobowe, przedsiębiorca musi ustalić podstawę prawną ich przetwarzania oraz spełnić obowiązki informacyjne wynikające z RODO.

Co dostawca AI robi z danymi?

UODO zwraca uwagę, że przed wdrożeniem przedsiębiorca powinien wiedzieć, co dzieje się z informacjami przekazywanymi dostawcy AI.

Chodzi m.in. o to, czy dane są wykorzystywane do trenowania lub ulepszania modeli, jak długo są przechowywane, komu mogą być udostępniane oraz gdzie znajdują się serwery.

Jeżeli dane trafiają poza Europejski Obszar Gospodarczy, konieczna może być dodatkowa analiza prawna i zastosowanie odpowiednich zabezpieczeń.

Znaczenie mają również regulamin usługi, polityka prywatności oraz umowa z dostawcą. W niektórych przypadkach konieczne będzie zawarcie umowy powierzenia przetwarzania danych zgodnej z RODO.

AI nie może decydować bez kontroli

Dodatkowe obowiązki pojawiają się, gdy system AI może wpływać na sytuację konkretnej osoby – np. podczas rekrutacji, oceny pracownika lub scoringu klienta.

UODO wskazuje, że w takich przypadkach organizacja powinna zapewnić możliwość rzeczywistej weryfikacji wyniku wygenerowanego przez system przez człowieka.

Firmy powinny również określić zasady korzystania z AI przez pracowników – jakie dane można wprowadzać do systemu, do czego można go używać oraz jak reagować na błędne odpowiedzi lub podejrzenie wycieku informacji.

Urząd zaleca także szkolenie użytkowników. Jeśli przedsiębiorca nie jest w stanie odpowiedzieć na istotne pytania dotyczące działania systemu – np. nie wie, gdzie przechowywane są dane – powinien wyjaśnić tę kwestię przed wdrożeniem.

Według UODO już więcej niż trzy negatywne odpowiedzi na pytania zawarte w przygotowanej przez urząd liście kontrolnej powinny być sygnałem, że przed uruchomieniem rozwiązania warto skonsultować się ze specjalistą.

Źródło: PAP/UODO