Czy urząd musi informować mieszkańców, że używa AI do obsługi spraw?

Jeśli AI pomaga referentowi napisać projekt pisma, a człowiek ostatecznie je podpisuje, nie ma wyraźnego obowiązku informowania mieszkańca. Ale gdy AI bezpośrednio przetwarza dane osobowe, które mieszkaniec przekazał urzędowi w ramach sprawy, RODO nakłada konkretne obowiązki, które wiele jednostek dziś spełnia zbyt ogólnikowo lub wcale. Do tego dochodzi unijny Akt o AI, który wchodzi w życie etapami i zmienia zasady dla administracji publicznej.

Dwa scenariusze, dwa różne poziomy obowiązków

Zanim sprawdzimy, co mówi prawo, warto rozróżnić dwa sposoby używania AI. W praktyce różnica jest zasadnicza.

Scenariusz pierwszy: AI jako narzędzie pracy referenta. Pracownik wpisuje do narzędzia AI ogólny opis sytuacji lub anonimowy tekst, dostaje projekt odpowiedzi, poprawia go, podpisuje. AI nie "widzi" imienia, adresu ani numeru sprawy. Decyzja należy do człowieka.

Scenariusz drugi: AI przetwarza konkretne dane z wniosku. Pracownik wkleja treść pisma, z imieniem, adresem i opisem sytuacji wnioskodawcy, do zewnętrznego narzędzia AI, które generuje projekt odpowiedzi. Tu AI dosłownie przetwarza dane osobowe. Pojawia się obowiązek prawny.

W urzędach, które dopiero zaczynają używać AI, drugi scenariusz jest zdecydowanie częstszy, bo jest po prostu wygodniejszy. Referent kopiuje treść pisma, wkleja do ChatGPT, dostaje gotowy projekt. Szybko, sprawnie, ale bez żadnej umowy z dostawcą i bez aktualizacji klauzuli informacyjnej.

Co mówi RODO: art. 13, 14 i 22

Artykuł 13 RODO zobowiązuje urząd do informowania mieszkańca o celach i sposobach przetwarzania jego danych w momencie ich zbierania. Jeśli do przetwarzania dochodzi przez narzędzie AI, nawet pośrednio na etapie przygotowania odpowiedzi, klauzula informacyjna powinna to odzwierciedlać.

Artykuł 22 idzie dalej. Mówi wprost, że osoba fizyczna ma prawo do tego, żeby nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli ta decyzja wywołuje skutki prawne lub podobnie na nią wpływa. Jeśli AI ocenia wniosek i automatycznie generuje decyzję odmowną bez żadnej weryfikacji przez człowieka, mamy naruszenie tego przepisu.

Typowo wygląda to tak, że urząd ma klauzulę informacyjną, której ktoś ostatnio dotykał w 2018 r. przy wdrożeniu RODO. Od tamtego czasu pracownicy zaczęli używać narzędzi AI, ale nikt nie wrócił do tej klauzuli. To naruszenie obowiązku informacyjnego z art. 13, nawet jeśli nikt nie podejmuje w pełni automatycznych decyzji.

• Art. 13 RODO – obowiązek informacyjny przy zbieraniu danych bezpośrednio od osoby
• Art. 14 RODO – obowiązek informacyjny, gdy dane pozyskano z innego źródła
• Art. 22 RODO – zakaz zautomatyzowanego podejmowania decyzji bez wyjątku lub bez prawa do odwołania

Akt o AI: kiedy urząd trafia do kategorii wysokiego ryzyka

Unijny Akt o AI wszedł w życie w sierpniu 2024 r. i jest wdrażany etapami. Dla urzędów najważniejsza jest kategoria systemów AI wysokiego ryzyka wymieniona w Załączniku III tego rozporządzenia. Wprost w tej kategorii znalazły się systemy AI używane przez organy publiczne do:

• oceny osób ubiegających się o świadczenia socjalne lub z zakresu pomocy społecznej
• profilowania w ramach działań organów ścigania
• oceny kandydatów do zatrudnienia w sektorze publicznym
• zarządzania infrastrukturą krytyczną

Jeśli urząd wdraża system, który ocenia lub kategoryzuje indywidualnych mieszkańców w kontekście ich praw lub dostępu do usług, musi sprawdzić, czy spełnia wymagania dla systemów wysokiego ryzyka. Jednym z nich jest przejrzystość wobec osób, których system dotyczy.

Chatbot odpowiadający na pytania o godziny pracy urzędu nie wpadnie do tej kategorii. System, który sugeruje referentowi decyzję w sprawie wniosku o dofinansowanie lub ocenia priorytet zgłoszenia skargi, już może.

Jak zaktualizować klauzulę informacyjną

Nie ma jednego wzorca zapisu o AI w klauzuli. Inspektor Ochrony Danych (IOD) w jednostce powinien sprawdzić, jak AI jest faktycznie używane, i dopisać do klauzuli kilka konkretnych elementów:

• informację, że urząd korzysta z narzędzi AI do wspomagania przygotowywania projektów pism i odpowiedzi
• wskazanie, że dane z korespondencji mogą być przez te narzędzia przetwarzane
• potwierdzenie, że ostateczna decyzja zawsze należy do pracownika urzędu
• informację o możliwości uzyskania szczegółów u IOD lub o prawie do interwencji w przypadku zautomatyzowanego przetwarzania

Zaktualizowana klauzula trafia do wszystkich miejsc, gdzie urząd dotychczas ją umieszczał: formularze wniosków papierowe i elektroniczne, strona BIP w zakładce z informacją o przetwarzaniu danych, tablice informacyjne przy stanowiskach BOI, automatyczne stopki w e-mailach urzędowych.

Umowa powierzenia i rejestr czynności przetwarzania

Jeśli urząd korzysta z zewnętrznego narzędzia AI, które przetwarza dane mieszkańców, dostawca tego narzędzia staje się podmiotem przetwarzającym w rozumieniu art. 28 RODO. Bez podpisanej umowy powierzenia przetwarzania danych korzystanie z takiego narzędzia jest niezgodne z prawem, nawet jeśli samo narzędzie jest technicznie bezpieczne.

Umowa powierzenia powinna wskazywać m.in. cel i czas przetwarzania, rodzaj przetwarzanych danych, obowiązki dostawcy w zakresie bezpieczeństwa oraz warunki podprzetwarzania, czyli czy dostawca może dane przekazywać dalej do swoich podwykonawców.

Narzędzia korporacyjne, jak Microsoft Copilot for Microsoft 365 czy Google Workspace z aktywowanymi usługami AI, mają standardowe umowy powierzenia dla klientów instytucjonalnych. ChatGPT w wersji darmowej i standardowej konsumenckiej takiej umowy nie oferuje. To jedna z głównych przyczyn prawnych, dla których prywatne konta ChatGPT w pracy są problematyczne.

Po ustaleniu narzędzia i podpisaniu umowy nowy wpis trafia do Rejestru Czynności Przetwarzania (RCP), który każdy urząd prowadzi zgodnie z art. 30 RODO. Bez tego wpisu audyt UODO może wykazać lukę.

Co opublikować w BIP i kiedy to wystarczy

Publikowanie informacji o AI w BIP nie wynika bezpośrednio z przepisów. Dobra praktyka, której coraz więcej jednostek się trzyma. Wystarczy krótki wpis w zakładce z informacjami o przetwarzaniu danych lub w dziale "Organizacja urzędu". U jednego z naszych klientów, urzędu miejskiego na Dolnym Śląsku, taki komunikat pojawił się przy uruchamianiu narzędzia do obsługi korespondencji i kilku mieszkańców wprost podziękowało za przejrzystość. Niespodziewany efekt uboczny, ale warto.

Przykład zapisu, który spełnia swoją funkcję bez zbędnego rozbudowania:

"Urząd korzysta z narzędzi sztucznej inteligencji do wspomagania pracy pracowników przy przygotowywaniu projektów pism i odpowiedzi. Wszelkie decyzje administracyjne podejmowane są przez upoważnionych pracowników urzędu. Dane przetwarzane w narzędziach AI są objęte umowami powierzenia zgodnie z art. 28 RODO. Szczegółowych informacji udziela Inspektor Ochrony Danych."

Taki wpis eliminuje całą klasę potencjalnych skarg o brak transparentności. Kosztuje dosłownie kilka minut pracy.

Od czego zaczynamy

Jeśli AI jest już w użyciu, a kwestia informowania mieszkańców nie była jeszcze analizowana, trzy pierwsze kroki wyglądają tak:

• Zinwentaryzuj narzędzia – sprawdź, jakie narzędzia AI pracownicy faktycznie używają, łącznie z tymi nieformalnymi i prywatnymi kontami
• Przekaż listę do IOD – niech oceni, czy dane osobowe są przetwarzane, w jakim zakresie i czy mamy do czynienia z podmiotem przetwarzającym wymagającym umowy
• Zaktualizuj klauzulę informacyjną i RCP – IOD lub obsługa prawna jednostki powinna być w stanie to zrobić w ciągu kilku dni roboczych

Jeśli AI jest dopiero planowane, dokumentację przygotowujemy przed uruchomieniem. Zdecydowanie łatwiej niż po fakcie, gdy mieszkańcy zaczynają składać zapytania w trybie art. 15 RODO z pytaniem, co urząd zrobił z ich danymi.

Nie wiesz, czy wasze obecne narzędzia AI wymagają aktualizacji klauzuli albo umowy powierzenia? Umów się na bezpłatny audyt, podczas którego sprawdzamy stan faktyczny i wskazujemy konkretne braki. Możesz też zajrzeć na stronę realnych wdrożeń, żeby zobaczyć, jak inne urzędy podeszły do kwestii transparentności i zgodności z przepisami.