Porady UODO dla sektora MŚP. Firmy powinny analizować użycie AI przed zakupem

Sektor MŚP powinien analizować użycie narzędzi AI jeszcze przed zakupem – radzi Urząd Ochrony Danych Osobowych. To tylko jedno z zaleceń, które powinny poznać firmy korzystające ze sztucznej inteligencji.

Urząd Ochrony Danych Osobowych opublikował poradnik, w którym znalazły się zalecenia dla firm z sektora małych i średnich przedsiębiorstw (MŚP) dotyczące zastosowania sztucznej inteligencji. Ich celem jest pomoc w ustaleniu, czy korzystanie z danego narzędzia AI nie narusza przepisów o ochronie danych osobowych. Chodzi o systemy, których firma nie trenuje na swoich danych.

UODO wskazuje, że jeszcze przed zakupem właściciel firmy lub osoba odpowiedzialna za wdrożenie narzędzia AI powinna przeanalizować zastosowania danego narzędzia AI. Jak wskazują eksperci, od tego zależy ryzyko. Będzie inne w przypadku użycia sztucznej inteligencji do przygotowywania działań marketingowych, a inne, gdy jest wykorzystywana do obsługi klientów czy rekrutacji.

Polecamy: Ministerstwo Cyfryzacji pracuje nad portalem polskiej piaskownicy AI

Analiza krok po kroku

Urząd radzi, by w pierwszej kolejności określić, jaki problem ma rozwiązać sztuczna inteligencja i czy jej użycie jest faktycznie potrzebne. Następnie należy ocenić korzyści i ryzyka związane z planowanym zastosowaniem AI.

W kolejnym kroku powinno się ustalić, jakie informacje będą trafiały do sztucznej inteligencji. Jeśli będą to dane osobowe, to jeszcze przed rozpoczęciem korzystania z narzędzia przedsiębiorca powinien ustalić podstawę prawną przetwarzania danych. Szczególnej ostrożności wymagają tzw. dane wrażliwe, czyli dotyczące m.in. zdrowia i dzieci. UODO przypomniał również o obowiązku poinformowania o tym fakcie wszystkich osób, których dane są przetwarzane z użyciem AI.

Firma powinna również wiedzieć, co dostawca narzędzia robi z przekazywanymi informacjami. Jeżeli dostawca przetwarza dane osobowe w imieniu przedsiębiorcy, konieczne może być zawarcie umowy powierzenia przetwarzania zgodnej z RODO – podkreśla UODO. Analizy wymagają też regulamin i polityka prywatności usługi, a także to, gdzie znajdują się serwery dostawcy i czy dane wprowadzane do narzędzia AI mogą być przekazywane poza Europejski Obszar Gospodarczy. Transfer danych poza EOG wymaga bowiem dodatkowej analizy prawnej i odpowiednich zabezpieczeń.

Według poradnika przedsiębiorca powinien wiedzieć, kto w firmie ma dostęp do konta i do danych wprowadzanych do narzędzia AI. Powinien też mieć plan działania w sytuacji, gdy dane wyciekną z narzędzia albo trafią do niewłaściwej osoby.

Według UODO przed wdrożeniem narzędzia AI trzeba też ustalić, czy może ono bezpośrednio wpływać na sytuację prawną ludzi – ocenę pracowników, rekrutację czy scoring klientów. Takie zastosowanie AI także nakłada dodatkowe obowiązki na firmę. Organizacja musi wtedy m.in. zapewnić rzeczywistą możliwość weryfikacji wyniku przez pracownika.

Przedsiębiorcy powinni też przygotować pracowników do korzystania z narzędzi AI, bo „ogranicza to ryzyko niewłaściwego użycia”. Powinni też stworzyć zasady dla pracowników, które określą, jakie informacje wolno wpisywać do rozwiązania AI, jakie zastosowania są dopuszczone przez firmę i jak postępować w przypadku błędnej odpowiedzi systemu lub podejrzenia wycieku danych.

Źródło: PAP