Dynamiczny rozwój narzędzi opartych na sztucznej inteligencji istotnie wpływa na sposób przetwarzania informacji w działalności gospodarczej. Coraz częściej systemy AI są wykorzystywane do analizy danych, tworzenia dokumentów oraz wspierania procesów decyzyjnych, co prowadzi do zwiększenia efektywności operacyjnej przedsiębiorstw. Jednocześnie pojawiają się nowe ryzyka związane z utratą poufności informacji, w tym informacji stanowiących tajemnicę przedsiębiorstwa. W poniższym artykule wyjaśniamy, jak powinna wyglądać umowa o poufności (ang. Non-disclosure agreement – NDA) w dobie AI.
Sztuczna inteligencja i poufność - tajemnica przedsiębiorstwa
Tajemnicę przedsiębiorstwa stanowią informacje mające wartość gospodarczą, które nie są powszechnie znane ani łatwo dostępne, o ile przedsiębiorca podjął działania w celu zachowania ich poufności. W dobie AI ocena tych działań musi uwzględniać nowe sposoby przetwarzania danych, w tym ich przekazywanie do systemów zewnętrznych.
Wprowadzenie informacji poufnych do narzędzi AI może prowadzić do utraty kontroli nad nimi, co może skutkować utratą przymiotu tajemnicy przedsiębiorstwa. Tym samym korzystanie z AI musi być traktowane jako potencjalnie istotny element ryzyka prawnego.
Nowe ryzyka związane z wykorzystaniem AI
Korzystanie z narzędzi AI wiąże się z ryzykiem przekazania danych podmiotowi trzeciemu, jakim jest dostawca systemu. W wielu przypadkach użytkownik nie ma pełnej kontroli nad tym, w jaki sposób dane są przechowywane, przetwarzane lub wykorzystywane.
Ryzyko to dotyczy zarówno informacji stanowiących tajemnicę przedsiębiorstwa, jak i danych osobowych. Wprowadzenie takich danych do systemu AI bez odpowiednich zabezpieczeń może prowadzić do naruszenia zarówno obowiązków umownych, jak i przepisów prawa.
Odpowiedzialność gwarancyjna za korzystanie z narzędzi AI
Jednym z kluczowych elementów aktualizacji umów o zachowaniu poufności powinno być wprowadzenie odpowiedzialności gwarancyjnej strony korzystającej z narzędzi AI.
W praktyce oznacza to przyjęcie przez tę stronę zobowiązania o charakterze zbliżonym do gwarancji, że korzystanie z określonych narzędzi nie doprowadzi do naruszenia poufności informacji.
Strona ta powinna ponosić odpowiedzialność niezależnie od winy, w szczególności w sytuacji, gdy wprowadzi do systemu AI informacje poufne lub dane osobowe w sposób sprzeczny z umową.
Ma to istotne znaczenie w sytuacji, gdy dostawca systemu AI pozostaje poza stosunkiem umownym łączącym strony umowy NDA.
Obowiązek weryfikacji narzędzi AI
Kolejnym istotnym elementem jest wprowadzenie obowiązku weryfikacji narzędzi AI przed ich wykorzystaniem do przetwarzania informacji poufnych.
Strona korzystająca z takich narzędzi powinna dokonać analizy ich funkcjonowania, w szczególności w zakresie zasad przetwarzania danych, ich przechowywania oraz ewentualnego wykorzystywania do celów szkoleniowych. Weryfikacja ta powinna obejmować również analizę dokumentów regulujących świadczenie usług przez dostawcę, takich jak regulaminy czy polityki prywatności.
Przykład 1.
ABC sp. z o.o. podejmuje współpracę ze spółką doradczą, XYZ sp. z o.o., która zamierza wykorzystywać AI przy realizacji zlecenia. Spółka ABC obawia się wycieku wrażliwych informacji o planowanym istotnym dla rozwoju spółki projekcie. Jak spółka ABC może się zabezpieczyć przed wyciekiem poufnych informacji w wyniku korzystania z AI?
Spółka ABC może uwzględnić w umowie NDA zawartej ze spółką XYZ obowiązek każdorazowej weryfikacji narzędzia AI przed jego wykorzystaniem. W razie zawarcia umowy NDA przed każdym użyciem narzędzia AI spółka XYZ przeprowadzi jego weryfikację, analizując regulamin oraz politykę prywatności dostawcy pod kątem zasad przetwarzania i przechowywania danych. Jeżeli w toku analizy ustali, że dane wprowadzane do systemu mogą być wykorzystywane do trenowania modeli, co stwarza ryzyko naruszenia poufności (informacje poufne mogą zostać wykorzystane do innych celów niż dozwolone w umowie NDA) – będąc świadomą konsekwencji, spółka XYZ będzie miała możliwość zapobiec wyciekowi, rezygnując z użycia tego narzędzia do przetwarzania informacji objętych umową NDA.
Katalog dopuszczalnych narzędzi AI jako element kontroli poufności
W praktyce szczególnie efektywnym rozwiązaniem jest wprowadzenie do umowy o zachowaniu poufności zamkniętego lub częściowo otwartego katalogu dopuszczalnych narzędzi AI, które mogą być wykorzystywane do przetwarzania informacji poufnych. Katalog taki powinien precyzyjnie wskazywać nie tylko nazwy narzędzi, lecz również konkretne modele ich udostępniania, w tym wersje licencyjne lub tryby korzystania, które zapewniają odpowiedni poziom ochrony danych.
Rozróżnienie to ma istotne znaczenie, ponieważ poziom bezpieczeństwa może się różnić w zależności od wersji usługi, w szczególności w zakresie przetwarzania danych użytkownika, ich przechowywania czy wykorzystywania do dalszego trenowania modeli. W konsekwencji dopuszczenie określonego narzędzia nie powinno mieć charakteru ogólnego, lecz powinno odnosić się do konkretnych warunków jego użycia.
Jednocześnie umowa powinna przewidywać mechanizm aktualizacji katalogu dopuszczalnych narzędzi, uzależniony od zgody drugiej strony. Rozwiązanie takie pozwala na elastyczne dostosowywanie postanowień umownych do dynamicznie zmieniającego się rynku technologicznego, przy jednoczesnym zachowaniu kontroli nad sposobem przetwarzania informacji poufnych.
Wprowadzenie katalogu narzędzi oraz procedury jego aktualizacji stanowi istotny element wykazania, że strony podejmują konkretne i adekwatne działania w celu ochrony poufności informacji, co ma bezpośrednie znaczenie na gruncie przepisów o zwalczaniu nieuczciwej konkurencji.
Prawa audytu jako instrument kontroli
W celu zapewnienia skuteczności powyższych obowiązków zasadne jest wprowadzenie do umów NDA prawa audytu po stronie podmiotu ujawniającego informacje.
Prawo to powinno obejmować możliwość weryfikacji, czy druga strona korzysta z narzędzi AI w sposób zgodny z umową, a także czy przeprowadziła odpowiednią ocenę tych narzędzi. Audyt może dotyczyć zarówno dokumentacji, jak i stosowanych procedur.
Wprowadzenie takiego uprawnienia wzmacnia kontrolę nad przepływem informacji i stanowi dodatkowy element wykazania należytej staranności w ochronie tajemnicy przedsiębiorstwa.
Znaczenie procedur wewnętrznych
Postanowienia umowne powinny być uzupełnione odpowiednimi procedurami wewnętrznymi, regulującymi zasady korzystania z narzędzi AI. Wymóg wprowadzenia określonych procedur może również nakładać na stronę umowy NDA.
Pracownicy powinni być świadomi, jakie informacje mogą być wprowadzane do systemów oraz jakie ograniczenia obowiązują w tym zakresie.
Wdrożenie takich procedur ma znaczenie zarówno praktyczne, jak i dowodowe, ponieważ pozwala wykazać, że przedsiębiorca podejmuje działania zmierzające do ochrony informacji.
Podsumowanie
Rozwój sztucznej inteligencji wymusza zmianę podejścia do ochrony poufności informacji. Aktualizacja umów o zachowaniu poufności powinna uwzględniać nowe ryzyka, w szczególności poprzez wprowadzenie odpowiedzialności gwarancyjnej za korzystanie z narzędzi AI oraz obowiązku ich weryfikacji.
Uzupełnienie umowy NDA o prawo audytu oraz odpowiednie procedury wewnętrzne pozwala na stworzenie spójnego systemu ochrony informacji, zgodnego z wymaganiami ustawy o zwalczaniu nieuczciwej konkurencji. W efekcie przedsiębiorcy mogą skuteczniej zabezpieczyć swoje interesy w warunkach rosnącego znaczenia technologii AI.
Polecamy:
