Czy AI może pomóc przy obsłudze zgłoszeń sygnalistów w urzędzie?

AI może pomóc przy obsłudze zgłoszeń sygnalistów, ale zakres tej pomocy zależy od tego, co konkretnie chcesz AI powierzyć. Pilnowanie terminów z ustawy, przygotowywanie projektów pism i prowadzenie zbiorczego rejestru to miejsca, gdzie AI daje realną wartość bez większego ryzyka. Inaczej wygląda sytuacja, gdy chcesz AI pokazać treść samego zgłoszenia: ustawa o ochronie sygnalistów nakłada na urzędy szczególne wymagania dotyczące poufności, a przetwarzanie tych danych przez AI wymaga wcześniejszego przygotowania od strony RODO.

Co ustawa nakłada na urząd i dlaczego terminy są pierwszym problemem

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928) weszła w życie 25 września 2024 r. Każdy podmiot publiczny, bez względu na liczbę zatrudnionych, musiał mieć wdrożoną procedurę wewnętrzną do tej daty.

Co ta procedura musi zawierać? Kilka konkretnych obowiązków:

• wyznaczenie koordynatora lub komórki przyjmującej zgłoszenia,
• możliwość zgłaszania pisemnie i ustnie,
• potwierdzenie przyjęcia zgłoszenia w ciągu 7 dni od wpłynięcia,
• podjęcie działań następczych i przekazanie sygnaliście informacji zwrotnej w ciągu 3 miesięcy,
• prowadzenie rejestru zgłoszeń z ograniczonym dostępem.

Ustawa obejmuje szerokie spektrum naruszeń: od korupcji i nieprawidłowości w zamówieniach publicznych, przez naruszenia prawa pracy, po szkody dla środowiska. To znaczy, że w urzędzie może wpłynąć zgłoszenie dotyczące praktycznie każdego referatu.

Siedem dni to krótki termin, szczególnie gdy zgłoszenie wpłynęło pod koniec tygodnia albo w okolicach urlopu koordynatora. W urzędach, gdzie koordynatorem jest sekretarz gminy pełniący kilka funkcji jednocześnie, termin łatwo przeoczyć. Nie z niedbalstwa, po prostu z natłoku innych spraw. I tu zaczyna się wartość prostego automatu albo AI.

Gdzie AI pomaga bez ryzyka: terminy, potwierdzenia i szablony pism

Pilnowanie terminów to pierwsze i najłatwiejsze zastosowanie. Zgłoszenie wpływa, koordynator rejestruje datę, a prosty automat oblicza termin potwierdzenia i termin odpowiedzi. Powiadomienie trafia do koordynatora z kilkudniowym wyprzedzeniem. Żadna treść zgłoszenia nie musi przy tym trafiać do zewnętrznych narzędzi. Wystarczy data wpłynięcia i numer sprawy.

Podobnie z pismem potwierdzającym. Takie pismo ma zwykle cztery, pięć zdań: potwierdzenie przyjęcia, numer sprawy, informacja o terminie odpowiedzi i dane koordynatora. AI pisze projekt w minutę, koordynator sprawdza, podpisuje i wysyła.

Jeśli urząd korzysta z systemu obiegu dokumentów (EZD RP, EZD PUW albo innego), warto najpierw sprawdzić, czy da się w nim ustawić automatyczne przypomnienia o terminach. Takie systemy często mają moduł zadań albo powiadomień. AI przydaje się szczególnie wtedy, kiedy zgłoszenia wpływają wieloma kanałami naraz: e-mailem, pisemnie przez dziennik podawczy, ustnie przez protokół, i trzeba je zebrać w jedno miejsce.

Innym bezpiecznym obszarem jest przygotowanie dokumentów dla pracowników: informacji o kanale zgłoszeń do zamieszczenia na BIP, wzoru klauzuli informacyjnej, FAQ dla osób zastanawiających się, co można zgłaszać. AI nie przetwarza tu żadnych wrażliwych danych, tylko pomaga pisać teksty proceduralne. Od tego można zacząć od razu.

Kiedy AI może dotknąć treści zgłoszenia i co trzeba sprawdzić wcześniej

Treść zgłoszenia to inna kategoria. Zawiera najczęściej dane osobowe: sygnalisty, osoby, której dotyczy naruszenie, a bywa że też świadków. Ustawa wyraźnie chroni tożsamość sygnalisty i zakazuje jej ujawniania bez podstawy prawnej.

Zanim użyjesz AI do analizy treści zgłoszenia, trzeba udzielić sobie odpowiedzi na kilka pytań:

• Gdzie fizycznie przetwarza dane to narzędzie? Serwery w Unii Europejskiej czy poza? Czy dostawca podpisał umowę powierzenia przetwarzania danych (art. 28 RODO)?
• Czy przeprowadzono ocenę skutków dla ochrony danych (DPIA)? Dane z rejestru naruszeń prawa wymagają takiej oceny przed uruchomieniem przetwarzania.
• Czy klauzula informacyjna w regulaminie kanału zgłoszeń obejmuje przetwarzanie przez AI? Sygnalista musi wiedzieć, kto i w jaki sposób przetwarza jego dane.

Jeśli nie masz odpowiedzi na te pytania, AI nie powinna widzieć treści zgłoszenia. To nie jest zakaz na zawsze. To kolejność: najpierw dokumentacja prawna i techniczna, a dopiero potem wdrożenie.

U jednego z naszych klientów (urząd miejski, kilkaset pracowników) koordynator wypracował bezpieczne podejście: przed wklejeniem treści do AI ręcznie usuwał wszystkie dane osobowe, a AI dostawała tylko anonimowy opis zdarzenia. Pytanie do AI brzmiało: do której kategorii naruszeń z ustawy kwalifikuje się ta sprawa? Kategoria decyduje o dalszych krokach, czy sprawa zostaje wewnątrz, czy idzie do zewnętrznego organu. Człowiek odpowiadał za anonimizację i decyzję, AI pomagała z klasyfikacją.

Innym bezpiecznym podejściem jest sprawdzanie kompletności akt sprawy. AI dostaje listę wymaganych dokumentów i weryfikuje, czy wszystkie są obecne w folderze: potwierdzenie przyjęcia, protokół czynności wyjaśniających, informacja zwrotna. Prosta kontrola formalna, bez dostępu do treści zgłoszenia.

Rejestr zgłoszeń: co AI może, a gdzie zachować ostrożność

Ustawa wymaga prowadzenia rejestru zgłoszeń. Trafia do niego: numer zgłoszenia, data wpłynięcia, przedmiot sprawy (kategoria naruszenia), podjęte działania, data zamknięcia. Danych osobowych sygnalisty albo się w rejestrze nie zamieszcza, albo zamieszcza z ograniczonym dostępem i odpowiednim zabezpieczeniem.

AI może pomóc przy rejestrze na kilka sposobów:

• obliczanie dat i wysyłanie przypomnień o zbliżających się terminach,
• generowanie rocznych zestawień zbiorczych dla kierownika lub rady gminy: liczba zgłoszeń, kategorie, wyniki postępowań, bez danych osobowych,
• sprawdzenie, czy prowadzony rejestr zawiera wszystkie pola wymagane przez ustawę.

Czego AI nie powinna robić bez odpowiednich zabezpieczeń? Nie powinna mieć bezpośredniego dostępu do pełnego rejestru z danymi osobowymi sygnalistów. Zestawienie zbiorcze: tak. Pełna baza z imionami, opisami i danymi stron: dopiero po spełnieniu warunków RODO opisanych wcześniej.

Kto w urzędzie wdraża AI do obsługi sygnalistów i jak to podzielić

W większości urzędów gminnych koordynatorem jest sekretarz gminy albo wyznaczony pracownik referatu kadrowego lub prawnego. Rzadziej tę funkcję pełni inspektor ochrony danych, choć IOD i tak jest angażowany do oceny każdego narzędzia, które dotknęłoby treści zgłoszeń.

Praktyczny podział przy wdrożeniu AI wygląda tak:

• Koordynator: określa, które etapy obsługi mogą korzystać z AI, pilnuje żeby AI nie dostała więcej danych niż potrzeba.
• IOD: ocenia narzędzia pod kątem RODO, przeprowadza lub zleca DPIA, aktualizuje rejestr czynności przetwarzania.
• Kierownik urzędu: zatwierdza regulamin kanału i umowy powierzenia z dostawcami narzędzi AI.

Bez tego podziału wdrożenie jest trudne, bo zbyt wiele decyzji jest interdyscyplinarnych. Kiedy każda z tych osób wie, co należy do jej gestii, projekt rusza dużo sprawniej.

Od czego zaczynamy w praktyce

Zanim wejdzie AI, sprawdź, czy procedura wewnętrzna w ogóle działa. Kilka pytań kontrolnych:

• Czy masz wyznaczonego koordynatora i aktualny regulamin kanału zgłoszeń?
• Czy rejestr jest prowadzony i dostępny tylko dla uprawnionych?
• Czy pracownicy wiedzą, jak i co zgłaszać?
• Czy klauzula informacyjna obejmuje sposób przetwarzania danych?

Jeśli procedura działa, pierwszym krokiem z AI jest automat do terminów. Arkusz z regułami albo proste narzędzie do zarządzania zadaniami wystarczą na start. Koordynator rejestruje zgłoszenie, system liczy terminy, wysyła przypomnienie kilka dni wcześniej.

Pierwsza rozmowa techniczna powinna być z IOD: jakie narzędzia AI są już dopuszczone w urzędzie do przetwarzania danych osobowych i czy któreś nadaje się do obsługi sygnalistów. Wynik tej rozmowy wyznacza, ile AI możesz bezpiecznie wdrożyć bez nowych ocen skutków.

Dopiero kiedy terminy działają bez zarzutu i IOD dał zielone światło na konkretne narzędzie, warto myśleć o AI do klasyfikacji spraw albo o asystowaniu przy pismach. W odwrotnej kolejności zbyt łatwo o błąd, który trudno potem odkręcić.

Chcesz sprawdzić, jak wygląda stan obsługi zgłoszeń sygnalistów w twoim urzędzie i gdzie AI ma rzeczywiście sens? Umów się na bezpłatny audyt. Możesz też zajrzeć do realnych wdrożeń, żeby zobaczyć, jak inne urzędy podeszły do tego tematu.