Date confidențiale în AI: ghid pentru firmele din România

# Date confidențiale în AI: ghid pentru firmele din România

Introducerea de date confidențiale în AI poate transforma un ajutor de câteva minute într-un incident costisitor. Un angajat copiază un contract pentru a-l rezuma, încarcă o factură pentru verificare sau trimite un fragment de cod pentru depanare. Intenția este productivitatea. Problema apare când informația ajunge într-un serviciu neaprobat, printr-un cont personal, fără ca firma să știe ce se întâmplă ulterior cu datele.

Soluția nu este interzicerea generală a inteligenței artificiale. O companie are nevoie de reguli simple, instrumente aprobate și alternative practice. Acest ghid arată ce nu trebuie încărcat în servicii AI publice, cum poate fi evaluat rapid un prompt și ce controale poate introduce un IMM în 30 de zile.

De ce avertizează DNSC companiile din România

Avertismentul DNSC relatat de Profit.ro atrage atenția asupra informațiilor personale și sensibile introduse în instrumente AI. Ideea esențială pentru o firmă este simplă: ștergerea unei conversații din interfață nu trebuie confundată cu garanția că orice copie sau informație deja procesată a dispărut instantaneu. Retenția, copiile de siguranță și utilizarea conținutului diferă în funcție de furnizor, produs, tipul contului și setările contractuale.

Riscul există adesea înainte ca organizația să implementeze oficial AI. „Shadow AI” înseamnă folosirea unor servicii neaprobate de companie, de regulă prin conturi personale sau aplicații descoperite de angajați. Fenomenul apare dintr-un motiv legitim: oamenii vor să lucreze mai repede. Un instrument rezumă documente, reformulează e-mailuri, caută erori în cod sau produce formule Excel în câteva secunde.

Pentru un IMM românesc, însă, un simplu copy-paste poate expune contracte de muncă, CNP-uri, facturi din e-Factura, baze de clienți, salarii, oferte negociate, parole sau cod privat. Contabilitatea, e-commerce-ul, BPO-ul, clinicile, firmele software și serviciile profesionale procesează zilnic astfel de informații. Iar scrierea promptului în limba română nu anonimizează conținutul și nu reduce riscul de divulgare.

Ce date confidențiale în AI public nu trebuie introduse

Nu toate informațiile au aceeași sensibilitate. O descriere publică de produs poate fi folosită într-un instrument aprobat, în timp ce un export CRM nu ar trebui încărcat doar pentru a obține mai repede un rezumat. Tabelul de mai jos oferă o clasificare practică.

| Categorie | Exemplu românesc | Risc | Alternativă sigură |

|---|---|---|---|

| Date de autentificare | Parole, chei API, tokenuri, coduri de recuperare, cookie-uri de sesiune | Preluarea conturilor, acces neautorizat, atacuri asupra sistemelor | Nu le introduce niciodată; folosește un manager de parole și secrete tehnice gestionate centralizat |

| Date personale | CNP, copie de buletin, adresă, telefon, CV complet, dosar de angajat, date medicale | Identificarea persoanei, fraudă, încălcarea confidențialității | Elimină identificatorii, generalizează detaliile sau folosește date sintetice |

| Date financiare | IBAN, extras, factură cu date personale, marje, previziuni, raport nepublic | Fraudă, expunerea strategiei și a situației financiare | Lucrează pe valori fictive ori într-un mediu aprobat și controlat |

| Informații comerciale | Contracte, liste de clienți, prețuri negociate, oferte, strategie, documente M&A | Încălcarea unui NDA, pierderea avantajului competitiv | Extrage doar structura generică sau anonimizează clauza relevantă după aprobare |

| Proprietate intelectuală | Cod sursă privat, arhitectură, formulă, design, documentație internă | Copiere, divulgare, vulnerabilități și pierderea secretului comercial | Folosește un exemplu minimal, fără secrete, ori un mediu enterprise aprobat |

| Date despre clienți și furnizori | Tichete de suport, conversații, comenzi, exporturi CRM/ERP | Expunerea relațiilor comerciale și a datelor personale | Elimină numele, ID-urile și datele de cont; păstrează doar problema abstractă |

Caseta de decizie: Permis / Interzis / Cere aprobare

Permis: conținut public, texte proprii fără date personale, șabloane generice și seturi de date fictive, folosite într-un instrument aprobat.

Interzis: parole, tokenuri, chei API, cookie-uri de sesiune, coduri de recuperare și orice secret care oferă acces la un cont sau sistem.

Cere aprobare: contracte, date despre angajați ori clienți, documente financiare, cod privat, informații protejate prin NDA și orice conținut pe care nu l-ai trimite unui furnizor extern fără verificare.

Regula de 30 de secunde înainte de orice prompt

Înainte de a lipi un text sau de a încărca un fișier, angajatul poate trece prin cinci întrebări:

Dacă un răspuns indică risc sau angajatul nu este sigur, informația nu se încarcă. Următorul pas este o confirmare rapidă de la responsabilul intern: IT, securitate, DPO, juridic sau managerul desemnat. Această regulă funcționează numai dacă aprobarea poate fi obținută repede. Un proces care durează săptămâni îi împinge pe oameni spre conturile personale.

Anonimizarea trebuie făcută înainte de încărcare, nu printr-o cerere adresată chatbotului după ce a primit documentul original. Înlocuiește numele, CNP-ul, adresa, numărul contractului, identificatorii de cont și combinațiile de detalii care pot duce indirect la o persoană. Pentru testare, datele sintetice sunt de multe ori suficiente.

Exemple pe departamente în firmele românești

Regulile devin utile când angajatul recunoaște situația concretă din activitatea sa.

HR

Este rezonabil să ceri variante pentru o descriere anonimă a unui rol. Nu încărca însă un CV cu nume, telefon, adresă, fotografie și istoric profesional complet într-un serviciu neaprobat. Același principiu se aplică dosarelor de angajat, evaluărilor, contractelor de muncă și informațiilor medicale.

Financiar-contabil

Poți cere explicația unei formule folosind cifre fictive. Nu încărca balanța reală, extrase bancare, facturi din e-Factura sau fișiere cu CUI, IBAN și date personale fără un flux evaluat și aprobat. Eliminarea numelui companiei nu este suficientă dacă restul informațiilor permit identificarea.

Vânzări și marketing

Un instrument poate îmbunătăți un șablon generic de e-mail. Nu copia exportul din CRM, notițele despre client, prețurile negociate sau oferta confidențială a unui partener. Pentru analiză, păstrează numai tiparul: industrie, problemă, obiectiv și un set de valori fictive.

Juridic și conformitate

O clauză anonimizată poate fi folosită pentru a genera întrebări preliminare. Contractul integral, anexele, identitatea părților și strategia unui litigiu nu se trimit înainte de aprobarea furnizorului și a fluxului. Rezultatul AI nu înlocuiește verificarea juridică.

IT și dezvoltare software

Un exemplu minimal, fără date reale și fără legătură cu infrastructura internă, poate ajuta la depanare. Nu publica repository-ul privat, configurații, chei, loguri cu date personale sau detalii care descriu vulnerabilități exploatabile. Orice secret tehnic expus trebuie considerat compromis și rotit.

Customer support

Echipa poate reformula răspunsuri pe baza unui caz abstract. Înainte de analiză, elimină numele, adresa, e-mailul, ID-ul comenzii, detaliile de plată și orice date din cont. În clinici, BPO și e-commerce, un tichet aparent banal poate combina suficiente indicii pentru a identifica persoana.

Politica minimă de utilizare AI pentru un IMM

O politică eficientă trebuie să încapă, în prima versiune, pe o pagină. Definește instrumentele permise, conturile de business și cazurile aprobate. Apoi creează patru clase de date: public, intern, confidențial și strict restricționat. Pentru fiecare instrument, precizează ce clase sunt acceptate și ce măsuri de anonimizare sunt obligatorii.

Parolele și secretele tehnice trebuie interzise explicit în prompturi, fără excepții. Pentru serviciile care oferă controale administrative, verifică retenția, folosirea conținutului pentru îmbunătățirea sau antrenarea modelelor, autentificarea, permisiunile, jurnalele și posibilitatea de ștergere. Politicile diferă între servicii și între conturile gratuite, individuale și enterprise; evaluarea trebuie făcută pentru produsul concret.

Companiile care vor să ofere o alternativă reală la conturile personale pot evalua soluții AI sigure pentru companii, inclusiv conturi administrate, medii enterprise sau implementări private. Pentru un pilot controlat, consultă și ghidul despre cum testezi Gemini Agent fără să expui date sensibile.

Model scurt de politică internă AI

> Folosim numai instrumentele AI aprobate de companie și numai prin conturile de business alocate. Datele publice pot fi procesate în cazurile aprobate. Datele interne necesită minimizare și respectarea regulilor departamentului. Datele confidențiale necesită anonimizare și aprobare. Datele strict restricționate, parolele și secretele tehnice nu se introduc în prompturi. Orice încărcare accidentală se raportează imediat, fără culpabilizare, prin canalul intern de incidente.

Modelul trebuie adaptat fluxurilor, contractelor și obligațiilor reale ale firmei. Valoarea lui nu stă în formularea solemnă, ci în exemplele ușor de recunoscut și într-un responsabil care răspunde rapid.

GDPR, NIS2 și AI Act: ce trebuie verificat în România

Introducerea datelor într-un serviciu AI extern poate reprezenta o prelucrare și o divulgare către un furnizor. Pentru date personale, firma trebuie să evalueze scopul, temeiul, minimizarea, retenția, securitatea, locația prelucrării, eventualele transferuri și acordul de prelucrare. DPO-ul sau consilierul juridic trebuie implicat în utilizările sensibile.

Pentru entitățile aflate în domeniul de aplicare NIS2, folosirea AI trebuie integrată în managementul riscurilor, controlul accesului și procesul de raportare a incidentelor. AI Act poate adăuga obligații în funcție de rolul organizației, sistem și utilizare. Totuși, simpla folosire a unui chatbot nu încalcă automat GDPR, NIS2 sau AI Act. Concluzia depinde de date, scop, roluri, furnizor și context.

Aceste recomandări sunt bune practici operaționale, nu consultanță juridică pentru un caz concret. O firmă ar trebui să solicite evaluare juridică atunci când procesează date personale la scară, categorii speciale de date, informații reglementate sau când deciziile AI pot afecta persoane.

Ce faci dacă un angajat a încărcat deja date sensibile

Viteza și claritatea contează mai mult decât găsirea unui vinovat.

Nu presupune nici că incidentul produce automat o breșă majoră, nici că ștergerea vizibilă rezolvă totul. Investigația trebuie să pornească de la natura datelor, condițiile serviciului și accesul potențial.

Plan în 30 de zile pentru reducerea shadow AI

Zilele 1–5: află ce se folosește deja

Inventariază instrumentele și cazurile reale printr-un chestionar scurt, fără culpabilizare. Întreabă ce sarcini economisesc timp, ce tipuri de date sunt folosite și prin ce conturi. Scopul este vizibilitatea, nu sancțiunea.

Zilele 6–10: clasifică și publică regula

Adoptă cele patru clase de date și distribuie o pagină cu exemple permise, interzise și cazuri care cer aprobare. Adaptează exemplele pentru HR, financiar, vânzări, juridic, IT și suport.

Zilele 11–20: oferă instrumente aprobate

Selectează conturile și serviciile potrivite, configurează autentificarea, accesul, retenția și jurnalele disponibile. Testează anonimizarea cu documente fictive și verifică dacă rezultatul rămâne util fără datele reale.

Zilele 21–30: instruiește și măsoară

Organizează sesiuni scurte pe scenarii locale: o factură din e-Factura, un CV, un export CRM, un contract și un fragment de log. Creează un canal rapid pentru aprobări și incidente. Măsoară adoptarea instrumentelor aprobate, timpul de răspuns și tipurile de întrebări primite.

După prima lună, revizuiește politica trimestrial sau când apare un serviciu nou, se schimbă termenii furnizorului ori compania introduce un caz de utilizare diferit.

Cum păstrezi sub control date confidențiale în AI

AI poate crește productivitatea fără să transforme fiecare prompt într-un risc acceptat în orb. Compania trebuie să ofere o regulă de decizie, o clasificare ușor de aplicat, instrumente aprobate și o cale rapidă de escaladare. Angajații trebuie să știe nu doar ce este interzis, ci și cum pot obține același rezultat prin anonimizare, date sintetice sau un mediu controlat.

Agenția de AI ajută companiile să auditeze fluxurile, să aleagă instrumentele potrivite, să definească politica de date și să configureze controalele tehnice. Pentru un plan adaptat organizației tale, solicită o consultație pentru implementarea AI.

Întrebări Frecvente

Ce date nu trebuie introduse în ChatGPT sau alte instrumente AI publice?

Nu introduce parole, chei API, CNP-uri, documente de identitate, date medicale, contracte confidențiale, baze de clienți, rapoarte financiare nepublice sau cod sursă privat. Folosește date anonimizate ori sintetice și numai instrumente aprobate de companie.

Ștergerea conversației elimină toate datele trimise unui AI?

Nu trebuie presupus automat acest lucru. Retenția, copiile de siguranță și datele deja procesate depind de serviciu și de tipul contului. Verifică politica furnizorului, setările contului și acordul contractual.

Poate o firmă din România să folosească AI fără să încalce GDPR?

Da, dar trebuie evaluate scopul, temeiul, minimizarea datelor, furnizorul, retenția, securitatea și eventualele transferuri. Pentru date personale sau utilizări sensibile, implică DPO-ul ori consilierul juridic.

Cum previne un IMM utilizarea necontrolată a instrumentelor AI?

Oferă instrumente aprobate, o clasificare simplă a datelor, exemple clare, conturi de business, instruire și un canal rapid pentru aprobări și incidente. Blocarea fără alternative poate muta utilizarea în conturi personale.