Pracownik wkleił umowę klienta do AI. Co teraz, po kolei

Ktoś u Ciebie wkleił do ChatuGPT umowę z nazwiskiem klienta, jego adresem i kwotą. Albo listę pacjentów. Albo eksport z systemu. Dowiedziałeś się o tym przypadkiem, tydzień później.

Dwie najgorsze reakcje to panika i wzruszenie ramionami. Poniżej kolejność, w jakiej to się realnie ogarnia, i moment, w którym poradnik się kończy, a zaczyna prawnik.

Zanim cokolwiek zrobisz, potrzebujesz trzech odpowiedzi: jakie dane, do którego narzędzia i na jakim koncie. To nie jest formalność, od tych trzech rzeczy zależy wszystko, co dalej.

• Jakie dane: samo imię i nazwisko to co innego niż numer PESEL, dane o zdrowiu albo dane karty.
• Do którego narzędzia: część z nich domyślnie uczy się na rozmowach, część nie.
• Na jakim koncie: darmowe konto prywatne pracownika to zupełnie inna sytuacja niż firmowe konto z umową powierzenia.
• Kiedy: od tego liczy się termin, jeśli okaże się, że trzeba zgłaszać.

1. 1

   Nie każ nikomu kasować rozmowy

   Brzmi odwrotnie do intuicji, ale usunięcie dowodu utrudnia ocenę, co właściwie wyszło. Najpierw zrób zrzut ekranu albo skopiuj treść do pliku.

2. 2

   Sprawdź ustawienia konta

   W każdym z głównych narzędzi jest przełącznik odpowiadający za uczenie się na rozmowach. Sprawdź, czy był włączony w momencie wklejenia. To jest kluczowa różnica.

3. 3

   Wyłącz uczenie się i usuń rozmowę

   Dopiero teraz, gdy masz już zapisane, co tam było. Część narzędzi pozwala też zażądać usunięcia danych z serwerów. Skorzystaj.

4. 4

   Zapisz zdarzenie u siebie

   Data, kto, co, do czego, co zrobiliście. To jest wewnętrzny rejestr, który trzeba prowadzić niezależnie od tego, czy sprawa idzie dalej.

5. 5

   Oceń ryzyko dla osoby, której dane wyszły

   Nie dla siebie, dla niej. Czy grozi jej kradzież tożsamości, strata finansowa, ujawnienie czegoś wrażliwego? Tu zwykle kończy się to, co ocenisz sam.

6. 6

   Ustal zasadę na przyszłość

   Jedna zasada na kartce: co wolno wklejać, a czego nie. Bez tego to się powtórzy za miesiąc, tylko z gorszymi danymi.

7. 7

   Powiedz zespołowi, co się stało

   Bez szukania winnego. Człowiek, który się przyznał, jest wart więcej niż człowiek, który następnym razem zatai.

Ten jeden fragment wymaga precyzji, bo tutaj pomyłka realnie kosztuje. Przepis brzmi tak: administrator zgłasza naruszenie ochrony danych organowi nadzorczemu bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. To art. 33 RODO.

Dwie rzeczy, które w tym zdaniu najczęściej się gubią. Po pierwsze, 72 godziny liczą się od stwierdzenia naruszenia, nie od jego wystąpienia, czyli od momentu, w którym ustaliłeś z wystarczającą pewnością, co się stało. Po drugie, obowiązek zgłoszenia zależy od oceny ryzyka dla osoby, której dane dotyczą. Jeśli ryzyko jest mało prawdopodobne, wystarczy wewnętrzna dokumentacja, ale to Ty musisz tę ocenę przeprowadzić i umieć ją uzasadnić.

Zakaz używania AI nie działa. Ludzie i tak używają, tylko na prywatnych kontach, gdzie nic nie kontrolujesz. Działa coś innego: jedna kartka z trzema zdaniami, powieszona tam, gdzie widać.

• Nazwiska, adresy, PESEL, numery kont i dane o zdrowiu nie idą do AI. Nigdy, w żadnym narzędziu.
• Jeśli musisz przetworzyć dokument z danymi: najpierw zamień nazwiska na „Klient A", kwoty zostaw, resztę usuń.
• Jeśli nie wiesz, czy wolno: pytasz przed, nie po.

Trzy zdania robią więcej niż szkolenie, bo szkolenie się zapomina, a kartka wisi.