Narzędzie AI zachęca do wklejenia całego problemu: „przeanalizuj tę listę”, „odpisz tej osobie”, „sprawdź umowę”. Z punktu widzenia ochrony danych trzeba jednak najpierw zadać inne pytanie: czy do wykonania tego zadania model naprawdę potrzebuje danych konkretnej osoby?

Usuń identyfikatory, jeśli nie są potrzebne

Jeżeli AI ma pomóc poprawić treść pisma, zwykle nie potrzebuje imienia, nazwiska, adresu, telefonu i numeru rachunku. Można zastąpić je oznaczeniami „uczestnik”, „kontrahent”, „członek zarządu”. To prosta forma minimalizacji danych.

Szczególnie ostrożnie z danymi o zdrowiu

Informacje o alergiach, chorobach, niepełnosprawności czy innych kwestiach zdrowotnych należą do szczególnych kategorii danych. Nie należy przeklejać list diet uczestników razem z imionami do zewnętrznego narzędzia tylko po to, by AI policzyło liczbę posiłków. Wystarczy zestawienie anonimowe.

Dokumenty mogą zawierać więcej danych, niż widać na pierwszy rzut oka

Umowa, faktura, protokół albo skan pisma może zawierać podpis, PESEL, adres, e-mail lub dane bankowe. Przed przesłaniem dokumentu trzeba go przejrzeć i ocenić, czy informacje są konieczne do celu analizy.

Sprawdź zasady konkretnej usługi

Różne narzędzia AI mogą inaczej przetwarzać i przechowywać dane. UODO podkreśla potrzebę oceny zgodności rozwiązania z zasadami RODO przed wdrożeniem. Koło powinno wiedzieć, z jakiego konta i w jakim wariancie usługi korzysta.

Nie używaj AI do podejmowania ważnych decyzji o osobie

Model może pomóc uporządkować kryteria, ale decyzje o członkostwie, wykluczeniu, przyznaniu świadczenia czy ocenie konkretnej osoby nie powinny być automatycznie delegowane do narzędzia generatywnego.

Przygotuj prostą zasadę dla zarządu

  • nie wklejamy PESEL, skanów dokumentów i danych bankowych;
  • anonimizujemy listy uczestników;
  • dane o zdrowiu pozostają poza publicznym narzędziem AI;
  • usuwamy podpisy i dane kontaktowe z dokumentów przed analizą;
  • sprawdzamy wynik i nie traktujemy go jako decyzji urzędu lub eksperta.

AI można wykorzystywać bez danych osobowych

Większość przydatnych zadań KGW – pomysły na posty, harmonogram wydarzenia, propozycja programu szkolenia, checklista wyjazdu czy korekta anonimowego tekstu – w ogóle nie wymaga przekazywania informacji o konkretnych osobach.

Najbezpieczniejsza zasada brzmi: jeśli model nie musi wiedzieć, kto jest opisywaną osobą, nie podawaj tej informacji.

Anonimizacja musi być rzeczywista

Samo usunięcie imienia nie zawsze wystarczy. Opis „jedyna 92-letnia mieszkanka naszej wsi, która...” może nadal jednoznacznie wskazywać osobę. Przed użyciem AI trzeba spojrzeć na cały kontekst i usunąć informacje pozwalające łatwo zidentyfikować człowieka.

Wprowadź prosty podział danych

KGW może przyjąć trzy poziomy: dane publiczne, dane wewnętrzne oraz dane wrażliwe/ściśle ograniczone. Do publicznych narzędzi AI trafiają tylko treści publiczne lub odpowiednio zanonimizowane. Taki podział jest łatwiejszy do stosowania niż długa instrukcja prawna.