ChatGPT a dane osobowe

RODO ma zastosowanie zawsze wtedy, gdy dochodzi do przetwarzania danych osobowych. Oznacza to, że jeżeli użytkownik wpisuje do ChatGPT informacje pozwalające na identyfikację konkretnej osoby, może dojść do przetwarzania danych osobowych.

Przykładami takich danych mogą być:
– imię i nazwisko,
– adres e-mail,
– numer telefonu,
– numer PESEL,
– dane dotyczące zdrowia,
– informacje o pracownikach,
– dane klientów lub kontrahentów.

W praktyce kopiowanie do ChatGPT całych wiadomości e-mail, umów lub dokumentacji medycznej może prowadzić do naruszenia RODO.

Należy przy tym pamiętać, że definicja danych osobowych zawarta w RODO ma bardzo szeroki charakter. Danymi osobowymi nie są wyłącznie oczywiste identyfikatory, takie jak imię i nazwisko czy numer PESEL. Za dane osobowe mogą zostać uznane również inne informacje dotyczące osoby fizycznej, jeżeli samodzielnie lub w połączeniu z innymi dostępnymi informacjami umożliwiają jej identyfikację. Mogą to być również dane finansowe. Do tej kategorii zaliczają się także informacje o zatrudnieniu, stanowisku, lokalizacji lub sytuacji rodzinnej. Ocena, czy dana informacja stanowi dane osobowe, nie zawsze jest prosta. Należy uwzględnić wszystkie dostępne informacje, a nie tylko pojedynczą daną.

Czy można korzystać z ChatGPT w firmie?

Tak, jednak korzystanie z narzędzi opartych na sztucznej inteligencji powinno odbywać się zgodnie z przyjętymi zasadami bezpieczeństwa.

Przedsiębiorca powinien przede wszystkim:
– określić zasady korzystania z narzędzi AI,
– przeszkolić pracowników,
– ograniczyć przekazywanie danych osobowych do minimum,
– stosować anonimizację lub pseudonimizację danych,
– przeprowadzić analizę ryzyka,
– zweryfikować warunki świadczenia usług przez dostawcę narzędzia.

W wielu przypadkach możliwe jest wykorzystanie ChatGPT bez przekazywania jakichkolwiek danych osobowych. Przykładowo można prosić o przygotowanie wzoru dokumentu, analizę przepisów czy stworzenie treści marketingowych bez wskazywania konkretnych osób.

Największe ryzyko – dane wprowadzane przez użytkownika

Wbrew obiegowej opinii największym zagrożeniem nie jest samo istnienie ChatGPT, lecz sposób jego wykorzystywania.

Bardzo często pracownicy w dobrej wierze kopiują do narzędzia:
– dokumenty klientów,
– reklamacje,
– CV kandydatów do pracy,
– dokumentację medyczną,
– korespondencję biznesową.

Takie działanie może prowadzić do nieuprawnionego udostępnienia danych osobowych, szczególnie jeżeli organizacja nie wdrożyła odpowiednich procedur i nie określiła zasad korzystania z narzędzi opartych na sztucznej inteligencji.

Jak korzystać z ChatGPT zgodnie z RODO?

Jeżeli organizacja chce bezpiecznie korzystać z AI, warto stosować kilka podstawowych zasad:

1. Nie wpisuj danych osobowych!
Najlepszym rozwiązaniem jest całkowite usuwanie identyfikatorów osób przed przekazaniem treści do analizy.

2. Wdrażaj procedury AI
Pracownicy powinni wiedzieć, jakie informacje mogą być przetwarzane przy użyciu narzędzi opartych na sztucznej inteligencji.

3. Szkol personel
Wiele naruszeń ochrony danych wynika nie z awarii systemów, lecz z błędów ludzkich.

4. Analizuj ryzyko
Przed wdrożeniem AI należy przeprowadzić ocenę wpływu oraz analizę ryzyka dla ochrony danych osobowych.

5. Monitoruj wykorzystanie narzędzi AI
Organizacja powinna wiedzieć, które narzędzia są wykorzystywane przez pracowników i do jakich celów.

Czy po usunięciu danych osobowych mogę przekazać dokument do ChatGPT?

Co do zasady usunięcie danych osobowych znacząco ogranicza ryzyko związane z ochroną danych osobowych i może sprawić, że przekazanie treści do ChatGPT nie będzie wiązało się z przetwarzaniem danych osobowych w rozumieniu RODO. Nie oznacza to jednak, że po anonimizacji można bezrefleksyjnie przekazywać do narzędzia dowolne dokumenty.

Należy pamiętać, że usunięcie imion, nazwisk i numerów identyfikacyjnych nie zawsze wystarcza. Dokument może nadal zawierać informacje pozwalające na identyfikację osoby. Dodatkowo konieczna jest ocena, czy przekazywane treści nie zawierają informacji objętych tajemnicą przedsiębiorstwa, tajemnicą zawodową lub innymi obowiązkami poufności.

Przed wykorzystaniem sztucznej inteligencji warto każdorazowo ocenić, czy zakres przekazywanych informacji jest rzeczywiście niezbędny do realizacji zamierzonego celu.

ChatGPT a tajemnica przedsiębiorstwa

W praktyce przedsiębiorcy często skupiają się wyłącznie na kwestiach związanych z RODO, zapominając o ochronie informacji stanowiących tajemnicę przedsiębiorstwa. Tymczasem do ChatGPT nie powinny trafiać poufne informacje dotyczące strategii biznesowej, planowanych inwestycji, niepublicznych danych finansowych, kodów źródłowych, analiz rynkowych, baz klientów czy szczegółów negocjowanych umów.

Nawet jeżeli przekazywane treści nie zawierają danych osobowych, mogą przedstawiać znaczną wartość gospodarczą dla przedsiębiorstwa. Dlatego organizacje powinny wdrożyć jasne zasady korzystania z AI. Pracownicy muszą wiedzieć, jakie informacje można przekazywać do takich narzędzi. Powinni również wiedzieć, które dane muszą pozostać wyłącznie w wewnętrznym obiegu firmy.

ChatGPT wciąż potrafi „halucynować” – dlaczego weryfikacja jest niezbędna?

Pomimo dynamicznego rozwoju systemów sztucznej inteligencji, zjawisko tzw. halucynacji AI nadal występuje. Oznacza to, że model może generować odpowiedzi brzmiące wiarygodnie. Jednocześnie odpowiedzi te mogą zawierać błędy, nieaktualne informacje lub nieistniejące źródła.

Z tego względu treści przygotowane przez ChatGPT powinny być traktowane jako materiał pomocniczy, a nie gotowy produkt wymagający jedynie skopiowania. Dotyczy to w szczególności dokumentów prawnych, analiz zgodności, materiałów szkoleniowych, opinii oraz treści publikowanych w imieniu organizacji.

Niezależnie od jakości wykorzystywanego modelu AI, niezbędna pozostaje każdorazowa weryfikacja wygenerowanych materiałów przez człowieka posiadającego odpowiednią wiedzę i kompetencje. W praktyce to użytkownik, a nie system sztucznej inteligencji, ponosi odpowiedzialność za wykorzystanie przygotowanych treści.

Podsumowanie

ChatGPT nie jest z definicji niezgodny z RODO. Jego wykorzystanie wymaga jednak zachowania ostrożności.
Przed przekazaniem informacji do ChatGPT należy sprawdzić, czy nie zawierają danych osobowych. Warto również ocenić, czy nie są objęte tajemnicą przedsiębiorstwa lub innymi obowiązkami poufności.

Należy pamiętać, że sztuczna inteligencja nadal może popełniać błędy. Zdarza się, że generowane odpowiedzi zawierają nieścisłości lub nieaktualne informacje. Z tego powodu każda treść przygotowana przez AI powinna zostać zweryfikowana przez człowieka.

Dobrze wdrożone narzędzia AI mogą znacząco usprawnić pracę organizacji. Kluczowe znaczenie mają jednak odpowiednie procedury, szkolenia pracowników oraz świadome zarządzanie ryzykiem.

To nie samo narzędzie stanowi największe wyzwanie. Największe znaczenie ma sposób jego wykorzystania przez użytkowników.

Chcesz bezpiecznie i zgodnie z RODO wdrożyć AI w swojej organizacji?
Skontaktuj się z nami i sprawdź, jak wykorzystać potencjał sztucznej inteligencji bez zbędnego ryzyka.

#ChatGPT #RODO #AI #SztucznaInteligencja #OchronaDanychOsobowych #Compliance #BezpieczeństwoDanych #Cyberbezpieczeństwo #InspektorOchronyDanych #Przedsiębiorca #Biznes #NoweTechnologie