Bazy wiedzy AI i poufność: 7 pytań, które każdy usługodawca powinien zadać przed nagrywaniem rozmów z klientami

Dlaczego ten artykuł

Baza wiedzy AI, która nagrywa, transkrybuje i umożliwia przeszukiwanie rozmów z klientami, to dla usługodawców duży wzrost produktywności. Wcześniej pisaliśmy o tym, jak bazy wiedzy AI dla poszczególnych projektów wreszcie stają się inteligentne dzięki wiedzy z Twojej firmy — ale gdy tylko zaczynasz rejestrować głos, wideo lub czat, rozmowa przesuwa się z poziomu „przydatnego narzędzia” na poziom „oceny prawnej”.

Ten artykuł to lista kontrolna siedmiu pytań, na które musisz umieć odpowiedzieć przed wdrożeniem narzędzia takiego jak Symphoria (partner Wux Webtools i platforma, z której sami korzystamy) albo jego alternatywy. Pytania opierają się na RODO, EU AI Act, wytycznych EDPB oraz codziennej praktyce niderlandzkich usługodawców, którzy chcą zachować zgodność z przepisami bez zatrzymywania pracy przez compliance.

Kontekst: jesteś usługodawcą — firmą konsultingową, deweloperem, agencją marketingową, księgowym — i pomagasz klientom w projektach trwających miesiącami oraz generujących dziesiątki rozmów. Chcesz, aby AI podsumowywało te rozmowy, wyodrębniało zadania i odpowiadało na pytania takie jak „co klient powiedział w zeszłym tygodniu o budżecie?”. To jest możliwe. Ale nie bez tych siedmiu odpowiedzi.

1. Kto wyraża zgodę na nagrywanie — i jak ją rejestrujesz?

RODO wymaga podstawy prawnej dla każdego przetwarzania danych osobowych (art. 6). W przypadku nagrań rozmów zazwyczaj potrzebujesz zgody (art. 6 ust. 1 lit. a) albo uzasadnionego interesu (art. 6 ust. 1 lit. f). Zgoda musi być uprzednia, konkretna, świadoma i dobrowolna (art. 7). To oznacza: żadnych domyślnie zaznaczonych pól, żadnych ukrytych klauzul w regulaminach i z pewnością żadnego „nagrywamy, chyba że zgłosisz sprzeciw”.

Co chcesz zobaczyć: Jasny moment opt-in przed nagraniem pierwszej rozmowy. Może to być checkbox w onboardingu projektu („Wyrażam zgodę na nagrywanie spotkań w celu dokumentacji projektu i wsparcia AI”), potwierdzenie ustne na początku rozmowy („Ta rozmowa jest nagrywana na potrzeby naszej wewnętrznej bazy wiedzy — czy wyrażasz zgodę?”) albo osobny e-mail ze zgodą. Zgoda musi być zarejestrowana: kto, kiedy, w jakim celu i przy użyciu jakiego sformułowania.

Jak rozwiązuje to Symphoria: Symphoria oferuje warstwę zgód dla każdego projektu. Zanim rozpocznie się nagrywanie, system wyraźnie prosi wszystkich uczestników o zgodę. Zgoda jest zapisywana ze znacznikiem czasu i adresem IP oraz może zostać wycofana dla danego projektu. Ułatwia to zgodność z art. 7 ust. 3 RODO („wycofanie zgody musi być równie łatwe jak jej wyrażenie”).

2. Gdzie dane są fizycznie przechowywane i jakie prawo ma zastosowanie?

Co do zasady RODO zakazuje przekazywania danych osobowych do państw spoza EOG bez odpowiednich zabezpieczeń (art. 44–50). Po wyroku Schrems II (2020) Standardowe Klauzule Umowne (SCC) nie są już wystarczające, jeśli odbiorca podlega przepisom o nadzorze, takim jak FISA 702 w USA. EU AI Act (2024) dodaje kolejną warstwę: systemy AI wysokiego ryzyka muszą spełniać wymogi przejrzystości i audytu, które trudno egzekwować, jeśli dane są przechowywane poza UE.

Co chcesz zobaczyć: Jasną informację o tym, gdzie dane są fizycznie przechowywane (które centrum danych, który kraj), którzy podwykonawcy mają dostęp oraz czy podmioty te podlegają pozaeuropejskim przepisom o nadzorze. Najlepiej: przechowywanie w UE, u dostawcy, który nie ma amerykańskiej spółki dominującej albo wyraźnie oferuje tryb „EU-only”.

Jak rozwiązuje to Symphoria: Symphoria działa w całości na europejskiej infrastrukturze (AWS eu-west-1, Frankfurt) i nie korzysta z amerykańskich podwykonawców do przechowywania ani przetwarzania transkrypcji. Ułatwia to zgodność z Schrems II bez złożonych ocen skutków transferu.

3. Jaki model przetwarza transkrypcje i czy są one używane do trenowania?

Większość baz wiedzy AI korzysta z zewnętrznego LLM (OpenAI, Anthropic, Google) do przetwarzania transkrypcji. Rodzi to dwa pytania: (1) czy transkrypcje są używane do trenowania modelu? oraz (2) kto ma dostęp do promptów i odpowiedzi? Warunki API OpenAI od marca 2023 r. wskazują, że dane przesyłane przez API nie są używane do trenowania — chyba że wyraźnie przystąpisz do osobnego programu. Ta gwarancja nie dotyczy jednak wszystkich dostawców, a już na pewno nie bezpłatnego dostępu ani dostępu „badawczego”.

Co chcesz zobaczyć: Wyraźne oświadczenie, że transkrypcje nie są używane do trenowania modelu oraz że po przetworzeniu nie są już dostępne dla dostawcy LLM. Musi to być zawarte w umowie powierzenia przetwarzania danych, a nie tylko w FAQ. Dodatkowy plus: platforma korzysta z modelu, który możesz hostować samodzielnie (np. Llama, Mistral), albo z europejskiego dostawcy z rygorystyczną klauzulą no-training.

Jak rozwiązuje to Symphoria: Symphoria korzysta z API OpenAI z Business Associate Agreement (BAA) i klauzulą no-training. Transkrypcje są przetwarzane przez API, ale nie są przechowywane przez OpenAI i nie trafiają do przyszłych wersji modeli. Jest to wyraźnie wskazane na liście podwykonawców.

4. Jak długo przechowujesz nagrania i embeddingi oraz kto może je usunąć?

RODO wymaga, aby dane osobowe nie były przechowywane dłużej, niż jest to konieczne do celu, w którym zostały zebrane (art. 5 ust. 1 lit. e: ograniczenie przechowywania). W przypadku bazy wiedzy AI oznacza to, że musisz umieć wyjaśnić, dlaczego nagranie sprzed sześciu miesięcy nadal jest istotne, oraz mieć proces usuwania starych danych. Dotyczy to również danych pochodnych: embeddingi (wektorowe reprezentacje tekstu) są danymi osobowymi, jeśli można je powiązać z konkretną osobą.

Co chcesz zobaczyć: Konfigurowalny okres retencji dla każdego projektu (np. „automatycznie usuwaj nagrania po 12 miesiącach”), przycisk pozwalający kierownikowi projektu ręcznie usunąć nagranie oraz gwarancję, że usunięcie obejmuje również embeddingi i indeksy — nie tylko plik audio. Najlepiej: dziennik audytu pokazujący, kiedy coś usunięto i przez kogo.

Jak rozwiązuje to Symphoria: Symphoria oferuje „politykę retencji” dla każdego projektu. Możesz skonfigurować automatyczne usuwanie nagrań po X miesiącach, wraz z transkrypcjami i embeddingami. Ręczne usuwanie jest możliwe z poziomu interfejsu projektu, a każde usunięcie jest rejestrowane w ścieżce audytu.

5. Jakie logi audytowe są dostępne — czy klient może później zobaczyć, co stało się z „jego” rozmową?

Przejrzystość jest podstawową zasadą RODO (art. 5 ust. 1 lit. a). Oznacza to, że musisz umieć wyjaśnić, co zrobiłeś z czyimiś danymi — także po fakcie. W przypadku bazy wiedzy AI oznacza to, że musisz być w stanie pokazać, które nagrania wykonano, kto je przeglądał, jakie zapytania uruchomiono oraz czy dane zostały wyeksportowane lub usunięte. Bez logów audytowych nie odpowiesz na te pytania i narażasz się na kary w razie naruszenia danych albo skargi.

Co chcesz zobaczyć: Dziennik audytu dla każdego projektu, który śledzi co najmniej: (1) kto rozpoczął nagrywanie, (2) kto przeglądał transkrypcję, (3) jakie zapytania wykonano wobec bazy wiedzy, (4) czy dane zostały wyeksportowane oraz (5) czy dane zostały usunięte. Taki log musi być przeszukiwalny i przechowywany przez co najmniej 12 miesięcy (dłużej, jeśli działasz w sektorze regulowanym).

Jak rozwiązuje to Symphoria: Symphoria rejestruje wszystkie działania na poziomie projektu: nagrania, wyświetlenia, zapytania, eksporty i usunięcia. Logi te są dostępne dla właściciela projektu i można je wyeksportować jako CSV. Ułatwia to spełnienie żądania dostępu (art. 15 RODO) albo zbadanie incydentu.

6. Jaka jest strategia wyjścia? (Czy możesz wyeksportować swoją bazę wiedzy w otwartym formacie?)

Vendor lock-in jest ryzykiem przy każdym narzędziu SaaS, ale w przypadku bazy wiedzy AI jest szczególnie dotkliwy: zgromadziłeś miesiące rozmów, transkrypcji i metadanych, a jeśli nie możesz ich wyeksportować, tracisz tę wiedzę. RODO daje prawo do przenoszenia danych (art. 20), ale dotyczy ono tylko danych, które sam dostarczyłeś — nie danych pochodnych, takich jak embeddingi czy podsumowania. Mimo to rozsądnie jest wymagać możliwości eksportu wszystkiego w formacie, który można zaimportować do innego dostawcy.

Co chcesz zobaczyć: Przycisk eksportu, który daje Ci co najmniej: (1) wszystkie pliki audio lub wideo, (2) wszystkie transkrypcje w zwykłym tekście lub JSON, (3) wszystkie metadane (znaczniki czasu, uczestnicy, tagi) oraz (4) najlepiej także embeddingi w otwartym formacie, takim jak Parquet lub JSONL. Dodatkowy plus: eksport jest zautomatyzowany i może być zaplanowany (np. cotygodniowa kopia zapasowa do własnego bucketu S3).

7. Kto jest podmiotem przetwarzającym, kto administratorem i czy jest to udokumentowane w umowie powierzenia przetwarzania danych?

RODO rozróżnia administratora (podmiot, który określa, dlaczego i jak przetwarzane są dane osobowe) oraz podmiot przetwarzający (podmiot, który przetwarza dane w imieniu administratora). Jako usługodawca zwykle jesteś administratorem, a baza wiedzy AI jest podmiotem przetwarzającym. To oznacza, że potrzebujesz umowy powierzenia przetwarzania danych (art. 28 RODO), która precyzyjnie określa, co podmiot przetwarzający może robić, jak długo, z jakimi podwykonawcami oraz co dzieje się w przypadku naruszenia danych.

Co chcesz zobaczyć: Umowę powierzenia przetwarzania danych (DPA) zgodną z art. 28 ust. 3 RODO. Musi ona obejmować co najmniej: (1) przedmiot i czas trwania przetwarzania, (2) charakter i cel przetwarzania, (3) rodzaj danych osobowych i kategorie osób, których dane dotyczą, (4) prawa i obowiązki administratora, (5) listę podwykonawców oraz (6) procedurę dotyczącą naruszeń danych. Umowa ta musi zostać podpisana przed rozpoczęciem nagrywania.

Jak rozwiązuje to Symphoria: Symphoria oferuje standardową DPA zgodną z art. 28 RODO. Możesz podpisać ją przez interfejs platformy, a dokument jest automatycznie aktualizowany po dodaniu nowego podwykonawcy. Ułatwia to zachowanie zgodności bez angażowania zespołu prawnego za każdym razem.

TL;DR checklist

• Zgoda: Rejestruj uprzednią, konkretną zgodę — ze znacznikiem czasu i możliwością rezygnacji.
• Przechowywanie: Sprawdź, czy dane są przechowywane w UE i nie podlegają pozaeuropejskim przepisom o nadzorze.
• Trenowanie: Wymagaj wyraźnej gwarancji, że transkrypcje nie są używane do trenowania modelu.
• Retencja: Ustal okres retencji i upewnij się, że usunięcie obejmuje również embeddingi.
• Audyt: Wymagaj logów pokazujących, kto co przeglądał, o co pytał i co usuwał.
• Eksport: Sprawdź, czy możesz wyeksportować wszystkie dane w otwartym formacie.
• DPA: Podpisz umowę powierzenia przetwarzania danych przed rozpoczęciem nagrywania.

Co to oznacza dla Twojej organizacji

Jeśli potrafisz odpowiedzieć na te siedem pytań, jesteś na dobrej drodze. Pamiętaj jednak: compliance nie jest jednorazową checklistą. RODO wymaga regularnej weryfikacji, czy nadal spełniasz wymogi (art. 24: „odpowiednie środki techniczne i organizacyjne”), a EU AI Act dodaje kolejną warstwę dla systemów wysokiego ryzyka. To oznacza: okresowe audyty, DPIA dla nowych przypadków użycia oraz proces odpowiadania na żądania dostępu i naruszenia danych.

Chcesz zobaczyć, jak działa to w praktyce? Przeczytaj tydzień z bazą wiedzy AI: jak zmienia pracę kierownika projektu u usługodawcy — narracyjne studium przypadku, w którym pokazujemy dokładnie, jak te pytania pojawiają się w codziennej praktyce.

Najważniejsza lekcja: baza wiedzy AI staje się wzrostem produktywności tylko wtedy, gdy utrzymujesz zaufanie klientów. A zdobywasz je, zadając — i potrafiąc odpowiedzieć na — te pytania, zanim naciśniesz „record”.