Administrator może zapewnić pracownikom możliwość korzystania z ChatGPT na komputerach służbowych.
Uwaga
Przed wdrożeniem ChatGPT na komputerach służbowych pracowników należy pamiętać o:
- analizie zgodności z zasadą privacy by design,
- przeprowadzeniu ogólnej analizy ryzyka zgodnie z przepisami o ochronie danych,
- ocenie skutków dla ochrony danych,
- wprowadzeniu polityki korzystania z tego narzędzia.
Korzystanie z ChatGPT na komputerach służbowych a zasada privacy by design (art. 25 ust. 1 RODO)
Zasada privacy by design wynikająca z art. 25 ust. 1 RODO nakłada na administratora danych obowiązek uwzględniania ochrony danych osobowych już na etapie projektowania narzędzia. W przypadku wdrożenia narzędzia OpenAI w organizacji należy dokonać analizy, czy i w jakim zakresie narzędzie przetwarza dane osobowe, w tym czy użytkownicy mogą wprowadzać do niego informacje podlegające ochronie.
W związku z wdrożeniem Chat GPT konieczna ocena skutków dla ochrony danych osobowych (DPIA)
Nowe procesy przetwarzania danych osobowych w organizacji wymagają przeprowadzenia ogólnej analizy ryzyka RODO. Poza tym z uwagi na możliwość przetwarzania danych osobowych niezbędne jest przeprowadzenie oceny skutków dla ochrony danych (art. 35 RODO). Przeprowadzenie DPIA jest konieczne, jeżeli wdrożenie ChatGPT może prowadzić do systematycznego monitorowania działań użytkowników lub przetwarzania danych wrażliwych z wykorzystaniem AI.
Polityka korzystania z ChatGPT - zasady przetwarzania danych osobowych za pomocą sztucznej inteligencji
Przed wdrożeniem rekomendowane jest również opracowanie polityki korzystania z narzędzia, określającej m.in. zakres dopuszczalnego użytkowania ChatGPT, ograniczenia dotyczące wprowadzania danych osobowych oraz zasady nadzoru nad korzystaniem z narzędzia przez pracowników. Ponadto, zgodnie z art. 32 RODO, administrator powinien wdrożyć środki techniczne i organizacyjne zapewniające odpowiedni poziom bezpieczeństwa osób, których dane dotyczą, np. poprzez anonimizację lub pseudonimizację danych.
Podstawy prawne: art. 25 ust. 1, art. 32, art. 35 RODO
Autor: Marcin Sarna, poradyodo.pl