Bezpieczeństwo danych firmowych przy AI i ERP: co sprawdzić

To pytanie zadaje prawie każdy zarząd i każdy IOD: „czy nasze dane będą bezpieczne, gdy połączymy AI z ERP?”. Odpowiedź zależy nie od samego użycia AI, ale od sposobu połączenia, zakresu danych i kontroli dostępu. Ten tekst pomaga przygotować pytania do zweryfikowania przed pilotażem.

Jak ustalić, gdzie trafiają dane

Wyobraź sobie pytanie: „pokaż mi zaległości kontrahenta ABC”. W ryzykownym wdrożeniu ktoś kopiuje całą tabelę rozrachunków do okna czatu. Bezpieczniejszy projekt zaczyna się od udokumentowania przepływu danych: jakie dane są pobierane z ERP, jakie trafiają do usługi AI i gdzie są przetwarzane lub przechowywane.

• Model powinien korzystać z określonych narzędzi zamiast otrzymywać nieograniczony dostęp do danych źródłowych.
• Narzędzie „pokaż zaległości(kontrahent: ABC)” powinno zwracać tylko rekordy potrzebne do odpowiedzi.
• Należy sprawdzić, czy dane poza tym zakresem pozostają wyłącznie w środowisku ERP oraz jakie elementy przepływu zależą od wybranego hostingu i dostawców.

Taki projekt wspiera zasadę minimalizacji danych, ale wymaga sprawdzenia na konkretnym procesie, koncie użytkownika i konfiguracji konektora.

Architektura zależna od ERP i hostingu

Nie istnieje jeden model techniczny wspólny dla każdego ERP. Połączenie może wykorzystywać API, warstwę integracyjną lub inne zatwierdzone mechanizmy, a przebieg danych zależy od ERP, jego wersji, modelu hostingu i konfiguracji wdrożenia.

• Przed pilotażem należy potwierdzić, czy i gdzie są kopiowane dane oraz które elementy procesu opuszczają środowisko ERP.
• Organizacja powinna określić, jakie narzędzia, role i zakresy danych są dostępne dla AI.
• Aktualne warunki usługi AI, retencję danych i ustawienia planu trzeba zweryfikować dla wybranego konta oraz umowy.
• Jeżeli proces obejmuje zapis do ERP, powinien wymagać potwierdzenia człowieka i pozostawiać ślad audytowy.

Pytanie nie brzmi „czy ufam AI”, tylko „kto kontroluje, jakie dane AI może zobaczyć i jakie działanie może przygotować?”.

Co zweryfikować pod kątem RODO

Zgodność z RODO należy ocenić dla konkretnego procesu, kategorii danych, ról podmiotów i przepływów technicznych. To zagadnienia, które warto omówić z IOD lub kancelarią:

• Minimalizacja danych. Czy konektor przekazuje tylko dane potrzebne do danego pytania lub działania?
• Role i umowy. Czy ustalono role podmiotów, właściwe umowy oraz dokumentację dla wszystkich dostawców uczestniczących w przetwarzaniu?
• Rozliczalność. Czy audyt pozwala ustalić, kto, kiedy i jakie działanie zatwierdził lub wykonał?
• Kontrola dostępu. Czy uprawnienia ograniczają użytkowników i zakres danych dostępnych przez AI?

To nie jest porada prawna, ostateczną ocenę zgodności powinien wykonać Twój IOD lub kancelaria na podstawie rzeczywistej architektury, umów i konfiguracji.

Checklista dla działu IT i IOD

Zanim podpiszesz jakiekolwiek wdrożenie AI nad ERP, sprawdź te punkty:

• Jaki jest pełny przepływ danych między ERP, konektorem i usługą AI?
• Czy model korzysta z wąskich narzędzi, a nie bezpośredniego dostępu do całego zbioru danych?
• Jakie warunki, retencja danych i ustawienia obowiązują dla wybranego planu oraz konta usługi AI?
• Czy każdy przewidziany zapis wymaga potwierdzenia człowieka?
• Czy istnieje audyt istotnych operacji i zatwierdzeń?
• Czy można ograniczyć dostęp per użytkownik i per zakres danych?

Wszystkie te punkty rozpisaliśmy w przewodniku PDF o bezpiecznym podłączeniu AI do ERP, możesz przekazać go IOD jako punkt wyjścia. Zobacz też, jak zaprojektować integrację ChatGPT z ERP z kontrolą i audytem.