Jak AI może pilnować rejestru czynności przetwarzania i dokumentacji RODO w firmie?

AI podłączone do dokumentacji RODO sprawdza, czy dla każdego systemu IT w firmie jest podpisana umowa powierzenia przetwarzania danych, pilnuje terminów przeglądów rejestru czynności i przygotowuje projekt wpisu, gdy zmienia się proces. Nie zastępuje to inspektora ochrony danych ani prawnika: decyzje interpretacyjne i podpis pod zgłoszeniem do UODO zawsze zostają po stronie człowieka. AI zdejmuje natomiast z IOD dużą część pracy czysto administracyjnej: porównywanie rozproszonych list, wysyłanie przypomnień i zbieranie danych przed kontrolą lub audytem.

Co naprawdę siedzi w dokumentacji RODO i co AI może z tego wyciągnąć

Centrum jest rejestr czynności przetwarzania (RCP). Każdy wpis ma kilkanaście pól: cel przetwarzania, podstawa prawna (np. art. 6 ust. 1 lit. b lub c RODO), kategorie danych osobowych, lista odbiorców zewnętrznych, termin retencji, powiązane systemy IT, data ostatniego przeglądu i flaga, czy wymagana jest ocena skutków dla ochrony danych (DPIA). W firmie z kilkudziesięcioma procesami to setki pól do utrzymania, a każda zmiana organizacyjna może wymagać aktualizacji kilku wpisów naraz.

Do RCP dochodzą rejestry, które powinny być z nim spójne:

• Rejestr umów powierzenia: nazwa procesora, numer umowy, data zawarcia, data wygaśnięcia, zakres powierzenia, informacja o podpowierzeniu, status aneksu aktualizującego.
• Rejestr upoważnień: imię i nazwisko pracownika, zakres dostępu do danych, powiązany system IT, data udzielenia upoważnienia i data jego wygaśnięcia.
• Rejestr naruszeń: data i godzina wykrycia incydentu, opis zdarzenia, kategorie danych, szacowana liczba osób, decyzja o zgłoszeniu do UODO, bieg terminu 72 godzin od wykrycia.
• Rejestr DPIA: powiązanie z wpisem RCP, poziom ryzyka rezydualnego, data zatwierdzonego przeglądu, osoba zatwierdzająca.

Problem polega na tym, że te dokumenty rzadko żyją w jednym miejscu. U większości firm, z którymi pracujemy, RCP siedzi w Excelu, umowy powierzenia w folderze na SharePoincie, a upoważnienia albo w osobnych plikach Word, albo w systemie kadrowym, albo nigdzie. AI czyta ze wszystkich tych źródeł jednocześnie i zestawia to, czego pracownicy na co dzień nie łączą ręcznie.

Jak AI sprawdza, czy dla nowego systemu IT jest umowa powierzenia

Typowa sytuacja z biura. Dział sprzedaży kupuje nową aplikację do wysyłki newsletterów albo CRM w modelu SaaS. Loginy rozchodzą się po handlowcach, zaczynają spływać dane kontaktowe klientów. Trzy miesiące później IOD pyta, czy jest podpisana umowa powierzenia z dostawcą. Okazuje się, że nikt nie pamięta, kto zamawiał ten system i czy ktokolwiek w ogóle pytał dostawcę o DPA.

AI pilnuje tego automatycznie. Czyta rejestr systemów IT (albo listę licencji z działu IT), porównuje go z rejestrem umów powierzenia i wskazuje, które systemy nie mają przypisanej aktywnej umowy albo mają umowę, która wygasła. Gdy w inwentaryzacji pojawi się nowy wpis, AI tworzy zadanie dla IOD z konkretną nazwą systemu, nazwą dostawcy i sugestią: sprawdź DPA lub aneks aktualizacyjny.

U jednego klienta zestawienie trzech źródeł jednocześnie: inwentaryzacja IT, rejestr umów i RCP, ujawniło siedem systemów używanych czynnie przez pracowników, dla których nie było aktywnej umowy powierzenia. Część umów istniała, ale wygasła dwa lata wcześniej i nikt nie zainicjował aneksowania. Żaden z tych braków nie pojawił się wcześniej, bo ręczne porównywanie tych list po prostu nie wchodziło w zakres cotygodniowej pracy IOD.

To samo działa w drugą stronę. Gdy firma rezygnuje z systemu i zamknie konto u dostawcy, AI może sprawdzić, czy wpis w RCP i umowa powierzenia zostały odpowiednio zaktualizowane albo formalnie zamknięte.

Jak AI pilnuje terminów przeglądów, upoważnień i szkoleń

Przegląd RCP powinien odbywać się regularnie, co najmniej raz w roku. W praktyce wiele firm wpisuje datę "planowanego przeglądu" w Excelu i zapomina o niej do kolejnego audytu. AI czyta pole przeglądu w każdym wierszu RCP i wysyła przypomnienie do osoby odpowiedzialnej na 30 lub 60 dni przed terminem, zależnie od tego, co ustalono z IOD. Bez ręcznego przeglądania całej tabeli co miesiąc.

Upoważnienia to osobny obszar. Każde ma datę ważności: rok, dwa lata albo bezterminowe z zapisem o cofnięciu przy zmianie stanowiska lub odejściu. AI weryfikuje rejestr upoważnień i szuka rozbieżności: osób, które formalnie mają aktywne upoważnienie, ale nie ma ich już na liście aktywnych pracowników. Albo odwrotnie: pracownik z dostępem do systemu kadrowego, ale bez wpisu w rejestrze. Takie sytuacje zdarzają się regularnie przy rotacji i reorganizacjach działów.

Szkolenia z ochrony danych to trzecia pozycja. Firmowy rejestr szkoleń zawiera imię i nazwisko, datę szkolenia, zakres i termin kolejnego. AI porównuje ten rejestr z aktualną listą pracowników i wskazuje, komu brakuje szkolenia albo komu termin ważności już minął. W firmie handlowej z kilkudziesięcioma pracownikami z dostępem do danych klientów takie zestawienie zajmowało wcześniej kilka godzin HR co roku. Teraz AI robi to na żądanie: daje posortowaną listę z datami wygaśnięcia, gotową do przekazania osobie odpowiedzialnej za organizację szkoleń.

Projekt wpisu do rejestru po zmianie procesu: co AI przygotowuje, a co zostaje dla IOD

Zmiany procesów to moment, który najczęściej umyka dokumentacji RODO. Firma zaczyna nagrywać rozmowy telefoniczne do celów szkoleniowych. Albo wdraża aplikację do wysyłki SMS-ów marketingowych. Albo zmienia czas przechowywania dokumentów w systemie ERP z siedmiu lat na pięć. Każda z tych zmian wymaga aktualizacji RCP, ale IOD najczęściej dowiaduje się o tym po fakcie, przy audycie lub z przypadkowej rozmowy przy kawie.

AI może tu działać jako pierwsza linia. Pracownik albo kierownik opisuje zmianę: "zaczęliśmy nagrywać rozmowy z klientami do celów szkoleniowych, trzymamy nagrania 30 dni, dostęp ma kierownik działu i trener zewnętrzny". Na tej podstawie AI generuje projekt wpisu RCP z wypełnionymi polami:

• cel przetwarzania: szkolenie pracowników, poprawa jakości obsługi klienta
• proponowana podstawa prawna: uzasadniony interes administratora, art. 6 ust. 1 lit. f RODO (z adnotacją do weryfikacji przez IOD)
• kategorie danych: głos rozmówcy, treść rozmowy, dane identyfikacyjne klienta
• okres retencji: 30 dni od daty nagrania
• odbiorcy zewnętrzni: firma szkoleniowa (wymagana weryfikacja umowy powierzenia)
• sugestia: sprawdzić, czy nagrywanie rozmów klientów wymaga przeprowadzenia DPIA

To jest projekt do zatwierdzenia, nie gotowy wpis. IOD weryfikuje podstawę prawną, modyfikuje kategorie danych, decyduje o DPIA. Samo zebranie tych pól i wstępna analiza zajmuje AI kilka minut zamiast kilkudziesięciu po stronie IOD. Różnica widoczna szczególnie wtedy, gdy zgłoszeń zmian procesów wpływa kilka w miesiącu.

Zgłoszenie naruszenia w 72 godziny: czego AI dostarcza w pierwszych minutach

Gdy dochodzi do incydentu z danymi osobowymi, RODO daje 72 godziny na podjęcie decyzji: czy naruszenie wymaga zgłoszenia do UODO, a może też bezpośredniego poinformowania osób, których dane dotyczą. W tym czasie trzeba zebrać fakty. Jakie dane były objęte. Ilu osób dotyczy. Jakie systemy były zaangażowane. Czy były aktualne umowy powierzenia z ich dostawcami. Czy dany proces miał wykonaną DPIA i jaki był jej wynik.

W firmie z rozbudowaną infrastrukturą zebranie tych informacji potrafi zająć kilka godzin: telefony do IT, do działu prawnego, do administratorów systemów. AI ma te dane w jednym miejscu. Na podstawie nazwy systemu lub opisu incydentu dostarcza:

• kategorie danych osobowych przetwarzane w tym systemie według aktualnego wpisu RCP
• szacowaną liczbę rekordów z ostatniego przeglądu
• status umowy powierzenia z dostawcą: aktualna, data wygaśnięcia, numer umowy
• czy dla tego procesu była wykonana DPIA i jaki był wynik oceny ryzyka
• listę odbiorców danych wskazanych w RCP

W firmie logistycznej wyciekły dane z systemu do rozliczeń kierowców. IOD miał 72 godziny. Wcześniej zebranie tych informacji wymagało kontaktu z IT, działem HR i finansami. Nikt nie miał kompletnego obrazu w jednym miejscu. AI wyciągnął dane z RCP w kilka minut: 340 rekordów, kategorie danych (imię, nazwisko, PESEL, numer konta bankowego), aktualny status umowy powierzenia z dostawcą systemu. IOD skupił się od razu na ocenie ryzyka i treści zgłoszenia, nie na zbieraniu faktów z kilku działów.

AI generuje też szkic formularza zgłoszenia do UODO z wypełnionymi polami wynikającymi z rejestrów. Albo krótką notatkę uzasadniającą, dlaczego incydent nie spełnia progu zgłoszeniowego. Decyzja i podpis zawsze leżą po stronie IOD.

Od czego zacząć, żeby to działało w praktyce

Nie trzeba mieć specjalistycznego systemu do RODO. Wystarczy, że dokumentacja jest dostępna cyfrowo: plik Excel z RCP, folder z umowami powierzenia, rejestr szkoleń w jakiejkolwiek formie tabelarycznej. AI czyta pliki i łączy dane między nimi. Dobry punkt startowy nawet dla firmy, która przez lata prowadziła dokumentację "jakoś".

Warto wybrać jeden albo dwa obszary, które dziś sprawiają najwięcej problemów. Dla większości firm są to umowy powierzenia przy nowych systemach IT albo przeglądy RCP, które regularnie się opóźniają. Tam AI daje wartość najszybciej, bo praca jest powtarzalna i sprowadza się do porównywania list.

Na początku AI powinien raportować, nie działać. Przez pierwsze kilka tygodni dostaje dostęp do dokumentów i wskazuje rozbieżności: brakujące umowy, przeterminowane upoważnienia, pracowników bez aktualnego szkolenia. IOD weryfikuje, czy raporty są trafne i kompletne. Dopiero po tej weryfikacji przechodzi się do automatycznych alertów i generowania projektów wpisów. Wdrożenie na zasadzie "od razu pełna automatyzacja" zwykle kończy się tym, że AI generuje projekty wpisów, których nikt nie sprawdza, i po kilku tygodniach wszyscy ignorują alerty.

Praktyczny efekt jest widoczny szczególnie przy audycie lub przy pierwszym poważnym incydencie. Zamiast kilku godzin zbierania danych z różnych miejsc IOD dostaje gotowe zestawienie i może skupić się na tym, do czego naprawdę potrzebna jest jego wiedza: na ocenie ryzyka, argumentacji i decyzji. Chcesz zobaczyć, jak taką integrację postawić na dokumentach Twojej firmy? Zapraszamy na 15 minut rozmowy. Możesz też przejrzeć realne wdrożenia z podobnych obszarów compliance.