Sztuczna inteligencja potrafi w kilka chwil przygotować opis nieruchomości, uporządkować notatki po spotkaniu, porównać oferty albo pomóc zredagować wiadomość do klienta. To ogromne ułatwienie w pracy pośrednika. Jest jednak granica, której nie wolno przekraczać. Wygoda nie może odbywać się kosztem prywatności i bezpieczeństwa osób, które powierzają nam informacje o swoim majątku, rodzinie i planach życiowych.
W pośrednictwie obracamy danymi szczególnie atrakcyjnymi dla oszustów. Wiemy, kto sprzedaje mieszkanie, gdzie ono się znajduje, kiedy właściciela nie ma na miejscu, za ile gotów jest zawrzeć transakcję, jaki ma kredyt i dlaczego zależy mu na czasie. Niekiedy poznajemy również stan zdrowia, sytuację rodzinną, zadłużenie lub szczegóły spadku. Zestawienie tych informacji może wyrządzić klientowi realną szkodę.
Dlatego pytanie nie powinno brzmieć: „Czy pośrednik może używać AI?”, lecz: „Jak korzystać z AI, aby nie utracić kontroli nad danymi klienta?”.
Czy RODO zakazuje wklejania danych do AI
Nie istnieje jeden przepis mówiący, że do każdego systemu AI bezwzględnie nie wolno wprowadzać żadnych danych osobowych. Każde użycie trzeba jednak ocenić według zasad RODO, w szczególności legalności, przejrzystości, ograniczenia celu, minimalizacji danych, poufności, bezpieczeństwa i rozliczalności.
Wprowadzenie danych klienta do zewnętrznego narzędzia jest operacją przetwarzania danych. Biuro powinno więc wiedzieć między innymi:
- w jakim celu przekazuje dane,
- jaka jest podstawa prawna przetwarzania,
- kto jest dostawcą usługi i jaką pełni rolę,
- gdzie dane są przechowywane,
- czy mogą być wykorzystywane do rozwijania modelu,
- jak długo są przechowywane i jak można je usunąć,
- czy dochodzi do przekazania danych poza Europejski Obszar Gospodarczy,
- jakie zabezpieczenia oraz warunki umowne oferuje dostawca.
Jeżeli pośrednik nie potrafi odpowiedzieć na te pytania, nie powinien wprowadzać do narzędzia danych klienta. Darmowe konto w popularnej aplikacji nie staje się bezpiecznym systemem biurowym tylko dlatego, że korzysta z niego wiele osób.
Czego pośrednik nie powinien wklejać do publicznego narzędzia AI
W biurze warto przyjąć prostą zasadę: do publicznego albo niezatwierdzonego przez biuro narzędzia AI nie wprowadzamy żadnych informacji, które identyfikują klienta, ujawniają jego sytuację lub stanowią tajemnicę zawodową albo handlową.
Dotyczy to zwłaszcza:
- skanów dowodów osobistych, paszportów i innych dokumentów tożsamości,
- numerów PESEL, numerów dokumentów, dat urodzenia, podpisów oraz danych kontaktowych,
- aktów notarialnych, umów pośrednictwa, umów najmu, rezerwacyjnych i przedwstępnych,
- numerów ksiąg wieczystych, jeśli są połączone z osobą lub innymi informacjami o transakcji,
- pełnych adresów nieruchomości nieopublikowanych jeszcze w ofercie,
- dokumentów kredytowych, wyciągów bankowych, zaświadczeń o zarobkach i informacji o zadłużeniu,
- danych dotyczących zdrowia, niepełnosprawności, rozwodu, konfliktu rodzinnego, spadku albo sytuacji małoletnich,
- korespondencji z klientem, notariuszem, prawnikiem, bankiem lub innym pośrednikiem,
- kodów do alarmu, informacji o kluczach, terminach nieobecności właścicieli oraz sposobie wejścia do lokalu,
- poufnych negocjacji, minimalnej ceny akceptowanej przez sprzedającego oraz strategii klienta,
- nagrań rozmów i spotkań bez wcześniejszej analizy prawnej i odpowiedniej informacji dla uczestników,
- baz kontaktów, zestawień klientów, leadów oraz danych eksportowanych z systemu CRM.
Nie należy także prosić AI o ocenę wiarygodności konkretnej osoby na podstawie jej pochodzenia, wieku, stanu zdrowia, sytuacji rodzinnej czy innych cech osobistych. Taka automatyczna ocena może być nierzetelna, dyskryminująca i prawnie ryzykowna.
Samo usunięcie nazwiska nie zawsze oznacza anonimizację
To jeden z najczęstszych błędów. Zdanie: „Właściciel Jan Kowalski sprzedaje dom przy ulicy X” nadal może identyfikować tę osobę po usunięciu imienia i nazwiska. Wystarczą dokładny adres, powierzchnia działki, numer księgi wieczystej, cena, informacja o rozwodzie i planowany termin wyjazdu.
Anonimizacja powinna sprawić, że osoby nie da się rozsądnie zidentyfikować także przez połączenie informacji z innymi źródłami. Zastąpienie nazwiska inicjałami albo słowem „klient” jest zwykle tylko pseudonimizacją. Dane nadal podlegają wtedy RODO.
Zamiast wklejać pełną umowę, lepiej opisać sam problem:
„Przygotuj neutralny zapis do projektu umowy pośrednictwa dotyczący zasad odwołania prezentacji. Nie używaj żadnych danych stron ani konkretnej nieruchomości.”
Zamiast przekazywać wiadomość klienta w całości, można napisać:
„Przygotuj uprzejmą odpowiedź dla sprzedającego, który nie zgadza się na obniżenie ceny. Mieszkanie jest wystawione od kilku miesięcy, a liczba zapytań jest mała.”
Do wykonania zadania nie są potrzebne nazwisko, telefon, adres ani szczegóły rodzinne klienta.
Minimalizacja danych w praktyce biura nieruchomości
Przed użyciem AI warto zadać sobie cztery pytania:
- Czy do tego zadania rzeczywiście potrzebuję danych konkretnej osoby?
- Czy mogę osiągnąć ten sam cel na danych fikcyjnych albo zagregowanych?
- Czy po usunięciu bezpośrednich identyfikatorów nadal można rozpoznać klienta?
- Czy zaakceptowałabym sytuację, w której tę samą treść omyłkowo otrzyma obca osoba?
Jeżeli ostatnia odpowiedź brzmi „nie”, materiał nie powinien trafić do niezatwierdzonego systemu.
Kiedy AI może być wykorzystywana bezpieczniej
Ryzyko można istotnie ograniczyć, jeżeli biuro korzysta z zatwierdzonego rozwiązania przeznaczonego do pracy zawodowej, zna jego warunki, ustawienia prywatności oraz zasady retencji danych. Potrzebna jest także ocena dostawcy, odpowiednie postanowienia umowne, kontrola uprawnień i procedura usuwania informacji.
Bezpieczniejsze zastosowania obejmują na przykład:
- tworzenie opisu oferty na podstawie danych nieruchomości przeznaczonych już do publikacji,
- poprawianie stylu tekstu pozbawionego danych klientów,
- przygotowywanie ogólnych list pytań na spotkanie,
- analizowanie zagregowanych danych sprzedażowych bez identyfikatorów osób,
- tworzenie szablonów wiadomości i dokumentów na fikcyjnych danych,
- porządkowanie wiedzy biura w środowisku, które zostało wcześniej ocenione i zatwierdzone.
Nawet w takim przypadku odpowiedzialność nie znika. Wynik AI może zawierać błąd, wymyślony przepis, nieaktualną informację lub sformułowanie krzywdzące dla klienta. Każdy materiał powinien zostać sprawdzony przez człowieka przed wysłaniem lub publikacją.
Zgoda klienta nie rozwiązuje wszystkiego
Łatwo pomyśleć: „Poproszę klienta o zgodę i problem zniknie”. To zbyt proste. Zgoda musi być dobrowolna, konkretna, świadoma i możliwa do wycofania. Nie zawsze będzie właściwą podstawą prawną, szczególnie gdy dane nie są potrzebne do wykonania usługi albo klient nie ma realnego wyboru.
Zgoda nie zwalnia również biura z obowiązku minimalizacji danych, zapewnienia bezpieczeństwa, przejrzystości oraz doboru odpowiedniego dostawcy. Nie można zalegalizować niepotrzebnego i ryzykownego przetwarzania jednym zdaniem dopisanym do formularza.
Co powinno wdrożyć biuro nieruchomości
Bezpieczne korzystanie z AI wymaga czegoś więcej niż ostrzeżenia pracowników, aby „uważali”. Potrzebna jest krótka i zrozumiała procedura.
Powinna ona obejmować:
- listę narzędzi dozwolonych i niedozwolonych,
- wskazanie dopuszczalnych zastosowań,
- katalog danych, których nie wolno wprowadzać,
- zasady anonimizacji i minimalizacji,
- sposób zatwierdzania nowych narzędzi,
- kontrolę dostępu, silne hasła i uwierzytelnianie wieloskładnikowe,
- szkolenie osób współpracujących z biurem,
- obowiązek sprawdzania treści wygenerowanych przez AI,
- procedurę reagowania na pomyłkę lub naruszenie,
- okresowy przegląd dostawców, ustawień i ryzyka.
Akt w sprawie sztucznej inteligencji wprowadził obowiązek dbania o odpowiedni poziom kompetencji osób korzystających z systemów AI w imieniu organizacji. Szkolenie zespołu z bezpiecznych zastosowań nie jest więc dodatkiem marketingowym. Jest elementem odpowiedzialnego wdrożenia technologii.
Co zrobić, gdy dane klienta zostały już wklejone do AI
Nie warto udawać, że nic się nie stało. Należy działać szybko:
- przerwać dalsze udostępnianie danych,
- zapisać, jakie informacje, kiedy i do jakiego narzędzia trafiły,
- sprawdzić możliwość usunięcia rozmowy i danych oraz skontaktować się z dostawcą,
- niezwłocznie poinformować osobę odpowiedzialną za ochronę danych w biurze,
- ocenić ryzyko dla praw i wolności klienta,
- udokumentować zdarzenie i podjęte działania,
- ustalić, czy potrzebne jest zgłoszenie do Prezesa UODO oraz zawiadomienie klienta.
Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, administrator co do zasady zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia. Nie każda pomyłka wymaga zgłoszenia, ale każda wymaga oceny i udokumentowania.
Technologia ma wspierać zaufanie, a nie je zastępować
Klient przekazuje pośrednikowi klucze do nieruchomości i bardzo prywatne informacje. Oczekuje nie tylko skutecznej sprzedaży, lecz także dyskrecji. To właśnie zaufanie pozostaje jednym z najważniejszych aktywów dobrego biura.
AI może przyspieszyć pracę, poprawić komunikację i pomóc wyciągać wnioski z danych. Nie powinna jednak otrzymywać wszystkiego, co znajduje się w teczce klienta. Profesjonalizm polega dziś również na tym, aby wiedzieć, jakie informacje można wykorzystać, w jakim środowisku i po zastosowaniu jakich zabezpieczeń.
Najprostsza zasada na koniec brzmi:
Jeżeli AI może wykonać zadanie bez danych klienta, nie podawaj ich. Jeżeli dane są potrzebne, korzystaj wyłącznie z rozwiązania wcześniej ocenionego i zatwierdzonego przez biuro.
W Pro Home Connect technologia ma służyć ludziom. Dlatego rozwijamy nowoczesne narzędzia równolegle z dbałością o poufność, bezpieczeństwo informacji i odpowiedzialność za dane powierzane nam przez klientów.
Najczęstsze pytania
Czy można wkleić do AI numer księgi wieczystej
Numer księgi wieczystej może prowadzić do informacji o konkretnej nieruchomości i jej właścicielach. Nie należy wprowadzać go do publicznego lub niezatwierdzonego narzędzia AI. Do analizy problemu prawnego zwykle wystarczy opis stanu faktycznego bez tego numeru.
Czy można przesłać AI umowę po usunięciu nazwisk
Nie zawsze. W umowie mogą pozostać adresy, numery dokumentów, podpisy, rachunki bankowe, ceny, daty i okoliczności pozwalające rozpoznać strony. Bezpieczniej wyodrębnić jedynie potrzebny fragment, usunąć identyfikatory i zastąpić prawdziwe dane fikcyjnymi.
Czy można użyć AI do napisania opisu nieruchomości
Tak, jeśli przekazywane informacje są przeznaczone do publikacji, klient zaakceptował ich wykorzystanie w ofercie, a biuro nie dodaje danych zbędnych lub poufnych. Gotowy opis trzeba sprawdzić pod względem prawdziwości i zgodności z ustaleniami z klientem.
Czy bezpłatne narzędzie AI może służyć jako baza dokumentów biura
Nie powinno pełnić takiej funkcji bez wcześniejszej analizy dostawcy, warunków umownych, sposobu wykorzystywania danych, retencji, bezpieczeństwa i transferów międzynarodowych. Baza dokumentów klientów wymaga rozwiązania świadomie wybranego i odpowiednio skonfigurowanego.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady 2016/679, w szczególności art. 5, 6, 9, 25, 28, 32, 33 i 35: https://eur-lex.europa.eu/eli/reg/2016/679/oj/pol
- Urząd Ochrony Danych Osobowych, materiały dotyczące sztucznej inteligencji: https://uodo.gov.pl/pl/p/sztuczna-inteligencja
- Europejska Rada Ochrony Danych, Opinia 28/2024 dotycząca przetwarzania danych osobowych w kontekście modeli AI: https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en
- Urząd Ochrony Danych Osobowych, zgłaszanie naruszeń: https://uodo.gov.pl/pl/525/2584
- Rozporządzenie Parlamentu Europejskiego i Rady 2024/1689, Akt w sprawie sztucznej inteligencji, w szczególności art. 4: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689
Artykuł ma charakter edukacyjny i nie zastępuje indywidualnej analizy prawnej ani oceny ryzyka konkretnego procesu przetwarzania.