Raport UODO: prawie połowa polskich instytucji wciąż nie korzysta z AI

Urząd Ochrony Danych Osobowych opublikował raport strategiczny, z którego wynika, że polskie instytucje wdrażają sztuczną inteligencję znacznie wolniej i chaotyczniej, niż sugerowałaby powszechna narracja o boomie na AI. Badanie objęło niemal 500 organizacji, głównie z sektora publicznego, i ujawniło lukę między deklarowanym a realnym wykorzystaniem tej technologii.

Raport nosi tytuł "Raport strategiczny: badanie potrzeb organizacji w zakresie wykorzystania sztucznej inteligencji a ochrona danych osobowych" i powstał w ramach Społecznego Zespołu Ekspertów przy Prezesie UODO, konkretnie grupy roboczej do spraw sztucznej inteligencji. Autorami są Maria Drabczyk, prezeska Fundacji Digital Centre, oraz dr hab. Dominik Lubasz, radca prawny.

Kto naprawdę korzysta z AI

Z danych wynika, że tylko 16,7 procent badanych organizacji ma sztuczną inteligencję zintegrowaną z codzienną pracą. Kolejne 16,3 procent deklaruje zainteresowanie, ale nie wie, jak zacząć, a około 40 procent znajduje się na etapie pilotaży, testów lub planowania wdrożeń. Reszta, czyli 42,7 procent, nie korzysta z AI wcale.

Tam, gdzie AI już działa, najczęściej służy do automatyzacji procesów administracyjnych (41,2 procent wskazań), analizy danych i prognozowania (31 procent), obsługi klientów lub petentów (28 procent) oraz wsparcia prac badawczo-rozwojowych (28,2 procent). Personalizacja usług pojawiła się w zaledwie 11,1 procent odpowiedzi, co pokazuje, że polskie instytucje traktują AI głównie jako narzędzie do odciążenia biurokracji, a nie do budowania nowych produktów.

Problem systemowy z RODO

Najbardziej niepokojący wynik dotyczy zgodności z przepisami o ochronie danych osobowych. Niemal 96 procent organizacji ocenia się jako nieprzygotowane lub niepewne co do stosowania RODO w kontekście AI. Do tego 41 procent respondentów w ogóle nie dostrzega, że tworzenie własnych systemów AI może wiązać się z przetwarzaniem danych osobowych, albo nie potrafi tego ocenić.

Dane, które uzyskaliśmy w badaniu, jednoznacznie wskazują, że mamy do czynienia z problemem systemowym - dr hab. Dominik Lubasz, radca prawny, współautor raportu UODO

Autorzy raportu zwracają uwagę na zjawisko określane jako "shadow AI", czyli niekontrolowane korzystanie pracowników z narzędzi takich jak ChatGPT bez zgody i wiedzy pracodawcy. W praktyce oznacza to, że dane osobowe trafiają do zewnętrznych systemów bez żadnej oceny prawnej, a rzeczywista skala wykorzystania AI w organizacjach jest większa, niż wskazują oficjalne deklaracje.

Rzeczywista skala wykorzystania AI jest prawdopodobnie znacznie większa niż wynikałoby to z deklaracji badanych organizacji - dr hab. Dominik Lubasz, współautor raportu UODO

Bariery nie są technologiczne

Wśród przeszkód we wdrażaniu AI respondenci wymieniali najczęściej brak odpowiednich danych do trenowania modeli, brak wsparcia ze strony jednostek nadrzędnych, obawy etyczne lub wizerunkowe oraz skomplikowane przepisy dotyczące AI. Autorzy raportu podkreślają, że są to bariery organizacyjne i regulacyjne, a nie techniczne ograniczenia samych narzędzi.

Respondenci najwyżej ocenili praktyczne wytyczne sektorowe jako formę wsparcia, przyznając im 4,57 punktu w pięciostopniowej skali. Wyżej niż ogólne szkolenia czy abstrakcyjne deklaracje strategiczne cenią sobie konkretne, gotowe do zastosowania rozwiązania.

Respondenci ocenili praktyczne wytyczne najwyżej spośród wszystkich form wsparcia - na 4,57 w skali pięciostopniowej - dr hab. Dominik Lubasz, współautor raportu strategicznego UODO

Co proponuje UODO

Raport rekomenduje stworzenie pakietów "AI Compliance Starter" dopasowanych do sektora, wzorów oceny skutków dla ochrony danych (DPIA) dotyczących konkretnych zastosowań AI, map decyzyjnych oraz repozytoriów zagrożeń. Autorzy podkreślają, że różne sektory, na przykład oświata, ochrona zdrowia czy administracja lokalna, mierzą się z odmiennymi problemami i potrzebują osobnych ścieżek wsparcia, a nie jednego uniwersalnego zestawu wytycznych.

Dla polskich pracodawców, zwłaszcza z sektora publicznego, raport jest sygnałem, że wdrażanie AI bez jednoczesnej oceny ryzyka w zakresie ochrony danych osobowych może rodzić poważne konsekwencje prawne. Zjawisko shadow AI oznacza, że nawet organizacje deklarujące brak wdrożeń mogą już przetwarzać dane osobowe za pośrednictwem narzędzi używanych przez pracowników bez formalnej zgody.

UODO zapowiada, że wyniki raportu posłużą do przygotowania sektorowych wytycznych i materiałów pomocniczych dla instytucji publicznych i prywatnych. Na razie jednak, jak pokazuje badanie, większość organizacji w Polsce nie ma ani strategii wdrażania AI, ani mechanizmów kontroli zgodności z przepisami o ochronie danych, co przy rosnącej presji na cyfryzację może stać się realnym problemem prawnym w najbliższych miesiącach.