Kto jest kim
Firma, która wdraża asystenta dla swoich klientów, decyduje, po co i w jaki sposób przetwarzane są ich dane. Jest więc administratorem. Wykonawca, który obsługuje system w jej imieniu, jest podmiotem przetwarzającym. Taki układ wymaga umowy z art. 28 ust. 3 RODO, zawartej na piśmie, także w formie elektronicznej (art. 28 ust. 9).
Co musi znaleźć się w umowie
Przepis wymienia elementy obowiązkowe. Umowa określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz kategorie osób, których dane dotyczą. Podmiot przetwarzający zobowiązuje się w niej do tego, że:
- działa tylko na udokumentowane polecenie administratora,
- zapewnia poufność po stronie osób, które mają dostęp do danych,
- stosuje środki bezpieczeństwa z art. 32,
- przestrzega zasad korzystania z dalszych podwykonawców,
- pomaga przy wnioskach osób oraz przy obowiązkach z art. 32–36,
- po zakończeniu usług usuwa albo zwraca dane,
- udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty.
Co jest inne przy systemach AI
Pierwsza różnica to łańcuch dostawców. Za asystentem głosowym stoi zwykle operator telefonii, usługa rozpoznawania mowy, dostawca modelu i serwerownia. Każdy z nich, jeśli przetwarza dane, jest dalszym podmiotem przetwarzającym. Art. 28 ust. 2 wymaga na to zgody administratora: szczegółowej albo ogólnej. Przy zgodzie ogólnej wykonawca informuje o każdej zmianie, a administrator może się sprzeciwić.
Druga to miejsce przetwarzania. Jeśli dostawca przekazuje dane poza Europejski Obszar Gospodarczy, trzeba wskazać podstawę z rozdziału V RODO.
Trzecia to nagrania i transkrypcje. W zwykłej aplikacji rzadko powstają, a tu są podstawowym materiałem. Warto ustalić, czy w ogóle są zapisywane, gdzie, kto ma do nich dostęp i po jakim czasie znikają.
Czwarta to uczenie modeli. Umowa albo warunki dostawcy powinny mówić wprost, czy dane z rozmów mogą służyć do trenowania modelu.
Lista przed podpisem
- Czy wszyscy dostawcy są wymienieni z nazwy i z zakresem usługi?
- Gdzie fizycznie przetwarzane są dane i czy opuszczają EOG?
- Jak długo przechowywane są nagrania, transkrypcje i dzienniki?
- Czy dostawca modelu używa danych do uczenia?
- Co dzieje się z danymi po zakończeniu abonamentu?
- Kto zgłasza naruszenie i w jakim czasie?
Tekst ma charakter informacyjny, stan prawny na listopad 2026 r. Nie jest poradą prawną.
