Lista kontrolna dla dostawcy
Zapytaj każdego dostawcę AI o następujące kwestie:
- Czy istnieje umowa o przetwarzanie danych zgodnie z artykułem 28 RODO?
- Gdzie przechowywane są dane i jacy podpowierzchowni procesorzy danych istnieją?
- Czy dane klientów są wykorzystywane do trenowania modeli AI?
- Jak chronione są dane uwierzytelniające i pola poufne?
- Kto w zespole widzi co i czy można to ustawić dla każdej osoby?
- Czy jest rejestrowane, co zrobiła sztuczna inteligencja?
Prawa dostępu: sztuczna inteligencja nie może pokazywać więcej niż człowiek
Często pomijany punkt: sztuczna inteligencja, która wie wszystko, może przypadkowo przekazać informacje osobom, które nie powinny mieć do nich dostępu. Dlatego odpowiedzi sztucznej inteligencji muszą podlegać tym samym prawom, co osoba zadająca pytanie. Osobiste zadania, prywatne kalendarze i cudze skrzynki pocztowe nie powinny znaleźć się w odpowiedzi dla współpracowników.
Co dodatkowo wymaga unijna ustawa o sztucznej inteligencji
Od lutego 2025 r. firmy korzystające ze sztucznej inteligencji muszą zapewnić wystarczające kompetencje w zakresie AI swoim pracownikom (artykuł 4). Osoby komunikujące się z ludźmi za pośrednictwem sztucznej inteligencji muszą to ujawnić (artykuł 50). W przypadku systemów wysokiego ryzyka obowiązuje skuteczny nadzór ludzki (artykuł 14).
Wielka Brytania, USA i Kanada
W Wielkiej Brytanii obowiązuje brytyjska wersja RODO z bardzo podobnymi zasadami. W USA nie ma jednolitego prawa federalnego, ale istnieją prawa stanowe, takie jak California Consumer Privacy Act. W Kanadzie PIPEDA reguluje postępowanie z danymi osobowymi w sektorze prywatnym. Powyższa lista kontrolna jest dobrym punktem wyjścia wszędzie.
Kto co robi?
AIRIS przygotowuje
- Przechowywanie danych w UE: Baza danych znajduje się we Frankfurcie, pliki w centrach danych w UE. Dane klientów nie są wykorzystywane do trenowania modeli AI.
- Prawa obowiązują również dla AIRIS: AIRIS pokazuje każdemu tylko to, co sam może zobaczyć. Zadania i kalendarze są osobiste, skrzynki pocztowe należą do jednej konkretnej firmy.
- Protokół i zatwierdzenia: To, co robi AIRIS, jest rejestrowane. Jak samodzielnie pracuje, określacie Państwo dla każdego zadania.
- Kompetencje w zakresie AI zgodnie z unijną ustawą o sztucznej inteligencji: Szkolenia z certyfikatem dla Państwa zespołu.
Państwo decydują
- Jakie dane w ogóle trafiają do systemu AI, decyduje firma, a nie dostawca.
- Szczególne kategorie, takie jak dane dotyczące zdrowia, wymagają odrębnej oceny.
- Niniejszy poradnik nie zastępuje porady prawnej.
