Kiedy AI wymaga DPIA, a kiedy konsultacji z UODO

Poniżej praktyczny poradnik, a nie rozstrzygnięcie konkretnej sprawy — przy większych kwotach warto go przepuścić przez własnego doradcę. W 170-osobowej firmie produkcyjnej pod Poznaniem wdrożenie narzędzia do wstępnej oceny zgłoszeń rekrutacyjnych trafiło do inspektora ochrony danych w piątek po południu. Wcześniej każda rekrutacja polegała na ręcznym przeglądaniu CV w arkuszu. Na jedno stanowisko wpływało 60 zgłoszeń, a wstępny odsiew zajmował 6–7 godzin. Narzędzie miało punktować doświadczenie, staż i język, a dział HR chciał ruszyć z pilotażem w poniedziałek. Pytanie brzmiało: czy to trzeba gdzieś zgłosić? Odpowiedź jest krótka: samo wdrożenie AI nie wymaga zgłoszenia do UODO. Wymaga natomiast sprawdzenia, czy trzeba przeprowadzić ocenę skutków dla ochrony danych.

Jak to poskładali

W pierwszym tygodniu IOD spisał inwentarz operacji: źródło danych (CV, formularze, testy), dostawca modelu, sposób oceny, retencja. Narzędzie było dla firmy nową technologią, więc art. 35 ust. 1 RODO wymagał sprawdzenia, czy ryzyko jest wysokie. W drugim tygodniu okazało się, że narzędzie robi zautomatyzowaną ocenę czynników osobowych, bo wynik decyduje o zaproszeniu na rozmowę. To uruchamia art. 35 ust. 3 lit. a RODO, a w polskim Komunikacie Prezesa UODO z 17.06.2019 takie profilowanie jest wprost w wykazie przetwarzań wymagających DPIA. Trzeci tydzień to dokumentacja od dostawcy: jakie dane treningowe, gdzie są przetwarzane, czy da się wyłączyć ocenę. W czwartym tygodniu powstała pierwsza wersja DPIA: opis przetwarzania, ocena niezbędności i proporcjonalności, analiza ryzyka (stronniczość, brak transparentności, utrata kontroli), środki minimalizujące i decyzja. Do tego siedem pytań operacyjnych: źródła danych, trenowanie modelu, decyzje zautomatyzowane, ryzyko dyskryminacji, transparentność, nadzór człowieka, retencja. Po stronie firmy zaangażowani byli IOD (28 godzin), szefowa HR (6 godzin), dział IT (4 godziny) i zarząd (2 godziny).

Rachunek

Koszt zewnętrzny przygotowania DPIA dla jednego procesu rekrutacyjnego zamknął się w widełkach 8 000–14 000 zł netto. Wewnątrz firmy poszło 40 roboczogodzin, głównie po stronie IOD. Gdyby zespół robił to sam, koszt gotówkowy byłby bliski zera, ale czas IOD urósłby do 60–80 godzin i wymagałby doświadczenia w analizie ryzyka. Oszczędność po wdrożeniu pilotażowym to 5–7 godzin tygodniowo w pracy rekrutacji, przy założeniu, że narzędzie zostanie po pilotażu. Moment zwrotu przy koszcie pracy rekruterki w okolicy 6 000 zł miesięcznie wychodzi po 3–4 miesiącach. To wartości z naszych realizacji — zależą od liczby procesów, dokumentacji dostawcy i tego, czy DPIA obejmuje jedno narzędzie, czy cały obszar rekrutacji.

Co poszło nie tak

Pierwszy problem: dostawca nie chciał udostępnić informacji o danych treningowych, powołując się na tajemnicę przedsiębiorstwa. Bez tego nie dało się ocenić ryzyka stronniczości. Po dwóch tygodniach negocjacji podpisano NDA i dostawca przekazał metrykę modelu oraz listę źródeł w formie syntetycznej. To dodało 6 roboczogodzin. Drugi problem: pierwsza wersja DPIA opisywała profilowanie jako jedno zdarzenie. Przez to ryzyko dyskryminacji było zaniżone. Poprawka wymagała rozbicia na pięć podprocesów: od wpływu CV przez punktowanie do decyzji o odrzuceniu. Trzeci problem: HR chciał wdrożyć przed zatwierdzeniem przez zarząd. Dokument czekał 11 dni na podpis jednego członka zarządu, bo formalna procedura nie przewidywała zastępstwa.

Co zrobilibyśmy inaczej

Zaczęlibyśmy od pre-screeningu dostawcy jeszcze przed zakupem pilotażu. Pytania o dane treningowe, retencję, podprocesorów i lokalizację przetwarzania powinny trafić do umowy albo aneksu przed uruchomieniem. Druga zmiana: DPIA tworzona równolegle z wyborem narzędzia, a nie po podpisaniu PoC. Trzecia: harmonogram musi mieć bufor na podpis zarządu. W naszej praktyce przy 50–250 osobach podpis zabiera 3–5 dni roboczych, ale urlopy wydłużają to do dwóch tygodni. Dla systemów wysokiego ryzyka w rozumieniu AI Act doszłaby ocena skutków dla praw podstawowych z art. 27. W tym przypadku narzędzie nie było systemem wysokiego ryzyka, więc DPIA wystarczyła, ale u innych klientów łączymy oba dokumenty w jednym przebiegu.

Scenariusz ma sens dla firmy, która wdraża narzędzie AI do rekrutacji, obsługi klienta z analizą wydźwięku, monitoringu wizyjnego z rozpoznawaniem twarzy albo analityki predykcyjnej oceniającej ryzyko. Nie ma sensu dla generatora treści bez danych osobowych ani dla anonimowych danych wewnętrznych. Samo wdrożenie AI nie wymaga zgłoszenia do UODO. Wymaga natomiast uczciwej selekcji: czy mamy do czynienia z nową technologią, systematyczną oceną albo monitoringiem na dużą skalę. Cała DPIA dla średniej firmy zamyka się zwykle w 2–6 tygodniach roboczych i 40–80 godzinach. Dokument zatwierdza administrator — najczęściej zarząd — po zasięgnięciu opinii IOD, a przy ryzyku resztkowym pojawia się konsultacja z UODO na podstawie art. 36 RODO.