AI w pracy bez wycieku: anonimizacja nie wystarczy bez umowy z dostawcą

Przed wysłaniem polecenia do AI sprawdź, jakie informacje zawiera cała rozmowa i czy firma dopuściła dane narzędzie do pracy z nimi. Usunięcie nazwiska klienta nie wystarcza, gdy pozostałe szczegóły pozwalają go rozpoznać. Jeśli zewnętrzny dostawca przetwarza takie dane osobowe w imieniu firmy, firma musi zadbać również o warunki powierzenia, zwykle ujęte w umowie z dostawcą.

Gdy nie znasz zasad dla narzędzia albo nie potrafisz ocenić, czy dane są anonimowe, wstrzymaj wysyłkę. Możesz opisać zadanie na fikcyjnym przykładzie, o ile pozwoli to uzyskać użyteczną odpowiedź, albo zapytać osobę odpowiedzialną w firmie o zatwierdzony sposób pracy.

Co sprawdzić przed wysłaniem polecenia

Oceniaj wszystko, co zobaczy usługa: wpisany tekst, załączniki, obrazy i wcześniejsze wiadomości w tej samej rozmowie. Krótki fragment umowy może ujawnić klienta równie skutecznie jak cały plik, jeśli zawiera charakterystyczne warunki współpracy. Zanim użyjesz AI, przejdź przez następujące pytania w podanej kolejności:

1. Co przekazujesz? Ustal, czy w treści są dane osób, informacje klientów, tajemnica firmy, chroniony utwór albo kod produkcyjny. Zwróć szczególną uwagę na hasła, klucze dostępu i identyfikatory ukryte w kodzie lub załączniku.
2. Czy możesz zastąpić rzeczywiste dane? Przy prośbie o wzór pisma lub wyjaśnienie błędu często wystarczy wymyślona sytuacja. Zmień także kontekst, jeśli sama nazwa projektu, nietypowa kwota lub opis zdarzenia mogłyby wskazać konkretną osobę.
3. Czy narzędzie jest dopuszczone do tej kategorii informacji? Sprawdź firmowe zasady, właściwe konto i zakres dozwolonych zadań. Zatwierdzenie usługi do pracy z informacjami publicznymi nie oznacza automatycznie zgody na przesyłanie danych klientów.
4. Czy masz pewność co do odpowiedzi? Jeśli klasyfikacja danych lub uprawnienie do użycia narzędzia pozostają niejasne, zatrzymaj się i skorzystaj z firmowego kanału konsultacji.

Rządowy poradnik o zagrożeniach AI odradza wpisywanie do ogólnych narzędzi danych osobowych, wizerunków, tajemnicy handlowej, chronionych utworów oraz kodu produkcyjnego, zwłaszcza zawierającego dane dostępowe. Zaleca też przestrzeganie zasad używania konkretnych narzędzi określonych przez pracodawcę. Publiczna dostępność materiału nie daje jeszcze pewności, że wolno wykorzystać go w każdym celu.

Kiedy usunięcie nazwiska nie wystarcza

O anonimowości decyduje możliwość rozpoznania osoby, a nie sama liczba usuniętych pól. W warunkowym przykładzie wiadomość bez imienia i nazwiska nadal może wskazywać klienta przez połączenie stanowiska, miejscowości, daty zdarzenia i rzadkiego problemu. Zastąpienie nazwiska inicjałami lub numerem sprawy może jedynie utrudnić identyfikację, zwłaszcza gdy odbiorca ma dostęp do innych informacji.

Osobno trzeba oceniać dane wpisywane do polecenia i dane, na których uczono model. Wskazówki UODO dotyczące modeli AI wyjaśniają, że model uczony na danych osobowych nie staje się automatycznie anonimowy: znaczenie ma to, czy informacje o osobach można z niego uzyskać środkami, których użycie jest racjonalnie prawdopodobne. Podobna ostrożność przy przygotowaniu polecenia oznacza sprawdzenie pozostałego kontekstu, a nie tylko zamazanie bezpośrednich identyfikatorów.

Jeśli prawdziwe szczegóły sprawy są niezbędne, pracownik nie powinien samodzielnie uznawać szybkiej zamiany nazwisk za wystarczającą anonimizację. Potrzebuje potwierdzenia, że firma dopuściła narzędzie do przetwarzania tej kategorii danych na określonych warunkach.

Jak rozpoznać właściwe narzędzie firmowe

Popularna nazwa usługi ani płatny abonament nie dowodzą, że konkretne konto wolno wykorzystać do sprawy klienta. Sprawdź adres i sposób logowania podane przez pracodawcę, dozwolone kategorie danych oraz reguły dotyczące załączników, historii rozmów, przechowywania treści i wykorzystywania ich do ulepszania usługi. Jeżeli firma udostępnia kilka wersji produktu, zasady jednej wersji mogą nie obejmować pozostałych.

Gdy dostawca działa jako podmiot przetwarzający dane osobowe w imieniu firmy, to firma ocenia jego zabezpieczenia i zapewnia podstawę powierzenia przed rozpoczęciem takiej pracy. Poradnik UODO o obowiązkach administratora opisuje wymóg odpowiednich gwarancji po stronie podmiotu przetwarzającego oraz rolę umowy lub innego instrumentu prawnego, również przy obsłudze naruszeń. Akceptacja regulaminu na prywatnym koncie pracownika nie zastępuje tej oceny.

Umowa powierzenia dotyczy przetwarzania danych osobowych w imieniu administratora. Jeżeli informacje zostały rzeczywiście zanonimizowane tak, że osoby nie można już zidentyfikować, samo użycie tych informacji nie tworzy obowiązku powierzenia danych osobowych. Nadal mogą obowiązywać zasady poufności firmy, ograniczenia dotyczące materiałów klienta i prawa autorskie. Rozstrzygnięcie, jaką rolę pełni dostawca oraz co wolno przesłać, należy do firmy.

Co zrobić z odpowiedzią AI

Przed wykorzystaniem wyniku sprawdź fakty, obliczenia, cytaty i odwołania do przepisów w materiałach właściwych dla zadania. Przekonujący ton odpowiedzi nie świadczy o jej poprawności. Ma to znaczenie zwłaszcza wtedy, gdy treść ma trafić do klienta, dokumentacji lub kodu produkcyjnego.

Sprawdź również, czy odpowiedź nie odtwarza informacji z polecenia, które nie powinny wyjść poza zespół. Wynik dotyczący wewnętrznej sprawy wymaga tej samej uwagi przy wyborze odbiorców co dane użyte do jego przygotowania. Zatwierdzenie narzędzia określa warunki korzystania z usługi; nie przesądza o poprawności ani o możliwości dalszego udostępnienia wygenerowanej treści.

Co zrobić po przypadkowym ujawnieniu danych

Przerwij pracę w danej rozmowie i niezwłocznie zgłoś zdarzenie kanałem wskazanym przez firmę. Nie wysyłaj kolejnych poleceń z tymi samymi informacjami w ramach próby naprawy. Usunięcie rozmowy z własnego widoku nie daje pewności, co stało się z treścią po stronie dostawcy.

1. Zachowaj informacje potrzebne do odtworzenia zdarzenia: czas, nazwę usługi, rodzaj konta, zakres przesłanej treści lub pliku oraz dostępny identyfikator rozmowy. Postępuj zgodnie z firmową procedurą; nie kopiuj poufnych danych do kolejnego, niezatwierdzonego miejsca.
2. Powiadom osobę lub zespół odpowiedzialny za incydenty. Jeśli w treści były hasła albo klucze dostępu, wskaż to od razu, aby można było ograniczyć możliwość ich użycia.
3. Przekaż, czy treść dotyczy danych osobowych, tajemnicy firmy, kodu lub materiałów klienta, kogo może dotyczyć i czy została gdzieś dalej udostępniona. Uzupełnij zgłoszenie, gdy pojawią się nowe ustalenia.

Firma ocenia, czy doszło do naruszenia ochrony danych osobowych, jakie ryzyko powstało dla osób i czy potrzebne są działania wobec dostawcy lub formalne zawiadomienia. Sam pracownik nie musi rozstrzygać tych kwestii przed zgłoszeniem. Szybka informacja o tym, co rzeczywiście wysłano i gdzie, daje zespołowi reagowania podstawę do podjęcia decyzji.

Przeczytaj także:

• Dzień bez spotkań nie wystarczy: asynchroniczna praca potrzebuje zasad
• E-mail jest w wycieku? Samo „pwned” nie mówi, które hasło zmienić
• Skrzynka e-Doręczeń nie działa po samym wniosku — potrzebna jest aktywacja