Wykorzystanie AI na uczelni wymaga oceny zadania, danych i odpowiedzialności poszczególnych podmiotów. Asystent wyszukujący regulamin, narzędzie przygotowujące materiały i system oceniający studentów mogą podlegać różnym obowiązkom. Ani serwer w UE, ani zatwierdzanie wyniku przez człowieka nie rozstrzygają samodzielnie o zgodności.
Ten tekst porządkuje zagadnienia do omówienia z inspektorem ochrony danych i działem prawnym uczelni. Ocena wymaga aktualnych przepisów oraz szczegółów planowanego zastosowania.
Najpierw ustal rodzaj danych i cel ich użycia
Dane identyfikacyjne, wyniki zaliczeń, informacje finansowe i dokumentacja dotycząca zdrowia nie są jedną kategorią. Nie wszystkie dane osobowe są szczególnymi kategoriami danych w rozumieniu art. 9 RODO. Przetwarzanie takich kategorii wymaga uwzględnienia dodatkowych warunków.
Uczelnia powinna określić cel i właściwą podstawę przetwarzania, zakres potrzebnych danych, okresy ich przechowywania oraz role administratorów i podmiotów przetwarzających. Nie należy zakładać, że zgoda studenta będzie właściwą podstawą dla każdego procesu.
RODO: co sprawdzić w projekcie
- Przepływ danych — jakie dane trafiają do modelu, kto ma do nich dostęp, gdzie są przetwarzane i czy dostawca może używać ich do własnych celów.
- Umowy i transfery — warunki powierzenia, podwykonawcy oraz transfery poza EOG. RODO nie wymaga przetwarzania wyłącznie w UE; transfer wymaga właściwej podstawy i oceny.
- Uprawnienia i rozliczalność — dostęp według potrzeb, rejestry istotnych działań i możliwość wyjaśnienia przebiegu sprawy. Logi również mogą zawierać dane osobowe i wymagają ochrony.
- Retencja i prawa osób — reguły przechowywania oraz obsługi żądań z uwzględnieniem obowiązków prawnych, ograniczeń i wyjątków. Prawo do usunięcia danych nie ma charakteru bezwzględnego.
Lista nie zastępuje pełnej oceny. Jeżeli planowane przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób, należy ocenić obowiązek przeprowadzenia DPIA. Osobnej analizy wymagają wyłącznie zautomatyzowane decyzje wywołujące skutki prawne lub podobnie istotnie wpływające na osobę, o których mowa w art. 22 RODO.
AI Act: kiedy zastosowanie edukacyjne może być wysokiego ryzyka
Załącznik III AI Act obejmuje określone zastosowania edukacyjne, między innymi związane z dostępem do kształcenia, przyjęciem lub przypisaniem do placówki, oceną efektów uczenia się oraz monitorowaniem niedozwolonego zachowania podczas testów. O kwalifikacji decyduje przewidziane zastosowanie systemu, a nie sama obecność AI na uczelni.
Trzeba uwzględnić warunki i wyjątki z art. 6, w tym szczególną regułę dotyczącą profilowania osób. Nadzór człowieka jest ważnym środkiem kontroli, ale nie wyłącza automatycznie wysokiego ryzyka. Zakres obowiązków zależy także od tego, czy uczelnia jest podmiotem stosującym, dostawcą czy pełni inną rolę.
Asystent do wyszukiwania ogólnych informacji lub redagowania materiałów nie staje się automatycznie systemem wysokiego ryzyka. Zmiana sposobu wykorzystania może jednak zmienić ocenę. Przed uruchomieniem należy udokumentować cel, odbiorców i ograniczenia narzędzia.
Przejrzystość nie oznacza jednego obowiązku dla wszystkich treści
Art. 50 AI Act ustanawia różne obowiązki dla określonych podmiotów i sytuacji, między innymi interakcji z AI, określonych treści syntetycznych i deepfake. Zakres, wyjątki oraz sposób realizacji zależą od zastosowania. Nie wynika z niego ogólny nakaz etykietowania każdej prezentacji czy notatki przygotowanej z pomocą AI.
Uczelnia może ustanowić własne zasady ujawniania pomocy AI w pracach i materiałach dydaktycznych. Należy odróżnić takie zasady rzetelności akademickiej od konkretnych obowiązków ustawowych. Terminy stosowania AI Act i przepisy przejściowe trzeba sprawdzać według aktualnego tekstu; propozycja zmiany prawa sama nie przesuwa terminu. Punktem odniesienia jest rozporządzenie (UE) 2024/1689 oraz artykuł o kalendarzu AI Act.
Dostępność i bezpieczeństwo wymagają osobnej weryfikacji
Wymagania dostępności należy ustalić dla konkretnej uczelni, usługi i materiałów. Weryfikacja powinna objąć interfejs, formularze, dokumenty i technologie asystujące. Sam automatyczny skan ani obecność funkcji AI nie dowodzą zgodności z WCAG.
Incydent bezpieczeństwa wymaga sprawdzenia, czy doszło do naruszenia ochrony danych osobowych, a następnie oceny ryzyka i obowiązków zgłoszenia. Nie każdy incydent podlega zgłoszeniu do UODO, a samo wystąpienie naruszenia nie dowodzi automatycznie naruszenia obowiązków RODO. Procedury opisujemy szerzej w tekście o cyberbezpieczeństwie uczelni.
Wymagania powinny trafić do zakresu i odbioru prac
Podstawy przetwarzania, role, nadzór, retencję, bezpieczeństwo i dostępność warto ustalić przed wyborem architektury. Następnie trzeba określić dowody i testy potrzebne do odbioru rozwiązania oraz odpowiedzialność za jego utrzymanie. Dokumentacja dostawcy wspiera tę ocenę, ale nie zastępuje decyzji i obowiązków uczelni.
Wymagania prawne w projekcie oprogramowania
W ramach Q-Dev możemy zaprojektować oprogramowanie dla dziekanatu lub dydaktyki. Wymagania dotyczące danych, nadzoru człowieka, bezpieczeństwa i dostępności ustalamy dla konkretnego projektu z uwzględnieniem oceny uczelni, jej inspektora ochrony danych i działu prawnego. Zakres prac nie oznacza automatycznej gwarancji zgodności całego procesu z RODO, AI Act ani WCAG.
Opisz planowane zastosowanie, rodzaje danych i wymagania swojej uczelni. To podstawa rozmowy o zakresie rozwiązania.
Najczęstsze pytania
Czy każdy system AI na uczelni jest systemem wysokiego ryzyka? Nie. Znaczenie ma przewidziane zastosowanie oraz warunki AI Act, w tym art. 6 i załącznik III. Udział człowieka w procesie nie wyłącza automatycznie wysokiego ryzyka.
Od kiedy obowiązki AI Act dotyczą uczelni? Rozporządzenie ma różne terminy stosowania i przepisy przejściowe. Właściwy termin zależy między innymi od obowiązku, kategorii systemu, roli uczelni i momentu jego wprowadzenia. Trzeba sprawdzić aktualny tekst prawa; sama propozycja zmiany nie przesuwa terminu.
Czy RODO wymaga przechowywania danych wyłącznie w UE? Nie. Transfery poza Europejski Obszar Gospodarczy wymagają właściwej podstawy i oceny. Sama lokalizacja serwera w UE również nie wystarcza do potwierdzenia zgodności całego przetwarzania.
Czy każdą pomoc AI przy tworzeniu materiału trzeba oznaczyć? Art. 50 AI Act nie wprowadza takiego ogólnego obowiązku. Obowiązki przejrzystości zależą od rodzaju zastosowania, roli podmiotu i wyjątków. Uczelnia może przyjąć dodatkowe zasady ujawniania pomocy AI dla rzetelności akademickiej.