Sztuczna inteligencja wg standardów ochrony danych osobowych - co IOD wiedzieć powinien?

Szkolenie koncentruje się na praktycznym mapowaniu relacji między przepisami RODO a Aktem AI. 

Program szkolenia kładzie nacisk na kształtowanie kompetencji w zakresie:

• zrozumienia technologii w soczewce RODO, co pozwala IOD na trafną identyfikację i mitygację specyficznych podatności systemów AI uderzających bezpośrednio w zasady bezpieczeństwa (Art. 32 RODO) oraz prawidłowości danych (Art. 5 ust. 1 lit. d RODO), takich jak zjawisko regurgitacji, ataki typu prompt injection czy niekontrolowane profilowanie behawioralne użytkowników (predictive data-caging),
• wiedzy na temat wpływu Aktu AI na ustawowe obowiązki nadzorcze i doradcze IOD, umożliwiającego bezpieczne i bezbłędne przełożenie siatki pojęciowej stosowanej w AI Akcie (w tym reżimu odpowiedzialności „Dostawcy” i „Wdrażającego”) na tradycyjne role Administratora oraz Podmiotu Przetwarzającego,
• umiejętności pragmatycznego wykorzystania klasyfikacji ryzyka AI Act do optymalizacji procesów ochrony danych, w tym wsparcia Administratora (ADO) w precyzyjnym doborze odrębnych podstaw prawnych (Art. 6 i 9 RODO) dla fazy trenowania oraz fazy operacyjnego wdrożenia modelu, a także w realizacji procedur due diligence wobec dostawców zewnętrznych,
• umiejętności operacyjnego połączenie znanej IOD Oceny Skutków dla Ochrony Danych (DPIA) z wymogiem przeprowadzenia Oceny Wpływu na Prawa Podstawowe (FRIA).

Cel szkolenia

Celem szkolenia jest wyposażenie Inspektorów Ochrony Danych oraz osób odpowiedzialnych za compliance w obszarze ochrony danych osobowych w praktyczną wiedzę niezbędną do audytowania, zabezpieczania i zapewnienia zgodności prawnej wdrażanych w organizacjach systemów i modeli sztucznej inteligencji (w tym LLM i systemów agentowych), ze szczególnym uwzględnieniem sprawnego przekładania wymogów Aktu AI na grunt RODO.

Udział w szkoleniu pozwoli:

• trafnie identyfikować i mitygować specyficzne podatności systemów AI uderzające bezpośrednio w zasady bezpieczeństwa (Art. 32 RODO) oraz prawidłowości danych (Art. 5 ust. 1 lit. d RODO), takich jak zjawisko regurgitacji, ataki typu prompt injection czy niekontrolowane profilowanie behawioralne użytkowników (predictive data-caging),

• bezbłędnie przekładać siatkę pojęciową Aktu AI (w tym reżim odpowiedzialności „Dostawcy” i „Wdrażającego”) na tradycyjne role Administratora oraz Podmiotu Przetwarzającego, skutecznie realizując ustawowe obowiązki doradcze IOD,

• pragmatycznie wykorzystać klasyfikację ryzyka AI Act do bieżącej optymalizacji procesów ochrony danych w organizacji oraz strategicznego wsparcia Administratora (ADO),

• precyzyjnie dobierać odrębne podstawy prawne (art. 6 i 9 RODO) dla skomplikowanych procesów AI, z zachowaniem wyraźnego podziału na fazę trenowania oraz fazę operacyjnego wdrożenia modelu,

• skutecznie realizować procedury due diligence wobec dostawców zewnętrznych, zyskując narzędzia do twardej weryfikacji legalności i bezpieczeństwa oferowanych przez nich rozwiązań technologicznych,

• operacyjnie połączyć znaną Ci Ocenę Skutków dla Ochrony Danych (DPIA) z nowym wymogiem przeprowadzenia Oceny Wpływu na Prawa Podstawowe (FRIA).

Dla kogo jest to szkolenie? 

Szkolenie jest adresowane do: inspektorów ochrony danych (IOD) oraz specjalistów ds. ochrony danych, którzy muszą zaktualizować swoje procedury audytowe, rejestry czynności przetwarzania (RCP) oraz podejście do analizy DPIA pod kątem specyfiki systemów sztucznej inteligencji, a także do prawników in-house, radców prawnych i doradców, wspierających administratorów (ADO) oraz działy biznesowe przy bezpiecznym i legalnym wdrażaniu narzędzi takich, jak MS Copilot, firmowe chatboty czy dedykowani agenci AI zgodnie z RODO.  

Moduł 1: Akt w sprawie sztucznej inteligencji (Akt AI) – harmonogram wdrożenia, kluczowe definicje i obowiązki na styku z RODO.

• Architektura Aktu AI vs. RODO – relacja prawa bezpieczeństwa produktów do przepisów o ochronie danych.
• Harmonogram 2026–2028 (pakiet Omnibus VII) – kluczowe terminy i kamienie milowe wdrażania nowych regulacji.
• Dostawca vs. Wdrażający – pułapki ról w ekosystemie AI i konsekwencje zmiany przeznaczenia systemu.
• Klasyfikacja ryzyka a domniemanie DPIA – jak unijne kategorie ryzyka automatycznie aktywują art. 35 RODO.
• Wytyczne Rady Europy ds. wysokiego ryzyka – standardy praw człowieka w procesach compliance i ocenie ryzyka algorytmicznego.

Moduł 2: Wprowadzenie do modeli i systemów sztucznej inteligencji – kluczowe pojęcia.

• LLM a kompletny system AI – audytowe rozróżnienie matematycznego silnika od infrastruktury aplikacyjnej.
• Mechanizm działania LLM pod maską – tokenizacja, wektoryzacja (embeddingi) oraz probabilistyczna natura algorytmów.
• Anonimizacja, regurgitacja i halucynacje – ryzyko odtwarzania danych treningowych, ataki inferencyjne a zasada dokładności RODO.
• Architektura RAG i systemy agentowe – specyfika bezpieczeństwa systemów autonomicznych i wewnętrznych baz wiedzy.

Moduł 3: Praktyczne zastosowanie RODO w systemach AI: role, podstawy prawne, DPIA/FRIA i prawa podmiotów.

• Relacja ról z Aktu AI i RODO – analiza krzyżowa relacji: Dostawca/Wdrażający a Administrator/Podmiot Przetwarzający.
• Podstawy prawne w cyklu życia modelu – odrębne podejście regulacyjne do etapu deweloperskiego (treningu) i operacyjnego.
• Ryzyka predictive data-caging i data proxies – zamykanie użytkowników w klatkach behawioralnych i wnioskowanie o danych wrażliwych.
• Hybrydowa dokumentacja DPIA i FRIA – metodyka sprawnego łączenia oceny skutków ochrony danych z oceną wpływu na prawa podstawowe.
• Prawa podmiotów danych a „czarna skrzynka” – procedury obsługi żądań, zapewnienie rozliczalności (traceability) i nadzór ludzki.

Moduł 4: Cyberbezpieczeństwo AI, NIS2 i zarządzanie ryzykiem algorytmicznym.

• Triada CIA w erze modeli LLM – redefinicja poufności, integralności i dostępności w systemach uczących się.
• Nowe wektory ataku (prompt injection, data poisoning, model inversion) – ryzyko przejęcia kontroli nad AI i kradzieży danych.
• Wycieki danych przez wtyczki i logi – podatności pamięci podręcznej i zewnętrznych rozszerzeń API.
• Stronniczość algorytmiczna (Bias and Fairness) – źródła uprzedzeń oraz operacjonalizacja zasad sprawiedliwości.
• Architektura „Defence in Depth” w AI – wielowarstwowe mechanizmy kontroli prewencyjnej, detekcyjnej i mitygującej.

Moduł 5: Udział IOD w procesach AI Governance.

• Strategiczna pozycja IOD i udział w komitetach – strukturalne zagwarantowanie ciągłości funkcji oraz włączenie IOD do komitetów ds. AI w celu oceny ryzyk nowych wdrożeń na wczesnym etapie.
• Wdrażanie zasad Privacy by Design w AI (według wytycznych AEPD) – uwzględnianie ochrony prywatności od fazy koncepcyjnej, dbanie o minimalizację danych, przeciwdziałanie stronniczości (biasu) oraz zapewnienie transparentności i wyjaśnialności decyzji modeli.
• Operacyjny audyt dostawców (Third-Party Risk Management) – weryfikacja podwykonawców w tym m.in. zasad retencji logów oraz stosowanie klauzul zakazujących trenowania modeli na danych organizacji.
• AI Literacy, higiena promptowania i kultura organizacyjna – warunkowanie dostępu do narzędzi AI ukończeniem szkolenia z bezpiecznego przetwarzania danych oraz tworzenie wewnętrznych sieci współpracy wspierających zespoły.