Zasady odpowiedzialności w Azure OpenAI – co musisz wiedzieć jako użytkownik

Korzystasz z Azure OpenAI? Microsoft odpowiada za infrastrukturę chmurową. Ty odpowiadasz za dane, aplikacje i zgodność z RODO oraz AI Act. Poniżej znajdziesz podział odpowiedzialności, ograniczenia po stronie Microsoftu i konkretne obowiązki, które musisz spełnić jako użytkownik.

Jak omówiliśmy w poprzednim artykule, korzystanie z tej technologii wiąże się z odpowiedzialnością prawną, której nie można zignorować.

Czym są zasady odpowiedzialności Azure OpenAI?

Zasady odpowiedzialności w Azure OpenAI wynikają z modelu współodpowiedzialności między Microsoftem a użytkownikiem. Microsoft zapewnia bezpieczeństwo infrastruktury chmurowej. Odpowiedzialność za sposób wykorzystania technologii i przetwarzane dane spoczywa na Tobie.

Twoja firma musi zapewnić zgodność z RODO i AI Act – odpowiadasz za to, jak wykorzystujesz modele AI, jak chronisz prywatność i jak monitorujesz generowane treści.

Model współodpowiedzialności – kto za co odpowiada

Współodpowiedzialność opiera się na trzech warstwach:

1. Warstwa platformy AI – odpowiedzialność Microsoftu. Obejmuje infrastrukturę chmurową, szyfrowanie danych w trakcie transmisji i przechowywania oraz mechanizmy ochrony na poziomie platformy.
2. Warstwa aplikacji AI – odpowiedzialność użytkownika. Obejmuje sposób zastosowania AI w Twoich aplikacjach, zarządzanie danymi przetwarzanymi przez modele OpenAI oraz zabezpieczenia na poziomie aplikacji.
3. Warstwa użytkowania AI – odpowiedzialność organizacji. Obejmuje faktyczne wykorzystywanie technologii, monitorowanie zgodności z RODO i AI Act oraz procedury wewnętrzne.

Obie strony współpracują w zakresie ochrony danych, zapobiegania nadużyciom i odpowiedniego użytkowania systemów AI.

Odpowiedzialność za dane i bezpieczeństwo

Microsoft zapewnia szyfrowanie danych w trakcie transmisji i przechowywania. Ale to Ty odpowiadasz za dodatkowe zabezpieczenia w swoich aplikacjach – szczególnie gdy przetwarzasz dane osobowe lub wrażliwe informacje.

Co musisz zrobić w kontekście RODO

• Zapewnij odpowiednie zgody na przetwarzanie danych osobowych.
• Realizuj prawa osób, których dane dotyczą – prawo dostępu, prawo do usunięcia, prawo do sprostowania.
• Regularnie audytuj i aktualizuj procedury bezpieczeństwa danych.
• Wybierz odpowiednią lokalizację przetwarzania danych (np. region w UE) – ma to znaczenie przy transferze danych poza EOG.

Co musisz zabezpieczyć po swojej stronie

• Ochronę aplikacji i systemów integrujących modele AI przed cyberatakami i złośliwym oprogramowaniem.
• Procedury szybkiego reagowania na incydenty bezpieczeństwa.
• Mechanizmy zapobiegające naruszeniu danych na poziomie Twojej organizacji.

Monitoring nadużyć i filtrowanie treści

Microsoft wbudował w platformę mechanizmy wykrywania i ograniczania nielegalnego lub nieetycznego wykorzystywania usługi. System analizuje zachowania użytkowników i treści generowane przez modele AI w czasie rzeczywistym – wykrywa dezinformację, mowę nienawiści, przemoc i inne materiały niezgodne z regulacjami.

Jak działa weryfikacja treści

1. System automatycznie wykrywa potencjalne nadużycia i weryfikuje próbki danych (prompty i odpowiedzi).
2. Próbki trafiają do analizy przez automatyczny system AI.
3. W razie potrzeby – dodatkowa ocena przez ludzi.

Opcja zmodyfikowanego monitorowania

Jeśli przetwarzasz dane poufne lub wrażliwe (np. medyczne, finansowe), możesz skorzystać z opcji zmodyfikowanego monitorowania nadużyć. Pozwala ona wyłączyć możliwość przeglądania przez ludzi treści generowanych przez modele AI. Dzięki temu Twoje dane nie będą analizowane przez osoby trzecie.

Pamiętaj: Niezależnie od mechanizmów Microsoftu, Ty odpowiadasz za to, jak korzystasz z usługi i jakie treści generujesz. Wprowadź wewnętrzne procedury kontroli, zanim uruchomisz produkcyjne wdrożenie.

Ograniczenia odpowiedzialności Microsoftu

Zanim wdrożysz Azure OpenAI, sprawdź, jakich ryzyk Microsoft na siebie nie bierze:

• Szkody pośrednie – Microsoft nie odpowiada za utratę zysków, danych, reputacji ani inne straty pośrednie wynikające z korzystania z usługi.
• Limit finansowy – odpowiedzialność Microsoftu ograniczona jest do 5000 USD i obejmuje wyłącznie bezpośrednie szkody związane z działaniem usługi.
• Naruszenie Kodeksu postępowania Microsoft Generative AI – jeśli nie przestrzegasz zasad etycznego wykorzystywania AI, Microsoft może zawiesić lub zakończyć Twój dostęp do usługi.
• Zmiana warunków – Microsoft zastrzega sobie prawo do wstrzymania dostępu lub modyfikacji warunków korzystania z usługi w przypadku zmiany przepisów prawnych dotyczących AI.

To oznacza jedno: ryzyko biznesowe związane z błędami, przerwami w dostępności i konsekwencjami wdrożenia leży po Twojej stronie.

Zgodność z przepisami – AI Act i RODO

AI Act – co obowiązuje już teraz

AI Act (Akt o sztucznej inteligencji) – rozporządzenie UE regulujące wykorzystanie technologii AI – jest już stosowanym prawem:

• Od lutego 2025 r. – obowiązują przepisy dotyczące zakazanych praktyk AI.
• Od sierpnia 2025 r. – obowiązują zasady dotyczące modeli AI ogólnego przeznaczenia (GPAI).

Jeśli wdrażasz Azure OpenAI, sprawdź, czy Twoje zastosowanie spełnia wymagania AI Act:

• Informuj użytkowników o zastosowaniu AI w Twoich produktach i usługach.
• Wprowadź mechanizmy zapobiegające szkodliwym skutkom (dezinformacja, dyskryminacja).
• Przeprowadź ocenę ryzyka w kontekście wykorzystania AI.
• Zapewnij, że systemy AI umożliwiają nadzór ludzki.

RODO – podział ról i obowiązki

W modelu Azure OpenAI role rozkładają się tak:

• Microsoft – procesor danych (przetwarza dane na Twoje zlecenie).
• Ty – administrator danych (odpowiadasz za legalność przetwarzania, zgody, realizację praw osób).

Twoje obowiązki jako administratora:

• Zapewnij podstawę prawną przetwarzania danych osobowych.
• Realizuj prawa osób – dostęp, sprostowanie, usunięcie.
• Przeprowadź ocenę skutków dla ochrony danych (DPIA), jeśli stosujesz AI do przetwarzania danych osobowych.
• Wybierz lokalizację przechowywania danych w UE – Azure OpenAI daje taką możliwość, a RODO ogranicza transfer danych poza EOG.

Podsumowanie – co zrobić teraz

Azure OpenAI daje duże możliwości, ale wiąże się z konkretnymi obowiązkami prawnymi. RODO i AI Act już obowiązują – przygotowanie organizacji pod względem prawnym i proceduralnym to dziś wymóg prawa, nie dobra praktyka.

Jeśli korzystasz z Azure OpenAI lub planujesz wdrożenie, zrób te rzeczy w pierwszej kolejności:

1. Zidentyfikuj, jakie dane przetwarzasz przez modele AI i na jakiej podstawie prawnej.
2. Przeprowadź ocenę ryzyka zgodnie z AI Act.
3. Sprawdź lokalizację przechowywania danych i ustaw region w UE.
4. Wprowadź procedury monitoringu treści generowanych przez AI.
5. Zaktualizuj dokumentację – umowy, regulaminy, polityki przetwarzania danych.
6. Przeprowadź DPIA, jeśli przetwarzasz dane osobowe z użyciem AI.

W Sawaryn i Partnerzy pomagamy w przygotowaniu dokumentacji (umowy licencyjne, regulaminy), analizie ryzyk związanych z przetwarzaniem danych oraz przygotowaniu do zgodności z AI Act i RODO. Wspieramy też w zarządzaniu odpowiedzialnością za dane w organizacjach wdrażających rozwiązania AI.

Q&A – Zasady odpowiedzialności w Azure OpenAI

• Co oznacza model współodpowiedzialności w Azure OpenAI? Model współodpowiedzialności oznacza, że Microsoft odpowiada za bezpieczeństwo infrastruktury chmurowej, a użytkownik za aplikacje i dane, które przetwarza w tej chmurze.

• Jakie zabezpieczenia Microsoft oferuje w zakresie danych? Microsoft zapewnia szyfrowanie danych oraz systemy filtrowania treści, ale użytkownik jest odpowiedzialny za dodatkowe zabezpieczenia danych we własnych aplikacjach.

• Jakie narzędzia Microsoft oferuje do monitorowania nadużyć? Microsoft oferuje mechanizmy do wykrywania i ograniczania nadużyć, a także opcję zmodyfikowanego monitorowania, które umożliwia użytkownikom pełną kontrolę nad przechowywaniem danych.

• Jakie przepisy prawne są związane z korzystaniem z Azure OpenAI? Korzystanie z Azure OpenAI wymaga zgodności z regulacjami takimi jak RODO oraz AI Act, które aktualnie obowiązują i nakładają odpowiedzialność na użytkowników za przetwarzanie danych i przestrzeganie zasad odpowiedzialnego użytkowania AI.