Sześć pytań do każdego dostawcy AI, zanim powierzysz mu dane klientów

Wiele przedsiębiorstw waha się przed wdrożeniem AI z obawy o ochronę danych – i często jest to uzasadnione. Dobra wiadomość: nie trzeba być prawnikiem, aby rozpoznać rzetelnego dostawcę. Oto sześć pytań, które należy zadać każdemu dostawcy, zanim przekaże mu się jakiekolwiek dane klientów. Unikanie bezpośrednich odpowiedzi to również jasny sygnał.

1. „Czy podpisujemy umowę powierzenia przetwarzania danych (DPA)?”

Zgodnie z art. 28 RODO niezbędna jest umowa, w której dostawca zobowiązuje się do przetwarzania danych wyłącznie na Państwa polecenie. Bez takiej umowy przekazywanie danych klientów jest niedopuszczalne.

2. „Gdzie przechowywane są dane i jakie podmioty trzecie biorą w tym udział?”

Warto zapytać o lokalizację centrów danych oraz podwykonawców (podprocesorów). Przechowywanie danych na terenie UE znacznie upraszcza kwestie prawne.

3. „Czy moje dane są wykorzystywane do trenowania modeli?”

Jedyna prawidłowa odpowiedź brzmi: nie. Dane Państwa klientów należą do Państwa, a nie do modelu zewnętrznego dostawcy.

4. „Czy AI ma dostęp do większej ilości informacji niż pracownik zadający pytanie?”

To często pomijana kwestia. Sztuczna inteligencja posiadająca nieograniczony dostęp może przypadkowo ujawnić współpracownikom poufne informacje, do których nie powinni mieć wglądu – np. z prywatnych skrzynek pocztowych czy osobistych kalendarzy. Odpowiedzi generowane przez AI muszą podlegać dokładnie takim samym uprawnieniom, jak zapytania człowieka.

5. „Jakie działania AI może podejmować autonomicznie i czy można to zmienić?”

Dla każdego zadania powinna istnieć możliwość konfiguracji: czy AI jedynie sugeruje rozwiązanie, działa po zatwierdzeniu, czy wykonuje pracę w pełni autonomicznie – z opcją cofnięcia uprawnień w dowolnym momencie.

6. „Czy każde działanie systemu jest w pełni audytowalne?”

Szczegółowy rejestr zdarzeń (logi) dokumentujący, co, kiedy i dlaczego AI zrobiła, stanowi podstawę kontroli oraz realizacji wniosków o udostępnienie danych.

A jak wygląda sytuacja poza Unią Europejską?

W Wielkiej Brytanii obowiązuje UK GDPR oparty na zbliżonych zasadach, w USA m.in. przepisy stanowe, takie jak California Consumer Privacy Act (CCPA), a w Kanadzie ustawa PIPEDA. Powyższe sześć pytań stanowi solidny punkt wyjścia na każdym rynku. Nie zastępują one jednak profesjonalnej porady prawnej.