Usunięcie nazwiska i adresu to za mało. Dlaczego korzystanie z AI wymaga warstwowego podejścia do ochrony danych?

W praktyce firmy nie powinny bazować na jednym zabezpieczeniu, a samo usunięcie bezpośrednich danych osobowych – w tym wrażliwych może nie wystarczyć, jeśli model nadal może wnioskować z kontekstu. Skuteczne podejście do ochrony danych w AI powinno zakładać wielowarstwowość: obejmować anonimizację, ograniczenie zakresu przekazywanych informacji, kontrolę dostępu oraz powinno opierać się na bezpiecznej architekturze przetwarzania danych.

Wielowarstwowe podejście do bezpieczeństwa nie tylko redukuje ryzyko, ale również zdejmuje z użytkownika konieczność każdorazowego oceniania, które dane można bezpiecznie udostępnić.

Usunięcie danych to nie to samo co stosowanie mechanizmów anonimizacji#

Wyobraźmy sobie prostą sytuację. Firma farmaceutyczna chce wykorzystać AI do analizy informacji o klientach. Przed przekazaniem danych usuwa: imię, nazwisko, e-mail, numer telefonu.

Na pierwszy rzut oka wydaje się to rozsądne i prawdopodobnie skuteczne. Problem polega na tym, że w danych nadal mogą pozostawać informacje obejmujące: dane pytającego, wiek, lokalizację, branżę, historię zakupów i kontaktów oraz specyficzne cechy produktów czy usług wskazujące na konkretną chorobę.

Każda z tych informacji osobno może wydawać się potencjalnie nieszkodliwa, ale razem może tworzyć kontekst pozwalający zawęzić liczbę osób do bardzo małej grupy.

Przykładowo:

56 lat, klient firmy farmaceutycznej W, zakup lekarstwa X, przeznaczenie lekarstwa X, zakup usługi medycznej Y w placówce Z.

Nie ma tu żadnych danych pozwalających na identyfikację osoby, jednak nasuwa się ważne pytanie: ilu ludzi jednocześnie spełnia wszystkie te warunki? Tu należy się zatrzymać, by rozróżnić jednoznacznie pojęcie usunięcia bezpośrednich identyfikatorów, pseudonimizację lub anonimizację danych.

• Usunięcie identyfikatorów oznacza wymazanie oczywistych danych, takich jak profil pytającego.
• Pseudonimizacja polega na zastąpieniu identyfikatorów np. imienia, adresu e-mail czy numeru PESEL innymi oznaczeniami, przy jednoczesnym pozostawaniu potencjalnej możliwości powiązania danych z osobą przy użyciu dodatkowych informacji.
• Anonimizacja danych zakłada, że identyfikacja osoby nie jest już skutecznie możliwa.

W praktyce zastosowanie pełnej anonimizacji bywa niezwykle trudne – szczególnie wtedy, gdy dane zachowują szerszy kontekst.

AI potrafi łączyć fakty i wyciągać wnioski z kontekstu#

Warto pamiętać, że w erze AI powinniśmy zachować czujność nie tylko wobec skali przetwarzania informacji, lecz także wobec sposobu działania modeli językowych.

LLM potrafią: łączyć szczątkowe informacje rozproszone w różnych fragmentach tekstu, rozpoznawać zależności między informacjami, uzupełniać brakujące dane na podstawie kontekstu oraz przewidywać cechy, których nie podano wprost. To nie stanowi wyłącznie teoretycznego ryzyka.

W artykule “Beyond Memorization: Violating Privacy via Inference with Large Language Models”, zaprezentowanym na ICLR 2024, autorzy dowiedli, że duże modele językowe potrafią wnioskować o indywidualnych cechach użytkowników na podstawie publikowanych przez nich tekstów. W badaniu wykorzystano autentyczne profile użytkowników Reddit’a, a modele próbowały odgadnąć m.in. lokalizację, dochód czy płeć autora. W eksperymencie osiągano wyniki sięgające 85% trafności dla pierwszej odpowiedzi oraz 95,8% dla trzech najbardziej prawdopodobnych odpowiedzi [1].

Tego typu wyniki należy oczywiście interpretować ostrożnie. Nie oznaczają one bowiem, że każdy model w danej sytuacji „identyfikuje ludzi z 85% skutecznością”. Pokazują jednak coś bardzo ważnego, mianowicie samo usunięcie oczywistych identyfikatorów nie musi wystarczać, jeśli AI nadal może wnioskować z kontekstu.

Podobny kierunek ukazał artykuł opublikowany na EACL 2024, analizujący zdolność dużych modeli do tworzenia powiązań i skojarzeń między informacjami. Autorzy badania wskazali, że wzrost skali modeli analogicznie powoduje wzrost ich zdolności do łączenia danych i wyciągania skojarzeń, co ma istotne znaczenie patrząc z perspektywy prywatności [2].

To ważna zmiana perspektywy. W świecie LLM ryzyko nie wynika wyłącznie z tego, jakie dane dostarczamy wprost, ale również z tego, co model może odtworzyć lub wywnioskować bazując na posiadanych już informacjach. Nie oznacza to, że anonimizacja danych nie działa. To znaczy, że nie powinna ona być jedyną stosowaną warstwą ochrony.

Analizując, łatwo wyciągnąć zbyt daleko idący wniosek: skoro modele potrafią wnioskować z kontekstu, to anonimizacja nie ma sensu. Jednak byłby to błąd. Wniosek powinien być inny:

W praktyce warstwowe podejście do bezpieczeństwa danych dla AI może obejmować:

• maskowanie danych, czyli automatyczne ukrywanie danych osobowych i wrażliwych przed przekazaniem ich do LLM,
• tokenizację danych wrażliwych, czyli zastępowanie wybranych informacji nieczytelnymi tokenami, przy zachowaniu oryginałów w bezpiecznej bazie,
• szyfrowanie danych – zarówno podczas przesyłania, jak i przechowywania,
• bezpieczne potoki danych, czyli ochronę danych na każdym etapie przetwarzania,
• DLP – monitorowanie promptów, odpowiedzi i pipeline’ów pod kątem ryzyka wycieku,
• bezpieczną bazę wektorową, czyli izolowane i autoryzowane przechowywanie embeddings (wielowymiarowych wektorów) oraz wiedzy firmowej.

Każda z warstw ogranicza inny typ ryzyka, tj. ekspozycję danych wrażliwych, możliwość przechwycenia informacji w tranzycie, nieuprawniony dostęp do wiedzy firmowej lub wyciek danych przez prompt, odpowiedź albo komponent pipeline’u. Wspólnie tworzą system ochrony, który nie opiera się jedynie na pojedynczym zabezpieczeniu.

Privacy-utility tradeoff: im więcej ukrywasz, tym mniej użyteczne stają się dane#

Pojawia się jeszcze jeden praktyczny problem, mianowicie jeśli ukryjemy zbyt mało informacji, ryzyko pozostaje wysokie. Jeśli natomiast ukryjemy zbyt dużo, dane mogą przestać być użyteczne dla modelu.

To klasyczny privacy-utility tradeoff – konflikt pomiędzy ochroną prywatności, a zachowaniem użyteczności danych.

Właśnie nad tym problemem skupiają się autorzy w kolejnym badaniu nad anonimizacją tekstu dla systemów opartych o LLM. W pracy “Robust Utility-Preserving Text Anonymization Based on Large Language Models” opublikowanej na ACL 2025 badacze koncentrują się na tym, jak ograniczyć możliwość reidentyfikacji przy jednoczesnym zachowaniu informacji potrzebnych do wykonania danego zadania [3].

Z kolei artykuł “Balancing Privacy and Utility in Personal LLM Writing Tasks: An Automated Pipeline for Evaluating Anonymizations” zaprezentowany na PrivacyNLP 2025 pokazał, że w określonych zadaniach możliwe było zamaskowanie 97–99% wskazanych obiektów przy relatywnie niewielkim spadku jakości odpowiedzi [4].

Nie należy natomiast wyciągać daleko idących wniosków, że istnieje jeden uniwersalny sposób anonimizacji dla wszystkich przypadków użycia. Badania te ukazują coś bardzo ważnego: skuteczna ochrona danych wymaga nie tylko technik maskowania, ale też świadomego projektowania całego procesu przetwarzania.

Bezpieczeństwo danych w AI nie powinno bazować na pojedynczej decyzji użytkownika#

Aktualnie w wielu organizacjach ryzyko pojawia się nie z powodu braku dobrych intencji, ale dlatego, że zbyt wiele odpowiedzialności przenosi się na użytkownika końcowego. To właśnie użytkownik jest odpowiedzialny za decyzje m.in. jakie dane wkleić do modelu, które usunąć, jakie zamaskować, co jest jeszcze bezpieczne, a co już nie.

Taki model bezpieczeństwa jest słaby.

Jeśli to użytkownik każdorazowo musi sam ocenić czy dany fragment można bezpiecznie udostępnić, organizacja tym samym opiera ochronę danych na indywidualnej ostrożności i wiedzy konkretnej osoby, a to trudno uznać za podejście skalowalne. Dlatego coraz większe znaczenie ma projektowanie rozwiązań, które domyślnie ograniczają ryzyko, zamiast przerzucać całą odpowiedzialność na danego użytkownika. W praktyce powinno to oznaczać budowanie systemów, w których bezpieczeństwo wynika z architektury i warstw ochrony, a nie tylko z ręcznego „czyszczenia danych” przed użyciem AI.

Warstwowe podejście do ochrony danych#

Jak może wyglądać takie podejście w praktyce?

Najprościej ujmując, chodzi o połączenie kilku mechanizmów, z których każdy redukuje ryzyko na innej warstwie.

1. Anonimizacja, pseudonimizacja i maskowanie danych#

Pierwsza warstwa to usunięcie lub przekształcenie informacji, które nie są niezbędne do wykonania zadania, a jednocześnie mogą przyczynić się do zwiększenia ryzyka identyfikacji.

2. Minimalizacja zakresu danych#

AI nie powinno otrzymywać więcej informacji, niż rzeczywiście potrzebuje do realizacji konkretnego zadania.

3. Kontrola dostępu i uprawnień#

Nie każdy proces, użytkownik czy komponent systemu powinien mieć dostęp do tego samego zakresu informacji.

4. Ograniczenie ekspozycji logiki i danych źródłowych#

W wielu przypadkach model nie musi widzieć pełnych dokumentów, workbooków czy baz danych – wystarczy, że otrzyma wybrany fragment, wektor lub dostęp do ściśle określonej funkcji.

5. Bezpieczna architektura przetwarzania#

To warstwa, która łączy całość: określa, gdzie dane są przetwarzane, co jest przesyłane, co pozostaje lokalnie, jakie elementy są szyfrowane i jak ograniczony jest zakres informacji dostępnych dla modelu.

To właśnie suma tych warstw daje realne bezpieczeństwo, a nie pojedynczy mechanizm.

Co to oznacza dla firm wdrażających AI#

Dla organizacji wykorzystujących AI najważniejsza zmiana polega na zmianie perspektywy z: „czy usunęliśmy kilka wrażliwych pól?” na „czy zbudowaliśmy proces, który ogranicza ryzyko na wielu poziomach?”

To różnica między jednorazowym działaniem, a systemowym podejściem.

W praktyce należy zadać sobie kilka pytań:

• Jakie dane są niezbędne do wykonania zadania?
• Które informacje można anonimizować lub maskować bez utraty jakości działania?
• Jak ograniczyć ekspozycję danych do niezbędnego minimum?
• Czy użytkownik musi indywidualnie podejmować decyzję o podejmowanym ryzyku czy system robi to za niego?
• Jakie dodatkowe warstwy ochrony wspierają mechanizmy anonimizacji?

W rezultacie dopiero taka perspektywa pozwala mówić o dojrzałym podejściu do bezpieczeństwa danych w AI.

Najlepsza ochrona to nie jeden mechanizm, ale dobrze zaprojektowany system#

Duże modele językowe otwierają nowe możliwości, jednocześnie zmieniając sposób myślenia o prywatności. Usuwanie danych takich jak imię, nazwisko czy adres e-mail może być potrzebne, ale nie zawsze wystarczające. Z drugiej strony sam fakt, że modele potrafią wnioskować z kontekstu, nie oznacza, że anonimizacja traci sens.

Oznacza natomiast, że bezpieczeństwo danych dostarczanych do LLM’ów nie powinno opierać się na jednym działaniu, lecz na zestawie uzupełniających się warstw ochrony.

To właśnie takie podejście umożliwia ograniczenie ryzyka wycieku lub nadmiernej ekspozycji danych, a jednocześnie bez przerzucania całej odpowiedzialności na użytkownika końcowego. W praktyce celem nie powinno być tylko usunięcie kilku danych, ale stworzenie środowiska, w którym korzystanie z AI jest bezpieczne z definicji – dzięki odpowiednio zaprojektowanym mechanizmom anonimizacji, kontroli dostępu i architekturze przetwarzania.

Źródła#

1. Staab R., Vero M., Balunović M., Vechev M., Beyond Memorization: Violating Privacy via Inference with Large Language Models, ICLR 2024.
2. Pan X., Mireshghallah F., Shokri R., et al., Quantifying Association Capabilities of Large Language Models and Its Implications on Privacy, EACL 2024.
3. Dou Y., Pilán I., Gurevych I., Robust Utility-Preserving Text Anonymization Based on Large Language Models, ACL 2025.
4. Pasch S., Cha M. C., Balancing Privacy and Utility in Personal LLM Writing Tasks: An Automated Pipeline for Evaluating Anonymizations, PrivacyNLP 2025.