Co dzieje się z danymi firmy, gdy pracuje na nich AI

Na spotkaniach Akademii to pytanie pada zawsze: co z naszymi danymi? Poniżej osiem pytań, które warto zadać każdemu dostawcy, niezależnie od tego, z kim firma wdraża AI. Przy każdym podajemy, jak odpowiada na nie Leaware.

W skrócie: dane firmy powinny zostać w miejscu, które firma wybiera, nie mieszać się z danymi innych firm i nie służyć do trenowania publicznych modeli. Zasady, kiedy decyduje człowiek, ustala firma, a każda decyzja systemu zostaje zapisana. Jeśli dostawca nie umie tego potwierdzić na piśmie, poproś o to, zanim dostanie dostęp do faktur i maili.

1. Gdzie będą moje dane?

W Unii Europejskiej. Na serwerach firmy albo w chmurze w UE. Wybiera firma.

2. Czy mieszają się z danymi innych firm?

Nie. Każda firma ma osobną instalację, osobną bazę i osobne klucze.

3. Czy ktoś uczy na nich swoje modele?

Nie. Dane firmy nie służą do trenowania publicznych modeli.

4. Kto podejmuje decyzję: AI czy człowiek?

Zasady ustala firma. Na przykład: faktura powyżej ustalonej kwoty zawsze idzie do kierownika. Gdy AI nie jest pewne, oddaje sprawę człowiekowi.

5. Skąd wiem, dlaczego AI zrobiło to, co zrobiło?

Każda decyzja jest zapisana: co weszło, co wyszło i dlaczego. Można zapytać „dlaczego ta faktura trafiła na to konto” i dostać odpowiedź zwykłym językiem.

6. Co z RODO?

Jest umowa powierzenia przetwarzania danych. System przetwarza tylko to, co potrzebne do zadania. Jak długo dane są przechowywane, ustala firma. Na żądanie są usuwane.

7. Czy muszę wymieniać swoje systemy?

Nie. AI podłącza się do tego, co firma już ma: programu księgowego, systemu sprzedaży, poczty, sklepu internetowego. Gdy system nie ma gotowego połączenia, buduje się do niego łącznik.

8. Czy uzależnię się od jednego dostawcy AI?

Nie. Model dobiera się do zadania i można go wymienić na inny.

Od strony technicznej: dane są szyfrowane w spoczynku i w przesyle, dostęp jest przez role i uprawnienia z logowaniem dwuskładnikowym, kopie zapasowe robią się automatycznie.

Szczegóły dla działu IT: bizprocess.ai/pl/bezpieczenstwo · bizprocess.ai/pl/technologia

Co mówią przepisy, gdy w danych są ludzie

Automatyzacja w firmie zwykle dotyczy faktur, zamówień i dokumentów. Ale w mailach, na fakturach i w zgłoszeniach są też dane osób: osób kontaktowych, przedsiębiorców prowadzących jednoosobową działalność, pracowników. Wtedy obowiązuje RODO. Trzy przepisy dobrze tłumaczą, dlaczego pytania 4, 5 i 6 nie są formalnością.

Art. 22: decyzja o człowieku nie może zapadać wyłącznie automatycznie. Osoba, której dane dotyczą, ma prawo nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec niej skutki prawne albo w podobny sposób istotnie na nią wpływa. Przepis ma wyjątki: gdy decyzja jest niezbędna do zawarcia lub wykonania umowy, gdy pozwala na nią prawo albo gdy osoba wyraziła wyraźną zgodę. Przy umowie i zgodzie firma musi zapewnić co najmniej prawo do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji. To dlatego w pytaniu 4 tak ważne jest, kto decyduje.

Art. 15: człowiek może zapytać, co firma o nim wie. Prawo dostępu do danych obejmuje też informację o zautomatyzowanym podejmowaniu decyzji, a w przypadkach z art. 22 także istotne informacje o zasadach, na jakich te decyzje zapadają. Zapis z pytania 5, czyli co weszło, co wyszło i dlaczego, pomaga na takie pytanie odpowiedzieć.

Art. 17: prawo do usunięcia danych. W określonych sytuacjach, na przykład gdy dane nie są już potrzebne do celu, w którym je zebrano, osoba może żądać ich usunięcia. Stąd w pytaniu 6 okres przechowywania i usuwanie na żądanie.

Na pytanie klienta albo pracownika odpowiada firma, nie dostawca. Warto więc wiedzieć, kto w firmie to zrobi i skąd weźmie dane. Jeśli automatyzacja miałaby decydować o ludziach, na przykład o kandydatach, ocenie pracownika albo premii, zacznij od rozmowy z prawnikiem albo z osobą, która w firmie odpowiada za RODO.

To nie jest porada prawna.

Jak to wygląda w praktyce: faktura od nieznanego nadawcy

U producenta spożywczego system pobiera faktury ze skrzynki, odczytuje je i proponuje rejestr VAT oraz schemat księgowy. Dokument przyjęcia towaru odszukuje sam w systemie magazynowym (cała historia). Z punktu widzenia danych ważne są tu dwie rzeczy.

Po pierwsze, system nie zastąpił programu magazynowego, tylko podłączył się do niego. Trudne było szukanie w nim tak, żeby nie obciążać systemu, na którym pracuje reszta firmy. To ta sama sytuacja co w pytaniu 7: AI pracuje na tym, co firma już ma.

Po drugie, maile od nadawców, których system nie zna, trafiają do wyznaczonej osoby, a nie giną. To zasada z pytania 4 w praktyce: gdy system nie wie, oddaje sprawę człowiekowi.

Kto co robi z mailem w skrzynce faktur

Znany dostawca

1. SystemPobiera fakturę ze skrzynki i odczytuje ją
2. SystemProponuje rejestr VAT i schemat księgowy
3. SystemOdszukuje dokument przyjęcia towaru
4. CzłowiekKsięgowa dostaje fakturę z gotową propozycją

Nieznany nadawca

1. SystemPobiera maila ze skrzynki
2. SystemNie rozpoznaje nadawcy
3. CzłowiekWyznaczona osoba dostaje maila i decyduje, co z nim zrobić

Księgowa dostaje fakturę z gotową propozycją i podpiętym dokumentem magazynowym. To, czego system nie zna, trafia do człowieka.

Co zrobić w poniedziałek

1. Spisz, gdzie dziś są dane firmy poza jej własnymi systemami: program księgowy w chmurze, poczta, sklep internetowy, czaty AI. Lista narzędzi z części 2 to dobry początek.
2. Wyślij osiem pytań z tego tekstu każdemu dostawcy, który ma albo będzie miał dostęp do faktur, maili i zamówień. Poproś o odpowiedzi na piśmie.
3. Sprawdź, czy z każdym z nich masz umowę powierzenia przetwarzania danych. Jeśli nie wiesz, zapytaj osobę, która w firmie odpowiada za RODO.
4. Zapisz, kiedy decyduje człowiek: od jakiej kwoty faktury, przy jakim nowym kontrahencie, w jakich sprawach dotyczących pracowników. Zrób to, zanim cokolwiek zostanie zautomatyzowane.
5. Ustal, kto odpowie, gdy klient albo pracownik zapyta, jakie dane firma o nim ma i czy decyzję podjął program.

Pytania i odpowiedzi

Czy możemy zacząć na danych przykładowych, a prawdziwe dać później? Na przykładowych dokumentach widać, jak to działa. Ale w firmie inżynierskiej system przy długich, prawdziwych dokumentach przetargowych mylił się w terminach i warunkach. Różnicę widać dopiero na dokumentach klienta (cała historia). Dlatego pytania o dane warto zadać przed startem, a nie dopiero przed wdrożeniem.

Czy te pytania dotyczą też czatu, którego używają pracownicy? Częściowo. Czat to inne narzędzie, z innymi ryzykami (część 1). Pytania o to, gdzie są dane, czy służą do trenowania publicznych modeli i jak długo są przechowywane, warto zadać także przed zakupem firmowych kont do czatu.

Co, jeśli dostawca nie odpowie na któreś pytanie? Poproś o odpowiedź na piśmie albo o zapis w umowie. Brak jasnej odpowiedzi na pytanie, gdzie będą dane albo czy posłużą do trenowania modeli, to też informacja przy wyborze dostawcy.

Czy po wdrożeniu da się zmienić, ile decyduje człowiek? Tak, i w obie strony. Firma usługowa po kilku tygodniach zdjęła krok zatwierdzania. Firma leasingowa po trzech miesiącach poprosiła, żeby wysyłka do akceptacji znów wymagała kliknięcia człowieka (dwie firmy, dwie odwrotne decyzje). Dlatego zaczyna się z człowiekiem w środku.

Dalej

Czym czat różni się od automatyzacji procesu i skąd biorą się ich różne ryzyka, piszemy w części 1. Jeśli chcesz przejść przez te pytania na przykładzie jednego procesu we własnej firmie, umów przegląd potrzeb.