Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Tydzień oddechu, a w technologiach kolejna zmiana. DeepSeek, nowy Claude, nowy GPT – modele AI przyspieszyły do rytmu, którego nie da się śledzić bez poświęcenia temu połowy uwagi zawodowej. W tej sytuacji łatwo zadać złe pytanie: który model wybrać do pracy z dokumentami? Właściwe pytanie brzmi inaczej: do czego AI w archiwum realnie się przydaje? I jak zbudować system, który działa niezależnie od tego, co producent modelu ogłosi za trzy miesiące.
W tym artykule:
- Gdzie AI realnie pomaga przy dokumentach
- Czego do AI nie wpisywać
- Co sprawdzić przy każdej zmianie modelu
- System musi stać samodzielnie
- Ramy prawne: co już obowiązuje
Gdzie AI realnie pomaga przy dokumentach
Zanim pojawi się pytanie o bezpieczeństwo i niezależność, jest odpowiedź na pytanie podstawowe: czy AI przy dokumentach w ogóle ma sens? Ma, i to w kilku konkretnych miejscach.
Największa wartość pojawia się tam, gdzie człowiek wykonuje powtarzalne zadania na dużej liczbie dokumentów. Klasyfikacja dokumentów i przypisywanie kategorii archiwalnych, rozpoznawanie treści skanów dokumentów papierowych, ekstrakcja dat i numerów z nieustrukturyzowanych plików, wykrywanie duplikatów w dużych zbiorach. To zadania, które AI wykonuje szybciej i z mniejszym ryzykiem błędu wynikającego ze zmęczenia niż człowiek, przeglądający setny dokument z rzędu.
AI pomaga też przy porządkowaniu zbiorów: sugeruje okresy przechowywania na podstawie treści dokumentu, automatycznie opisuje pliki w sposób, który ułatwia późniejsze wyszukiwanie, wspomaga przygotowanie decyzji o brakowaniu – wskazując dokumenty, których ustawowy termin minął. W codziennej pracy przydaje się jako tłumacz między językiem przepisów a językiem wewnętrznych instrukcji. Zamiast samodzielnie przekładać rozporządzenie na procedurę dla pracowników, można poprosić AI o pierwszy szkic i zweryfikować go merytorycznie.
To jest realna oszczędność czasu. Warunek jest jeden: AI działa jako warstwa pomocnicza, a nie jako system decyzyjny. Sugestia okresu przechowywania wymaga weryfikacji przez człowieka znającego przepisy. Klasyfikacja wymaga kontroli. Wynik ekstrakcji wymaga porównania z oryginałem. AI przyspiesza pracę archiwalną – nie zastępuje odpowiedzialności za nią.
Czego do AI nie wpisywać
Tu zaczyna się część, której nie można pominąć, bo błędy w tym obszarze mają konsekwencje prawne, nie tylko organizacyjne.
Eksperci CERT Polska ostrzegają w materiale opublikowanym na portalu gov.pl: korzystając z bezpłatnych narzędzi AI, płaci się danymi. Dane wprowadzone w prompcie lub zawarte w analizowanym dokumencie, mogą zostać wykorzystane do trenowania modelu albo być ujawnione publicznie. Narzędzia płatne oferują większe gwarancje, ale nie zwalnia to z weryfikacji warunków usługi przy każdym nowym narzędziu, i każdej aktualizacji regulaminu.
W pracy z dokumentacją archiwalną przekłada się to na konkretny podział. Do AI, bez umowy powierzenia przetwarzania danych (art. 28 RODO), i bez weryfikacji polityki prywatności dostawcy, nie powinny trafiać dane osobowe: imiona i nazwiska klientów, numery PESEL, adresy, treść umów z kontrahentami, dokumentacja pracownicza, akta spraw. Za każdym z tych dokumentów stoi konkretna osoba, której dane organizacja przyjęła pod opiekę, i której bezpieczeństwo informacji organizacja jest winna niezależnie od tego, jakie narzędzie akurat przetwarza jej dane.
Jeśli AI ma przetwarzać dane osobowe na dużą skalę (np. automatycznie klasyfikować akta zawierające dane klientów), DPIA jest obowiązkowa (art. 35 ust. 3 lit. b RODO). Jest to nie tylko narzędzie do identyfikacji ryzyka, ale przede wszystkim wymóg prawny. Brak DPIA, gdy jest obowiązkowa, może skutkować karą do 2% globalnego obrotu lub 10 mln € (art. 83 ust. 4 RODO).
Bezpieczne zastosowania AI to te, w których nie ma danych osobowych: analiza anonimowych próbek struktury dokumentu, redagowanie wzorów pism przed wypełnieniem danymi, tłumaczenie przepisów na język instrukcji wewnętrznych, opisywanie kategorii JRWA. Ryzykowne to te, gdzie do modelu trafia realna dokumentacja z realnych akt – nawet gdy cel jest niewinny, jak szybkie podsumowanie zawartości teczki.
Co sprawdzić przy każdej zmianie modelu
Zmiana modelu to zmiana dostawcy usługi, i to jest moment, który wymaga zatrzymania, nie tylko kliknięcia „zainstaluj”.
Przy każdej zmianie warto sprawdzić trzy rzeczy.
Po pierwsze: czy nowe warunki korzystania z usługi różnią się od poprzednich w zakresie danych – gdzie trafiają, jak długo są przechowywane, czy służą do trenowania modelu. Jeśli tak, i jeśli przez narzędzie przechodzą dane osobowe, zmiana może wymagać nowej lub zaktualizowanej umowy powierzenia przetwarzania.
Po drugie: czy aplikacja, którą pobierasz jest oryginalna – w sieci funkcjonują podrobione wersje popularnych narzędzi AI z łudząco podobnymi ikonkami; pobieraj wyłącznie z oficjalnych źródeł i weryfikuj wydawcę.
Po trzecie: czy zadania, które wcześniej działały powtarzalnie, dają spójne wyniki na nowym modelu – nowa wersja może inaczej interpretować niejednoznaczne przypadki, a niespójność w ekstrakcji danych przez kilka tygodni to problem, który wychodzi przy audycie, nie w codziennej pracy.
Warto też pamiętać, że system z AI musi być gotowy na audyt. Oznacza to w praktyce: dokumentację dotyczącą tego kto, jak i kiedy korzysta z AI przy dokumentach; logi, które rejestrują jakie operacje AI wykonała na zbiorze, oraz ślad weryfikacji – dowód, że wynik AI został sprawdzony przez człowieka przed użyciem. Kontrolujący może zapytać nie tylko o dokument, ale o proces który do niego doprowadził.
System musi stać samodzielnie
Tu dochodzimy do sedna i do miejsca, gdzie jako archiwistka mam wyraźne zdanie, nie tylko obserwację.
Modele AI zmieniają się co kwartał. Platformy znikają – czasem stopniowo, czasem z dnia na dzień, zostawiając użytkowników bez dostępu do danych, które w nich przechowywali. Warunki dostępu do konkretnego modelu mogą zostać zmienione przez producenta w każdej chwili. Archiwum dokumentów nie może na tym stać. Dokumenty, które w nim leżą mają być dostępne za pięć, dziesięć, pięćdziesiąt lat – niezależnie od tego, co producent modelu ogłosi za trzy miesiące.
Dlatego rekomendacja jest konkretna.
Archiwum powinno być przechowywane lokalnie – na serwerach organizacji lub w infrastrukturze, którą organizacja kontroluje, nie na serwerach dostawcy narzędzia AI. Chmura może być wygodna jako warstwa dostępowa, ale dokumenty nie mogą żyć wyłącznie tam, gdzie producent narzędzia decyduje o zasadach dostępu.
AI nie może działać autonomicznie na dokumentach. Każde usunięcie, przeniesienie, zmiana klasyfikacji, brakowanie – wymaga zatwierdzenia przez osobę odpowiedzialną za dokumentację. Dotyczy to w szczególności brakowania: AI może wskazać dokumenty, których termin minął, ale decyzja o zniszczeniu należy do człowieka i musi być udokumentowana. AI może zaproponować, oznaczyć, posortować. Decyzja należy do człowieka. Zawsze. To nie jest kwestia nieufności wobec technologii – to kwestia odpowiedzialności prawnej, która spoczywa na organizacji, nie na algorytmie.
Kopie zapasowe muszą być niezależne od systemu AI. Backup, który działa tylko wtedy, gdy działa narzędzie AI to nie jest backup – to złudzenie bezpieczeństwa. Kopia zapasowa powinna być możliwa do odtworzenia bez żadnego konkretnego oprogramowania, na podstawie samych plików i ich struktury. Warto też wiedzieć z wyprzedzeniem, ile czasu zajmie odtworzenie archiwum z kopii – i to jest pytanie, które najlepiej zadać, zanim zajdzie taka potrzeba.
Międzynarodowe standardy archiwalne formułują tę zasadę wprost.
ISO 15489 – standard zarządzania dokumentacją – zakłada, że system musi zapewniać dostęp do dokumentów przez cały wymagany okres przechowywania, niezależnie od zmian technologicznych.
OAIS (ISO 14721), czyli model referencyjny dla długoterminowego przechowywania informacji cyfrowej, idzie dalej: dokumenty muszą pozostać możliwe do odczytania i zrozumienia nawet wtedy, gdy oprogramowanie, które je wytworzyło lub przetwarzało dawno przestało istnieć.
ISO 27001, standard bezpieczeństwa informacji, wymaga natomiast, żeby dostęp do dokumentów był kontrolowany, a ciągłość działania była zapewniona niezależnie od pojedynczego dostawcy. Wszystkie trzy standardy prowadzą do tej samej konkluzji: uzależnienie archiwum od konkretnego narzędzia AI jest sprzeczne z podstawowymi zasadami zarządzania dokumentacją.
Pytanie kontrolne, które warto zadać przy każdym systemie zarządzania dokumentacją przed wdrożeniem: co się stanie z moimi dokumentami, gdy to narzędzie przestanie być dostępne? Jeśli odpowiedź jest niejasna – to jest właśnie punkt ryzyka.
Dobry system archiwizacji działa jak dobra instrukcja kancelaryjna: niezależnie od tego kto siada przy biurku, dokumenty trafiają tam gdzie powinny.
Przygotowałam checklistę, pozwalającą sprawdzić system, który już masz lub ocenić ten, który rozważasz: Czy mój system archiwizacji jest niezależny od AI? – pobierz checklistę →
Ramy prawne: co już obowiązuje
Praca z dokumentami przy użyciu AI nie odbywa się w próżni prawnej i liczba aktów, które mają tu znaczenie jest większa niż się wydaje.
Podstawę stanowi RODO:
- umowa powierzenia przetwarzania danych z dostawcą AI (art. 28),
- wymóg odpowiedniego poziomu bezpieczeństwa technicznego i organizacyjnego (art. 32),
- oraz ocena wpływu na ochronę danych przy przetwarzaniu na większą skalę (art. 35).
Do tego dochodzą przepisy szczególne – ustawa o narodowym zasobie archiwalnym i archiwach oraz przepisy regulujące instrukcję kancelaryjną, które nakładają własne obowiązki dotyczące przechowywania, brakowania i ochrony dokumentacji.
Kluczowymi artykułami dla jednostek podlegających pod Ustawę z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. 2020 poz. 164) w zakresie ochrony dokumentacji są:
- Art. 5, 6 – obowiązek przechowywania dokumentacji oraz zapewnienia odpowiedniej ewidencji, przechowywania oraz ochrony dokumentacji przed uszkodzeniem, zniszczeniem bądź utratą.
Od 1 sierpnia 2024 roku obowiązuje rozporządzenie (UE) 2024/1689, czyli AI Act. Jego przepisy wchodzą w życie stopniowo. Zakazane praktyki (art. 5) – systemy AI o nieakceptowalnym ryzyku – są zabronione od 2 lutego 2025 r., czyli 6 miesięcy po wejściu w życie rozporządzenia.
Pierwotny harmonogram zakładał pełne stosowanie przepisów o systemach wysokiego ryzyka od 2 sierpnia 2026 r. Ten termin się zmienił. 16 czerwca 2026 r. Parlament Europejski zatwierdził w ramach pakietu Omnibus VII przesunięcie obowiązków dla większości systemów wysokiego ryzyka na 2 grudnia 2027 r. – ma to dać organizacjom więcej czasu na przygotowanie dokumentacji i procedur. Zmiana czeka jeszcze na formalne zatwierdzenie przez Radę UE, co zgodnie z zapowiedziami ma nastąpić przed pierwotnym terminem 2 sierpnia 2026 r. Stan na dzień publikacji tego artykułu – warto sprawdzić aktualny harmonogram przed podjęciem decyzji opartych na konkretnej dacie, bo w tym obszarze przepisy wciąż się precyzują.
Dla istniejących systemów wysokiego ryzyka, wprowadzonych przed 1 sierpnia 2024 r., pierwotny harmonogram przewidywał pełne stosowanie od 2 sierpnia 2027 r. – ten termin również może ulec zmianie w ramach tej samej rewizji.
Warto wiedzieć, że typowe zastosowania AI w archiwach (klasyfikacja, OCR, ekstrakcja danych), w większości przypadków nie kwalifikują się jako systemy wysokiego ryzyka w rozumieniu rozporządzenia. Nie oznacza to jednak, że AI Act jest dla archiwów bez znaczenia. Dokumentowanie procesów korzystania z AI i zapewnienie kompetencji osób, które z tych systemów korzystają, to praktyki, które AI Act promuje, i niezależnie od klasyfikacji systemu – chronią organizację w razie kontroli lub sporu.
Wewnętrzna polityka AI to dokument, który porządkuje te kwestie w jednym miejscu: kto korzysta z AI, do jakich zadań, z jakimi zasadami postępowania z danymi i jak są dokumentowane wyniki.
AI jest narzędziem. Narzędzia się zmieniają. Archiwum, które stoi samodzielnie przeżywa każdą zmianę bez utraty ani jednego dokumentu – i to jest jedyna miara dobrego systemu.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Przy wątpliwościach dotyczących zgodności z RODO, AI Act lub przepisów archiwalnych warto skonsultować się z prawnikiem lub inspektorem ochrony danych.
