Case Study · Zgodność Regulacyjna
Polski regulator wszczął formalne postępowanie przeciwko OpenAI ws. ChatGPT
Co się wydarzyło
Badacz cyberbezpieczeństwa Łukasz Olejnik poprosił ChatGPT o informacje na swój temat i odkrył, że model wygenerował nieprawdziwe dane osobowe. Zażądał sprostowania na podstawie RODO - prawa przysługującego każdej osobie, której dane dotyczą - ale nie znalazł u OpenAI działającego mechanizmu realizacji tego prawa.
Urząd Ochrony Danych Osobowych (UODO) wszczął formalne postępowanie administracyjne przeciwko OpenAI, wskazując na możliwe naruszenia kilku przepisów RODO dotyczących przejrzystości, podstawy prawnej przetwarzania i prawa do sprostowania. Sprawa uwydatniła strukturalny problem: duże modele językowe nie mają oczywistego sposobu na skorygowanie lub usunięcie konkretnego faktu o konkretnej osobie, gdy ten trafi już do modelu.
Problem biznesowy
System generujący lub przechowujący informacje o realnych osobach potrzebuje działającego procesu ich korekty - argument „model tak nie działa” nie jest obroną akceptowaną przez regulatora.
Co mogło pomóc
- Każdy system AI dotykający danych osobowych potrzebuje realnego, działającego procesu realizacji praw podmiotów danych, nie tylko zapisu w polityce
- Zaprojektuj ten proces przed wdrożeniem, nie po tym, jak zapyta o niego regulator
- Obowiązek dbałości o poprawność danych dotyczy danych generowanych przez AI tak samo jak każdego innego rekordu
- Luki w zgodności po stronie dostawcy stają się też ekspozycją firmy, która z niego korzysta