Anonimizacja danych pod AI: checklista i narzędzia, które warto znać

Anonimizacja danych pod AI: checklista i narzędzia, które warto znać

Większość firm, które mówią „anonimizujemy dane przed użyciem AI”, w praktyce je co najwyżej pseudonimizuje. A z kolei dane pseudonimizowane nadal są danymi osobowymi, do których w pełni stosujemy przepisy RODO u tego, kto ma klucz. Cała układanka RODO zostaje na stole: podstawa prawna, umowa powierzenia, transfer poza EOG, DPIA.

Zacznijcie od decyzji biznesowej, nie od paragrafu

Zanim ktokolwiek zapyta, czy dane są zanonimizowane, zapytajcie, czy ten pomysł w ogóle potrzebuje danych o ludziach. To jedno pytanie często decyduje o tempie wdrożenia, bo pilot nie utyka na ocenach i zgodach. Z perspektywy zarządu wybór sprowadza się do trzech ścieżek, które różnią się szybkością i ceną.

Zielona ścieżka: bez danych o ludziach

• Jakie dane wchodzą do AI: agregaty, dokumenty bez osób, dane publiczne, dane syntetyczne po udokumentowanym teście.
• Co trzeba mieć: zasady dla zespołów i listę zatwierdzonych narzędzi.
• Tempo i koszt: najszybsza i najtańsza, zacznijcie tu.

Żółta ścieżka: dane o ludziach, ale przekształcone

• Jakie dane wchodzą do AI: dane o ludziach po redakcji lub pseudonimizacji.
• Co trzeba mieć: test redakcji na własnych danych, umowę z dostawcą AI, decyzję, kto trzyma klucz, ocenę ryzyka.
• Tempo i koszt: wolniejsze. Traktujcie dane jak osobowe.

Czerwona ścieżka: dane szczególnie wrażliwe

• Jakie dane wchodzą do AI: zdrowie, dzieci, informacje objęte tajemnicą klienta lub NDA.
• Co trzeba mieć: model lokalny lub w prywatnej chmurze w EOG albo rezygnację z użycia.
• Tempo i koszt: najdroższa, uzasadniona tylko dużą wartością.

Czerwona ścieżka nie zawsze wynika z RODO. Dane klientów objęte NDA lub tajemnicą przedsiębiorstwa bywają większym problemem niż dane osobowe: samo wycięcie imion nie zdejmie z Was zobowiązania wobec klienta.

Trzy scenariusze z firmowej codzienności

W każdym wracają te same pytania: kto jest w danych, kto je dostanie i co Wasza firma obiecała klientowi.

HR podsumowuje ankietę pracowniczą z komentarzami:

• Co zwykle idzie nie tak: surowe komentarze trafiają do modelu, a w małych zespołach autora zdradza styl albo kontekst.
• Bezpieczniejszy wariant: dane zagregowane i tematy zamiast cytatów, minimalna liczebność grupy, przegląd przez człowieka.

Obsługa klienta analizuje skrzynkę z reklamacjami:

• Co zwykle idzie nie tak: maile z danymi kontaktowymi, numerami zamówień i opisem sytuacji lądują w publicznym narzędziu.
• Bezpieczniejszy wariant: redakcja identyfikatorów w bramce przed modelem, narzędzie firmowe z umową, w razie potrzeby model w Waszej infrastrukturze.

Sprzedaż wrzuca notatki ze spotkań do asystenta AI

• Co zwykle idzie nie tak: notatki zawierają tajemnice handlowe klienta, nie tylko dane osobowe.
• Bezpieczniejszy wariant: zasady, co wolno wklejać, narzędzie zatwierdzone przez firmę, sprawdzenie zapisów NDA.

Z tych scenariuszy wynika prosta zasada: ścieżkę wybiera się per use case, a nie raz dla całej firmy.

Checklista przed „wrzuceniem” danych do AI

Przejdźcie ją przed każdym nowym zastosowaniem, w którym do modelu trafiają dane pochodzące od ludzi. Jeśli na któreś pytanie z grupy B lub C nie umiecie odpowiedzieć, traktujcie dane jak osobowe.

A. Cel i minimalizacja

• Opisany cel użycia AI i ustalone, czy model potrzebuje danych jednostkowych, czy wystarczą dane zagregowane lub fragment.
• Zidentyfikowane kategorie danych, w tym dane o zdrowiu, dane dzieci i inne szczególnie wrażliwe. Przy danych medycznych i genetycznych zakładamy, że sama redakcja nie wystarczy.

B. Ryzyko reidentyfikacji

• Wskazani odbiorcy (dostawca modelu, podwykonawcy) i zbiory, do których mają dostęp.
• Przejrzane identyfikatory pośrednie: stanowisko, firma, data zdarzenia, miejscowość, rzadkie cechy. Nie tylko imiona i numery.
• Test reidentyfikacji na próbce: czy osoba z wiedzą kontekstową wskaże, o kogo chodzi? Sprawdzone trzy kryteria: wyodrębnienie, powiązywanie, wnioskowanie.
• Skuteczność narzędzia do redakcji zmierzona na własnych polskich danych (przede wszystkim recall, czyli ile danych osobowych umknęło), z ręcznym przeglądem próbki.

C. Decyzja o ścieżce

• Wynik opisany jako „anonimizacja” albo „pseudonimizacja” wraz z uzasadnieniem. Brak pewności oznacza dane osobowe.
• Dla danych osobowych: podstawa prawna, informacja dla osób, DPIA tam, gdzie jest wymagana.

D. Zabezpieczenia i umowy

• Klucz lub mapowanie pseudonimów rozdzielone od danych, z kontrolą dostępu i logowaniem.
• Umowa z dostawcą AI (powierzenie przetwarzania), zakaz trenowania na Waszych danych, retencja i logowanie po stronie dostawcy ograniczone.
• Oceniony transfer poza EOG (lokalizacja przetwarzania, podwykonawcy).
• Rozważona alternatywa architektoniczna: model lokalny lub w prywatnej chmurze w EOG, RAG na wewnętrznej bazie z kontrolą dostępu.
• Redakcją objęte nie tylko treść wiadomości, ale też załączniki, metadane i argumenty wywołań narzędzi (ważne przy agentach).

E. Dokumentacja i ludzie

• Metoda, ocena ryzyka i decyzja zapisane w dokumentacji, z terminem przeglądu. Skuteczność anonimizacji maleje wraz z czasem (niestety).
• Pracownicy wiedzą, czego nie wolno wklejać do narzędzi AI i gdzie zgłosić pomyłkę. Wklejenie danych do nieautoryzowanego narzędzia może być naruszeniem ochrony danych.

Dla dociekliwych: gdzie leży granica między anonimizacją a pseudonimizacją?

W jednym zdaniu: jeśli Wy albo ktokolwiek, kto dane dostaje, możecie rozsądnym wysiłkiem rozpoznać osobę, dane nie są anonimowe. 

Dane są anonimowe tylko wtedy, gdy nikt nie zidentyfikuje osoby przy użyciu środków, których użycie jest rozsądnie prawdopodobne (motyw 26 RODO). Liczy się koszt, czas, dostępna technologia i dostęp do dodatkowych informacji. Wytyczne WP29 05/2014 (obecnie Europejskiej Rady Ochrony Danych) dodają trzy pytania kontrolne: czy da się wyodrębnić osobę (singling out), powiązać jej rekordy (linkability) i wywnioskować o niej coś nowego (inference). Skuteczna anonimizacja musi wykluczyć wszystkie trzy.

Żeby było jeszcze ciekawiej, ta sama Europejska Rada Ochrony Danych w grudniu 2024 r. wskazała nam, że anonimowość modelu ocenia się indywidualnie i wymaga wykazania, że prawdopodobieństwo wydobycia danych osobowych z modelu jest nieistotne. Jeśli organy tak podchodzą do modeli, nie spodziewajcie się taryfy ulgowej dla „wyczyszczonego” promptu.

Techniki anonimizacji, które faktycznie działają – są takie?

Coś się znajdzie! Działa to, co zmienia samą naturę danych: agregacja, silne uogólnienie i prywatność różnicowa. Redakcja tekstu jest przydatna, ale w większości przypadków kończy się na pseudonimizacji.

Agregacja i statystyki zamiast rekordów

Model nie dostaje danych jednostkowych, więc to najpewniejsza metoda. Ograniczenie: małe grupy (kilka osób w komórce) nadal są ryzykowne. Typowe użycie: analiza trendów, raporty, podsumowania.

Generalizacja i k-anonimowość (z ℓ-różnorodnością lub t-bliskością)

Każda kombinacja cech dotyczy co najmniej k osób. Sama k-anonimowość jest podatna na ataki homogeniczności i wiedzy tła, a przy wielu atrybutach na rekord dane tracą użyteczność. Typowe użycie: zbiory tabelaryczne, analityka.

Prywatność różnicowa (DP)

Formalna, mierzalna gwarancja z budżetem prywatności. Ograniczenie: kompromis między prywatnością a użytecznością i potrzeba kompetencji. Typowe użycie: statystyki, trenowanie i fine-tuning.

Dane syntetyczne

Brak prostej zależności rekord do rekordu. Nie są jednak automatycznie anonimowe: generator może zapamiętać dane źródłowe, a same metryki podobieństwa nie wystarczą, bo DP daje mocniejsze gwarancje. Typowe użycie: testy, trenowanie, udostępnianie zbiorów.

Redakcja PII (danych osobowych) w tekście (NER, regex)

Usuwa identyfikatory bezpośrednie. Zwykle kończy się na pseudonimizacji: NER ma luki, a identyfikatory pośrednie (stanowisko, firma, data, miejscowość) zostają. Typowe użycie: prompty, dokumenty, transkrypcje.

Czego nie nazywać anonimizacją, żeby prawnicy się z Ciebie nie śmiali? 

Najczęstszy błąd to uznanie za anonimizację czegoś, co organ nadzorczy nazwie pseudonimizacją (art. 4 pkt 5 RODO). Poniższe zabiegi zwykle nie wystarczą:

• Hashowanie PESEL-u, e-maila lub telefonu. Przestrzeń wartości jest mała, więc hash odtwarza się słownikiem, a ten sam hash w różnych zbiorach pozwala łączyć rekordy.
• Podmiana imion i nazwisk na losowe przy zachowaniu reszty kontekstu. Stanowisko, firma, data i miejscowość często identyfikują osobę równie dobrze jak nazwisko.
• Tokenizacja z zachowanym kluczem. To klasyczna pseudonimizacja: u Was dane nadal są osobowe.
• Usunięcie kolumny z nazwiskiem z bogatego zbioru behawioralnego, lokalizacyjnego lub medycznego. Sam wzorzec zachowań bywa unikalny.
• Teksty swobodne (maile, notatki z wizyt, transkrypcje rozmów) po automatycznej redakcji bez przeglądu kontekstu.
• Zaufanie do narzędzia bez testu na własnych danych. Wykrywanie w języku polskim zwykle wymaga dostosowania narzędzia, o czym niżej.

Zestawienie narzędzi

Żadne narzędzie nie zamienia pseudonimizacji w anonimizację: najwyżej zmniejsza ryzyko i ułatwia dokumentację. Poniżej trzy grupy, od najczęściej używanej (redakcja tekstu) po najbardziej rygorystyczną (DP i dane syntetyczne).

1. Redakcja danych osobowych w tekście i promptach

• Microsoft Presidio. Biblioteka open source do wykrywania i anonimizacji PII, także odwracalnej. Jest elastyczna, działa u Was (self-hosted) i pozwala dopisać własne rozpoznawacze. Najlepsze wyniki daje z angielskim, inne języki wymagają dostosowania. Dla polskiego potrzebny jest model spaCy i własne reguły, bo np. polskie numery telefonów nie działają domyślnie.
• LLM Guard. Toolkit open source z ponad 35 skanerami wejścia i wyjścia. Skaner Anonymize jest oparty na Presidio i ma sejf mapowania, a całość obejmuje też inne zagrożenia. Ma ten sam problem z językiem polskim i więcej komponentów do utrzymania.
• LiteLLM z guardrailem Presidio. Gateway (proxy) wywołujący Presidio przed zapytaniem do modelu, czyli jedno miejsce kontroli dla wielu aplikacji. Wymaga wdrożenia komponentów Presidio Analyzer i Anonymizer, więc testujcie na własnym ruchu.
• Amazon Comprehend i Bedrock Guardrails. Usługi chmurowe, płatne za jednostkę tekstu, wygodne we wdrożeniu. Dane trafiają do dostawcy chmury, więc nadal jest to przetwarzanie danych osobowych (umowa powierzenia). Sprawdźcie, czy usługa obsługuje j. polski.
• CLARIN-PL Anonymizer. Usługa akademicka dla polskiego, oparta na NER WiNER, z trybami: tagi, usuwanie, zamiana. Jest zaprojektowana dla polskiej fleksji. Sprawdźcie warunki użycia i to, gdzie dane są przetwarzane.
• bardsai/eu-pii-anonimization. Model open source (XLM-RoBERTa) do wykrywania PII w polskim tekście, także kategorii szczególnych. Autorzy deklarują F1 na poziomie 95%, ale to wynik z ich własnych danych i wersja v0.1, więc test na własnych dokumentach jest obowiązkowy.
• pii-core i pii-presidio. Małe biblioteki z walidacją sum kontrolnych polskich identyfikatorów: wychwytują poprawne PESEL i NIP, odrzucają fałszywe. To młode projekty społecznościowe, więc inspiracja, nie standard.

2. Dane tabelaryczne i analityczne

• ARX. Open source (Java, interfejs graficzny, Apache 2.0). Obsługuje k-anonimowość, ℓ-różnorodność, t-bliskość, δ-presence i modele DP oraz analizę ryzyka reidentyfikacji i użyteczności. 
• OpenDP SmartNoise, Google DP, Opacus, TensorFlow Privacy, Diffprivlib. Biblioteki open source do prywatności różnicowej: statystyki z budżetem ε, a Opacus i TensorFlow Privacy także do trenowania modeli. Wymagają kompetencji i świadomego doboru.
• MOSTLY AI i SDV. Generatory danych syntetycznych dla danych tabelarycznych i szeregów czasowych: SDK open source i platforma komercyjna (MOSTLY AI, w tym opcjonalna DP) oraz biblioteka Python (SDV). Dane syntetyczne nie są domyślnie anonimowe, więc sprawdźcie aktualną licencję SDV i czy DP jest w używanej wersji.

3. Zamiast anonimizować… nie wysyłać

Najpewniejsza redakcja to dane, które nie opuszczają Waszej infrastruktury: model lokalny lub w prywatnej chmurze w EOG, RAG na wewnętrznej bazie z kontrolą dostępu, a przy zewnętrznym dostawcy umowa powierzenia, zakaz trenowania na Waszych danych i ograniczona retencja.

Co z tego wynika?

Prawdziwa anonimizacja jest osiągalna głównie dla danych zagregowanych, silnie uogólnionych oraz objętych prywatnością różnicową lub syntetycznych z udowodnionymi gwarancjami. Cała reszta to pseudonimizacja, która jest dobrym środkiem bezpieczeństwa (art. 25 i 32 RODO), ale nie zwalnia z obowiązków. 

Chcecie wdrażać AI tak, żeby pilot nie utknął na ocenie ryzyka? W kursie AI Leaders pracujemy na AI Implementation Packu: planszach, na których Wasz use case przechodzi od pomysłu do wdrożenia, razem z oceną ryzyka i governance. Ścieżki, checklistę i metody badania wykorzystacie od razu na własnym przypadku.