RODO i modele językowe: hosting, ścieżka danych i granice odpowiedzialności
Zgodność to wybór architektury: gdzie przetwarzasz dane, co wysyłasz do API zewnętrznego i jak długo je przechowujesz.
Projekt powinien zaczynać się od klasyfikacji danych osobowych i danych wrażliwych. To determinuje, czy możliwy jest model chmurowy, hybryda, czy lokalna inferencja.
Często stosuje się podejście warstwowe: anonymizacja lub redukcja pól przed wyjściem poza środowisko klienta, a pełny kontekst zostaje w zamkniętym obwodzie.
Umowy powierzenia, retencja logów i dostęp do audytu powinny być opisane przed pierwszym wdrożeniem produkcyjnym, nie po incydencie.
Dla każdego przepływu warto mieć rejestr: jakie kategorie danych wchodzą, gdzie są przetwarzane, kto jest administratorem i jak długo logi są przechowywane.
Testy penetracyjne i przeglądy dostępu do środowiska, w którym stoi integracja, powinny być zsynchronizowane z polityką IT klienta, żeby nie powstała luka między „aplikacją biznesową” a „eksperymentem AI”.
Szkolenie zespołu obsługującego dane wejściowe jest częścią zgodności: świadome oznaczanie danych wrażliwych i nie przekazywanie zbędnych pól do modelu obniża ryzyko.
Przy zmianie dostawcy modelu lub regionu hostingu warto mieć checklistę: jakie zapisy w umowach trzeba zaktualizować i czy wymagana jest ponowna ocena skutków dla prywatności.
Dokumentacja dla inspektora ochrony danych powinna być zrozumiała bez znajomości kodu: schemat przepływu, lista podmiotów i opis mechanizmów pseudonimizacji wystarczą na dobry start.