Bezpieczeństwo danych przy wdrożeniach AI: co ustalić przed startem
Najczęstsze pytanie na audytach nie dotyczy technologii, tylko danych: gdzie będą przetwarzane, kto ma do nich dostęp i co z RODO. Słusznie — te decyzje trzeba podjąć przed pilotem, nie po nim. Poniżej lista rzeczy, które ustalamy z każdą firmą, zanim agent dotknie pierwszego rekordu.
- Dane mogą zostać w Twojej infrastrukturze lub w wybranym regionie UE — to decyzja, nie kompromis.
- Agent dostaje minimalny zakres dostępu potrzebny do jednego procesu, a każde działanie jest logowane.
- Bezpieczeństwo ustala się przed pilotem: region, umowa powierzenia, role i zasady eskalacji.
Gdzie fizycznie są Twoje dane
Pierwsza decyzja to region przetwarzania. Do wyboru są dwa modele: dane zostają w Twojej infrastrukturze, a na zewnątrz wychodzą tylko zanonimizowane fragmenty potrzebne modelowi — albo całość działa w chmurze, w wybranym regionie UE, u dostawcy z odpowiednimi certyfikacjami. Oba modele stosujemy w praktyce; wybór zależy od branży i wymagań Twojego działu prawnego.
Ważny szczegół, o który warto pytać każdego dostawcę: czy Twoje dane są używane do trenowania modeli. W konfiguracjach biznesowych, z których korzystamy, nie są — i to zapis, który powinien znaleźć się w umowie, nie tylko w rozmowie handlowej.
Minimalny zakres dostępu agenta
Agent nie potrzebuje dostępu „do wszystkiego”. Potrzebuje dokładnie tych danych, które obsługują jeden proces: skrzynki zgłoszeń, wybranych tabel ERP, konkretnego folderu dokumentów. Zakres definiujemy na poziomie ról i uprawnień — tych samych mechanizmów, którymi zarządzasz dostępami ludzi.
Do tego dochodzą granice działania: co agent może zrobić sam, co wymaga akceptacji, a czego nie robi nigdy. Przykład z wdrożeń: agent może wysłać potwierdzenie zwrotu do 5 000 zł, powyżej — przygotowuje szkic i eskaluje do człowieka. Te reguły spisujemy z zespołem w pierwszym tygodniu.
Logowanie i audyt działań
Każde działanie agenta zostawia ślad: co przeczytał, jak sklasyfikował sprawę, skąd wziął dane i co wysłał. Pełną historię decyzji widzisz w jednym miejscu — to warunek zaufania do systemu i wymóg przy ewentualnej kontroli. Logi są też podstawą comiesięcznego przeglądu jakości: sprawdzamy próbkę spraw i korygujemy reguły.
Checklista przed startem
Region przetwarzania. Własna infrastruktura albo wskazany region UE — potwierdzony w umowie z dostawcą modelu i w Twojej dokumentacji RODO.
Umowa powierzenia (DPA). Kto jest administratorem, kto procesorem, jakie kategorie danych obejmuje proces i jak długo są przechowywane.
Role i zakres dostępu. Lista systemów i danych, do których agent ma dostęp, z uprawnieniami ograniczonymi do jednego procesu.
Granice i eskalacje. Spisane reguły: co agent robi sam, co wymaga akceptacji, jak wygląda ścieżka eskalacji i kto przegląda logi.
Wszystkie cztery punkty da się zamknąć w tygodniu audytu — równolegle z liczeniem oszczędności. Dzięki temu pilot startuje z gotowymi zasadami, a dział prawny dostaje komplet dokumentów zamiast obietnic.
Najczęstsze pytania
Czy nasze dane trenują modele AI?
Nie. W konfiguracjach biznesowych, z których korzystamy, dane firmowe nie są używane do trenowania modeli — a odpowiedni zapis trafia do umowy z dostawcą.
Czy AI może działać w pełni w naszej infrastrukturze?
Tak. Część wdrożeń działa on-premise lub w prywatnej chmurze firmy — na zewnątrz nie wychodzą wtedy żadne dane albo wyłącznie zanonimizowane fragmenty. To wariant dla branż o podwyższonych wymaganiach.
Jak wdrożenie AI ma się do RODO?
Tak samo jak każde inne powierzenie przetwarzania: potrzebna jest umowa DPA, określenie kategorii danych, podstawa prawna i rejestr czynności. Komplet dokumentów przygotowujemy podczas audytu, przed startem pilota.