Raport UODO: niemal wszystkie firmy i urzędy nieprzygotowane na AI mimo RODO

Urząd Ochrony Danych Osobowych opublikował raport strategiczny poświęcony temu, jak polscy pracodawcy w sektorze publicznym i prywatnym radzą sobie z wdrażaniem sztucznej inteligencji przy jednoczesnym zachowaniu zgodności z RODO. Wnioski są jednoznaczne: zdecydowana większość badanych organizacji nie czuje się gotowa na wyzwania, jakie stawia przed nimi połączenie AI i ochrony danych osobowych.

Skala nieprzygotowania

Z badania wynika, że niemal wszystkie objęte nim instytucje mają problem z oceną, czy i jak stosowane przez nie systemy AI są zgodne z RODO. Wskaźnik 95,9 proc. organizacji deklarujących brak przygotowania lub niepewność co do zgodności obejmuje zarówno urzędy, szkoły i placówki ochrony zdrowia, jak i firmy prywatne, co pokazuje, że problem nie jest ograniczony do jednego sektora.

Jednocześnie skala faktycznego wykorzystania AI w badanych organizacjach jest zróżnicowana. Autorzy raportu podzielili respondentów na kilka grup: 16,7 proc. ma sztuczną inteligencję realnie wdrożoną w codziennych procesach, około 40 proc. znajduje się w fazie pilotażu, testów lub planowania wdrożenia, a 42,7 proc. deklaruje, że w ogóle z AI nie korzysta. Pozostała część, 16,3 proc., jest zainteresowana tematem, ale nie wie, od czego zacząć.

Ukryte AI w organizacjach

Jednym z najbardziej niepokojących wątków raportu jest zjawisko określane jako shadow AI, czyli nieformalne, niekontrolowane przez pracodawcę korzystanie z narzędzi takich jak ChatGPT przez pracowników. Współautor raportu, dr hab. Dominik Lubasz, zwraca uwagę, że oficjalne dane o wykorzystaniu AI w organizacjach mogą znacząco zaniżać rzeczywistą skalę zjawiska.

Rzeczywista skala wykorzystania AI jest prawdopodobnie znacznie większa - dr hab. Dominik Lubasz, współautor raportu UODO

Problem polega na tym, że pracownicy często wprowadzają do publicznie dostępnych narzędzi AI dane osobowe klientów, pacjentów czy interesantów, nie mając świadomości, że takie działanie może naruszać przepisy o ochronie danych. Pracodawcy, którzy formalnie nie wdrożyli żadnych rozwiązań AI, w praktyce mogą już przetwarzać dane osobowe za pośrednictwem zewnętrznych modeli, bez żadnej kontroli nad tym procesem.

Raport pokazuje też, że aż 41 proc. respondentów albo nie wierzy, że rozwój i stosowanie AI wiąże się z przetwarzaniem danych osobowych, albo nie potrafi tego w ogóle ocenić. To wskazuje na lukę w podstawowej wiedzy o tym, na jakim etapie działania systemów AI dochodzi do przetwarzania danych osobowych.

Bariery nie są technologiczne

Autorzy raportu podkreślają, że przeszkody, jakie napotykają organizacje przy wdrażaniu AI zgodnie z RODO, mają charakter przede wszystkim organizacyjny i regulacyjny, a nie technologiczny. Wśród najczęściej wskazywanych barier respondenci wymieniali brak odpowiednich danych do trenowania modeli, brak wsparcia ze strony jednostek nadrzędnych i kierownictwa, obawy etyczne i reputacyjne oraz złożoność przepisów dotyczących AI.

Aż 417 organizacji wskazało brak wsparcia regulacyjnego jako jedną z głównych przeszkód we wdrażaniu sztucznej inteligencji. Wśród zastosowań AI, które badane organizacje już testują lub wdrażają, dominuje automatyzacja procesów administracyjnych (41,2 proc.), analityka danych i prognozowanie (31 proc.), obsługa klientów lub interesantów w formie chatbotów i voicebotów (28 proc.) oraz wsparcie prac badawczo-rozwojowych (28,2 proc.).

Co dalej

Raport, przygotowany w ramach Społecznego Zespołu Ekspertów przy Prezesie UODO w Grupie Roboczej ds. AI, ma stanowić fundament pod nowy program urzędu o nazwie AIDA, czyli AI i Dane - Aktywne Wsparcie. Jego celem jest zmiana podejścia regulatora z modelu skoncentrowanego na kontroli i karaniu na model edukacyjny, oferujący organizacjom konkretne wsparcie merytoryczne, techniczne i prawne przy wdrażaniu AI.

Dla polskich firm i instytucji publicznych wnioski z raportu mają praktyczne znaczenie w kontekście wchodzącego w życie unijnego AI Act i wcześniejszych ustaleń dotyczących ustawy o systemach sztucznej inteligencji. Skoro niemal wszystkie badane organizacje przyznają się do niepewności co do zgodności z RODO, a jednocześnie znaczna część pracowników korzysta z narzędzi AI poza kontrolą pracodawcy, ryzyko naruszeń przepisów o ochronie danych osobowych rośnie szybciej niż świadomość tego ryzyka w samych organizacjach.