RODO i LLM (GDPR-compliant LLM)
RODO i LLM (GDPR-compliant LLM) — Wdrożenie dużego modelu językowego (LLM) zgodne z RODO (Rozporządzeniem o Ochronie Danych Osobowych, GDPR) oznacza, że dane osobowe wprowadzane do modelu są przetwarzane zgodnie z zasadami legalności, minimalizacji, integralności oraz z prawami osób, których dane dotyczą — w tym prawem do bycia zapomnianym, dostępu i sprostowania. W praktyce wymaga DPA z dostawcą LLM, wypisania się z trenowania modeli, data residency w UE, audit loggingu i DPIA.
Co musi spełniać LLM zgodny z RODO
- DPA (Data Processing Agreement) z dostawcą LLM — oferują je OpenAI, Anthropic, Google i AWS Bedrock.
- Wypisanie się z trenowania modeli — domyślnie OpenAI ChatGPT trenuje się na danych użytkownika, OpenAI API już nie. Trzeba zweryfikować każdy endpoint.
- Data residency — dane osobowe nie powinny opuszczać UE bez podstawy prawnej. Vertex AI europe-west1, Azure OpenAI EU, self-hosted Mistral/Llama, hybrid.
- Audit log — kto, kiedy, jakie zapytanie i jaką otrzymał odpowiedź. Niezbędne wobec regulatora.
- Prawo do bycia zapomnianym — strategie usuwania danych z systemu (ponowne trenowanie, fine-tuning unlearning, wyłącznie RAG).
- DPIA (Data Protection Impact Assessment) — formalny dokument oceniający ryzyko wdrożenia, gotowy na rozmowę z UODO.
- Minimalizacja danych — czy faktycznie potrzebujesz nazwiska klienta w promptcie, czy wystarczy ID?
Częste pułapki
- OpenAI API z danymi osobowymi w promptcie bez DPA — najczęstszy błąd lat 2024–2025.
- Embeddingowanie danych osobowych w vector DB — embeddingi zawierają informacje o danych osobowych.
- Mylenie EU AI Act z RODO — to dwa różne reżimy prawne, trzeba spełnić oba.
- Brak ścieżki dla użytkowników korzystających z prawa do bycia zapomnianym — ponowne trenowanie od zera bywa zbyt drogie.
Jak fewtokensai pomaga
6 lat wdrożeń AI w środowisku regulowanym (IG Group + FCA, CFTC, JFSA). Robię audyty zgodności LLM/AI, projektuję architektury z data residency w UE, przygotowuję DPIA, współpracuję bezpośrednio z Twoim Compliance i Legal. Audyt zgodności RODO i EU AI Act lub napisz.