Przejdź do treści

Retencja danych i umowa powierzenia (DPA) w narzędziach AI

Definicja

Retencja danych

Retencja danych to czas, przez jaki dostawca narzędzia AI przechowuje rozmowy, pliki i wyniki.

Umowa powierzenia (DPA)

DPA (Data Processing Agreement, po polsku umowa powierzenia przetwarzania danych osobowych) to umowa, w której dostawca zobowiązuje się przetwarzać dane osobowe w imieniu organizacji i na jej zasadach, zgodnie z art. 28 RODO.

Plany indywidualne i firmowe

Duzi dostawcy zwykle rozróżniają plany indywidualne (konsumenckie) i firmowe:

  • w planach firmowych domyślnie nie trenują modeli na danych klienta i oferują DPA,
  • w planach indywidualnych zasady są inne i mogą się zmieniać, dlatego trzeba je sprawdzać przed każdym wdrożeniem.

Co to w zasadzie jest?

  • Plan indywidualny to umowa z Tobą jako osobą. Plan firmowy to umowa z organizacją, z DPA i panelem administracyjnym.
  • Przykład z 2025 roku: Anthropic wprowadziło w planach Free, Pro i Max wybór, czy rozmowy mogą służyć do trenowania modeli. Przy zgodzie dane są przechowywane do 5 lat, bez zgody 30 dni. Plany firmowe, edukacyjne, rządowe i API nie są tym objęte.
  • OpenAI deklaruje, że w ChatGPT Business, Enterprise i API domyślnie nie trenuje na danych klientów i zawiera DPA. W planach indywidualnych trenowanie można wyłączyć w ustawieniach.
  • Brak DPA oznacza, że organizacja nie powinna wprowadzać do narzędzia danych osobowych, za które odpowiada.

Praktyczne zastosowania (konkretne scenariusze)

Scenariusz 1: Pracownicy używają prywatnych kont AI

  • Cel: uporządkować sytuację, w której ludzie i tak korzystają z AI.
  • Wejście: lista narzędzi, z których korzysta zespół.
  • Kroki: sprawdzenie planów i warunków → decyzja o planie firmowym albo zasadzie „bez danych osobowych i poufnych” → komunikat dla zespołu.
  • Rezultat: jasne zasady zamiast shadow AI.
  • Zabezpieczenie: decyzja IOD i działu IT.

Scenariusz 2: Wybór narzędzia do pracy na dokumentach klientów

  • Cel: bezpieczna analiza dokumentów z danymi osobowymi.
  • Wejście: 2-3 narzędzia do porównania.
  • Kroki: sprawdź: DPA, miejsce przetwarzania danych, retencję, trenowanie modeli, podwykonawców, panel administratora.
  • Rezultat: tabela porównawcza do decyzji.
  • Zabezpieczenie: akceptacja IOD, wpis do rejestru narzędzi (AI inventory).

Scenariusz 3: Szkolenie z AI w urzędzie

  • Cel: uczestnicy wiedzą, czego nie wpisywać do narzędzi.
  • Wejście: lista narzędzi dopuszczonych w urzędzie.
  • Kroki: krótkie omówienie różnic między planami → ćwiczenia na danych zanonimizowanych lub syntetycznych.
  • Rezultat: świadome korzystanie z narzędzi.
  • Zabezpieczenie: polityka AI urzędu.

Typowe błędy i pułapki

  • Założenie, że płatny plan indywidualny daje te same gwarancje co plan firmowy.
  • Wyłączenie trenowania i uznanie, że problem danych osobowych zniknął: dane nadal są przetwarzane i przechowywane.
  • Brak sprawdzenia, kto po stronie dostawcy jest podwykonawcą i gdzie przetwarza dane.
  • Jednorazowa analiza warunków: dostawcy je zmieniają.
  • Podejmowanie decyzji bez IOD.

Ryzyka i jak je ograniczać

Ryzyko 1: Przetwarzanie danych bez podstawy

  • Ryzyko: dane osobowe trafiają do dostawcy bez umowy powierzenia.
  • Jak ograniczać: plan z DPA albo zakaz wprowadzania danych osobowych.

Ryzyko 2: Nieznana retencja

  • Ryzyko: dane są przechowywane dłużej, niż zakłada organizacja.
  • Jak ograniczać: sprawdzenie ustawień retencji, polityka usuwania rozmów.

Ryzyko 3: Zmiana warunków

  • Ryzyko: dostawca zmienia zasady po wdrożeniu.
  • Jak ograniczać: właściciel narzędzia w organizacji, przegląd warunków co kwartał.

Checklista “zanim użyjesz”

  • Czy narzędzie jest w planie firmowym z podpisaną DPA?
  • Czy dostawca trenuje modele na danych i czy da się to wyłączyć?
  • Jak długo przechowywane są rozmowy i pliki?
  • Gdzie przetwarzane są dane i kto jest podwykonawcą?
  • Czy IOD zaakceptował narzędzie?

Diagram

flowchart LR
    A[Narzędzie AI]
    B{Plan firmowy z DPA?}
    C[Dane osobowe dopuszczone wg polityki]
    D[Tylko dane anonimowe lub syntetyczne]
    E[Akceptacja IOD]
    A --> B
    B -->|tak| E --> C
    B -->|nie| D

Diagram pokazuje, że dane osobowe mogą trafić do narzędzia AI tylko przy planie z umową powierzenia i po akceptacji IOD, a w pozostałych przypadkach pracuje się na danych anonimowych lub syntetycznych.

Materiał ma charakter edukacyjny. Przed użyciem w polityce organizacji wymaga sprawdzenia przez prawnika lub Inspektora Ochrony Danych. Warunki dostawców zmieniają się, dlatego zawsze sprawdzaj aktualną wersję.

Dalsza lektura

Miejsce w mapie

Powiązane hasła