Sytuacja, od której zwykle się zaczyna
Rozmowa rzadko zaczyna się od pytania o AI. Zaczyna się od zakazu albo od pytania, na które nie ma dobrej odpowiedzi. Ktoś sprawdził, co pracownicy wklejają do publicznych narzędzi. Klient przysłał ankietę bezpieczeństwa z pytaniem o przetwarzanie jego danych przez AI. Dział prawny wstrzymał pomysł, bo nie wiadomo, gdzie trafiają dokumenty.
Dopiero przy takim opisie widać, że to jedno zagadnienie dotyka kilku rzeczy naraz: miejsca, w którym dane są przetwarzane, zasad dostępu do nich, stanu infrastruktury, która już w firmie stoi i tego, czy da się to wszystko wykazać przed audytorem albo klientem.
Dane, które nie mogą wyjść na zewnątrz
Umowy, dokumentacja techniczna, akta spraw, dane osobowe, dokumentacja medyczna. Najbardziej pracochłonne procesy dokumentowe są jednocześnie tymi, których najtrudniej dotknąć.
AI weszła do firmy bez decyzji
Zespoły już korzystają z publicznych narzędzi, bo są pod ręką. Nikt nie ustalił, co wolno w nich robić, a firma dowiaduje się o tym przy okazji audytu albo pytania od klienta.
Trzeba wykazać, jak to działa
Regulator, audytor albo klient pyta o miejsce przetwarzania, dostępy i odpowiedzialność. Odpowiedź „korzystamy z narzędzia AI” nie jest odpowiedzią, która wystarczy.
Kiedy zamknięte środowisko jest potrzebne
Zamknięte środowisko nie jest lepszą wersją wdrożenia AI. Jest wersją wybieraną wtedy, gdy istnieje powód, którego nie da się obejść.
Ograniczenie wynika z przepisu
Regulacje branżowe, tajemnica zawodowa, wymogi wobec podmiotów publicznych i regulowanych. Tu nie ma miejsca na interpretację i to zwykle przesądza sprawę najszybciej.
Ograniczenie wynika z umowy
Klauzule poufności, wymagania klientów wobec dostawców, ankiety bezpieczeństwa w przetargach. Firma może technicznie móc, ale kontraktowo nie chce ryzykować.
Ograniczenie wynika z decyzji firmy
Polityka bezpieczeństwa przyjęta na poziomie zarządu, która nie podlega negocjacjom przy pojedynczym projekcie. To pełnoprawny powód, nawet gdy przepis niczego nie zabrania.
Co obejmuje ten obszar w Grupie
Prowadzimy dwa wątki, które w praktyce rzadko udaje się rozdzielić: środowisko, w którym AI może pracować na firmowych danych, oraz bezpieczeństwo i zgodność infrastruktury, w której to środowisko stoi.
Środowisko pod dane poufne
Projekt i uruchomienie miejsca, w którym rozwiązania AI pracują na dokumentach i danych operacyjnych bez przekazywania ich treści zewnętrznemu dostawcy modelu. Formę dobieramy do tego, co już macie i czego wymagają Wasze dane.
Bezpieczeństwo infrastruktury
Audyty, procedury i dostosowanie środowiska IT do wymogów, którym podlega firma, w tym NIS2, DORA. Obszar, który w Grupie prowadzimy niezależnie od tego, czy w projekcie pojawia się AI.
Zgodność wdrożenia AI
Ustalenie zasad korzystania, zakresu odpowiedzialności i dokumentacji potrzebnej wobec audytora, klienta lub organu wraz z obowiązkami wynikającymi z AI Act.
Kto prowadzi taki projekt
W tym obszarze pracują dwie spółki Grupy. O tym, która prowadzi projekt, decyduje to, czy środowisko trzeba dopiero zbudować, czy wystarczy uruchomić w nim rozwiązanie.
GOTOMA GENERAL
Prowadzi całość, gdy trzeba zaprojektować i zbudować środowisko: dobór formy wdrożenia, sprzęt i moc obliczeniowa, bezpieczeństwo, zgodność oraz finansowanie inwestycji. To także miejsce, w którym prowadzimy audyty i procedury bezpieczeństwa niezwiązane bezpośrednio z AI.
Private AI i lokalne środowiska na GOTOMA GENERAL ›GOTOMA Software House
Wchodzi, gdy powstaje samo rozwiązanie: asystent, praca z dokumentami, automatyzacja procesu. Jeśli macie już środowisko, na którym można to uruchomić, projekt może się zamknąć po tej stronie.
AI dla dokumentów i procesów na GOTOMA.pl ›Nie musisz rozstrzygać tego przed rozmową. Wystarczy opisać, jakie dane wchodzą w grę i co dziś stoi na przeszkodzie, a podział ustalimy po naszej stronie.
Czego nie obiecujemy
Nie deklarujemy pełnego bezpieczeństwa ani tego, że dane nie mogą wyciec. Zamknięte środowisko samo z siebie nie czyni rozwiązania bezpiecznym, a obietnica bez pokrycia kończy się rozmową, której nikt nie chce prowadzić po incydencie.
Zamiast tego ustalamy i zapisujemy rzeczy sprawdzalne: gdzie przetwarzane są dane i co nie opuszcza środowiska, kto ma do czego dostęp, co da się później odtworzyć i kto za co odpowiada, również wtedy, gdy coś pójdzie nie tak.
Ta sama zasada dotyczy samych mechanizmów AI. Działają z dużą, ale nie stuprocentową pewnością, więc w każdym wdrożeniu ustalamy z góry, co dzieje się automatycznie, a co wymaga zatwierdzenia przez człowieka. Decyzje obciążone odpowiedzialnością zawodową, w tym księgowe, podatkowe, prawne i medyczne, zostają po stronie osób, które za nie odpowiadają. Traktujemy to jako zasadę projektową, nie jako ustawienie do zmiany w konfiguracji.