Javni uslužbenec in AI: katerih podatkov ne sme vnesti v javno orodje?
V javno AI-orodje brez odobritve ne sodijo osebni, tajni, zaupni, varnostno občutljivi ali notranji podatki, tudi če uporabnik izbriše imena.
AI-ilustracija
V javno AI-orodje brez odobritve ne sodijo osebni, tajni, zaupni, varnostno občutljivi ali notranji podatki, tudi če uporabnik izbriše imena.
AI lahko hitro povzame dopis, pripravi osnutek odločbe ali preoblikuje zapisnik. Toda vnos besedila v javno spletno storitev je lahko prenos podatkov zunanjemu ponudniku. Javni uslužbenec mora zato pred uporabo vedeti, kateri podatki so dovoljeni, kaj ponudnik z njimi počne in katero odobreno alternativo ima na voljo.
Ključna informacija
V javno AI-orodje brez odobritve ne sodijo osebni, tajni, zaupni, varnostno občutljivi ali notranji podatki, tudi če uporabnik izbriše imena.
Uvod
AI lahko hitro povzame dopis, pripravi osnutek odločbe ali preoblikuje zapisnik. Toda vnos besedila v javno spletno storitev je lahko prenos podatkov zunanjemu ponudniku. Javni uslužbenec mora zato pred uporabo vedeti, kateri podatki so dovoljeni, kaj ponudnik z njimi počne in katero odobreno alternativo ima na voljo.
ZAŠČITITE PODATKE V AI-ORODJIH
AI-ilustracijaKateri podatki ne sodijo v javno AI-orodje?
Vanjo brez izrecno odobrenega okolja ne sodijo osebni podatki, posebne vrste podatkov, davčne in zdravstvene informacije, tajni podatki, poslovne skrivnosti, varnostni načrti ter notranje gradivo z omejenim dostopom.
Prepoved naj zajame tudi dokumente v postopku, prijave, zapisnike, podatke prijaviteljev, gesla, ključe in tehnične konfiguracije. Javni uslužbenec ne sme predpostaviti, da je brezplačna ali javno dostopna storitev primerna za uradno gradivo.
Zakaj samo odstranitev imena pogosto ni dovolj?
Ker je posameznika mogoče prepoznati tudi iz kombinacije drugih podatkov. Delovno mesto, kraj, datum dogodka, številka zadeve in posebna okoliščina lahko skupaj razkrijejo identiteto.
Resnična anonimizacija mora preprečiti razumno ponovno določitev osebe. Zamenjava imena z začetnicami je največkrat psevdonimizacija, ne anonimizacija. Poleg osebnih podatkov lahko besedilo še vedno vsebuje zaupne informacije o postopku ali organu.
Kaj mora organ preveriti pri ponudniku?
Preveriti mora pogodbene pogoje, namen obdelave, hrambo, uporabo za učenje, lokacije obdelave, podizvajalce, varnost in možnosti izbrisa. Pomembno je tudi, ali obstaja poslovna različica z drugačnimi jamstvi.
VZPOSTAVITE REGISTER AI-ORODIJ
Pravna služba, informacijska varnost in odgovorna oseba za varstvo podatkov morajo sodelovati pred uvedbo. Splošna oznaka »skladno z GDPR« na spletni strani ponudnika ne dokazuje, da je konkretna uporaba organa zakonita in varna.
AI-ilustracijaAli je dovoljen vnos javno objavljenih podatkov?
Javna objava še ne pomeni neomejene ponovne uporabe za vsak namen. Uslužbenec mora preveriti namen, avtorske pravice, točnost in morebitno združevanje z drugimi podatki.
Besedilo zakona ali javno sporočilo je manj tvegano od osebnega spisa, vendar lahko poziv razkrije notranjo strategijo ali še neobjavljeno odločitev. Presoja mora zajeti celoten poziv, priloge in želeni izhod, ne samo vir posameznega stavka.
Kako naj uslužbenec varno pripravi poziv?
Uporabi naj izmišljene ali resnično anonimizirane primere, najmanjši obseg informacij in odobreno orodje. Pred vnosom naj preveri, ali lahko nalogo opravi brez konkretnih podatkov.
Namesto celotne odločbe lahko zahteva splošno strukturo dokumenta. Namesto resničnega zapisnika lahko uporabi umetni primer. Izhod mora nato strokovno preveriti, saj AI lahko izmisli pravno podlago, napačno povzame dejstva ali uporabi neustrezen ton.
Kaj narediti po nenamernem vnosu?
Dogodek je treba takoj prijaviti po internem postopku in ne poskušati prikriti. Organ mora ugotoviti, kateri podatki so bili vneseni, v katero storitev, pod katerim računom in ali jih je mogoče izbrisati.
Pristojne osebe ocenijo kršitev varnosti osebnih podatkov, pogodbene posledice in potrebne ukrepe. Uporabnik naj shrani čas, poziv in odziv ponudnika, vendar podatkov ne širi naprej. Hitrost prijave pomembno vpliva na možnost omejitve škode.
Kakšna notranja pravila potrebuje javni organ?
Potrebuje kratek seznam dovoljenih orodij, dovoljenih namenov, prepovedanih podatkov in kontakt za dvom. Pravila morajo vključevati tudi preverjanje izhodov in odgovornost za končno uradno vsebino.
Usposabljanje naj uporablja resnične delovne scenarije. Poleg prepovedi mora organ ponuditi varno alternativo, sicer se uporaba preseli v neuradne račune. Dostopi in nove funkcije naj se redno pregledujejo.
Pomembno: vnos podatka v zunanjo AI-storitev je lahko razkritje ali obdelava, tudi če uporabnik namerava dobiti samo jezikovni popravek.
Najvarnejši poziv je tisti, ki za nalogo ne razkrije resničnega primera
Popolna prepoved vseh AI-orodij je težko izvedljiva, popolnoma prosta uporaba pa nevarna. Organ potrebuje jasno, praktično srednjo pot: odobrena okolja, minimalne podatke in odgovorno preverjanje.
Najpogostejša napaka je zaupanje v anonimizacijo na pogled. Če sodelavec iz opisa prepozna osebo ali zadevo, je zelo verjetno, da je bilo odstranjenih premalo podatkov.
Viri
- Informacijski pooblaščenec: Umetna inteligenca, dostop 03.10.2026.
- EUR-Lex: Splošna uredba o varstvu podatkov.
- GOV.SI: Informacijska varnost, dostop 03.10.2026.
