AI a RODO w małej firmie: dane klientów i proste zabezpieczenia

RODO przy AI to przede wszystkim dyscyplina danych

W małej firmie zgodność z RODO przy AI rzadko wymaga dużego budżetu. Wymaga dyscypliny: świadomości, jakie dane wchodzą do narzędzia, dokąd trafiają i kto ma do nich dostęp. Prywatność danych przy AI zaczyna się nie od systemu, tylko od decyzji, czego do tego systemu w ogóle nie wkładasz.

Punkt wyjścia jest prosty: model potrzebuje tylko tych danych, które są niezbędne do zadania. Wszystko ponad to jest zbędnym ryzykiem.

Czego nie wklejać

Zanim wkleisz cokolwiek do narzędzia AI, sprawdź, czy zadanie tego naprawdę wymaga. Domyślnie nie wklejaj:

• Numerów PESEL, dowodów, danych z dokumentów tożsamości.
• Danych wrażliwych (zdrowie, dane biometryczne, poglądy).
• Pełnych baz klientów, gdy do zadania wystarczy jeden rekord.
• Tajemnic handlowych i danych objętych umowami poufności, bez sprawdzenia warunków narzędzia.

Jeśli dane są potrzebne, ale identyfikacja osoby nie — usuń lub zamaskuj pola identyfikujące przed wysłaniem. To najtańsze zabezpieczenie, jakie istnieje: zminimalizować wejście.

Proste zabezpieczenia w budżecie MŚP

Większość ryzyka zamyka kilka tanich kroków, które wdraża się od razu.

Zabezpieczenie	Co robi	Koszt
Minimalizacja danych	Mniej danych na wejściu = mniejsze ryzyko	Zerowy
Guardrails	Reguły, czego modelowi nie wolno przyjąć ani zwrócić	Niski
Dziennik użycia	Zapis, kto i co przesłał do narzędzia	Niski
Role i dostęp	Tylko właściwe osoby do właściwych danych	Niski
Wybór narzędzia	Dostawca, który nie uczy się na twoich danych	Wybór, nie koszt

Guardrails to zestaw reguł nałożonych na narzędzie — na przykład blokada wklejania numerów PESEL albo zakaz zwracania danych spoza dozwolonego zakresu. Działają jak bezpiecznik i nie wymagają dużego nakładu.

Uwaga na prompt injection

Jest jedno ryzyko, o którym małe firmy często nie wiedzą. Prompt injection to atak, w którym złośliwe polecenie ukryte jest w treści, którą model przetwarza — na przykład w mailu, dokumencie albo na stronie. Model może potraktować je jak instrukcję i zrobić coś, czego nie chciałeś, na przykład ujawnić dane.

Dlatego asystent pracujący na cudzych treściach (maile, załączniki, formularze) nie powinien mieć samodzielnego dostępu do wrażliwych operacji. Człowiek w pętli i guardrails ograniczają skutki takiego ataku.

Zasada operatora: traktuj każdą treść z zewnątrz jako potencjalnie wrogą instrukcję, nie tylko jako dane. To zmienia projekt całego procesu.

Lekki ład, który da się utrzymać

Nie potrzebujesz formalnej polityki na trzydzieści stron. Potrzebujesz ładu nad AI na miarę firmy: krótkiej, jednostronicowej zasady, która mówi, jakich danych nie wolno wklejać, kto odpowiada za narzędzie i jak zgłaszać problem. Jedna strona, której wszyscy przestrzegają, jest warta więcej niż gruby dokument w szufladzie.

Do tego dwa nawyki: przegląd dziennika użycia raz na jakiś czas oraz krótka rozmowa z zespołem, zanim ktoś podłączy nowe narzędzie do firmowych danych.

Co zrobić w tym tygodniu

Trzy kroki, które domykają większość ryzyka bez budżetu:

1. Spisz na jednej stronie, jakich danych nie wolno wklejać do narzędzi AI.
2. Włącz dostępne guardrails i sprawdź, czy dostawca nie uczy się na twoich danych.
3. Ustal, kto odpowiada za narzędzie i jak zgłosić problem.

Zgodność z RODO przy AI w małej firmie nie jest projektem na kwartał. To kilka decyzji i nawyków, które wdraża się od ręki, a większy ład dokładasz dopiero, gdy rośnie skala.