Wdrożenie sztucznej inteligencji w firmie – jak ograniczyć ryzyko prawne?

Narzędzia wykorzystujące sztuczną inteligencję coraz częściej wspierają obsługę klientów, analizę dokumentów, rekrutację, marketing i tworzenie oprogramowania. Ich wdrożenie może usprawnić pracę zespołu, ale jednocześnie prowadzić do przetwarzania danych osobowych, ujawnienia poufnych informacji lub korzystania z treści objętych prawami autorskimi.

Bezpieczne wykorzystanie AI wymaga czegoś więcej niż zakupu licencji i udostępnienia aplikacji pracownikom. Firma powinna ustalić, jakie narzędzia są używane, do jakich celów oraz jakie dane trafiają do zewnętrznych dostawców. Dopiero na tej podstawie można dobrać właściwe zabezpieczenia organizacyjne, techniczne i umowne.

Pierwszym krokiem powinno być przygotowanie wykazu systemów wykorzystywanych w przedsiębiorstwie. Należy uwzględnić zarówno rozwiązania kupione przez firmę, jak i ogólnodostępne aplikacje, z których pracownicy zaczęli korzystać samodzielnie.

Przy każdym narzędziu trzeba określić jego dostawcę, miejsce przetwarzania danych, zakres funkcji oraz rodzaj wprowadzanych informacji. Istotne jest również ustalenie, czy aplikacja jedynie generuje podpowiedzi, czy automatycznie podejmuje działania wpływające na klientów, kandydatów lub pracowników.

Taka inwentaryzacja pozwala wykryć nieautoryzowane wykorzystanie AI i ustalić, które wdrożenia wymagają pogłębionej analizy. Szczególnej uwagi potrzebują systemy pracujące na danych osobowych, tajemnicy przedsiębiorstwa i dokumentach klientów.

AI Act opiera obowiązki na roli pełnionej przez dany podmiot oraz poziomie ryzyka konkretnego systemu. Firma może być użytkownikiem gotowego rozwiązania, ale w określonych sytuacjach może także zostać uznana za dostawcę, importera lub dystrybutora.

Znaczenie ma sposób wdrożenia technologii. Zakup standardowej aplikacji do redagowania tekstów zwykle wiąże się z innymi obowiązkami niż stworzenie własnego systemu, jego istotna modyfikacja albo oferowanie rozwiązania klientom pod marką przedsiębiorstwa.

Unijny akt o sztucznej inteligencji wszedł w życie 1 sierpnia 2024 roku, a jego wymagania są stosowane etapami. Oznacza to, że przedsiębiorstwa powinny śledzić harmonogram regulacji oraz ewentualne zmiany terminów dotyczących poszczególnych kategorii systemów.

Pracownicy często wykorzystują modele językowe do streszczania dokumentów, redagowania wiadomości i analizowania treści. Bez odpowiednich zasad mogą jednak wprowadzić do narzędzia dane klientów, warunki negocjowanych umów, kod źródłowy lub informacje finansowe.

Firma powinna jednoznacznie wskazać, które dane mogą być przetwarzane w zatwierdzonych systemach. Przed rozpoczęciem korzystania z usługi należy sprawdzić między innymi warunki dostawcy, zasady przechowywania treści oraz możliwość używania przekazanych informacji do rozwijania modeli.

Wewnętrzna polityka może określać:

• dozwolone narzędzia, dopuszczalne zastosowania, rodzaje danych objętych zakazem wprowadzania, wymagany poziom anonimizacji, zasady weryfikowania wyników, sposób zgłaszania incydentów oraz odpowiedzialność za zatwierdzanie nowych systemów.

  Reklama

Sama instrukcja nie będzie skuteczna bez szkolenia zespołu. Pracownicy powinni rozumieć, dlaczego nawet pozornie niewinny fragment dokumentu może ujawniać dane osobowe lub poufne informacje biznesowe.

Jeżeli narzędzie przetwarza dane osobowe, trzeba ustalić podstawę prawną, zakres danych i role podmiotów uczestniczących w procesie. Należy również ocenić, czy dostawca działa jako podmiot przetwarzający, niezależny administrator czy współadministrator.

Znaczenie mają miejsce przechowywania informacji, ewentualne transfery poza Europejski Obszar Gospodarczy oraz możliwość realizowania praw osób, których dane dotyczą. Przy procesach mogących powodować wysokie ryzyko konieczne może być przeprowadzenie oceny skutków dla ochrony danych.

Europejska Rada Ochrony Danych wskazuje, że rozwój i wykorzystywanie modeli AI powinny pozostawać zgodne z zasadami RODO, w tym z wymaganiami dotyczącymi podstawy prawnej, anonimowości danych i odpowiedzialności administratora.

Treści wygenerowane przez system nie powinny być automatycznie traktowane jako w pełni bezpieczne do komercyjnego wykorzystania. Rezultat może przypominać istniejący utwór, zawierać fragment kodu objęty licencją albo opierać się na materiale, do którego firma nie posiada odpowiednich praw.

Przed publikacją należy przeprowadzić kontrolę merytoryczną i prawną. Dotyczy to szczególnie materiałów reklamowych, grafik, kodu źródłowego, dokumentacji technicznej oraz treści sprzedawanych klientom jako rezultat pracy przedsiębiorstwa.

Umowy z pracownikami i podwykonawcami powinny wyjaśniać, czy mogą oni korzystać z AI, na jakich zasadach oraz kto odpowiada za weryfikację rezultatu. Warto także ustalić, czy klient powinien zostać poinformowany o wykorzystaniu narzędzi automatycznych przy realizacji zlecenia.

Łochowski.Legal świadczy pomoc prawną dla firm technologicznych i organizacji korzystających z rozwiązań cyfrowych. Zakres praktyki obejmuje między innymi umowy IT, wdrożenia sztucznej inteligencji, ochronę danych, cyberbezpieczeństwo, usługi chmurowe oraz obsługę e-commerce.

Przedsiębiorstwo planujące wykorzystanie nowych systemów może skonsultować projekt z prawnik nowe technologie. Analiza prawna pozwala ocenić model działania narzędzia, przepływy danych, warunki umowne i obowiązki stron przed uruchomieniem rozwiązania w całej organizacji.

Łochowski.Legal wspiera także działy prawne spółek IT, analizuje kontrakty dotyczące ERP, WMS i SaaS oraz prowadzi audyty umów i usług chmurowych. Takie podejście umożliwia połączenie wymagań prawnych z technicznymi oraz biznesowymi uwarunkowaniami wdrożenia.

Umowa powinna precyzyjnie określać funkcje rozwiązania, zasady dostępności i odpowiedzialność za awarie. Ogólny opis usługi może okazać się niewystarczający, gdy system wspiera procesy istotne dla działalności firmy.

Należy ustalić, kto odpowiada za legalność danych wejściowych, sposób wykorzystywania informacji oraz zabezpieczenie infrastruktury. Ważne są także zasady korzystania z rezultatów, możliwość audytu, podwykonawcy dostawcy i warunki zakończenia współpracy.

Przy rozwiązaniach zależnych od zewnętrznego modelu trzeba uwzględnić ryzyko jego zmiany, ograniczenia funkcji lub wycofania usługi. Firma powinna posiadać możliwość odzyskania danych i kontynuowania kluczowych procesów bez nadmiernego uzależnienia od jednego dostawcy.

Systemy generatywne mogą tworzyć odpowiedzi brzmiące wiarygodnie, mimo że zawierają błędy lub nieaktualne informacje. Dlatego rezultat powinien zostać zweryfikowany przed wykorzystaniem w decyzji, dokumencie, komunikacji z klientem lub publikacji.

Zakres kontroli musi odpowiadać skutkom możliwego błędu. Innego nadzoru wymaga propozycja wewnętrznego tekstu, a innego rekomendacja wpływająca na zatrudnienie, dostęp do usługi lub sytuację finansową osoby.

Firma powinna wyznaczyć właściciela procesu, który odpowiada za jakość danych wejściowych, ocenę wyników i reagowanie na nieprawidłowości. Nie należy przypisywać odpowiedzialności samemu narzędziu, ponieważ o jego użyciu i sposobie zastosowania decyduje organizacja.

Incydent może polegać na ujawnieniu poufnych danych, wygenerowaniu szkodliwej treści, podjęciu błędnej decyzji albo wykorzystaniu systemu niezgodnie z wewnętrzną polityką. Procedura powinna umożliwiać szybkie zatrzymanie procesu i zabezpieczenie dowodów.

Należy ustalić, kto przyjmuje zgłoszenie, ocenia jego skutki oraz kontaktuje się z dostawcą technologii. W zależności od zdarzenia konieczne może być zaangażowanie działu bezpieczeństwa, inspektora ochrony danych, zespołu prawnego lub zarządu.

Po zakończeniu analizy warto zaktualizować zabezpieczenia i instrukcje. Incydent często ujawnia problem organizacyjny, którego usunięcie pozwala uniknąć podobnych zdarzeń w przyszłości.

Czy każda firma korzystająca z AI podlega AI Act?

Zakres obowiązków zależy od roli przedsiębiorstwa, rodzaju systemu i sposobu jego wykorzystania. Samo używanie popularnego narzędzia nie oznacza automatycznie spełniania wymagań przewidzianych dla dostawcy systemu wysokiego ryzyka.

Czy pracownik może wprowadzić dokument klienta do modelu językowego?

Powinien robić to wyłącznie wtedy, gdy firma zatwierdziła narzędzie i określiła zasady przetwarzania takich informacji. W przeciwnym razie może dojść do naruszenia poufności, umowy lub przepisów o ochronie danych.

Czy treść wygenerowana przez AI może zostać opublikowana bez kontroli?

Nie jest to zalecane. Materiał może zawierać błędy, nieprawdziwe informacje lub elementy naruszające prawa osób trzecich. Przed publikacją powinien zostać sprawdzony przez kompetentną osobę.

Czy potrzebna jest osobna polityka korzystania ze sztucznej inteligencji?

W wielu organizacjach jest to uzasadnione. Dokument pozwala określić zatwierdzone systemy, zakazane zastosowania, odpowiedzialność pracowników oraz zasady ochrony danych i informacji poufnych.

Kiedy warto przeprowadzić audyt prawny systemu AI?

Najlepiej przed uruchomieniem narzędzia na szeroką skalę, zwłaszcza gdy wpływa ono na klientów, pracowników lub istotne decyzje biznesowe. Audyt warto powtórzyć po zmianie funkcji, dostawcy albo sposobu wykorzystywania danych.

Prawidłowe wdrożenie AI powinno łączyć analizę technologiczną z kontrolą danych, umów i procesów decyzyjnych. Jasne zasady korzystania z narzędzi oraz odpowiedzialność konkretnych osób pomagają rozwijać innowacje bez niekontrolowanego zwiększania ryzyka prawnego.

Artykuł sponsorowany