RODO i dane
Dane osobowe w narzędziach AI, podstawa prawna, ocena skutków i umowy powierzenia.
RODO nie zabrania używania AI. Wymaga natomiast, żeby dało się powiedzieć, skąd wzięliście dane, po co je przetwarzacie i co się z nimi dzieje po drodze — a to trzy pytania, na które nowe narzędzie zwykle nie ma jeszcze odpowiedzi w momencie zakupu.
Najwięcej problemów nie powstaje przy wdrożeniu, tylko trzy miesiące później: ktoś wkleja plik do narzędzia, którego nie ma w rejestrze, dostawca zmienia podprocesora, a integracja zaczyna wysyłać więcej, niż uzgodniono.
Częsty argument
„Zanonimizowaliśmy dane, więc RODO nas nie dotyczy.”
Jak jest
Anonimizacja kończy sprawę tylko wtedy, gdy jest nieodwracalna — także po połączeniu z tym, co druga strona już ma. Zwykle to, co firmy nazywają anonimizacją, jest pseudonimizacją, a ta nie wyprowadza danych spoza RODO.
Pytania, które słyszę najczęściej
- ? Na jakiej podstawie prawnej wrzucamy dane klientów do tego narzędzia?
- ? Potrzebna jest ocena skutków, czy wystarczy analiza ryzyka?
- ? Czy dostawca może trenować model na naszych danych?
- ? Co robimy, gdy dostawca zmieni podprocesora bez pytania?