RODO i chatbot AI: co firmy muszą wiedzieć

Jakie dane osobowe przetwarza chatbot AI?

Gdy tylko użytkownik wchodzi w interakcję z chatbotem AI, powstają dane. Najbardziej oczywiste są treści samej rozmowy: wpisy tekstowe, pytania, skargi, szczegóły rezerwacji. Te dane rozmów w wielu przypadkach są danymi osobowymi w rozumieniu RODO — albo dlatego, że zawierają bezpośrednie identyfikatory, takie jak imiona i nazwiska czy adresy e-mail, albo dlatego, że w połączeniu z innymi dostępnymi danymi można je przypisać do konkretnej osoby. Również adresy IP, które są technicznie przesyłane podczas czatu internetowego, uznaje się za dane osobowe.

W przypadku chatbotów stosowanych w ramach procesów kont klientów pojawiają się dodatkowe kategorie danych: numery klientów, historia zamówień, informacje płatnicze (jeśli chatbot jest zintegrowany z procesem finalizacji zamówień) lub dane zdrowotne (w zastosowaniach medycznych). Te szczególne kategorie zgodnie z art. 9 RODO podlegają podwyższonemu poziomowi ochrony i wymagają szczególnych środków technicznych i prawnych.

Zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO) nakazuje przetwarzać tylko te dane, które są faktycznie niezbędne do danego celu. W przypadku czystego chatbota FAQ bez uwierzytelniania oznacza to: treści rozmów nie powinny być trwale przechowywane, adresy IP powinny być anonimizowane, a dane osobowe należy zbierać tylko wtedy, gdy są bezwzględnie konieczne dla procesu obsługi. Starannie skonfigurowany chatbot jest więc pod względem ochrony danych znacznie mniej problematyczny niż źle zaplanowany.

Wymagania RODO dotyczące eksploatacji chatbota

RODO dla każdego procesu przetwarzania danych stawia szereg podstawowych wymagań. Po pierwsze, każde przetwarzanie danych musi mieć podstawę prawną zgodnie z art. 6 RODO: albo zgodę użytkownika, albo konieczność dla zawarcia umowy, albo uzasadniony interes przedsiębiorstwa, albo inną z ustawowo wymienionych podstaw. Podstawa prawna musi zostać określona i udokumentowana przed przetwarzaniem — a w razie wątpliwości musi być uzasadniona przed organem nadzorczym ds. ochrony danych.

Po drugie istnieje szeroki obowiązek informacyjny wobec osób, których dane dotyczą. Użytkownicy muszą wiedzieć, jakie dane i w jakim celu są przetwarzane, jak długo są przechowywane, kto może być ich odbiorcą oraz jakie prawa im przysługują — w tym prawo dostępu, sprostowania, usunięcia i ograniczenia przetwarzania. Te informacje muszą być dostępne w jasnym, zrozumiałym języku, zazwyczaj w polityce prywatności oraz w formie informacji w oknie czatu.

Po trzecie RODO nakłada zasadę „Privacy by Design i by Default” (art. 25). Oznacza to, że konfiguracje przyjazne ochronie danych są od początku ustawieniem domyślnym, a nie późniejszymi uzupełnieniami. Dla chatbotów AI oznacza to w praktyce: krótsze okresy przechowywania jako standard, anonimizację danych z logów, restrykcyjne uprawnienia dostępu oraz możliwość łatwego zlecenia przez użytkowników usunięcia ich danych.

AI w chmurze vs. on-premises: co to oznacza dla ochrony danych?

W przypadku chatbota AI opartego na chmurze dane rozmów i zapytania są wysyłane do zewnętrznych serwerów dostawcy modelu językowego, tam przetwarzane i — w zależności od konfiguracji — potencjalnie wykorzystywane do trenowania. Kluczowe dla oceny zgodności z RODO jest pytanie: w jakim kraju znajdują się serwery? W przypadku dostawców z USA sytuacja prawna od wyroku Schrems II jest złożona. Dostawcy z UE lub tacy, którzy mają centra danych w UE, są w świetle europejskiego prawa ochrony danych wyraźnie preferowani. Dodatkowo należy zawrzeć umowę powierzenia przetwarzania danych (AVV).

On-premises oznacza, że cała infrastruktura — łącznie z modelem AI — działa na serwerach kontrolowanych przez samą firmę. Dzięki lokalnemu uruchamianiu AI żadne dane rozmów nie opuszczają własnej infrastruktury. Tym samym całkowicie odpada konieczność zawarcia umowy powierzenia przetwarzania danych (AVV) z dostawcą AI w chmurze; przetwarzanie odbywa się wyłącznie wewnętrznie. Dla firm z branż regulowanych — ochrony zdrowia, doradztwa prawnego, usług finansowych — on-premises jest często jedyną możliwą do uzasadnienia opcją.

Możliwe jest również podejście hybrydowe: infrastruktura chatbota i baza wiedzy działają w UE na bezpiecznych serwerach, a dla określonych, mniej wrażliwych przypadków użycia wykorzystywany jest model chmurowy. Zentor App obsługuje oba tryby działania — chmurę przez zewnętrznego dostawcę AI oraz działanie w pełni lokalne — i pozwala firmom samodzielnie zdecydować, która architektura pasuje do ich strategii ochrony danych. Decyzję najlepiej podjąć wspólnie z inspektorem ochrony danych i prawnikiem specjalizującym się w ochronie danych.

Umowa powierzenia przetwarzania danych (AVV): kiedy jest potrzebna i co reguluje

Umowa powierzenia przetwarzania danych (AVV) zgodnie z art. 28 RODO jest głównym narzędziem prawnego uregulowania odpowiedzialności między firmą (administratorem) a zewnętrznym usługodawcą (podmiotem przetwarzającym), który przetwarza dane osobowe w jej imieniu. Przy eksploatacji chatbota AI za pośrednictwem platformy SaaS umowa ta jest z reguły bezwzględnie wymagana: dostawca chatbota przetwarza dane rozmów na swoich serwerach — to klasyczne powierzenie przetwarzania.

Umowa powierzenia przetwarzania danych (AVV) musi zostać zawarta na piśmie lub w równoważnej formie elektronicznej i obejmować szereg minimalnych elementów: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, kategorie danych osobowych i osób, których dane dotyczą, a także obowiązki i prawa administratora. Ponadto podmiot przetwarzający musi zagwarantować wdrożenie odpowiednich środków technicznych i organizacyjnych (TOM) oraz nie korzystać z usług dalszych podmiotów przetwarzających bez zgody.

Ważne: umowa powierzenia przetwarzania danych (AVV) musi zostać zawarta przed uruchomieniem chatbota — a nie po fakcie. Brak AVV mimo powierzenia przetwarzania stanowi samodzielne naruszenie RODO zagrożone karą pieniężną. Dlatego sprawdź u każdego dostawcy chatbota, czy i w jakiej formie oferowana jest AVV, jakie dalsze podmioty przetwarzające są zaangażowane (np. dostawcy chmury lub zewnętrzni dostawcy AI) i jak jest to uregulowane. Rzetelni dostawcy, tacy jak Zentor App, udostępniają standardowe wzory AVV i są gotowi przejrzyście ujawnić ich treść.

Inspektor ochrony danych i chatbot: Na co zwrócić uwagę?

Firmy, które mają wewnętrznego lub zewnętrznego inspektora ochrony danych (IOD), muszą zaangażować go we wdrażanie chatbota AI. Zadaniem IOD jest zapewnienie wdrożenia zgodnego z przepisami o ochronie danych, ocena ryzyk i monitorowanie przestrzegania RODO. Nie chodzi przy tym tylko o formalną zgodność, lecz o konkretną konfigurację techniczną: jakie dane są przechowywane? Jak długo? Kto ma do nich dostęp? Jak obsługiwane są żądania dostępu od osób, których dane dotyczą?

Jednym z najważniejszych zadań IOD w kontekście chatbota jest sprawdzenie, czy wymagana jest ocena skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO. DPIA jest obowiązkowa, gdy przetwarzanie danych prawdopodobnie niesie wysokie ryzyko dla praw i wolności osób fizycznych. Może tak być w przypadku chatbota, gdy systematycznie przetwarzane są dane wrażliwe, odbywa się profilowanie lub system jest wykorzystywany do decyzji mających istotne skutki dla osób, których dane dotyczą.

Nawet jeśli IOD nie jest wymagany ustawowo, przed uruchomieniem zalecany jest przegląd pod kątem ochrony danych. Zwłaszcza w mniejszych firmach, które po raz pierwszy wdrażają chatbota, czyhają typowe pułapki: brak lub nieaktualna polityka prywatności, zapomniana umowa powierzenia przetwarzania danych (AVV), zbyt długie okresy przechowywania lub brak koncepcji usuwania danych. Zewnętrzne doradztwo eksperta ds. ochrony danych opłaca się tu w dłuższej perspektywie i chroni przed dotkliwymi karami, które mogą nałożyć organy ochrony danych.

Środki techniczne i organizacyjne (TOMs) dla chatbotów

RODO wymaga w art. 32 odpowiednich środków technicznych i organizacyjnych (TOM), aby zapewnić stopień ochrony odpowiadający ryzyku. Dla chatbotów AI oznacza to konkretnie: cała transmisja danych między przeglądarką użytkownika a backendem chatbota musi być szyfrowana (TLS/HTTPS). Zapisane dane rozmów i treści bazy wiedzy również powinny być przechowywane w formie zaszyfrowanej — zarówno w bazie danych, jak i na powiązanych nośnikach danych.

Po stronie dostępu RODO nakazuje zasadę ograniczenia dostępu do danych: do danych osobowych mogą mieć dostęp tylko ci pracownicy i te systemy, które faktycznie potrzebują go do swojej pracy. Zentor App realizuje tę zasadę za pomocą systemu kontroli dostępu opartego na rolach (RBAC), dostępnego jako dowolnie wybierany moduł w pakiecie Individuell: różne role otrzymują różne uprawnienia dostępu, a wszystkie operacje dostępu są rejestrowane w ścieżce audytu. W razie wątpliwości pozwala to wykazać, kto, kiedy i do jakich danych miał dostęp.

Od strony organizacyjnej do TOM należą jasne procesy wewnętrzne: kto odpowiada za bazę wiedzy? Jak obsługiwane są wnioski o usunięcie danych od osób, których dane dotyczą? Jak zapewnia się, że dane rozmów nie są przechowywane dłużej, niż to konieczne? Jak firma reaguje w przypadku incydentu ochrony danych — na przykład gdy chatbot nieumyślnie ujawni dane osobowe innego użytkownika? Procesy te muszą być udokumentowane na piśmie i regularnie weryfikowane.

Zentor App i RODO: hosting w UE oraz on-premise jako opcje

Zentor App od początku był rozwijany z myślą o umożliwieniu działania zgodnego z RODO. Platforma może być hostowana na serwerach w UE — hosting, bazy danych i logika aplikacji podlegają wtedy europejskiemu prawu ochrony danych. Jeśli opcjonalnie zostanie podłączony zewnętrzny dostawca AI, ewentualne przetwarzanie poza UE odbywa się wyłącznie na podstawie standardowych klauzul umownych UE (art. 46 RODO) — dzięki temu znikają niepewności prawne związane z niekontrolowanym transferem do państwa trzeciego. Dla firm rozważających rozwiązanie chmurowe hosting w UE jest pierwszym i najważniejszym krokiem w kierunku zgodności z RODO.

Dla firm o najwyższych wymaganiach w zakresie ochrony danych Zentor App oferuje pełną instalację on-premises. W tym trybie działania cała platforma — silnik chatbota, baza wiedzy, skrzynka odbiorcza omnichannel i wszystkie komponenty przetwarzania — działa na infrastrukturze kontrolowanej przez samą firmę. Dzięki lokalnemu uruchamianiu AI żadne dane rozmów ani żadne informacje osobowe nie opuszczają własnego środowiska IT. To podejście sprawdza się szczególnie w szpitalach, kancelariach prawnych, biurach doradztwa podatkowego i innych branżach, w których ochrona danych ma znaczenie egzystencjalne.

Zentor App udostępnia umowy powierzenia przetwarzania danych (AVV) dla działania w chmurze i dokumentuje wykorzystywane dalsze podmioty przetwarzające wraz z nazwą firmy, krajem, celem i podstawą przekazania w punkcie 13 polityki prywatności. Techniczne funkcje ochrony danych — RBAC, ścieżka audytu, konfigurowalne okresy przechowywania danych i kontrola dostępu oparta na rolach — można skonfigurować jako dowolnie wybierane moduły w pakiecie Individuell. W ten sposób tworzysz techniczne warunki do eksploatacji chatbota zgodnej z RODO — prawne ukształtowanie w konkretnym przypadku zawsze pozostaje jednak zadaniem Twojego zespołu ds. ochrony danych i doradców prawnych.

Często zadawane pytania