Procedura wykorzystania sztucznej inteligencji w urzędzie – dlaczego staje się obowiązkowym elementem systemu zarządzania bezpieczeństwem?
Sztuczna inteligencja przestała być technologiczną ciekawostką. Dzisiaj pracownicy urzędów korzystają z narzędzi AI do przygotowywania pism, analizowania dokumentów, tworzenia zestawień, opracowywania prezentacji czy redagowania odpowiedzi dla mieszkańców. W wielu przypadkach dzieje się to bez wiedzy kierownictwa jednostki i bez jakichkolwiek zasad określających, jakie dane wolno wprowadzać do systemów AI oraz w jaki sposób należy weryfikować otrzymywane odpowiedzi.
To właśnie dlatego coraz więcej jednostek administracji publicznej opracowuje i wdraża Procedurę wykorzystania sztucznej inteligencji (AI). Nie jest to wyłącznie kwestia organizacyjna ani dobra praktyka. W wielu sytuacjach jest to praktyczny sposób realizacji obowiązków wynikających z przepisów prawa dotyczących ochrony danych osobowych, cyberbezpieczeństwa, kontroli zarządczej oraz nowych regulacji Unii Europejskiej dotyczących sztucznej inteligencji.
Czy przepisy wprost nakazują posiadanie Procedury AI?
Nie istnieje jeden przepis, który dosłownie stanowiłby, że “każdy urząd musi posiadać Procedurę wykorzystania AI”.
Nie oznacza to jednak, że urząd może pozostawić korzystanie ze sztucznej inteligencji bez jakichkolwiek zasad.
Wręcz przeciwnie.
Obowiązek opracowania procedury wynika z konieczności wykazania zgodności z wieloma obowiązującymi regulacjami prawnymi. W praktyce podczas kontroli znacznie łatwiej wykazać dochowanie należytej staranności, jeżeli urząd posiada wdrożoną procedurę, przeszkolił pracowników i potrafi udokumentować sposób korzystania z narzędzi AI.
RODO wymaga wdrożenia odpowiednich środków organizacyjnych
Najważniejszym aktem prawnym pozostaje Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).
Szczególne znaczenie mają:
- art. 5 ust. 1 lit. f RODO – zasada integralności i poufności danych,
- art. 5 ust. 2 RODO – zasada rozliczalności,
- art. 24 RODO – obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych,
- art. 25 RODO – uwzględnianie ochrony danych w fazie projektowania i domyślna ochrona danych,
- art. 32 RODO – obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzania,
- art. 35 RODO – obowiązek przeprowadzenia oceny skutków dla ochrony danych w przypadkach wysokiego ryzyka.
Jeżeli pracownik urzędu wpisuje do publicznego narzędzia AI dane osobowe mieszkańców, dane pracowników, numery PESEL, informacje podatkowe lub treść nieopublikowanych decyzji administracyjnych, to moim zdaniem dopuszcza się poważnego naruszenia ochrony danych osobowych. Administrator danych musi wykazać, że posiada odpowiednie środki organizacyjne zapobiegające takim sytuacjom.
Najprostszym i jednocześnie najbardziej oczekiwanym środkiem organizacyjnym jest właśnie Procedura wykorzystania AI.
Zasada rozliczalności wymaga udokumentowania działań
Jedną z najważniejszych zasad RODO jest zasada rozliczalności. Nie wystarczy twierdzić, że urząd dba o bezpieczeństwo danych. Administrator musi być w stanie wykazać:
- jakie zasady obowiązują pracowników,
- jakie narzędzia AI mogą być wykorzystywane,
- których systemów używać nie wolno,
- jakie dane mogą zostać przekazane do AI,
- kto odpowiada za nadzór nad korzystaniem ze sztucznej inteligencji,
- jakie szkolenia przeprowadzono.
Brak procedury bardzo utrudnia udowodnienie spełnienia tych obowiązków.
AI Act nakłada nowe obowiązki na sektor publiczny
Kolejnym niezwykle ważnym aktem prawnym jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act).
Rozporządzenie to stopniowo wprowadza obowiązki dla podmiotów wykorzystujących systemy AI, a część obowiązków dotyczy również organów administracji publicznej, zwłaszcza gdy korzystają z systemów AI wysokiego ryzyka lub wdrażają takie rozwiązania w swojej działalności.
AI Act wprowadza między innymi obowiązki dotyczące:
- zapewnienia odpowiedniego nadzoru człowieka,
- zarządzania ryzykiem,
- prowadzenia odpowiedniej dokumentacji,
- zapewnienia odpowiednich kompetencji osób korzystających z AI (AI literacy),
- stosowania zasad przejrzystości.
Nawet jeśli urząd korzysta wyłącznie z popularnych narzędzi generatywnej AI do wspomagania pracy administracyjnej, powinien zadbać o wewnętrzne zasady korzystania z tych narzędzi, aby ograniczyć ryzyko naruszeń prawa.
Ustawa o krajowym systemie cyberbezpieczeństwa
Jednostki administracji publicznej są również zobowiązane do zarządzania ryzykiem w zakresie bezpieczeństwa informacji. Niekontrolowane korzystanie z narzędzi AI może prowadzić do:
- ujawnienia informacji chronionych,
- wycieku danych osobowych,
- naruszenia tajemnicy przedsiębiorcy,
- ujawnienia informacji niejawnych lub poufnych,
- utraty kontroli nad dokumentami urzędowymi.
Procedura AI stanowi jeden z elementów ograniczania tych zagrożeń.
Kontrola zarządcza wymaga zarządzania ryzykiem
Istotne znaczenie mają również przepisy ustawy o finansach publicznych. Art. 68 i art. 69 ustawy dotyczą funkcjonowania kontroli zarządczej, której jednym z podstawowych elementów jest zarządzanie ryzykiem.
Jeżeli w urzędzie wykorzystywana jest sztuczna inteligencja, kierownik jednostki powinien zidentyfikować ryzyka związane z jej używaniem oraz wdrożyć odpowiednie mechanizmy kontrolne.
Takim mechanizmem jest właśnie Procedura wykorzystania AI.
Procedura wykorzystania AI w urzędzie
Dlaczego sama instrukcja dla pracowników nie wystarczy?
W wielu urzędach pojawia się przekonanie, że wystarczy wysłać pracownikom wiadomość e-mail z informacją:
“Nie wpisujcie danych osobowych do ChatGPT.” To zdecydowanie za mało. Kompletna procedura powinna regulować między innymi:
- cele korzystania z AI,
- definicje używanych systemów,
- zakres dopuszczalnego wykorzystania,
- zakazane zastosowania,
- klasyfikację danych,
- zasady anonimizacji,
- obowiązki kierowników komórek organizacyjnych,
- obowiązki pracowników,
- zasady weryfikacji odpowiedzi generowanych przez AI,
- odpowiedzialność użytkowników,
- postępowanie w przypadku naruszeń,
- szkolenia,
- dokumentowanie korzystania z AI,
- okresowe przeglądy procedury.
Jakie ryzyko ponosi urząd bez Procedury AI?
Brak procedury może skutkować między innymi:
- naruszeniem RODO,
- wyciekiem danych osobowych,
- naruszeniem tajemnicy prawnie chronionej,
- nieprawidłowym wykorzystaniem odpowiedzi wygenerowanych przez AI,
- trudnościami podczas kontroli Prezesa UODO,
- problemami podczas audytów bezpieczeństwa informacji,
- wykazaniem braku należytej staranności przez kierownika jednostki.
Gotowa procedura to oszczędność czasu i bezpieczeństwo prawne
Samodzielne przygotowanie kompletnej procedury wykorzystania AI wymaga analizy wielu aktów prawnych, uwzględnienia wymagań RODO, AI Act, zasad cyberbezpieczeństwa oraz praktyki funkcjonowania administracji publicznej.
Dlatego coraz więcej jednostek decyduje się na wykorzystanie gotowych, profesjonalnie opracowanych dokumentów, które można szybko dostosować do specyfiki urzędu. Takie rozwiązanie znacząco skraca czas wdrożenia, zapewnia spójność z obowiązującymi regulacjami oraz ułatwia wykazanie realizacji obowiązków organizacyjnych podczas kontroli lub audytu.
Jeżeli szukasz praktycznej, kompleksowej i przygotowanej przez specjalistę Procedury wykorzystania AI dla urzędu, warto skorzystać z gotowego opracowania dostępnego w sklepie z materiałami pomocniczymi dotyczącymi ochrony danych osobowych i zgodności z RODO pod adresem sklep.karoladamek.pl
Gotowy dokument można dostosować do potrzeb konkretnej jednostki, dzięki czemu wdrożenie zasad korzystania ze sztucznej inteligencji jest znacznie prostsze niż tworzenie procedury od podstaw.
Sztuczna inteligencja będzie coraz powszechniej wykorzystywana w administracji publicznej. Pytanie nie brzmi już, czy pracownicy korzystają z AI, lecz czy robią to zgodnie z obowiązującymi przepisami.
Choć przepisy nie nakazują wprost posiadania jednego dokumentu o nazwie „Procedura wykorzystania AI”, obowiązki wynikające z RODO, AI Act, przepisów o kontroli zarządczej oraz zarządzaniu bezpieczeństwem informacji powodują, że wdrożenie takiej procedury jest obecnie jednym z najbardziej racjonalnych i praktycznych sposobów zapewnienia zgodności z prawem oraz ograniczenia ryzyka organizacyjnego. Dobrze przygotowany dokument nie tylko porządkuje zasady korzystania z AI, ale również stanowi ważny dowód należytej staranności kierownika jednostki i administratora danych.