Jak zabezpieczyć poufne dane w narzędziach AI? Praktyczny poradnik krok po kroku

Narzędzia AI potrafią analizować umowy, dokumenty klientów, kod źródłowy i dane finansowe, ale każde wprowadzenie takich informacji tworzy dodatkowy punkt ryzyka. Poufnych danych nie chroni samo wyłączenie historii rozmów albo opcji wykorzystywania treści do trenowania modeli. Trzeba również sprawdzić, gdzie trafiają prompty i pliki, jak długo są przechowywane oraz kto może uzyskać do nich dostęp.

• Nie wprowadzaj poufnych danych do ogólnodostępnego czatu AI, dopóki nie sprawdzisz zasad ich przetwarzania.
• Wyłączenie trenowania modelu nie zawsze oznacza, że prompty, pliki i logi nie są przechowywane.
• Przed wysłaniem dokumentu usuń dane, które nie są potrzebne do wykonania zadania.
• Wersje firmowe zapewniają zazwyczaj większą kontrolę niż konta konsumenckie, ale dane nadal mogą opuszczać infrastrukturę organizacji.
• Model lokalny daje największą kontrolę, jednak nie jest automatycznie bezpieczny – nadal wymaga szyfrowania, kontroli dostępu i aktualizacji.

Jakie dane są poufne w kontekście narzędzi AI?

Poufne dane to nie tylko PESEL, adres czy numer rachunku bankowego. W praktyce do tej grupy należy zaliczyć każdą informację, której ujawnienie mogłoby zaszkodzić osobie, klientowi albo organizacji.

Najczęściej będą to:

• dane osobowe klientów i pracowników,
• dane zdrowotne, finansowe i biometryczne,
• hasła, tokeny dostępu i klucze API,
• nieopublikowane wyniki finansowe,
• umowy, oferty i wewnętrzne cenniki,
• tajemnice przedsiębiorstwa i dokumentacja projektowa,
• kod źródłowy oraz informacje o zabezpieczeniach,
• dane klientów objęte umową o poufności,
• korespondencja wewnętrzna,
• nagrania rozmów i transkrypcje spotkań.

Należy przy tym uwzględnić nie tylko sam prompt. Kopie informacji mogą znajdować się również w przesłanych plikach, historii rozmów, logach systemowych, kopiach zapasowych, bazie wektorowej wykorzystywanej przez RAG oraz wynikach wygenerowanych przez model. Materiały dotyczące bezpiecznych systemów AI przygotowane na zlecenie EROD podkreślają znaczenie kontroli dostępu, szyfrowania i ochrony danych podczas całego cyklu działania systemu.

Prosta zasada: jeżeli nie opublikowałbyś danej informacji na firmowej stronie internetowej, nie wklejaj jej automatycznie do przypadkowego czatu AI.

Chmura publiczna, wersja firmowa czy model lokalny – co lepiej chroni dane?

Nie istnieje jeden rodzaj narzędzia AI, który zawsze będzie najlepszy. Wybór zależy od rodzaju danych, wymagań organizacji, dostępnego budżetu i możliwości technicznych.

NIST zaleca ocenianie ryzyka AI nie tylko na etapie wyboru modelu, ale również podczas projektowania, wdrażania, używania i monitorowania całego systemu. Oznacza to, że bezpieczeństwo zależy zarówno od dostawcy, jak i od sposobu konfiguracji oraz zachowania użytkowników. 

Rodzaj rozwiązania	Gdzie przetwarzane są dane?	Poziom kontroli	Zastosowanie	Ryzyko
Publiczny czat AI na koncie konsumenckim	Zwykle w infrastrukturze dostawcy	Niski lub średni	Dane publiczne, ogólne pytania, zanonimizowane przykłady	Niejasne zasady retencji, konta prywatne, brak kontroli administratora
Wersja firmowa lub dostęp przez API	W infrastrukturze dostawcy, zgodnie z warunkami planu i umowy	Średni lub wysoki	Dane wewnętrzne po ocenie dostawcy i konfiguracji zabezpieczeń	Dane nadal opuszczają organizację
Prywatna chmura lub wydzielone środowisko	W kontrolowanym środowisku chmurowym	Wysoki	Dane poufne, zastosowania firmowe i branże regulowane	Koszt oraz złożoność konfiguracji
Model lokalny lub serwer on-premise	Na komputerze albo serwerze organizacji	Bardzo wysoki	Najbardziej wrażliwe dokumenty i praca bez połączenia z usługą zewnętrzną	Pełna odpowiedzialność za zabezpieczenie urządzeń i systemu

W przypadku najbardziej poufnych informacji najlepszym wyborem będzie zazwyczaj model lokalny, serwer firmowy albo odpowiednio odizolowana prywatna chmura. Nie oznacza to jednak, że lokalne AI jest bezpieczne bez dodatkowych działań. Niezaszyfrowany dysk, zainfekowany komputer, nadmierne uprawnienia użytkowników lub aplikacja łącząca się z internetem mogą doprowadzić do wycieku niezależnie od miejsca uruchomienia modelu.

Jak zabezpieczyć poufne dane w narzędziach AI krok po kroku?

Zabezpieczenie poufnych danych w narzędziach AI wymaga ograniczenia zakresu udostępnianych informacji, sprawdzenia ustawień prywatności oraz wyboru rozwiązania, które nie wykorzystuje treści do trenowania modeli. Należy także anonimizować dokumenty, kontrolować uprawnienia użytkowników i unikać przesyłania haseł, danych klientów oraz tajemnic firmowych bez odpowiednich zabezpieczeń.

Krok 1. Podziel dane na kategorie

Zanim wybierzesz narzędzie, ustal, z jakimi informacjami będziesz pracować. Najprostsza klasyfikacja może obejmować cztery poziomy:

1. Dane publiczne – informacje dostępne na stronie internetowej, w instrukcji produktu lub opublikowanym raporcie.
2. Dane wewnętrzne – procedury, notatki i materiały przeznaczone wyłącznie dla pracowników.
3. Dane poufne – umowy, ceny, kod, dane klientów i dokumentacja projektowa.
4. Dane szczególnie chronione – dane zdrowotne, biometryczne, finansowe, dane logowania oraz informacje objęte tajemnicą zawodową.

Do publicznych czatów AI powinny trafiać przede wszystkim informacje z pierwszej grupy. Dane wewnętrzne można wykorzystywać w zatwierdzonym narzędziu firmowym, natomiast informacje poufne i szczególnie chronione wymagają środowiska z dokładnie zweryfikowanymi zabezpieczeniami.

Krok 2. Określ, które narzędzia są dozwolone

Firma powinna przygotować krótką listę zatwierdzonych usług. Pracownik nie powinien samodzielnie decydować, że dowolny nowy chatbot nadaje się do analizy dokumentów klientów.

Polityka korzystania z AI powinna określać:

• które narzędzia są dozwolone,
• jakie dane można w nich przetwarzać,
• czy wolno przesyłać całe dokumenty,
• czy można korzystać z integracji z pocztą i dyskiem,
• kto zatwierdza nowe zastosowania,
• komu należy zgłosić przypadkowe ujawnienie informacji.

Dobrą praktyką jest również rozdzielenie narzędzi do ogólnych zadań od środowisk przeznaczonych do pracy z dokumentami firmowymi.

Krok 3. Ogranicz ilość przekazywanych informacji

Model powinien otrzymać tylko te dane, które są potrzebne do wykonania konkretnego zadania. Jeżeli chcesz sprawdzić jeden zapis umowy, nie przesyłaj całego dokumentu wraz z danymi stron, podpisami i numerami rachunków.

Przed wysłaniem materiału:

• usuń imiona, nazwiska i dane kontaktowe,
• zastąp numery klientów neutralnymi oznaczeniami,
• usuń podpisy, pieczęcie i metadane dokumentu,
• zamień dokładne kwoty na zakresy, jeżeli nie wpływa to na analizę,
• przekaż odpowiedni fragment zamiast całego pliku,
• użyj danych syntetycznych, gdy chcesz jedynie przetestować prompt.

EROD wskazuje, że przy przetwarzaniu danych w modelach AI należy stosować zasadę minimalizacji: informacje powinny być adekwatne, istotne i niezbędne w stosunku do określonego celu.

Samo zastąpienie nazwiska określeniem „Klient A” nie zawsze oznacza pełną anonimizację. Jeżeli na podstawie pozostałych informacji lub dodatkowego klucza można ustalić tożsamość osoby, dane nadal należy traktować jak osobowe. EROD podkreśla, że anonimowość modelu lub zbioru danych trzeba oceniać indywidualnie, uwzględniając możliwość ponownego zidentyfikowania osoby albo wydobycia informacji.

Krok 4. Sprawdź dostawcę oraz warunki konkretnego planu

Nie wystarczy przeczytać strony głównej produktu. Zasady dotyczące danych mogą różnić się między darmowym kontem, abonamentem indywidualnym, planem firmowym i interfejsem API.

Przed wdrożeniem sprawdź:

• czy prompty i pliki są wykorzystywane do trenowania modeli,
• jak długo przechowywana jest historia oraz logi techniczne,
• czy można wymusić usuwanie danych,
• gdzie geograficznie odbywa się przetwarzanie,
• z jakich podwykonawców korzysta dostawca,
• czy dostępna jest umowa powierzenia przetwarzania danych,
• czy usługa obsługuje SSO, MFA i zarządzanie rolami,
• czy administrator ma dostęp do dzienników audytowych,
• w jaki sposób zgłaszane są incydenty,
• jakie uprawnienia otrzymują integracje z pocztą, dyskiem lub komunikatorem.

Trzeba również ustalić role stron: kto jest administratorem, podmiotem przetwarzającym lub współadministratorem. EROD wskazuje, że odpowiedzialność i role podmiotów korzystających z danych osobowych w związku z modelem AI powinny zostać ocenione przed rozpoczęciem przetwarzania.

Nie należy zakładać, że hasło „enterprise” albo „bezpieczne AI dla biznesu” automatycznie rozwiązuje wszystkie problemy. Decydujące znaczenie mają aktualne warunki usługi, ustawienia administratora i zawarta umowa.

Krok 5. Zabezpiecz konta i ogranicz uprawnienia

Nawet właściwie wybrana usługa nie ochroni danych, jeżeli użytkownicy korzystają ze wspólnego hasła albo pozostawiają aktywne sesje na niezabezpieczonych komputerach.

Należy wdrożyć:

• uwierzytelnianie wieloskładnikowe,
• logowanie firmowe przez SSO, jeśli jest dostępne,
• oddzielne konta dla każdego użytkownika,
• zasadę najmniejszych uprawnień,
• automatyczne odbieranie dostępu po odejściu pracownika,
• regularne sprawdzanie aktywnych sesji,
• szyfrowanie dysków urządzeń,
• zarządzanie aktualizacjami systemów i aplikacji.

Uprawnienia powinny być przyznawane na podstawie rzeczywistych obowiązków. Osoba korzystająca z AI do redagowania tekstów nie potrzebuje automatycznie dostępu do całej bazy klientów, poczty zarządu czy dokumentów działu finansowego.

Materiały EROD dotyczące bezpiecznych systemów AI wskazują uwierzytelnianie, kontrolę dostępu i szyfrowanie jako podstawowe mechanizmy ochrony. W przypadku wrażliwych danych zalecane jest również ograniczanie dostępu do infrastruktury oraz szyfrowanie informacji zarówno podczas przesyłania, jak i przechowywania.

Krok 6. Zabezpiecz pliki, bazę wiedzy i system RAG

RAG, czyli generowanie wspomagane wyszukiwaniem, pozwala modelowi korzystać z firmowych dokumentów bez konieczności trenowania go od początku. Takie rozwiązanie nie eliminuje jednak ryzyka. Indeks wyszukiwania, baza wektorowa i kopie plików stają się dodatkowymi miejscami przechowywania informacji.

Podczas budowania firmowej bazy wiedzy:

• nie indeksuj automatycznie całego dysku organizacji,
• twórz oddzielne kolekcje dla działów, projektów i klientów,
• zachowuj uprawnienia dokumentów źródłowych,
• szyfruj bazę oraz kopie zapasowe,
• ogranicz dostęp kont serwisowych,
• zapisuj informacje o tym, kto otworzył dany dokument,
• regularnie usuwaj nieaktualne dane,
• sprawdzaj, czy odpowiedzi modelu nie ujawniają treści użytkownikom bez uprawnień.

Szczególną ostrożność trzeba zachować przy dokumentach pochodzących z internetu, wiadomościach e-mail i plikach dostarczanych przez zewnętrzne osoby. Mogą one zawierać ukryte instrukcje próbujące zmienić zachowanie modelu.

Krok 7. Chroń system przed prompt injection

Prompt injection polega na umieszczeniu w poleceniu, stronie internetowej albo dokumencie instrukcji, które mają skłonić model do zignorowania zasad systemu. Atak może być bezpośredni, gdy treść wpisuje użytkownik, albo pośredni, gdy model odczytuje ją z pliku, wiadomości czy strony 

Według OWASP skutkiem prompt injection może być między innymi ujawnienie poufnych informacji, nieuprawnione użycie funkcji dostępnych dla modelu albo wykonanie niepożądanych operacji w połączonym systemie. Sam RAG lub rozbudowany prompt systemowy nie usuwa tego zagrożenia. 

Aby ograniczyć ryzyko:

• nie przyznawaj modelowi stałego dostępu do całej poczty lub systemu CRM,
• oddziel od siebie dane, instrukcje oraz wyniki modelu,
• stosuj listy dozwolonych narzędzi i operacji,
• wymagaj potwierdzenia przed wysłaniem wiadomości, usunięciem pliku lub zmianą rekordu,
• filtruj dane wyjściowe przed przekazaniem ich do innego systemu,
• nie pozwalaj modelowi wykonywać dowolnych poleceń systemowych,
• traktuj pliki i strony internetowe jako niezaufane źródła,
• przeprowadzaj testy złośliwych i nietypowych promptów.

Prompt systemowy nie powinien być jedyną barierą bezpieczeństwa. Kontrola uprawnień musi działać poza modelem, na poziomie aplikacji, serwera i systemu źródłowego.

Krok 8. Ustal zasady przechowywania i usuwania danych

Organizacja powinna wiedzieć, jak długo przechowywane są:

• rozmowy użytkowników,
• załączniki,
• odpowiedzi modelu,
• logi techniczne,
• kopie zapasowe,
• indeksy RAG,
• wyniki testów,
• wersje dostrojonych modeli.

Nie należy przechowywać danych „na wszelki wypadek”. Okres retencji powinien wynikać z konkretnego celu, wymagań prawnych albo potrzeb operacyjnych.

Warto również pamiętać, że logi bezpieczeństwa mogą same zawierać poufne prompty i odpowiedzi. Najlepszym rozwiązaniem jest rejestrowanie informacji potrzebnych do audytu, ale bez kopiowania pełnej zawartości każdej rozmowy, o ile nie jest to konieczne.

Trzeba przygotować procedurę na wypadek pomyłki użytkownika. Powinna ona określać, jak zgłosić zdarzenie, usunąć rozmowę, skontaktować się z dostawcą, zabezpieczyć logi i ocenić, czy doszło do naruszenia ochrony danych. Zarządzanie ryzykiem i monitorowanie systemu przez cały okres jego używania jest jednym z podstawowych elementów podejścia NIST do generatywnej AI.

Przykład bezpieczniejszego przygotowania dokumentu dla AI

Załóżmy, że pracownik chce wykorzystać AI do sprawdzenia zapisów umowy z klientem.

Ryzykowne polecenie:

Przeanalizuj umowę Jana Kowalskiego, PESEL 80010112345, zamieszkałego przy ul. Przykładowej 10. Klient ma zadłużenie w wysokości 74 850 zł. W załączniku przesyłam całą umowę i historię korespondencji.

W takim poleceniu znajdują się dane identyfikacyjne, finansowe i pełna dokumentacja klienta. Większość tych informacji nie jest potrzebna do analizy zapisów umownych.

Bezpieczniejsza wersja:

Przeanalizuj poniższy zanonimizowany fragment umowy z klientem. Wskaż zapisy dotyczące terminu wypowiedzenia, odpowiedzialności stron i naliczania kar umownych. Dane identyfikacyjne, podpisy i informacje finansowe zostały usunięte.

Następnie należy wkleić wyłącznie odpowiednie paragrafy. Nawet taki materiał powinien trafić do narzędzia zatwierdzonego przez organizację. Usunięcie danych zmniejsza ryzyko, ale nie zastępuje prawidłowej konfiguracji i kontroli dostawcy.

Najczęstsze błędy podczas korzystania z AI

Najczęstsze błędy podczas korzystania z AI wynikają z nieprecyzyjnych poleceń, bezkrytycznego przyjmowania odpowiedzi oraz udostępniania zbyt wielu danych. Problemem bywa też wybór niewłaściwego narzędzia, brak weryfikacji źródeł i oczekiwanie, że model sam poprawnie odczyta cały kontekst. Świadome korzystanie z AI pozwala ograniczyć pomyłki i uzyskać znacznie bardziej użyteczne rezultaty.

Używanie prywatnych kont do zadań służbowych

Administrator firmy nie kontroluje wtedy ustawień, historii rozmów ani sposobu zabezpieczenia konta. Trudniej również usunąć dane po zakończeniu współpracy z pracownikiem.

Traktowanie wyłączenia trenowania jako pełnej ochrony

Dane niewykorzystywane do uczenia modelu mogą nadal trafiać do historii, logów technicznych, systemów wykrywania nadużyć lub kopii zapasowych. Trzeba sprawdzić wszystkie zasady retencji, a nie tylko jedną opcję.

Wklejanie kluczy API i haseł do promptów

Model nie potrzebuje prawdziwego sekretu, aby wyjaśnić błąd w kodzie. Klucz należy zastąpić przykładowym ciągiem, na przykład API_KEY_EXAMPLE.

Jeżeli prawdziwy klucz został już wysłany do narzędzia AI, należy potraktować go jako potencjalnie ujawniony i wygenerować nowy.

Przyznawanie integracjom zbyt szerokich uprawnień

Dodatek AI do poczty nie powinien otrzymywać automatycznie dostępu do wszystkich wiadomości, kontaktów i załączników. Uprawnienia trzeba ograniczyć do niezbędnego zakresu.

Zakładanie, że lokalny model niczego nie wysyła

Lokalna aplikacja może korzystać z usług analitycznych, zdalnego API, automatycznych aktualizacji lub internetowych wyszukiwarek. Przed pracą offline należy sprawdzić ruch sieciowy, ustawienia dodatków i dokumentację programu.

Brak kontroli nad odpowiedziami modelu

Model może umieścić poufne dane w wygenerowanym e-mailu, raporcie albo kodzie. Wynik powinien zostać sprawdzony przed wysłaniem go poza organizację lub zapisaniem w publicznym repozytorium.

AI a RODO – kiedy sama konfiguracja techniczna nie wystarczy?

Jeżeli narzędzie AI przetwarza dane osobowe, organizacja powinna ustalić cel i podstawę przetwarzania, zakres wykorzystywanych informacji, role poszczególnych podmiotów oraz sposób realizacji praw osób, których dane dotyczą.

W przypadkach mogących powodować wysokie ryzyko konieczne może być przeprowadzenie oceny skutków dla ochrony danych, czyli DPIA. UODO wskazuje, że obowiązek ten może wystąpić szczególnie przy wykorzystaniu nowych technologii, profilowaniu, zautomatyzowanych decyzjach, przetwarzaniu danych wrażliwych na dużą skalę oraz łączeniu informacji pochodzących z różnych źródeł. Ocena powinna nastąpić jeszcze przed rozpoczęciem przetwarzania. 

Dotyczy to między innymi systemów AI analizujących kandydatów do pracy, oceniających zdolność kredytową, przetwarzających dokumentację medyczną lub monitorujących zachowania pracowników.

Tekst ma charakter informacyjny i nie zastępuje analizy prawnej. W przypadku danych osobowych lub informacji objętych obowiązkiem zachowania tajemnicy wdrożenie należy skonsultować z inspektorem ochrony danych, działem prawnym oraz osobą odpowiedzialną za bezpieczeństwo IT.

Który rodzaj narzędzia AI wybrać do poufnych danych?

Publiczny czat konsumencki sprawdzi się głównie do informacji publicznych, ogólnych pytań i materiałów dokładnie oczyszczonych z danych poufnych.

Wersja firmowa lub API może być odpowiednia do danych wewnętrznych, pod warunkiem sprawdzenia umowy, okresu przechowywania, zasad trenowania, lokalizacji przetwarzania oraz dostępnych mechanizmów administracyjnych.

Prywatna chmura, serwer firmowy lub model lokalny będą lepsze dla informacji o wysokiej wrażliwości. Nadal trzeba jednak zabezpieczyć urządzenia, konta, dyski, kopie zapasowe, bazę wiedzy i dostęp sieciowy.

Najskuteczniejsza strategia nie opiera się na jednym przełączniku prywatności. Polega na połączeniu trzech zasad: przekazuj jak najmniej danych, przyznawaj jak najmniej uprawnień i przechowuj informacje możliwie krótko.