Shadow AI: riscurile GDPR ale utilizarii necontrolate a inteligentei artificiale
Inteligenta artificiala a intrat rapid in activitatea de zi cu zi a multor organizatii. Angajatii folosesc ChatGPT, Claude, Gemini, Grok sau alte instrumente AI pentru a redacta texte, rezuma documente, analiza informatii, lucra cu CV-uri sau automatiza diferite sarcini.
Problema apare atunci cand aceste instrumente sunt utilizate iar organizatia nu stie ce date sunt introduse, unde ajung acestea, cine le prelucreaza si in ce conditii. Fenomenul este cunoscut sub denumirea de Shadow AI si poate genera riscuri GDPR care nu sunt intotdeauna vizibile la momentul utilizarii.
De la introducerea datelor personale intr-un instrument AI neaprobat si pana la transferuri internationale, evaluari automatizate, lipsa unei DPIA sau imposibilitatea de a demonstra existenta unor masuri tehnice si organizatorice adecvate, riscurile pot afecta direct capacitatea organizatiei de a respecta si demonstra conformitatea cu GDPR.
In acest articol analizam cum apare Shadow AI, care sunt principalele riscuri GDPR si ce poate face organizatia pentru a identifica, evalua si controla utilizarea inteligentei artificiale.
Ce este Shadow AI?
Shadow AI reprezinta utilizarea unor instrumente si servicii bazate pe inteligenta artificiala fara ca acestea sa fi fost evaluate, aprobate sau integrate in regulile si procesele organizatiei.
Nu este vorba doar despre chatboturi. Shadow AI poate include extensii de browser, instrumente de transcriere sau traducere, aplicatii care analizeaza documente, generatoare de prezentari, asistenti pentru programare sau functii AI integrate in aplicatii deja utilizate de organizatie.
Aceasta diversitate face fenomenul dificil de identificat si controlat.
De ce apare Shadow AI?
Angajatii cauta solutii care sa ii ajute sa lucreze mai rapid si mai eficient. Atunci cand instrumentele aprobate oficial sunt inexistente, greu de utilizat sau nu raspund nevoilor reale, serviciile AI disponibile imediat devin o alternativa tentanta.
Din experienta noastra, Shadow AI devine dificil de controlat atunci cand organizatia nu are reguli clare privind utilizarea inteligentei artificiale si nu ofera angajatilor alternative aprobate.
O interdictie generala, fara reguli practice si fara instrumente adecvate, poate determina continuarea utilizarii AI, dar intr-un mod mai putin vizibil.
Principalele riscuri GDPR
1. Introducerea datelor personale in instrumente necontrolate
Un angajat poate introduce intr-un instrument AI o lista de clienti, un CV, un contract, un e-mail sau un document care contine date personale.
Organizatia trebuie sa stie cine prelucreaza datele, in ce scop, in baza carui temei juridic si in ce conditii.
In functie de rolul furnizorului si de serviciul utilizat, trebuie analizate inclusiv responsabilitatile partilor si, atunci cand este cazul, garantiile contractuale prevazute de art. 28 GDPR.
2. Pierderea controlului asupra datelor
Atunci cand este utilizat un cont personal sau un serviciu care nu a fost evaluat de organizatie, este practic imposibil sa se cunoasca exact ce se intampla cu informatiile introduse.
Trebuie analizate aspecte precum colectarea si pastrarea datelor, accesul la acestea, utilizarea lor pentru imbunatatirea serviciului, locatia procesarii si posibilitatea stergerii.
Conditiile pot diferi in functie de furnizor, serviciu si tipul de cont, motiv pentru care acestea trebuie verificate inainte ca datele organizatiei sa fie introduse intr-un instrument AI.
3. Transferuri internationale necontrolate
Utilizarea unui serviciu AI poate implica transmiterea datelor catre destinatari sau sisteme aflate in afara Spatiului Economic European.
In aceasta situatie trebuie analizata aplicabilitatea regulilor GDPR privind transferurile internationale si existenta garantiilor adecvate.
In cazul Shadow AI, organizatia poate nici macar sa nu stie ca un astfel de transfer are loc.
4. Lipsa unei evaluari reale a riscurilor
O organizatie nu poate evalua corect riscurile unei prelucrari pe care nu stie ca o realizeaza.
Utilizarea necontrolata a AI poate afecta aplicarea principiilor GDPR privind limitarea scopului, minimizarea datelor, securitatea si responsabilitatea operatorului.
5. DPIA si prelucrarile automatizate
Atunci cand utilizarea unui sistem AI implica prelucrarea datelor cu caracter personal, trebuie analizata necesitatea realizarii unei evaluari de impact asupra protectiei datelor (DPIA).
Articolul 35 GDPR impune DPIA atunci cand prelucrarea este susceptibila sa genereze un risc ridicat pentru drepturile si libertatile persoanelor. In anumite situatii, obligatia rezulta din GDPR sau din lista operatiunilor stabilita de autoritatea de supraveghere.
Printre acestea se afla anumite forme de evaluare sistematica si automatizata a persoanelor, inclusiv profilarea, precum si anumite forme de monitorizare sistematica si pe scara larga. In Romania, ANSPDCP a stabilit prin Decizia nr. 174/2018 o lista a operatiunilor pentru care DPIA este obligatorie.
De exemplu, daca un angajat introduce CV-uri intr-un instrument AI pentru analizarea sau clasificarea candidatilor, poate avea loc o evaluare sistematica si automatizata a persoanelor, inclusiv profilarea, ceea ce poate atrage obligatia realizarii unei DPIA.
Atunci cand DPIA este necesara, aceasta trebuie realizata inaintea inceperii prelucrarii, pentru ca riscurile sa poata fi identificate si reduse inca din etapa de proiectare.
Raspunderea organizatiei
Faptul ca un angajat utilizeaza neautorizat un instrument AI nu transfera asupra acestuia obligatiile care revin organizatiei in calitate de operator.
In lipsa unor masuri tehnice si organizatorice adecvate si a documentarii acestora, organizatia nu poate demonstra ca a prevenit si controlat utilizarea necorespunzatoare a datelor cu caracter personal.
Simpla invocare a faptului ca „un angajat a introdus datele in ChatGPT” nu este suficienta pentru a demonstra conformitatea cu GDPR. Organizatia trebuie sa poata demonstra existenta unor reguli, masuri de securitate, instruire si mecanisme de control adecvate riscurilor identificate.
Shadow AI in practica
Fenomenul poate aparea in aproape orice departament:
- Vanzari: lista clientilor si istoricul interactiunilor sunt introduse intr-un chatbot pentru generarea unui raport.
- Resurse umane: mai multe CV-uri sunt incarcate intr-un instrument AI pentru comparare si clasificare.
- Juridic: un contract este introdus intr-un chatbot pentru rezumare sau reformulare.
- IT: fragmente din codul intern sunt introduse intr-un asistent AI pentru identificarea erorilor sau generarea de solutii.
In fiecare caz, problema nu este simpla utilizare a inteligentei artificiale, ci utilizarea ei fara o analiza prealabila a datelor, scopului, furnizorului si riscurilor asociate.
Cum poate organizatia sa reduca riscul de Shadow AI?
1. Stabileste reguli clare.
Defineste ce este permis, ce este interzis si ce necesita aprobare, inclusiv ce categorii de date pot fi introduse in instrumente AI.
2. Identifica utilizarea reala.
Chestionarea angajatilor, discutiile cu managerii si, unde este posibil si justificat, verificarile tehnice pot identifica instrumentele utilizate si scopurile acestora.
3. Clasifica datele si utilizarile.
O reformulare a unui text public nu prezinta acelasi risc ca analiza unor CV-uri, dosare ale clientilor sau date privind angajatii.
4. Evalueaza si aproba instrumentele.
Analizeaza conditiile furnizorului, securitatea, pastrarea si utilizarea datelor, rolurile partilor, garantiile contractuale si, dupa caz, transferurile internationale.
5. Analizeaza riscurile si documenteaza masurile.
Pentru utilizarile care implica date personale trebuie analizate temeiul juridic, principiile GDPR, riscurile si masurile tehnice si organizatorice. Dupa caz, trebuie realizata si DPIA.
6. Instruieste si monitorizeaza.
Regulile trebuie cunoscute si aplicate de angajati, iar utilizarea AI si regulile interne trebuie revizuite periodic.
Primul pas nu este sa interzici AI. Primul pas este sa intelegi cum este deja folosita inteligenta artificiala in organizatie.
Inventarierea utilizarii, clasificarea datelor, evaluarea instrumentelor, reguli clare si instruirea angajatilor pot transforma o utilizare necontrolata intr-un proces care poate fi gestionat si evaluat din perspectiva riscurilor GDPR.
Inteligenta artificiala poate aduce beneficii importante organizatiilor, insa aceste beneficii nu ar trebui obtinute prin pierderea controlului asupra datelor cu caracter personal.
Acest articol are caracter exclusiv informativ si nu reprezinta consultanta juridica. Situatia fiecarei organizatii trebuie analizata in functie de tipul de date prelucrate, scopurile utilizarii AI, instrumentele si furnizorii implicati si circumstantele concrete ale prelucrarii. Pentru evaluarea riscurilor, realizarea unei DPIA sau auditarea modului in care organizatia utilizeaza instrumentele de inteligenta artificiala, echipa GDPR Center va poate oferi suport specializat.