Lista kontrolna bezpieczeństwa QA z AI: IT, prawo i zakupy

Lista kontrolna bezpieczeństwa QA z AI to zestaw kontroli, które IT, dział prawny i zakupy przeprowadzają, zanim narzędzie do kontroli jakości oparte na AI otrzyma dostęp do Państwa rozmów z klientami. Obejmuje audyty i certyfikaty dostawcy, umowę powierzenia przetwarzania danych i podprocesorów, to, czy Państwa dane trenują modele AI, ocenę konsultantów w świetle RODO i unijnego aktu w sprawie sztucznej inteligencji (AI Act) oraz warunki zakończenia współpracy.

W skrócie

• Listę warto podzielić według właściciela: IT bierze kontrole bezpieczeństwa, dział prawny ochronę danych i zasady dotyczące AI, zakupy umowę i pakiet dokumentów.
• QA z AI wymaga ostrzejszego przeglądu niż większość narzędzi wsparcia, bo czyta każdą rozmowę i ocenia pracowników, często z dostawcami modeli AI jako podprocesorami.
• Kontrole IT dotyczą niezależnych audytów, szyfrowania, dostępu, logowania, testów i reagowania na incydenty.
• Kontrole ochrony danych idą za właściwymi artykułami RODO: umowa powierzenia, podprocesorzy, przekazywanie danych, przechowywanie, oceny skutków i zautomatyzowane decyzje.
• Kontrole dotyczące AI obejmują trenowanie modeli, dostawców modeli, przegląd przez człowieka i miejsce narzędzia w AI Act, którego przepisy o zastosowaniach wysokiego ryzyka obowiązują od 2 grudnia 2027 r.

Lista jest przeznaczona dla zespołów kupujących oprogramowanie do kontroli jakości obsługi klienta, które ocenia rozmowy z pomocą AI. Odesłania prawne sprawdzono z oficjalnymi tekstami 4 listopada 2026 r. Są punktem wyjścia dla Państwa własnej porady prawnej, a nie jej zastępstwem.

Jak korzystać z tej listy kontrolnej bezpieczeństwa QA z AI

Każdą część listy warto przekazać zespołowi, który za nią odpowiada, wysłać dostawcy wszystkie pytania naraz i prosić o dokumenty zamiast odpowiedzi w formularzu. Większość przeglądów bezpieczeństwa utyka, bo pytania przychodzą w trzech falach od trzech zespołów.

Każdą kontrolę oznacza się jako spełnioną, spełnioną warunkowo lub niespełnioną. „Niespełnione” przy kontroli 1, 9, 10 lub 17 powinno wstrzymać zakup do czasu rozwiązania. Jeśli porównują Państwo także funkcje, warto równolegle przeczytać nasze porównanie oprogramowania do kontroli jakości obsługi.

Dlaczego oprogramowanie QA z AI wymaga ostrzejszego przeglądu

Oprogramowanie QA z AI wymaga ostrzejszego przeglądu, ponieważ czyta każdą rozmowę z klientem, ocenia pracowników, którzy ją prowadzili, i często wysyła tekst do dostawców modeli AI. Dane klientów, dane pracowników i zautomatyzowana ocena trafiają do jednego narzędzia.

Trzy rzeczy odróżniają je od typowego dodatku do helpdesku:

• Wolumen: program ręczny czyta próbkę, a narzędzie AI może przetwarzać każdą rozmowę, w tym numery kart, dane o zdrowiu czy skargi wpisane przez klienta.
• Pracownicy jako osoby, których dane dotyczą: oceny jakości to dane osobowe Państwa konsultantów i mogą wpływać na decyzje o wynagrodzeniu, awansie lub zwolnieniu. Wchodzą tu w grę przepisy RODO o zautomatyzowanych decyzjach oraz, w AI Act, kategoria AI służącej do oceny pracowników.
• Dostawcy modeli: AI, która wystawia oceny i komentarze, często działa u strony trzeciej, która staje się podprocesorem Państwa danych.

Kontrole bezpieczeństwa IT

Kontrole IT potwierdzają, że niezależny audytor przetestował zabezpieczenia dostawcy i że podstawy szyfrowania, dostępu, logowania i reagowania na incydenty są na miejscu. Warto prosić o same raporty w ramach NDA, a nie o logo na stronie.

1. Raport z niezależnego audytu. Proszę poprosić o najnowszy raport SOC 2 Type II i sprawdzić jego okres i zakres. Raporty SOC 2, zdefiniowane przez AICPA, obejmują mechanizmy kontrolne dotyczące bezpieczeństwa, dostępności, integralności przetwarzania, poufności i prywatności. Raport Type II sprawdza, czy mechanizmy działały przez określony okres, a nie tylko czy zostały zaprojektowane.
2. Certyfikat ISO 27001. Należy sprawdzić, czy zakres certyfikatu obejmuje kupowany produkt, datę ważności i jednostkę certyfikującą.
3. Testy penetracyjne. Warto zapytać, jak często strona trzecia testuje aplikację produkcyjną i jak krytyczne ustalenia są śledzone aż do usunięcia.
4. Szyfrowanie. Należy potwierdzić, że dane są szyfrowane w trakcie przesyłania i w spoczynku, oraz kto zarządza kluczami.
5. Kontrola dostępu. Warto zapytać, jak pracownicy dostawcy uzyskują dostęp do danych produkcyjnych, czy dostęp jest ograniczony do niezbędnego minimum i logowany, oraz jak logują się Państwa użytkownicy.
6. Logi audytowe. Należy sprawdzić, czy widać, kto w Państwa firmie przeglądał lub zmieniał oceny i ustawienia, i w którym planie.
7. Reagowanie na incydenty. Proszę poprosić o plan reagowania na incydenty i zapytać, jak szybko dostawca informuje o incydencie dotyczącym Państwa danych.
8. Ciągłość działania. Proszę poprosić o plan ciągłości działania i odtwarzania po awarii oraz zapytać, czy dane produkcyjne pozostają poza środowiskami deweloperskimi i testowymi.

Kontrole ochrony danych i RODO

Kontrole RODO potwierdzają, że dostawca działa jako Państwa podmiot przetwarzający na podstawie umowy zgodnej z art. 28, że każdy podprocesor i każde przekazanie danych są znane i że Państwo wykonali własne obowiązki wobec pracowników. Postanowienia warto czytać obok rozporządzenia, a nie obok streszczenia dostawcy.

9. Umowa powierzenia zgodna z art. 28 ust. 3. Art. 28 ust. 3 RODO wymienia, co musi zawierać umowa: przetwarzanie wyłącznie na udokumentowane polecenie administratora, poufność personelu, środki bezpieczeństwa z art. 32, zasady dotyczące podprocesorów, pomoc w realizacji praw osób, których dane dotyczą, i obowiązków z art. 32 do 36, usunięcie lub zwrot danych na koniec oraz audyty. Należy sprawdzić, czy umowa obejmuje funkcje AI, a nie tylko podstawowy produkt.
10. Podprocesorzy. Zgodnie z art. 28 ust. 2 podmiot przetwarzający potrzebuje uprzedniej pisemnej zgody administratora, aby korzystać z usług innego podmiotu przetwarzającego, a przy zgodzie ogólnej musi informować o zmianach, aby administrator mógł się sprzeciwić. Proszę poprosić o listę z rolą i lokalizacją danych każdego podprocesora, w tym podmiotów hostujących modele AI.
11. Przekazywanie danych poza UE. Jeśli podprocesor znajduje się poza EOG, należy zapytać o podstawę przekazania na gruncie rozdziału V RODO: decyzję stwierdzającą odpowiedni stopień ochrony (art. 45) lub zabezpieczenia takie jak standardowe klauzule umowne (art. 46).
12. Przechowywanie i usuwanie. Warto zapytać, jak długo przechowywane są rozmowy, transkrypcje i oceny, czy można samodzielnie ustawić okres przechowywania i jak dane są zwracane lub usuwane po zakończeniu umowy, czego wymaga art. 28 ust. 3 lit. g.
13. Minimalizacja danych. Należy zapytać, czy można wyłączyć z oceny kolejki, pola lub kanały, aby narzędzie przetwarzało tylko to, czego potrzebuje kontrola jakości (art. 5 ust. 1 lit. c).
14. Zgłaszanie naruszeń. Zgodnie z art. 33 ust. 2 podmiot przetwarzający po stwierdzeniu naruszenia zgłasza je administratorowi „bez zbędnej zwłoki”. Warto sprawdzić, czy umowa zawiera konkretne zobowiązanie, bo Państwa własne 72 godziny na zgłoszenie organowi nadzorczemu z art. 33 ust. 1 liczą się od chwili, gdy Państwo się o naruszeniu dowiedzą.
15. Państwa ocena skutków. Art. 35 wymaga oceny skutków dla ochrony danych (DPIA), gdy przetwarzanie może powodować wysokie ryzyko, m.in. przy systematycznej, kompleksowej ocenie osób opartej na zautomatyzowanym przetwarzaniu, na której opiera się decyzje wywołujące skutki prawne lub w podobny sposób istotnie wpływające na osobę. Wytyczne Grupy Roboczej Art. 29 dotyczące DPIA (2017, zatwierdzone przez EROD) traktują ocenę lub punktację, systematyczne monitorowanie i pracowników jako czynniki i wskazują, że przetwarzanie spełniające dwa z ich kryteriów w większości przypadków wymaga DPIA. Należy poprosić dostawcę o informacje potrzebne do jej sporządzenia; art. 28 ust. 3 lit. f zobowiązuje podmiot przetwarzający do pomocy.
16. Zautomatyzowane decyzje wobec konsultantów. Art. 22 daje osobom prawo do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub w podobny sposób istotnie na nie wpływa. Jeśli oceny jakości wpływają na decyzje wobec konsultantów, należy zadbać, by przeglądał je człowiek i by konsultanci mogli się od oceny odwołać. Warto też sprawdzić krajowe prawo pracy: art. 88 pozwala państwom członkowskim wprowadzać bardziej szczegółowe przepisy dotyczące danych pracowników, a konieczne może być zaangażowanie przedstawicieli pracowników.

Kontrole dotyczące AI

Kontrole dotyczące AI wyjaśniają, co dzieje się z Państwa danymi w funkcjach AI, kto może korygować AI i gdzie narzędzie mieści się w AI Act. Warto prosić o pisemne odpowiedzi, które można dołączyć do umowy.

17. Trenowanie modeli. Należy zapytać na piśmie, czy Państwa rozmowy są używane do trenowania lub dostrajania jakiegokolwiek modelu, przez dostawcę lub jego dostawców modeli.
18. Dostawcy modeli. Warto zapytać, którzy dostawcy AI przetwarzają Państwa dane, gdzie, i czy funkcje AI można wyłączyć albo wymagają one wyraźnego włączenia.
19. Przegląd i korekta przez człowieka. Należy sprawdzić, czy oceniający może zmienić każdą ocenę lub komentarz AI, czy zmiana jest logowana i czy konsultanci mogą odwołać się od oceny, jak w naszym poradniku o projektowaniu procesu odwołań od ocen AI (po angielsku). To także Państwa zabezpieczenie na gruncie art. 22.
20. Wyjaśnialność i testy. Warto zapytać, czy każda ocena pokazuje dowód, na którym się opiera, jak opisujemy w artykule o identyfikowalności ocen QA (po angielsku), oraz czy przed uruchomieniem można przetestować oceny AI względem ocen Państwa oceniających. Jak przeprowadzić taki test, pokazuje nasz protokół walidacji oceny AI (po angielsku).
21. Stanowisko wobec AI Act. Należy zapytać, jak dostawca klasyfikuje produkt i co przekazuje Państwu jako podmiotowi stosującemu. Daty zebrano w tabeli.

Zakaz i punkt dotyczący wysokiego ryzyka pochodzą z aktu w sprawie sztucznej inteligencji, rozporządzenia (UE) 2024/1689, sprawdzonego z tekstem skonsolidowanym. Termin dla wysokiego ryzyka przesunięto z 2 sierpnia 2026 r. na 2 grudnia 2027 r. zmieniającym rozporządzeniem (UE) 2026/1744, które weszło w życie 27 lipca 2026 r.

Zgodnie z art. 3 pkt 39 rozpoznawanie emocji opiera się na danych biometrycznych, więc zakaz dotyczy głównie funkcji głosowych. To, czy narzędzie do kontroli jakości mieści się w pkt 4 lit. b, zależy od tego, jak Państwo wykorzystują oceny. Rozstrzygnięcie w Państwa sytuacji warto zostawić prawnikom.

Kontrole zakupowe i umowne

Kontrole zakupowe zamieniają odpowiedzi w postanowienia umowy i zapewniają czyste wyjście. Odpowiedź dotycząca bezpieczeństwa, której nie ma w umowie, jest tylko deklaracją handlową.

22. Postanowienia umowy. Odpowiedzi na kontrole 7, 10, 12, 14 i 17 należy wpisać do umowy lub umowy powierzenia.
23. Wyjście. Trzeba uzgodnić, ile czasu po rozwiązaniu umowy jest na eksport danych, w jakich formatach i kiedy dostawca je usuwa.
24. Pakiet dokumentów. W jednym miejscu warto zebrać: raport z audytu, certyfikaty, umowę powierzenia, listę podprocesorów, podsumowanie testu penetracyjnego, plany reagowania na incydenty i ciągłości działania oraz każdy standardowy kwestionariusz wypełniony przez dostawcę, np. SIG Lite.

Jak Kaizo odpowiada na tę listę kontrolną

Kaizo publikuje większość odpowiedzi w swoim Trust Center, a raporty są dostępne na życzenie. Tabela przypisuje kontrole do tego, co dziś mówią strony Kaizo; jeśli strona nie odpowiada na daną kontrolę, prosimy zapytać nas w trakcie przeglądu bezpieczeństwa.

Kaizo ocenia rozmowy po ich zakończeniu. Nie słucha rozmów na żywo, więc monitorowanie w czasie rzeczywistym wykracza poza zakres tego przeglądu.

Jak przeprowadzić przegląd bezpieczeństwa bez wstrzymywania zakupu

Przegląd bezpieczeństwa warto zacząć w tym samym tygodniu co demo, a nie po tym, jak biznes dokona wyboru. Całą listę należy wysłać naraz, poprosić o pakiet dokumentów i równolegle zacząć ocenę skutków.

Krok 1: Wysłać listę razem z RFP

Pytania dotyczące bezpieczeństwa, kwestii prawnych i zakupów wysłane z pierwszym zapytaniem do dostawcy dostają odpowiedź razem z pytaniami o produkt. Wysłane po decyzji stają się drugim projektem.

Krok 2: Najpierw dokumenty, potem tylko to, co zostaje otwarte

Najpierw warto przeczytać raport z audytu, umowę powierzenia i listę podprocesorów. Odpowiadają one na większość wierszy kwestionariusza, a reszta staje się krótką listą na jedną rozmowę.

Krok 3: Przygotować DPIA w trakcie negocjacji umowy

Ocena skutków potrzebuje odpowiedzi dostawcy o przepływach danych, podprocesorach i przechowywaniu, które już Państwo mają. Przedstawicieli pracowników warto zaangażować wcześnie, jeśli oceny konsultantów będą wykorzystywane w decyzjach dotyczących wyników. Nasz poradnik o programie QA, któremu ufają konsultanci (po angielsku) wyjaśnia, jak im tę ocenę przedstawić.

Prosimy poprosić o nasz pakiet bezpieczeństwa na demo na żywo. Pokażemy Kaizo na realistycznych danych przykładowych i wyślemy dokumenty z Trust Center, których potrzebuje Państwa zespół. Umów spotkanie.

Najczęściej zadawane pytania

Czym jest kwestionariusz bezpieczeństwa dostawcy?

Kwestionariusz bezpieczeństwa dostawcy to standardowa lista pytań, którą kupujący wysyła dostawcy, aby sprawdzić jego zabezpieczenia i ochronę prywatności przed podpisaniem umowy. Popularne formaty to SIG i SIG Lite od Shared Assessments oraz CAIQ od Cloud Security Alliance. Wielu dostawców ma gotowy, wypełniony kwestionariusz, co oszczędza obu stronom tygodnie.

Czy podłączenie narzędzia do kontroli jakości do Zendesk wpływa na zgodność z RODO?

Tak. Gdy narzędzie do kontroli jakości pobiera rozmowy z Zendesk lub innego helpdesku, jego dostawca przetwarza te dane osobowe w Państwa imieniu, więc potrzebna jest umowa powierzenia z tym dostawcą. Zgodność helpdesku nie obejmuje osobnego narzędzia. Dostawcę należy dodać do rejestru czynności przetwarzania.

Jakie jest 7 zasad RODO?

Art. 5 RODO ustanawia siedem zasad: zgodność z prawem, rzetelność i przejrzystość; ograniczenie celu; minimalizacja danych; prawidłowość; ograniczenie przechowywania; integralność i poufność; rozliczalność. Dla QA z AI najważniejsze są minimalizacja danych i ograniczenie przechowywania: oceniać tylko potrzebne kolejki i nie przechowywać rozmów dłużej, niż wymaga cel kontroli jakości.

Czy oprogramowanie QA z AI jest systemem wysokiego ryzyka według AI Act?

Może być. Załącznik III pkt 4 lit. b uznaje za system wysokiego ryzyka AI przeznaczoną do monitorowania i oceny wydajności i zachowania osób w pracy, z obowiązkami od 2 grudnia 2027 r. Narzędzie do kontroli jakości oceniające konsultantów może się w tym mieścić, zależnie od przeznaczenia i sposobu użycia. Warto uzyskać opinię prawną dla swojej sytuacji.

Czy konsultanci muszą wiedzieć, że AI ocenia ich rozmowy?

Tak: zgodnie z obowiązkami informacyjnymi z art. 13 i 14 RODO konsultanci muszą wiedzieć, jak przetwarzane są ich dane osobowe, w tym o zautomatyzowanej ocenie. Wiele krajów dodaje przepisy prawa pracy, a przedstawiciele pracowników mogą mieć głos. Wczesne poinformowanie, także o tym, jak odwołać się od oceny, ułatwia również wdrożenie.