Korzystanie z zewnętrznego narzędzia AI, które przetwarza dane firmowe, powinno wiązać się z odpowiednią umową powierzenia przetwarzania danych z jego dostawcą.

Na czym polega ta usługa

Usługa obejmuje sprawdzenie, czy dostawca rozważanego narzędzia AI oferuje umowę powierzenia przetwarzania danych, oraz wyjaśnienie w zrozumiały sposób, co taka umowa oznacza dla firmy.

Dla kogo ma sens

Usługa jest przydatna dla firm wdrażających narzędzia AI przetwarzające dane firmowe lub dane klientów, które chcą mieć pewność formalnego uregulowania tej kwestii.

Ile to trwa

Sprawdzenie warunków powierzenia danych mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Czym jest umowa powierzenia przetwarzania danych w kontekście sztucznej inteligencji

Umowa powierzenia przetwarzania danych, określana powszechnie jako DPA (Data Processing Addendum – dokument prawny regulujący zasady, cel i zakres przetwarzania informacji przez podmiot zewnętrzny), jest podstawowym wymogiem wynikającym z przepisów o ochronie danych osobowych. W przypadku standardowych aplikacji chmurowych dane są zazwyczaj jedynie przechowywane w bazach danych. Narzędzia oparte na generatywnej sztucznej inteligencji (systemy wykorzystujące duże modele językowe do analizy, generowania tekstu lub przetwarzania kodu) działają w odmienny sposób. Wprowadzane informacje trafiają do silnika obliczeniowego, co rodzi specyficzne ryzyka techniczne i prawne.

Kluczowym zagadnieniem weryfikowanym w ramach umowy jest kwestia trenowania modeli (wykorzystywanie wprowadzanych promptów, czyli zapytań użytkownika, do dalszego uczenia algorytmów). Jeżeli umowa nie wyklucza wprost takiego mechanizmu, poufne dane organizacji mogą stać się częścią publicznie dostępnego modelu. Drugim istotnym elementem jest retencja danych (okres przechowywania logów zapytań i odpowiedzi na serwerach dostawcy). Profesjonalna umowa DPA precyzuje, jak długo dane tymczasowe są utrzymywane w infrastrukturze dostawcy oraz jakie procedury kryptograficzne chronią je przed nieuprawnionym wglądem.

Warianty korzystania z narzędzi AI a warunki formalne

Sposób wdrożenia sztucznej inteligencji bezpośrednio wpływa na charakter wymaganych dokumentów prawnych i technicznych. W praktyce rynkowej wyróżnia się kilka głównych modeli dostępu do technologii:

Bezpłatne wersje konsumenckie przez interfejs przeglądarkowy: Dostęp za pośrednictwem ogólnych stron internetowych opiera się zazwyczaj na standardowym regulaminie świadczenia usług (Terms of Service). W takich wariantach dostawcy z reguły nie oferują możliwości podpisania odrębnej umowy DPA, a wprowadzone dane mogą być analizowane i wykorzystywane do optymalizacji modeli. Korzystanie z takich narzędzi do przetwarzania danych klientów lub tajemnic przedsiębiorstwa stanowi bezpośrednie naruszenie zasad bezpieczeństwa.
Płatne subskrypcje biznesowe i zespołowe: Plany typu Business lub Enterprise często zawierają wbudowany aneks dotyczący ochrony danych lub umożliwiają wygenerowanie podpisanej elektronicznie umowy powierzenia. W tych wariantach dostawca deklaruje brak wykorzystywania zapytań do uczenia modeli oraz oferuje podwyższony standard zabezpieczeń.
Dostęp programistyczny przez interfejs API: Korzystanie z API (Application Programming Interface – interfejs programistyczny pozwalający na bezpośrednią integrację modelu z własnym oprogramowaniem) rządzi się odrębnymi regulaminami handlowymi. Warunki dla deweloperów zazwyczaj domyślnie wyłączają trenowanie modeli na danych przesyłanych przez punkty końcowe oraz oferują mechanizm Zero Data Retention (natychmiastowe usuwanie treści zapytania z pamięci serwera po wygenerowaniu odpowiedzi).
Moduły AI zintegrowane z systemami ERP i pakietami biurowymi: W przypadku integracji w systemach takich jak Microsoft 365, Google Workspace, InsERT nexo, Comarch ERP czy SAP, moduły sztucznej inteligencji podlegają najczęściej głównej umowie ramowej i istniejącemu aneksowi DPA dostawcy oprogramowania. Weryfikacja polega wówczas na sprawdzeniu, czy uruchomienie funkcji generatywnych nie wymaga akceptacji dodatkowych, odrębnych regulaminów zewnętrznych dostawców modeli.

Kluczowe elementy weryfikowane w dokumentacji dostawców

Analiza warunków oferowanych przez dostawców narzędzi sztucznej inteligencji wymaga zbadania kilku krytycznych parametrów technicznych i organizacyjnych:

Pierwszym elementem jest lokalizacja centrów danych i mechanizmy transferu transgranicznego. Większość wiodących dostawców modeli AI posiada główną infrastrukturę w Stanach Zjednoczonych. Umowa musi precyzować podstawę prawną takiego transferu, na przykład uczestnictwo dostawcy w programie Data Privacy Framework (ramy prawne legalizujące transfer danych między Unią Europejską a USA) lub zastosowanie Standardowych Klauzul Umownych (Standard Contractual Clauses – wzorce umowne zatwierdzone przez Komisję Europejską).

Drugim elementem jest lista subprocesorów (zewnętrznych podwykonawców, którym dostawca powierza wykonywanie określonych operacji, np. dostawców mocy obliczeniowej GPU lub infrastruktury chmurowej). Umowa musi gwarantować prawo do uzyskiwania informacji o zmianach na liście subprocesorów oraz możliwość wniesienia sprzeciwu.

Trzecim aspektem są procedury zgłaszania incydentów bezpieczeństwa oraz zasady audytu. Dostawca powinien zobowiązać się do niezwłocznego powiadamiania o wszelkich naruszeniach poufności oraz przedstawiać niezależne certyfikaty bezpieczeństwa, takie jak ISO/IEC 27001 (międzynarodowa norma zarządzania bezpieczeństwem informacji) lub raporty SOC 2 Type II (sprawozdanie z badania mechanizmów kontroli bezpieczeństwa w organizacji usługowej).

Najczęstsze błędy przy wdrażaniu narzędzi AI w firmach

W procesie adaptacji nowych technologii w przedsiębiorstwach dochodzi często do nieporozumień wynikających z mylenia pojęć marketingowych z warunkami prawnymi. Do najczęstszych błędów należą:

Utożsamianie polityki prywatności z umową powierzenia: Polityka prywatności (Privacy Policy) to jednostronny dokument informujący użytkownika o tym, jak dostawca przetwarza dane w celach własnych (np. rozliczeniowych lub marketingowych). Nie zastępuje ona dwustronnej umowy DPA wymaganej do legalnego przetwarzania danych w imieniu firmy.
Zjawisko Shadow AI w organizacji: Sytuacja, w której pracownicy na własną rękę wprowadzają dokumenty firmowe, bazy klientów lub fragmenty kodu źródłowego do niezweryfikowanych, darmowych narzędzi w przeglądarce. Brak centralnej weryfikacji i blokady takich usług na poziomie sieci firmowej stwarza ryzyko wycieku danych.
Założenie, że płatne konto automatycznie chroni dane: Wykupienie podstawowego konta płatnego nie zawsze oznacza aktywację warunków biznesowych. W wielu platformach konieczne jest ręczne wygenerowanie i podpisanie aneksu DPA w panelu administracyjnym lub zaznaczenie opcji wyłączenia historii (opt-out z trenowania).
Brak weryfikacji wtyczek i rozszerzeń: Używanie zewnętrznych dodatków (pluginów) do modeli językowych, które przesyłają zapytania do kolejnych, nieznanych podmiotów trzecich, nieobjętych główną umową z dostawcą silnika AI.

Kiedy sprawa dotyczy innego rozwiązania

Weryfikacja umów powierzenia z zewnętrznymi dostawcami chmurowymi nie zawsze jest konieczna lub może dotyczyć odmiennego obszaru architektury IT:

W przypadku wdrożenia lokalnych modeli językowych (On-Premises – oprogramowanie instalowane bezpośrednio na własnych serwerach lub stacjach roboczych w infrastrukturze firmy), dane nie opuszczają sieci lokalnej. W takim modelu nie dochodzi do transferu informacji na zewnątrz, w związku z czym umowa DPA z zewnętrznym operatorem nie jest wymagana. Wymagane jest natomiast wdrożenie odpowiednich zabezpieczeń sieciowych i uprawnień dostępowych w środowisku Windows Server lub Linux.

Drugim przypadkiem jest praca na danych całkowicie zanonimizowanych (proces trwałego i nieodwracalnego usunięcia wszelkich identyfikatorów osób fizycznych oraz danych poufnych). Jeśli zbiór danych wejściowych nie zawiera informacji podlegających ochronie, analiza umowy pod kątem przepisów RODO ma mniejsze znaczenie, choć nadal istotne pozostają kwestie zachowania tajemnicy przedsiębiorstwa.

Jak przebiega analiza środowiska i dokumentacji

Proces weryfikacji rozpoczyna się od inwentaryzacji narzędzi. Ustala się, z jakich aplikacji, wtyczek oraz modeli korzystają pracownicy w codziennej pracy oraz jakie kategorie informacji są do nich wprowadzane. Następnie analizowane są panele administracyjne wykorzystywanych usług pod kątem dostępności umów powierzenia danych, parametrów retencji oraz ustawień prywatności.

Kolejnym krokiem jest badanie zgodności regulaminów technicznych ze specyfiką działalności firmy. Na tej podstawie formułowane są wytyczne dotyczące prawidłowej konfiguracji kont służbowych, wdrożenia odpowiednich zasad w oprogramowaniu firewall oraz przygotowania wewnętrznych reguł bezpiecznego posługiwania się technologią generatywną.

Często zadawane pytania

Czy samo wykupienie wersji płatnej narzędzia AI oznacza automatyczne podpisanie umowy powierzenia?

W większości przypadków nie następuje to w sposób w pełni automatyczny. Wykupienie subskrypcji odblokowuje funkcje biznesowe, jednak zawarcie umowy DPA wymaga najczęściej zaakceptowania dedykowanego formularza elektronicznego w panelu administracyjnym lub pobrania gotowego aneksu i odesłania go do dostawcy. Bez wykonania tej czynności konto może nadal podlegać jedynie ogólnym warunkom handlowym.

Czy dostawca API sztucznej inteligencji może uczyć swoje modele na danych przesyłanych z systemów firmowych?

Większość renomowanych dostawców w regulaminach dla interfejsów programistycznych deklaruje, że dane przesyłane przez API nie są wykorzystywane do trenowania publicznych modeli. Należy to jednak każdorazowo zweryfikować w dokumentacji technicznej, ponieważ warunki te mogą różnić się w zależności od wybranego punktu końcowego, wersji modelu oraz włączonych funkcji dodatkowych (np. automatycznego logowania błędów).

Czym różni się umowa powierzenia danych od standardowej polityki prywatności dostawcy?

Polityka prywatności to oświadczenie informujące użytkownika o przetwarzaniu jego danych przez serwis (np. adresu e-mail czy danych karty płatniczej w celach rozliczeniowych). Umowa powierzenia danych (DPA) to prawnie wiążące porozumienie, w którym dostawca technologii zobowiązuje się do przetwarzania danych powierzonych przez firmę wyłącznie na jej udokumentowane polecenie i zgodnie z określonymi standardami bezpieczeństwa.

Co dzieje się z danymi firmowymi po zakończeniu korzystania z usługi AI?

Prawidłowo skonstruowana umowa powierzenia musi precyzować procedurę usuwania danych. Standardowo dostawca zobowiązuje się do trwałego skasowania wszystkich przechowywanych zapytań, odpowiedzi, logów systemowych oraz kopii zapasowych w określonym terminie od momentu wygaśnięcia konta lub rozwiązania umowy.

Jakie kroki techniczne należy podjąć równolegle z podpisaniem umowy powierzenia?

Formalne podpisanie dokumentu DPA powinno iść w parze z konfiguracją techniczną. Należy wyłączyć w panelu administracyjnym historię zapytań dla celów optymalizacji modeli, wymusić uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich kont użytkowników, ograniczyć dostęp do narzędzi wyłącznie z autoryzowanych adresów IP oraz skonfigurować reguły blokujące przesyłanie niezaszyfrowanych danych wrażliwych.

Bezpieczne korzystanie ze sztucznej inteligencji w środowisku firmowym

Wdrażanie narzędzi generatywnych w strukturach przedsiębiorstwa pozwala na automatyzację wielu procesów, jednak wymaga rzetelnego przygotowania formalnego i technicznego. Sprawdzenie statusu umów powierzenia danych, prawidłowe skonfigurowanie parametrów prywatności w panelach dostawców oraz oddzielenie narzędzi testowych od środowiska produkcyjnego pozwala w pełni wykorzystać potencjał nowoczesnego oprogramowania bez narażania organizacji na ryzyka prawne i utratę kontroli nad poufnymi danymi.

22 378 48 09

Umowy powierzenia danych z dostawcami narzędzi AI