Używaj AI w pracy. Dane klientów zostają u Ciebie.

RODO · art. 4 pkt 5

„pseudonimizacja” oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej;

Wtyczka: do czatu trafiają dane fikcyjne, a "dodatkowe informacje", czyli mapa zamienników, są przechowywane osobno na komputerze użytkownika, zaszyfrowane kluczem z pęku kluczy systemu.

RODO · art. 5 ust. 1 lit. c

adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);

Wtyczka: dostawca modelu nie potrzebuje prawdziwego PESEL-u ani nazwiska, żeby napisać pismo. Dostaje tylko to, co niezbędne: strukturę i treść bez identyfikatorów.

RODO · art. 5 ust. 1 lit. f

przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”);

Wtyczka: maskowanie następuje przed wysłaniem, automatycznie, także w plikach, więc przypadkowe wklejenie bazy klientów do czatu przestaje być incydentem.

RODO · art. 25 ust. 1

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania, administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania – wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

Wtyczka: pseudonimizacja wbudowana w sposób przetwarzania, nie w regulamin. Środek jest wdrożony raz, polityką, i działa przy każdym użyciu.

RODO · art. 32 ust. 1 lit. a

Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych;

Wtyczka: jedno i drugie: pseudonimizacja tekstu i plików oraz szyfrowanie mapy zamienników AES-256-GCM, z wygasaniem sesji po zadanym czasie.

RODO · art. 44

Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy – z zastrzeżeniem innych przepisów niniejszego rozporządzenia – administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale.

Wtyczka: dane osobowe nie są przekazywane dostawcy modelu, więc pytanie o podstawę transferu poza EOG przestaje dotyczyć treści rozmów z AI.

NIS 2 · art. 21 ust. 1

Państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług, oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź minimalizowania takiego wpływu.

Wtyczka: proporcjonalny środek techniczny na jedno z najczęstszych dziś ryzyk: wyciek danych i sekretów przez publiczne czaty AI.

NIS 2 · art. 21 ust. 2 lit. d, g, h, i

d) bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami; […] g) podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa; h) polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania; i) bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami;

Wtyczka: dostawca AI to usługodawca w łańcuchu dostaw; profil techniczny zatrzymuje hasła, klucze i nazwy infrastruktury przed wysłaniem, a szyfrowanie sesji i brak połączeń sieciowych dają się wpisać wprost do polityki kryptografii i cyberhigieny.