Väčšina firiem, ktoré mi povedia „my AI zatiaľ nepoužívame", ju používa. Nie oficiálne — používajú ju jednotliví ľudia, zo súkromných účtov, na pracovné veci. Volá sa to tieňová AI a vzniká úplne prirodzene: zamestnanec má termín, nástroj mu ušetrí hodinu a nikto mu nepovedal, že nesmie. Otázka teda neznie, či AI vo firme je. Znie, či o nej viete a pod akými pravidlami beží.
Čo sa s vloženými dátami naozaj deje
Odpoveď závisí od toho, aký účet sa použije, a práve tento rozdiel väčšina ľudí nepozná:
- Bezplatné a spotrebiteľské účty spravidla umožňujú poskytovateľovi používať vstupy na zlepšovanie modelov, pokiaľ to používateľ výslovne nevypne. Z pohľadu firmy je to odovzdanie údajov tretej strane bez akejkoľvek zmluvy.
- Firemné a API účty to mávajú opačne — dáta sa na trénovanie nepoužívajú a poskytovateľ ponúka spracovateľskú zmluvu. Nie je to však automatické; je to zmluvná podmienka, ktorú si treba prečítať a podpísať.
Druhá vec, na ktorú sa zabúda, je uchovávanie. Aj keď sa dáta netrénujú, obvykle sa istý čas ukladajú kvôli zneužitiu a podpore. Ak vkladáte údaje klientov, tento čas je súčasťou vašej evidencie spracovateľských činností.
Kedy je z toho povinnosť podľa GDPR
V momente, keď do AI služby vložíte osobný údaj — meno zákazníka, e-mail v prepisovanom texte, životopis uchádzača, fotku — stávate sa prevádzkovateľom, ktorý použil sprostredkovateľa. Z toho plynú tri konkrétne veci:
- Spracovateľská zmluva podľa čl. 28 GDPR. Bez nej je spracúvanie v rozpore s nariadením bez ohľadu na to, ako dobre je služba zabezpečená.
- Vysporiadaný prenos do tretej krajiny podľa čl. 44 a nasl., ak poskytovateľ spracúva mimo EÚ. Väčšina veľkých poskytovateľov to rieši štandardnými zmluvnými doložkami alebo ponúka spracúvanie v EÚ — treba to však vedieť a mať doložené.
- Zápis do evidencie spracovateľských činností a doplnenie do informácie pre dotknuté osoby. Ak zákazníkom tvrdíte, že ich dáta odovzdávate iba účtovníkovi a hostingu, a pritom ich vkladáte do AI nástroja, informácia nie je pravdivá.
Štyri kategórie, ktoré tam nepatria nikdy
Aj keď máte podpísané všetko, časť dát sa do externej služby jednoducho neposiela. Toto je zoznam, ktorý dávam klientom a ktorý nemá výnimky:
- Prístupové údaje. Heslá, API kľúče, certifikáty, obsah konfiguračných súborov. Vkladanie „len na chvíľu, nech mi to skontroluje" je najčastejší spôsob, akým kľúč unikne.
- Osobitné kategórie údajov. Zdravotné údaje, údaje o odboroch, biometria. Riziko je neúmerné akémukoľvek ušetrenému času.
- Cudzie obchodné tajomstvo. Podklady klienta, ktoré ste dostali pod mlčanlivosťou. Rozhodnutie o ich odoslaní nie je vaše.
- Neanonymizované osobné údaje vo veľkom. Export databázy zákazníkov „na analýzu" je iná vec než jedno meno v e-maile.
Pri všetkom ostatnom pomáha jednoduchý reflex: pred vložením si predstavte, že text bude o rok zverejnený. Ak vám to prekáža, nevkladajte ho.
Politika, ktorá sa zmestí na jednu stranu
Dvadsaťstranová smernica skončí v zdieľanom priečinku a nikto ju neotvorí. Funguje jedna strana s piatimi bodmi:
- Ktoré nástroje sú povolené — menovite, s odkazom na firemný účet. Všetko ostatné je zakázané, vrátane súkromných účtov na pracovné veci.
- Čo sa nevkladá — štyri kategórie vyššie, vypísané konkrétne.
- Kto výstup kontroluje. Za text, kód aj číslo, ktoré odíde z firmy, zodpovedá človek, ktorý ho odoslal. AI nie je autor ani schvaľovateľ.
- Čo robiť pri omyle. Jasná adresa, kam sa hlási vloženie niečoho, čo tam nemalo byť — bez sankcie za nahlásenie. Nenahlásený incident je vždy drahší.
- Kto politiku aktualizuje a ako často. Stačí raz za pol roka, ale s menom.
K tomu patrí jedna technická vec: firemné účty zriaďte skôr, než zákaz vyhlásite. Zákaz bez alternatívy tieňovú AI neodstráni, iba ju posunie hlbšie do tieňa.
Ako to súvisí so zvyškom bezpečnosti
AI politika nie je samostatná disciplína, je to ďalšia položka v tom istom zozname ako správa prístupov, aktualizácie a zálohy. Firmám, ktoré spadajú pod novú reguláciu kybernetickej bezpečnosti, sa navyše premieta priamo do povinných opatrení — súvislosti rozoberám v článku NIS2 a novela zákona o kybernetickej bezpečnosti.
Ak zatiaľ nemáte pokrytý ani základ, začnite checklistom zabezpečenia pre malé firmy a technickú časť si nechajte skontrolovať cez nástroje na zabezpečenie webu.
Prvé tri kroky
Zistite, čo sa vo firme používa — stačí opýtať sa bez hrozby sankcie. Zriaďte jeden firemný účet so spracovateľskou zmluvou a vypnutým trénovaním. Rozpošlite jednostranovú politiku a doplňte AI nástroj do evidencie spracúvaní. To je práca na dva dni a odstráni väčšinu rizika.
Ak potrebujete pomoc s technickou časťou alebo s posúdením, ktoré procesy sa dajú napojiť bezpečne, ozvite sa.