RODO i AI Act dla małej firmy: co musisz wiedzieć w 2024

Sztuczna inteligencja stała się narzędziem, z którego korzystają już małe firmy — w obsłudze klienta, sprzedaży czy administracji. Jednak od sierpnia 2024 roku przepisy unijne nałożyły na przedsiębiorców nowe obowiązki związane z wdrażaniem i użytkowaniem systemów AI, a kary za ich naruszenie są znacznie wyższe niż dotychczasowe sankcje za RODO.

Kiedy weszły w życie nowe przepisy o AI?

Unijny AI Act weszły w życie 2 sierpnia 2024 roku. Od tego momentu obowiązują wymogi zawarte w artykule 50 ustawy, które dotyczą przede wszystkim transparentności w stosowaniu sztucznej inteligencji. Przepisy nie czekają na kolejne etapy wdrażania — są już obowiązujące dla wszystkich firm operujących na terenie Unii Europejskiej, niezależnie od ich wielkości.

Co musisz informować swoich klientów?

Artykuł 50 AI Act narzuca obowiązek poinformowania odbiorców o kilku kluczowych kwestiach. Po pierwsze, jeśli treść została wygenerowana lub zmanipulowana przez sztuczną inteligencję, klient musi o tym wiedzieć. Po drugie, jeśli interakcja z Twoją firmą odbywa się przez chatbota, musisz to ujawnić. Po trzecie, jeśli system AI rozpoznaje emocje użytkownika, wymaga to również jawnego poinformowania.

Te wymogi dotyczą zarówno komunikacji z klientami, jak i wewnętrznych procesów, które mogą być widoczne dla pracowników lub partnerów biznesowych.

Jak przygotować się do wdrożenia narzędzia AI?

Przedsiębiorca powinien przeprowadzić analizę każdego zastosowania AI przed jego wdrożeniem. Proces ten powinien obejmować kilka etapów:

Identyfikacja danych osobowych. Drugie kluczowe ryzyko to określenie, jakie dane osobowe będą trafiać do systemu AI. Dane wrażliwe — takie jak informacje medyczne — wymagają szczególnej ostrożności i dodatkowych zabezpieczeń.

Ustalenie podstawy prawnej. Firma musi mieć formalną podstawę do przetwarzania danych, którymi będzie operować system AI. To wymóg RODO, ale w kontekście AI nabiera szczególnego znaczenia.

Umowa z dostawcą. Konieczna jest umowa powierzenia przetwarzania z dostawcą narzędzia AI. Dokument ten powinien jasno określać, jak dane będą obsługiwane i chronione.

Transfer danych poza Europę. Jeśli narzędzie AI przechowuje dane poza Europejskim Obszarem Gospodarczym, wymaga to dodatkowej analizy prawnej i odpowiednich gwarancji bezpieczeństwa.

Kontrola dostępu. Przedsiębiorca musi wiedzieć, kto ma dostęp do konta i danych w systemie AI. To dotyczy zarówno pracowników, jak i osób trzecich.

Jakie są szczególne wymogi dla HR i scoringu?

Zastosowanie AI w rekrutacji, ocenach pracowniczych lub scoringu klientów wiąże się z dodatkowymi obowiązkami. Pracownicy i kandydaci muszą mieć możliwość weryfikacji wyniku wydanego przez algorytm. Oznacza to, że nie możesz polegać wyłącznie na decyzji AI — musisz przewidzieć mechanizm, dzięki któremu osoba dotknięta decyzją może ją zakwestionować lub zrozumieć, jak została podjęta.

Czy pracownicy potrzebują szkolenia?

Tak. Pracownicy muszą być przeszkoleni w zakresie bezpiecznego użycia narzędzi AI. Szkolenie powinno obejmować nie tylko techniczną obsługę systemu, ale również świadomość ryzyk związanych z bezpieczeństwem danych i wymogami prawnymi.

Jakie kary grożą za naruszenia?

Kary za naruszenia przepisów AI Act są znacznie wyższe niż tradycyjne sankcje za RODO. Mogą sięgać do 15 milionów euro lub 3 procent rocznego obrotu firmy — w zależności od tego, która kwota jest wyższa. Dla małej firmy taka kara może być katastrofalna.

Jakie branże są najmniej przygotowane?

Branże e-commerce i rozrywki wykazują najmniejszą gotowość do spełnienia nowych wymogów. Firmy z tych sektorów powinny szczególnie uważnie przeanalizować swoje procesy i narzędzia AI.

Jak UODO wspiera małe firmy?

Urząd Ochrony Danych Osobowych przygotował poradnik dla małych i średnich przedsiębiorstw korzystających z narzędzi AI. Dodatkowo UODO opracował listę pytań inicjalnych, które każda firma powinna sobie postawić przed wdrożeniem sztucznej inteligencji. Te materiały są dostępne dla przedsiębiorców i stanowią praktyczną pomoc w procesie implementacji.

Co to oznacza dla Twojej firmy

Jeśli używasz chatbota, narzędzi do analizy danych klientów lub systemów wspomagających rekrutację, musisz teraz działać. Przede wszystkim: przejrzyj swoje obecne rozwiązania AI pod kątem wymogów transparentności. Sprawdź, czy informujesz klientów i pracowników o zastosowaniu sztucznej inteligencji. Po drugie, skontaktuj się z dostawcą każdego narzędzia i upewnij się, że istnieje umowa powierzenia przetwarzania oraz że dane nie są transferowane poza EOG bez odpowiednich gwarancji. Po trzecie, jeśli używasz AI w decyzjach dotyczących pracowników lub klientów, wdrożyj mechanizm weryfikacji wyników. Wreszcie, zaplanuj szkolenie zespołu.

Choć przepisy mogą wydawać się skomplikowane, wiele firm już je wdrożyło. Jak podkreśla się w branży, unijne wymogi są sensowne i często pokrywają się z praktykami, które odpowiedzialne firmy stosowały już wcześniej. Nie chodzi o krępowanie biznesu, lecz o ochronę danych i przejrzystość wobec użytkowników.

UODO przygotował materiały pomocnicze specjalnie dla przedsiębiorców. Warto z nich skorzystać, zanim wdrożysz kolejne narzędzie AI w swojej firmie.