Co dzieje się z danymi naszej firmy przy wdrożeniu AI?

Projektujemy wdrożenia tak, żeby dane firmy nie wyciekały do zewnętrznych modeli i nie były wykorzystywane do ich trenowania. Przed wyborem dostawcy sprawdzamy umowy licencyjne i dokumentację techniczną pod kątem tego, gdzie dane są przetwarzane i przechowywane, a granice przetwarzania danych ustalamy jawnie na etapie projektu — nie po wdrożeniu.

Co AI Act oznacza dla mojej firmy?

AI Act dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka — niedopuszczalne, wysokie, ograniczone i minimalne — i z każdym wiąże inne obowiązki. Większość firmowych zastosowań (czatboty, rekomendacje, filtry treści) mieści się w kategorii ograniczonego ryzyka, gdzie kluczowym obowiązkiem jest poinformowanie użytkownika, że ma do czynienia z AI. Systemy rekrutacyjne, scoring kredytowy czy rozwiązania w ochronie zdrowia są klasyfikowane jako wysokiego ryzyka i wymagają zarządzania ryzykiem, nadzoru człowieka i udokumentowanej jakości danych.

Czy wdrożenie AI musi być zgodne z RODO?

Tak — jeśli system AI przetwarza dane osobowe, obowiązują wszystkie wymogi RODO, w tym zabezpieczenia techniczne, ocena skutków dla ochrony danych (DPIA) tam, gdzie jest wymagana, oraz klauzule powierzenia przetwarzania w umowie z dostawcą. Zgodność ustalamy na etapie projektowania wdrożenia, a nie po jego uruchomieniu. Nie jesteśmy kancelarią prawną — przy wdrożeniach o podwyższonym ryzyku rekomendujemy równoległą konsultację prawną.

AI Act w praktyce — 4 poziomy ryzyka i obowiązki firm

W skrócie

AI Act dzieli systemy sztucznej inteligencji na cztery poziomy ryzyka — niedopuszczalne, wysokie, ograniczone i minimalne — i z każdym wiąże inne obowiązki. Większość firmowych zastosowań mieści się w kategorii ograniczonego ryzyka, gdzie podstawowym wymogiem jest poinformowanie użytkownika, że rozmawia z AI.

W ubiegłym roku Krajowa Izba Radców Prawnych opublikowała kompleksowy dokument, w którym przedstawiła praktyczne wskazówki i rekomendacje dla radców prawnych korzystających z narzędzi sztucznej inteligencji. Choć adresatem porad są prawnicy, wiele zawartych w nim zasad doskonale przekłada się na realia każdego przedsiębiorstwa planującego wdrożyć AI.

Poziomy ryzyka według Aktu o AI

Akt o AI wprowadza czterostopniowy podział systemów sztucznej inteligencji w oparciu o potencjalne ryzyko dla użytkowników i społeczeństwa. Każdy poziom nakłada inne wymagania prawne i organizacyjne.

1. Systemy AI niedopuszczalnego ryzyka

Systemy, których użycie jest zakazane. Obejmują technologie manipulacji i inwigilacji, takie jak: scoring społeczny wykorzystywany w miejscach pracy czy szkołach, systemy do rozpoznawania emocji w edukacji i zatrudnieniu, techniki maskowania czy „deepfake" w kontekście oszustw.

2. Systemy AI wysokiego ryzyka

Systemy mogące zagrażać zdrowiu, bezpieczeństwu lub prawom podstawowym. Wymagają wdrożenia systemu zarządzania ryzykiem i kontroli jakości danych treningowych, zapewnienia przejrzystości działania i nadzoru człowieka, spełnienia wysokich standardów dokładności, solidności i cyberbezpieczeństwa.

Przykłady: systemy w opiece zdrowotnej, autonomiczne pojazdy, narzędzia rekrutacyjne, ocena ryzyka kredytowego.

3. Systemy AI ograniczonego ryzyka

Technologie o ograniczonym wpływie, wymagające minimalnej przejrzystości. Użytkownik musi być poinformowany, że ma do czynienia z AI. Przykłady: czatboty obsługi klienta, systemy rekomendacji produktów, filtry treści.

4. Systemy AI minimalnego ryzyka

Technologie o praktycznie zerowym ryzyku, które nie wymagają dodatkowych regulacji ani środków ostrożności. Obejmują większość codziennych zastosowań AI, np. antyspamowe filtry poczty czy podstawowe funkcje autokorekty w edytorach tekstu.

Kluczowe rekomendacje wynikające z AI ACT:

1. Świadomy wybór narzędzi i dostawców

– Zanim zdecydujemy się na konkretne rozwiązanie AI, należy jasno określić cele jego użycia: czy ma wspierać obsługę klienta, analizę danych czy automatyzację procesów? – Konieczne jest sprawdzenie umów licencyjnych i dokumentacji technicznej: czy dostawca nie wykorzystuje danych klientów do trenowania własnych modeli? Jak chroni poufność i gdzie przechowuje dane?

2. Zarządzanie ryzykiem i zgodność z przepisami

– Firmy muszą ocenić, czy przetwarzanie danych osobowych za pomocą AI spełnia wymogi RODO (m.in. zabezpieczenia techniczne, oceny skutków DPIA, klauzule powierzenia). – Warto opracować wewnętrzne procedury pozwalające na identyfikację i reakcję na incydenty związane z AI (np. wycieki danych czy nieprawidłowe decyzje modelu).

3. Transparentność i komunikacja

– Podobnie jak prawnicy informują klientów o wykorzystaniu AI, firmy powinny zadbać o przejrzystość: wewnętrzną (szkolenia, instrukcje dla pracowników) i zewnętrzną (wskazanie partnerom lub klientom, kiedy korzystamy z algorytmów AI). – Wypracowanie standardowych klauzul informacyjnych i wzorców zgód usprawni komunikację i obniży ryzyko nieporozumień.

4. Kompetencje i kultura organizacyjna

– AI to nie tylko technologia, ale też proces wdrożeniowy. Konieczne są regularne szkolenia oraz dokumentacja najlepszych praktyk (np. biblioteka gotowych promptów, wzory scenariuszy automatyzacji). – Wyznaczenie osób odpowiedzialnych za ocenę nowych rozwiązań AI oraz ciągłe monitorowanie rynku pozwoli firmie być na bieżąco z trendami.

5. Integracja i skalowalność

– Firmy powinny zidentyfikować, w których systemach (CRM, ERP, BI) warto osadzić funkcje AI i sprawdzić dostępność API lub wtyczek. – Rozważenie architektury fine-tuningowanej—czy potrzebujemy gotowego modelu, czy dostosowanego do specyfiki danych wewnętrznych—wpłynie na koszty i efektywność wdrożenia.

6. Model ciągłego doskonalenia

– Technologia AI dynamicznie się rozwija, a regulacje prawne i standardy bezpieczeństwa się zmieniają. Wdrożenie regularnych przeglądów stosowanych narzędzi, aktualizacji policy compliance oraz wewnętrznych instrukcji („AI compliance") pozwoli firmie utrzymać wysoki poziom zaufania i zgodności.

AI ACT czyli europejska próba okiełznania AI