Jak obchodzimy się z Twoimi danymi – bez ogólników.

Gdy przetwarzamy dla Ciebie dane osobowe, działamy jako Twój podmiot przetwarzający zgodnie z art. 28 RODO i korzystamy z tych danych wyłącznie na Twoje polecenie.² Z każdym klientem, dla którego przetwarzamy dane osobowe, zawieramy umowę powierzenia przetwarzania danych i korzystamy tylko z dostawców, którzy taką umowę oferują.

Zanim zaczniemy, mówimy Ci, którzy dostawcy będą mieć dostęp do Twoich danych i gdzie je przetwarzają. Jeśli Twoje dane muszą być przetwarzane w UE, możemy to skonfigurować: wdrożenia w chmurze w regionie UE albo otwarte modele hostowane w UE.

O przetwarzaniu w UE decyduje ścieżka, którą płyną dane, a nie marka dostawcy: globalny endpoint może przetwarzać dane poza UE. Przy otwartym modelu na serwerze w UE, który kontrolujemy my albo Ty, prompty nie trafiają do żadnego dostawcy modelu. Z dostawcą hostingu nadal potrzebna jest umowa powierzenia, a środki bezpieczeństwa, takie jak szyfrowanie, kontrola dostępu i instalowanie poprawek, obowiązują tak samo.

Przepisy unijnego aktu w sprawie sztucznej inteligencji (AI Act) stosuje się etapami.³ Poniższe daty uwzględniają zmiany wprowadzone rozporządzeniem (UE) 2026/1744 (Digital Omnibus on AI), które przesunęło terminy dla systemów wysokiego ryzyka, a terminu obowiązków w zakresie przejrzystości nie zmieniło.⁴

Prawo UE wymaga, żeby ludzie byli informowani, że mają do czynienia z systemem AI. Agenci, którzy samodzielnie piszą do ludzi, mówią o tym w pierwszej wiadomości i w każdym e-mailu. Podają też, w imieniu jakiej firmy piszą, czego wytyczne Komisji Europejskiej oczekują od agentów prowadzących korespondencję.⁵ Jeśli agent działa pod nazwą Twojej firmy, AI Act prawdopodobnie uzna ją za jego „dostawcę”, który ma własne obowiązki. Na piśmie ustalamy, kto przygotowuje każdą taką informację.

Zanim zaczniemy budować, sprawdzamy każde zastosowanie pod kątem praktyk zakazanych i kategorii wysokiego ryzyka z AI Act. Zakazane jest na przykład wyciąganie wniosków na temat emocji pracowników z ich głosu w miejscu pracy, z wyjątkiem względów medycznych lub bezpieczeństwa, dlatego tego nie budujemy. Każde wdrożenie obejmuje krótkie szkolenie z kompetencji w zakresie AI dla osób, które nadzorują agenta. Omawiamy w nim, do czego służy agent, jakie ma ograniczenia, kiedy przejąć od niego decyzję i jakie zasady dotyczą danych.

• 2 lutego 2025 r.: stosuje się zakazy praktyk z art. 5 i obowiązek dotyczący kompetencji w zakresie AI z art. 4.³
• 2 sierpnia 2026 r.: stosuje się obowiązki w zakresie przejrzystości z art. 50, w tym informowanie ludzi, że mają do czynienia z AI.⁵
• 28 października 2026 r.: od tego dnia Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), polski organ nadzoru rynku AI, może prowadzić kontrole i nakładać kary.⁶
• 2 grudnia 2027 r.: stosuje się obowiązki dotyczące systemów wysokiego ryzyka wymienionych w załączniku III; termin przesunięto z 2 sierpnia 2026 r.⁴
• 2 sierpnia 2028 r.: stosuje się obowiązki dotyczące systemów AI wysokiego ryzyka w produktach objętych załącznikiem I; termin przesunięto z 2 sierpnia 2027 r.⁴

Każde połączenie dostaje tylko te uprawnienia, których wymaga jego zadanie. W czasie audytu oznacza to dostęp tylko do odczytu albo zanonimizowane próbki – jak wolisz. W środowisku produkcyjnym konfigurujemy dostęp z najwęższymi uprawnieniami, z jakimi może działać każde połączenie.

Dane logowania i klucze API zostają na kontach i w sejfach haseł, które kontrolujesz, a systemy działają na kontach założonych na Twoją firmę. Pracujemy wyłącznie z dostępem, który nam nadasz. Możesz go w każdej chwili odebrać, a dostęp, który przestał być potrzebny, usuwamy.

Przed uruchomieniem testujemy każdego agenta na Twoich własnych sprawach z przeszłości. Testy obejmują też pytania, na które Twoje dokumenty nie odpowiadają, żeby potwierdzić, że agent to przyzna, zamiast zgadywać. Nowy system zaczyna w trybie szkicu: człowiek sprawdza wszystko, co system przygotuje. System wykonuje kroki sam dopiero wtedy, gdy uzasadniają to wyniki.

Granice działania agenta (tzw. guardrails) ustalamy razem z Tobą. Każdy agent odpowiada na podstawie zatwierdzonych przez Ciebie źródeł i pokazuje, skąd pochodzi każda odpowiedź. Niepewne wyniki, niezaliczone kontrole i wszystko, co przekracza Twoje limity, trafia do człowieka. Domyślnie nasi agenci piszą szkice, a Twój zespół je zatwierdza.

Po starcie nieudane uruchomienia i nietypowe wyniki wywołują alert u nas i u osoby, którą wskażesz. Próbki pracy systemu porównujemy z przypadkami testowymi. Po każdej zmianie modelu, promptu lub podłączonego systemu testy uruchamiają się ponownie. Testy zmniejszają ryzyko błędnej odpowiedzi, ale go nie usuwają.

Każda awaria trafia do imiennie wskazanej osoby, po Twojej i po naszej stronie. Śledzimy ją w logach, usuwamy przyczynę i zapisujemy, co się zmieniło. Wszystko, co blokuje pracę Twojego zespołu, ma pierwszeństwo przed usprawnieniami.

Jeśli incydent jest naruszeniem ochrony danych osobowych, informujemy Cię o nim bez zbędnej zwłoki, czego art. 33 ust. 2 RODO wymaga od podmiotu przetwarzającego.² Przekazujemy też to, co pokazują logi, żeby dać Ci podstawę do decyzji, czy zgłosić naruszenie organowi nadzorczemu.

W czasie wdrożenia stary sposób pracy pozostaje w odwodzie, dopóki wyniki nie będą zgodne. Instrukcja utrzymania każdego systemu (runbook) wyjaśnia, jak go obsługiwać i naprawiać.

Ta strona opisuje to, co robimy. Nie przypisujemy sobie statusu, którego nie możemy udowodnić.

• Nie mamy certyfikatów, a ogólny „certyfikat RODO” nie istnieje.
• Nie nazywamy systemów ogólnie „zgodnymi z przepisami”. Zgodność zależy od systemu, sposobu jego użycia i roli każdej ze stron.
• Nie obiecujemy, że dane nigdy nie opuszczą UE. Tak jest tylko na ścieżkach, które do tego skonfigurujemy.
• Zerowa retencja nie jest domyślna. Dostawcy zwykle przechowują dane zapytań przez 30 dni, by wykrywać nadużycia. Gdy projekt tego wymaga, wnioskujemy o nią lub ją konfigurujemy.
• Nie obiecujemy, że nikt inny nie zobaczy Twoich danych. Dostawcy przechowują oznaczone treści i mogą je przeglądać.
• Nie obiecujemy agentów bezbłędnych ani w pełni autonomicznych. Tam, gdzie pomyłka byłaby kosztowna, krok zatwierdza człowiek, zanim system go wykona.
• Nie sugerujemy, że dostawcy nas popierają. Nazwy dostawców i narzędzi podajemy na tej stronie wyłącznie informacyjnie.