Če v letu 2026 vodiš servis za obračun plač, na primer kot zunanji ponudnik obračuna plač, svetovalec za delovna razmerja, gestoría laboral, cabinet de gestion de paie, Lohnbüro ali consulente del lavoro, na posameznega strokovnjaka obdeluješ osebne podatke več posameznikov kot katera koli druga kategorija strokovnih storitev, vključno z računovodji in pravniki, ki smo jih obravnavali v prejšnjih tematskih člankih. Obdeluješ jih tudi izključno v vlogi obdelovalca po členu 28, v neprekinjenem mesečnem ciklu, za več sto ločenih strank upravljavcev, katerih sveti delavcev, sindikati in nadzorni organi za varstvo podatkov spremljajo dogajanje. Težava zakrivanja podatkov pri obračunu plač zato ni le vprašanje skladnosti; gre za ključni tehnični ukrep, ki servisu sploh omogoča uporabo orodij umetne inteligence, pravilno ločevanje podatkov več strank in uspešno prestajanje neizogibnega nadzora.
To je peti članek v naši seriji vodnikov o zakrivanju podatkov. Osrednji vodnik obravnava temeljno tehnologijo in splošni okvir Splošne uredbe o varstvu podatkov (GDPR). Kadrovski tematski sklop obravnava shadow AI v kadrovski ekipi delodajalca. Računovodski tematski sklop obravnava računovodske servise, osredotočene na davke. Pravni tematski sklop obravnava odvetniške pisarne. Ta članek se posebej osredotoča na svetovalce za delovna razmerja in ponudnike obračuna plač, ki delujejo na presečišču vseh štirih prejšnjih sklopov, vendar zanje veljajo dodatne omejitve nacionalnega delovnega prava, ki niso skupne nobenemu od teh sklopov.
Ta članek je tudi najbolj neposredno uporaben za vsako podjetje, ki obračunava plače za več strank: storitev, ki mesečno obdeluje plače za petdeset strank s skupno sedem tisoč zaposlenimi, uporablja pomočnika umetne inteligence za vprašanja o razlagi CCNL in vsak mesec pošilja ustvarjene plačilne liste nazaj petdesetim ločenim upravljavcem. Vsaka točka tega postopka zahteva odločitev o zakrivanju podatkov, ki jo je mogoče sprejeti ali spregledati.
Terminološka opomba: v tem članku izraza »zakrivanje podatkov pri obračunu plač« in »anonimizacija podatkov pri obračunu plač« uporabljamo izmenično za isto operativno plast. Izrazi »GDPR za servise za obračun plač«, »GDPR pri zunanjem obračunu plač« in »GDPR za ponudnike obračuna plač« opisujejo isti okvir skladnosti na strani obdelovalca. »Zakrivanje podatkov pri obračunu plač za več zaposlenih« je podpostopek posameznega opravila. »Avtomatizacija obračuna plač z umetno inteligenco«, »ChatGPT za obračun plač« in »anonimizacija podatkov o plačah za umetno inteligenco« opisujejo primere uporabe na strani umetne inteligence. Obveznosti glede zaposlenih po členu 88 GDPR in nacionalno delovno pravo (italijanski Statuto dei Lavoratori, francoski Code du travail, nemški BetrVG, španski ET) se v tem članku prepletajo drugače kot v kadrovskem tematskem sklopu. Izraz »anonimizacija plačilnega izpiska« uporabljamo kot ameriško angleško različico izraza zakrivanje podatkov na plačilni listi; oba se nanašata na isti operativni podpostopek. Izraza zakrivanje podatkov o plačah in razkritje podobdelovalcev pri obračunu plač opisujeta pristop k skladnosti na strani servisa, ki ga pojasnjuje preostanek članka.
1. Zakaj so servisi za obračun plač obdelovalci z najvišjimi tveganji v EU
Šest strukturnih dejstev skupaj pojasnjuje, zakaj je skladnost ponudnikov obračuna plač z GDPR na drugačni ravni tveganja kot pri kateri koli drugi kategoriji obdelovalcev.
Prvič, obseg na posameznega strokovnjaka. En srednje velik servis za obračun plač obravnava od petdeset do dvesto podjetij, od katerih ima vsako od pet do več sto zaposlenih. Če to pomnožimo: en servis lahko vsak mesec obdeluje od tri tisoč do dvajset tisoč evidenc zaposlenih, mesec za mesecem, dokler traja sodelovanje. Noben računovodski servis, odvetniška pisarna ali kadrovski oddelek ne obdeluje tolikšnega obsega osebnih podatkov v neprekinjenem ciklu.
Drugič, podatki so izrazito povezani s tveganji po členu 9. Razlogi za bolniško odsotnost, materinski dopust, očetovski dopust, nezgode pri delu, invalidski dodatki, zapiski medicine dela, sindikalne članarine, pravice v pokojninskih shemah, povezane z vero, starševski status in vzdrževani družinski člani. Postopki obračuna plač se privzeto dotikajo vseh teh podatkov. Obveznosti po členu 9 zato za servise za obračun plač niso obroben primer, temveč običajno stanje obdelave.
Tretjič, izpostavljenost zaradi spremljanja po nacionalnem delovnem pravu. Italijanski art. 4 Statuto dei Lavoratori, francoski Code du travail L1121-1, nemški Betriebsverfassungsgesetz §87(1)(6) in španski ET art. 64 nalagajo obveznosti posvetovanja s svetom delavcev ali sindikatom za vsak sistem, ki se uporablja za spremljanje ali ocenjevanje zaposlenih. Sistemi za obračun plač so v tem smislu sistemi spremljanja, tudi če jih upravljavec ne dojema tako, pogodbena navodila upravljavca servisu pa morajo upoštevati zahtevo po posvetovanju. Sodna praksa v obdobju 2023-2025 (odločitve italijanskega organa Garante o orodjih za spremljanje v več servisih, smernice francoskega organa CNIL iz leta 2024) je bila dosledno stroga. Izpostavljenost zaradi spremljanja zaposlenih pri obračunu plač je del analize, ki ga najpogosteje podcenjujejo servisi, ki so se v preteklosti videli kot ponudniki administrativnih storitev in ne kot dobavitelji sistemov spremljanja.
Četrtič, obseg posledic v okolju z več strankami. Servis v istem operativnem okolju hrani podatke več sto ločenih upravljavcev. Ločevanje podatkov mora biti uveljavljeno na ravni shranjevanja, obdelave in umetne inteligence. Ena sama napaka, pri kateri podatki enega upravljavca uidejo v sejo drugega, je kršitev z večkratnimi posledicami: servis obvesti vse prizadete upravljavce, upravljavci obvestijo posameznike, na katere se nanašajo njihovi podatki, nadzorni organ pa kot temeljni vzrok preveri ukrepe servisa za ločevanje podatkov.
Petič, vloga obdelovalca je strukturna. Servis je obdelovalec za vsako evidenco zaposlenega, s katero dela; upravljavci so podjetja stranke. Obveznosti po členu 28 veljajo za vsako razmerje: pisna pogodba o obdelavi osebnih podatkov, razkritje podobdelovalcev, dokumentirana navodila in določilo o vrnitvi ali izbrisu. Servisi, ki svojih pogodb o sodelovanju niso posodobili od uvedbe GDPR leta 2018, imajo običajno zastarele ali nepopolne priloge po členu 28, ki ne zajemajo več današnjih postopkov z umetno inteligenco.
Šestič, pogostost dela je neprekinjena, ne občasna. Računovodje obdelujejo občasne zaključne in četrtletne cikle; pravniki obravnavajo posamezne zadeve; servisi za obračun plač izvajajo mesečne cikle, tedensko obravnavo izjem in stalno odgovarjanje na vprašanja zaposlenih. Zaradi te pogostosti je uporaba shadow AI, torej nenadzorovane umetne inteligence, hkrati bolj mamljiva (več priložnosti na mesec) in bolj tvegana (več podatkov prečka mejo ob vsakem takem dogodku).
2. Šest kategorij podatkov pri obračunu plač in prekrivanje s členom 9
Različni dokumenti pri obračunu plač ustvarjajo različne vzorce zakrivanja podatkov. Spodnjih šest kategorij zajema ~98% vsega, kar potuje skozi kateri koli servis za obračun plač.
1. Mesečni obračuni plač in plačilne liste. Datoteke XLSX za več zaposlenih z imenom, nacionalnim identifikatorjem (CF v Italiji, NIR v Franciji, Steuer-ID v Nemčiji, DNI/NIE v Španiji), IBAN, bruto plačo, odtegljaji in opombami o izjemah. Plačilne liste PDF za posamezne zaposlene. Problem zakrivanja je večmodalen: strukturirani osebni podatki na ravni celic ter nestrukturirane opombe z razkritji po členu 9. Pri zakrivanju podatkov na plačilni listi za pregled s pomočjo umetne inteligence mora ohranjanje strukture pustiti logiko izračuna nedotaknjeno. Stolpec z opombami v preglednici za obračun plač je najpogostejši kanal uhajanja podatkov po členu 9: »tri tedne bolniške odsotnosti v Q3«, »materinski dopust se začne prihodnji mesec«, »odsotnost zaradi sindikalnih obveznosti 5 dni«, »prilagoditev invalidskega dodatka«. Vse to so razkritja po členu 9, zgoščena v enem stolpcu.
2. Zakonsko predpisane prijave in obračuni. Italijanski mesečni tok Uniemens, plačilo prispevkov F24, letne prijave CUD/Modello Unico/Certificazione Unica; francoski mesečni DSN (Déclaration Sociale Nominative); nemške SV-Meldungen v sistem socialnega zavarovanja in davčne prijave ELStAM; španska TC1/TC2 za TGSS in Modelo 111/190 za Agencia Tributaria. Vsaka prijava vsebuje osebne podatke več zaposlenih v strukturirani obliki, ki jo predpisuje država. Vprašanje zakrivanja se pojavi, ko te prijave pregledujejo orodja umetne inteligence za zaznavanje napak ali ko se povzetki delijo s stranko upravljavcem. Anonimizacija podatkov EDI pri obračunu plač za tokove med sistemi je tehnični podproblem.
3. Odpravnine, plačila ob prenehanju razmerja in enkratna izplačila. Izračuni TFR (Trattamento di Fine Rapporto) v Italiji, indemnité de fin de contrat v Franciji, Abfindung v Nemčiji in indemnización por despido v Španiji. Ti dokumenti ne vsebujejo le finančnih zneskov, temveč pogosto tudi razloge za prenehanje (ki lahko sodijo pod člen 9, če so povezani z zdravjem) in morebitne zneske poravnave. Rok hrambe teh dokumentov je običajno najdaljši med dokumenti, ki jih obravnava servis.
4. Dokumentacija o bolniški odsotnosti, materinstvu, očetovstvu in invalidnosti. Zdravniška potrdila, izmenjave z INPS/CPAM/Krankenkasse, zapiski medicine dela in dokumentacija o invalidskih dodatkih. Ta kategorija v celoti sodi pod člen 9. Pri zakrivanju je treba upoštevati, da lahko diagnoza ali medicinska specialnost tudi ob zakritem imenu omogoči ponovno identifikacijo prek delovnega mesta ali oddelka zaposlenega. Anonimizacija podatkov o bolniški odsotnosti je zato zahtevnejša, kot se zdi na prvi pogled.
5. Podatki o sindikatih in kolektivnih pogodbah. Evidence sindikalnega članstva, odtegljaji od plače za sindikalne članarine, plačne lestvice po posameznih kolektivnih pogodbah in odtegljaji za dneve stavke. Ponovno člen 9 (članstvo v sindikatu je izrecno navedeno v Art. 9(1)). Obdelava sindikalnih podatkov po GDPR zahteva posebno podlago po Art. 9(2), ki je pri obračunu plač običajno Art. 9(2)(b), »obveznosti po delovnem pravu«, vendar le v obsegu, ki ga dovoljuje nacionalno pravo.
6. Korespondenca z zaposlenimi in obravnava izjem. Zaposleni servisu za obračun plač neposredno pošiljajo vprašanja po e-pošti (»moja plača je bila ta mesec napačna«, »potrebujem plačilno listo za vlogo za stanovanjski kredit«, »lahko potrdite mojo pravico do starševskega dopusta?«). Odgovor servisa po e-pošti vsebuje osebne podatke in včasih podatke po Art. 9. Pomočniki umetne inteligence, ki se uporabljajo za to korespondenco, so najhitreje rastoči vir shadow AI v servisih za obračun plač.
Vzorec v vseh šestih kategorijah je enak: podatki so zgoščeni, prekrivanje s členom 9 je veliko, plast zakrivanja pa mora hkrati razumeti strukturirana polja in opombe v prostem besedilu.
3. Okvir za obdelovalca: člen 28, člen 32, člen 88 in sveti delavcev
Za vsak servis za obračun plač hkrati veljajo štirje členi GDPR in okvir sodelovanja svetov delavcev.
Člen 28: temelj vloge obdelovalca. Vsako razmerje med upravljavcem in servisom potrebuje pisno pogodbo o obdelavi osebnih podatkov po Art. 28(3), ki zajema osem obveznih določil. Podobdelovalci (ponudnik programske opreme za obračun plač, ponudnik gostovanja v oblaku, orodje umetne inteligence, ponudnik OCR) morajo biti razkriti, upravljavec pa mora imeti pravico do ugovora. Pogodba o obdelavi osebnih podatkov (DPA) za servis za obračun plač je operativni temelj; servisi z DPA iz leta 2018, ki ni bila posodobljena za orodja umetne inteligence, so izpostavljeni ob vsakem podaljšanju sodelovanja z upravljavcem.
Člen 32: varnost obdelave. Smernice Evropskega odbora za varstvo podatkov o tehničnih in organizacijskih ukrepih za obdelovalce izrecno vključujejo psevdonimizacijo med razpoložljive ukrepe. Za servise za obračun plač to pomeni: zakrij podatke pred vsakim klicem umetne inteligence, loči podatke več strank, šifriraj shranjene podatke, beleži dostop in dokumentiraj ukrepe. Dokazila o sistemu za obračun plač po art 32 so tisto, kar servis pokaže nadzornemu organu in revizorjem upravljavca. Sem sodi tudi razsežnost hrambe dnevnikov obračuna plač po GDPR: dnevnike dostopa in potrdila o zakrivanju je treba hraniti enako dolgo kot osnovno evidenco obračuna plač, običajno najdaljši rok hrambe, ki velja za servis.
Člen 88: področje zaposlovanja. Države članice lahko določijo podrobnejša pravila za obdelavo na področju zaposlovanja. Povezava s servisi za obračun plač je asimetrična: upravljavec (podjetje stranka) določa pravila, servis jih izvaja. Servis mora zato podpirati različna nacionalna pravila za različne upravljavce, tudi če sam deluje le v eni jurisdikciji.
Posvetovanje s svetom delavcev in sindikatom. Italijanski art. 4 Statuto dei Lavoratori zahteva dogovor s sindikatom ali svetom delavcev pred uvedbo sistemov, ki spremljajo ali ocenjujejo zaposlene. Francoski Code du travail L2312-38 nalaga posvetovanje s svetom delavcev. Nemški Betriebsverfassungsgesetz §87(1)(6) svetu delavcev daje pravico do soodločanja o sistemih spremljanja. Španski ET art. 64 določa enakovredne pravice. Servis je v številnih primerih dobavitelj sistema spremljanja; upravljavec je odgovoren za posvetovanje, servis pa mora operativno podpirati vse nadzore dostopa in revizijske sledi, ki izhajajo iz posvetovanja. Servis, ki ne more dokazati izidov posvetovanja za vsakega upravljavca, ima težavo s skladnostjo v okolju z več strankami.
Obseg posledic v okolju z več strankami. Najbolj spregledana razsežnost. Servis za obračun plač, ki v skupnem okolju hrani podatke dvestotih upravljavcev, hkrati upravlja dvesto ločenih razmerij po Art. 28. Ena sama napaka pri ločevanju na ravni umetne inteligence (pomočnik umetne inteligence med odgovarjanjem upravljavcu A po nesreči vidi podatke upravljavca B) pomeni dvesto možnih obvestil o kršitvi. Nabor ukrepov za GDPR pri obračunu plač za več strank mora biti zasnovan za tak obseg posledic.
Skupni učinek: vsaka operativna odločitev v servisu za obračun plač se hkrati dotika več razmerij po Art. 28 in več nacionalnih delovnopravnih okvirov. Plast zakrivanja je enoten tehnični ukrep, ki deluje v vseh teh okvirih tako, da odstrani osnovne osebne podatke pred vsako nadaljnjo operacijo. Dosledno omejevanje konteksta zakrivanja na posamezno stranko tudi na tehnični ravni uveljavlja pričakovano ločevanje podatkov, ki ga vsaka pogodba po Art. 28 določa na pogodbeni ravni, in tako zavezo na papirju spremeni v strukturno lastnost sistema.
Opozoriti velja še na eno razsežnost: tudi osebje servisa je kategorija posameznikov, na katere se nanašajo osebni podatki. Višji strokovni sodelavci za obračun plač, partnerji servisa in mlajši pripravniki: podatki o zaposlitvi vseh so v sistemu servisa za obračun plač. Samonanašalni primer (»smo servis za obračun plač za lasten servis«) ustvarja notranje razmerje, podobno razmerju po Art. 28, v katerem je servis hkrati upravljavec (za svoje osebje) in obdelovalec (za osebje strank). Arhitekturni vzorec, ki podpira obe vlogi hkrati, je isto zakrivanje, omejeno na posamezno stranko, ki smo ga opisali zgoraj, pri čemer se lastni identifikator upravljavca servisa obravnava enako kot identifikator vsakega zunanjega upravljavca. To je majhna, vendar pomembna podrobnost za pooblaščeno osebo za varstvo podatkov v servisu, ko inšpektorju opisuje arhitekturo.
4. Nacionalni delovnopravni okviri in posebne prijave, ki jih zahtevajo
Štirje nacionalni sistemi oblikujejo prakso servisov za obračun plač na največjih trgih EU.
Italija. Consulente del lavoro je reguliran poklic po Law 12/1979. Mesečne prijave UNIEMENS za INPS, letna CU (Certificazione Unica) za davčne prijave in plačila prispevkov F24. Statuto dei Lavoratori art. 4 ureja sisteme spremljanja in ocenjevanja. Garante je v obdobju 2024-2025 izdal posebne smernice o uporabi orodij v oblaku in umetne inteligence pri consulenti del lavoro; ponavljajoča se tema je, da je consulente obdelovalec po Art. 28 in da morajo biti navodila upravljavca dokumentirana.
Francija. Cabinet de gestion de paie deluje v širšem okviru svetovanja za delovna razmerja; DSN (Déclaration Sociale Nominative) je mesečni tok, ki je združil prejšnje DADS-U, prijave URSSAF in druge prijave. Smernice CNIL iz leta 2024 posebej obravnavajo uporabo orodij umetne inteligence pri ponudnikih obračuna plač in zahtevajo oceno učinka v zvezi z varstvom podatkov (DPIA) za vsak korak umetne inteligence, ki se dotika podatkov zaposlenih. Skladnost cabinet de gestion de paie z GDPR in anonimizirani tok DSN za notranji pregled z umetno inteligenco sta dve najpogostejši vprašanji v letu 2026.
Nemčija. Lohnbüro deluje v okviru davčnega svetovanja Steuerberater (StBerG) ali kot ločen ponudnik storitev. Mesečne SV-Meldungen (poročila o socialnem zavarovanju) za Krankenkasse, davčna obvestila ELStAM in mesečna Lohnsteueranmeldung. Sveti delavcev imajo močne pravice do soodločanja o sistemih spremljanja po BetrVG §87(1)(6); Lohnbüro mora podpirati vse nadzore dostopa, ki jih zahteva dogovor s svetom delavcev. Bundessteuerberaterkammer je leta 2024 izdala smernice o uporabi umetne inteligence, ki so usklajene s širšim okvirom Evropskega odbora za varstvo podatkov.
Španija. Gestoría laboral je ustreznica italijanskega consulente del lavoro. Mesečna TC1/TC2 za TGSS, četrtletne prijave davčnih odtegljajev Modelo 111 in letni povzetek Modelo 190. ET art. 64 določa pravice sveta delavcev, vključno s posvetovanjem o sistemih spremljanja. AEPD je leta 2024 objavila posebne smernice o svetovalcih za delovna razmerja in orodjih umetne inteligence, osredotočene na razmerje z obdelovalcem in ločevanje podatkov več strank.
Vzorec v vseh štirih jurisdikcijah je enak: servis obdeluje strukturirane podatke v državne predpisane formate, podpirati mora pravice do posvetovanja s svetom delavcev ali sindikatom, ki jih določi upravljavec, in vse to izvajati za več upravljavcev hkrati. Obveznosti glede zaposlenih po členu 88 GDPR so odvisne od jurisdikcije in jih ni mogoče poenotiti; servis mora podpirati vse štiri okvire (in druge, ki veljajo za njegove stranke), ne da bi jih zamenjeval med seboj.
5. Problem neprekinjenega toka in obsega posledic za več strank
Tri operativne značilnosti razlikujejo servise za obračun plač od drugih kategorij obdelovalcev, ki smo jih obravnavali, in vsaka povečuje pomen plasti zakrivanja.
Neprekinjen mesečni cikel in vsakodnevna obravnava izjem. Glavna sezona računovodje je od februarja do aprila; pravnikova zadeva doseže vrhunec na sojenju; cikel servisa za obračun plač pa poteka vsak mesec, vsako leto, ob stalni obravnavi izjem zaradi bolniških odsotnosti, zaposlitev in odhodov sredi cikla, napak in vprašanj zaposlenih. Skupno število mesečnih priložnosti za uporabo shadow AI je za red velikosti večje kot v poklicih z občasnimi cikli.
Operativno okolje z več strankami. Sistem servisa za obračun plač hrani podatke več sto upravljavcev v istem fizičnem okolju. Logično ločevanje se uveljavlja na aplikacijski ravni (identifikator stranke, nadzori dostopa, revizijsko beleženje), vendar ena sama napačna nastavitev prizadene več upravljavcev. Plast umetne inteligence dodaja nov način odpovedi: pomočnik umetne inteligence, dodatno učen na podatkih različnih strank, ali poziv, ki po nesreči zajame podatke druge stranke, krši ločevanje, ki ga je preostala arhitektura zasnovana uveljavljati. Plast zakrivanja pred umetno inteligenco je tisto, kar na strani umetne inteligence ponovno vzpostavi jamstvo ločevanja.
Doseg zunaj neposredno zaposlenih pri upravljavcu. Servis, ki obdeluje plače za podjetje X, se dotika tudi osebnih podatkov dobaviteljev podjetja X (v nekaterih plačilnih postopkih), njegovih pogodbenih sodelavcev in včasih njegovih kupcev (pri plačilih, vezanih na prihodke). Nabor posameznikov, na katere se nanašajo osebni podatki, je zato večji od števila zaposlenih upravljavca, analiza zakrivanja pa mora upoštevati vse.
Servisi za obračun plač bi morali pred uvedbo skupne storitve oceniti meje dostopa, ločevanje strank in evidence operacij. Zakrivanje pomaga zmanjšati izpostavljenost zaznanih občutljivih vrednosti; samo po sebi ne dokazuje izolacije strank ali skladnosti. Preveri ukrepe in dokazila, potrebna za tvoj delovni prostor in postopek.
6. Problem shadow AI v servisih za obračun plač
Shadow AI v servisih za obračun plač ima posebne oblike, ki se razlikujejo od vzorcev, opaženih v kadrovski, računovodski ali pravni praksi.
Nenadzorovani postopek obravnave izjem. Sodelavec za obračun plač v petek popoldne odpravlja napako v izračunu. V potrošniški račun ChatGPT prilepi XLSX s 30 vrsticami, imeni zaposlenih, davčnimi identifikatorji, IBAN in spornim izračunom iz bruto v neto, da bi »našel težavo v formuli«. Model vidi celoten del seznama zaposlenih. Podatki so zdaj v dnevnikih ponudnika modela; evidence servisa po Art. 30 te obdelave ne prikazujejo; upravljavec je nikoli ni odobril.
Nenadzorovani postopek klepetalnega robota za zaposlene. Servis vzpostavi notranjega klepetalnega robota, ki sodelavcem za obračun plač pomaga hitreje odgovarjati na vprašanja zaposlenih. Robot je nastavljen na potrošniško raven velikega jezikovnega modela brez DPA. Vprašanja zaposlenih (»Na bolniški sem zaradi zdravljenja raka, do česa sem upravičen?«) potujejo skozi robota. Servis je s tem ustvaril novo dejavnost obdelave, ki se dotika podatkov po Art. 9 brez podlage po Art. 9(2), izrecno zajete v navodilih upravljavca. Takšne uporabe ChatGPT za obračun plač so pogoste in pooblaščeni osebi za varstvo podatkov v servisu pogosto nevidne.
Nenadzorovani postopek razlage CCNL. Sodelavec servisa razlaga določilo panožne kolektivne pogodbe (CCNL v Italiji, convention collective v Franciji, Tarifvertrag v Nemčiji, convenio colectivo v Španiji) in za povzetek določila uporabi potrošniški veliki jezikovni model. Samo določilo kolektivne pogodbe ni osebni podatek, primer, ki ga sodelavec poda modelu (»za našo stranko X z zaposlenim Y v razredu Z …«), pa je. Zakrivanje podatkov iz kolektivnih pogodb za razlago s pomočjo umetne inteligence je podpostopek, ki nenadzorovano uporabo spremeni v odobreno.
Nenadzorovani postopek usposabljanja in uvajanja. Nov sodelavec se usposablja za postopke obračuna plač in v seji potrošniškega velikega jezikovnega modela za »razlago« uporablja resnične podatke strank (»anonimizirane«) kot primere. »Anonimizirani« v tem kontekstu običajno pomeni, da je bilo odstranjeno ime; plača, delovno mesto, lokacija, delodajalec in pogosto podatki po členu 9 pa ostajajo nedotaknjeni in jih je mogoče rekonstruirati.
Nenadzorovani postopek priprave na revizijo. Servis se pripravlja na letno revizijo upravljavca tako, da z orodjem umetne inteligence povzema njegovo zgodovino obračunov plač. Zgodovina vključuje zaposlene, ki so medtem odšli, evidence bolniških odsotnosti in izračune odpravnin. Revizijski povzetek je koristen, vendar je osnovna obdelava zdaj podvojila evidence vseh teh posameznikov v nov operativni prostor (pomnilnik seje orodja umetne inteligence), brez vnosa po Art. 30.
Rešitev je isti arhitekturni vzorec, ki smo ga opisovali v celotni seriji, s tremi prilagoditvami za obračun plač. Prvič, zakrivanje, ki upošteva posamezno stranko: slovar in konteksti zaznavanja morajo biti omejeni na posameznega upravljavca, da je uhajanje med strankami strukturno nemogoče. Drugič, zaznavanje, ki upošteva člen 9: orodje servisa za zakrivanje mora izrecno označiti stolpce o bolniških odsotnostih in sindikalnih članarinah kot podatke po členu 9 ter jih strožje zakriti. Tretjič, vključitev v postopke za zaposlene: vsak klepetalni robot, ki obravnava vprašanja zaposlenih, mora osebne podatke zakriti v brskalniku, preden vprašanje doseže model, jih obnoviti v izhodu in uporabljati veliki jezikovni model, gostovan v EU, na podlagi podpisane DPA. Anonimizacija podatkov o plačah za umetno inteligenco je krovni pristop; tri prilagoditve določajo njegovo praktično delovanje.
Objavljena dokazila o osebnih računih in nenadzorovani uporabi umetne inteligence, vključno s tem, kaj je posamezna študija štela in kdaj, najdeš v reviziji statistik o shadow AI.
7. Postopek zakrivanja, prilagojen servisom za obračun plač
Postopek s 5 koraki iz osrednjega vodnika velja tudi za dokumente obračuna plač, s tremi posebnimi prilagoditvami.
- Naloži (s kontekstom stranke). Vsako nalaganje je omejeno na določenega upravljavca. XLSX, plačilne liste PDF in prijave DSN/Uniemens/SV-Meldung prenašajo identifikator upravljavca skozi vsako nadaljnjo operacijo. Slovar, naložen za zaznavanje, je seznam zaposlenih upravljavca, ne združeni seznam vseh zaposlenih vseh strank servisa; to je jamstvo omejitve na posamezno stranko.
- Zaznaj (s kaskado za obračun plač in oznako člena 9). Iskanje po slovarju na seznamu zaposlenih upravljavca, nacionalni regularni izrazi (CF, NIR, Steuer-ID, DNI/NIE, IBAN), večjezično prepoznavanje imenovanih entitet (NER) za preostala imena in organizacije ter OCR za skenirana zdravniška potrdila. Poseben dodatek za obračun plač: oznaka člena 9 na ravni stolpca, ki razloge za bolniško odsotnost, stolpce sindikalnih članarin in stolpce invalidskih dodatkov privzeto obravnava strožje kot druge stolpce.
- Preglej (z razvrščanjem po kategorijah in predajo podatkov po členu 9). Prikaži zaznane podatke, razvrščene po kategorijah; kategorije po členu 9 označi za pregled pri določeni kontaktni pooblaščeni osebi za varstvo podatkov, ne pri operativnem sodelavcu. Človeški pregled v servisu za obračun plač je podrobnejši kot pri računovodji, ker so stolpci po členu 9 pravno občutljivejši.
- Uporabi (način glede na cilj). Za notranje postopke z umetno inteligenco (zaznavanje napak, obravnava izjem): reverzibilno maskiranje z lokalno obnovitvijo podatkov. Za deljenje z upravljavcem (povzetek mesečnega zaključka, revizijsko poročilo): nepovratna počrnitev osebnih podatkov, ki niso nujno potrebni za namen upravljavca. Za zakonsko predpisane prijave: sam format prijave omejuje, kaj je mogoče zakriti; orodje za zakrivanje mora razumeti, katera polja se lahko spremenijo in katera so obvezna za prijavo.
- Potrdi in usmeri za posamezno stranko. Ustvari potrdilo SHA-256 z identifikatorjem stranke, zgoščeno vrednostjo, načinom in številom podatkov po kategorijah. Potrdilo postane vnos servisa po Art. 30 za posamezno opravilo in dokazilo upravljavca ob reviziji. Pri operacijah za več strank je zbir potrdil za posamezno stranko dokumentacija, ki jo servis predloži ob letnem pregledu upravljavca. Zbir je tudi temelj notranjega poročanja servisa o ukrepih njegovi pooblaščeni osebi za varstvo podatkov in vodstvu, saj za vsakega upravljavca ustvari determinističen mesečni posnetek količine obdelanih podatkov po kategorijah in stopnji zakrivanja v obliki, ki sama ne vsebuje osebnih podatkov.
Konkreten primer. Servis za obračun plač obdela mesečni obračun za italijansko inženirsko podjetje s šestdesetimi zaposlenimi. XLSX vsebuje stolpce za ime, davčno številko, IBAN, bruto plačo, odtegljaje, razloge za odsotnost in sindikat. Slovar vsebuje seznam zaposlenih tega inženirskega podjetja. Kaskada zazna CF (60/60), IBAN (60/60), 8 vnosov sindikalnih članarin in 12 razlogov za bolniško odsotnost v stolpcu z opombami. Pregled preda 12 vnosov bolniških odsotnosti kontaktni pooblaščeni osebi za varstvo podatkov, da potrdi ustreznost standardnega maskiranja servisa. Kontaktna oseba potrdi. Izvoz je XLSX z nadomestnimi oznakami za osebne podatke, nedotaknjenimi formulami in stolpci po členu 9, ki so bodisi v celoti zakriti (za pregled z umetno inteligenco) bodisi nadomeščeni samo z oznakami kategorij (»zdravniško potrjena odsotnost«) za mesečni povzetek upravljavca. Potrdilo zabeleži identifikator stranke, vhodni/izhodni SHA-256, število podatkov po kategorijah (60 CF, 60 IBAN, 8 sindikalnih članarin, 12 zaznanih podatkov po Art. 9), način in časovni žig. Skupni čas, vključno s predajo pooblaščeni osebi za varstvo podatkov: manj kot 20 minut.
8. Pogosta vprašanja
Je servis za obračun plač obdelovalec ali upravljavec podatkov zaposlenih?
Skoraj vedno obdelovalec. Upravljavec je delodajalec (stranka servisa). Servis obdeluje podatke zaposlenih po dokumentiranih navodilih. Obstajajo mejni primeri (npr. notranje evidence zaposlenih servisa, trženje nekdanjim strankam), vendar je pri osnovnem postopku obračuna plač servis obdelovalec.
Ali lahko svet delavcev prepreči našo uvedbo orodja umetne inteligence?
V večini jurisdikcij EU lahko. Svet delavcev ima pravice do soodločanja o sistemih spremljanja in ocenjevanja (BetrVG §87 v Nemčiji, Statuto dei Lavoratori art. 4 v Italiji, Code du travail L2312-38 v Franciji, ET art. 64 v Španiji). Servis je v številnih primerih dobavitelj sistema; upravljavec je odgovoren za posvetovanje, servis pa mora podpirati vse nadzore dostopa, ki izhajajo iz posvetovanja.
Ali razlogi za bolniško odsotnost sodijo pod člen 9 tudi, če gre le za enobesedno opombo?
Da. Enobesedna opomba, kot je »gripa«, »bolečine v hrbtu«, »tesnoba« ali »operacija«, razkriva zdravstvene podatke in sproži uporabo člena 9. Obdelava po Art. 9(2)(b) zaradi delovnopravnih obveznosti je lahko dopustna, vendar je še vedno treba presoditi obdelavo kot obdelavo podatkov po Art. 9, servis pa mora dokazati podlago in ustrezne zaščitne ukrepe. Za anonimizacijo podatkov o materinskem dopustu velja isto pravilo (starševski status po nekaterih razlagah sodi pod Art. 9, po drugih med podatke o zaposlitvi; varnejša je obravnava po Art. 9).
Katera dokazila po členu 32 so ustrezna za plast zakrivanja v servisu za obračun plač?
Revizija obračuna plač lahko zahteva evidence obdelave, DPIA, pogodbe s ponudniki, evidence dostopa in dokazila o posameznih operacijah. Potrdilo o zakrivanju lahko prispeva k tem dokazilom, ne nadomesti pa drugih dokumentov. Preveri dejanska polja in izvoze, ki so na voljo v tvojem paketu.
Kako dolgo naj hranimo potrdilo o zakrivanju za opravilo obračuna plač?
Vsaj tako dolgo kot osnovno evidenco obračuna plač (običajno deset let za italijanski obračun plač po pravilih civilnega zakonika o hrambi; enakovredno v drugih jurisdikcijah). Potrdila ne vsebujejo osebnih podatkov, zato njihova hramba sama po sebi ne odpira vprašanj zasebnosti. Hrani jih kot dokazila; dodatni strošek shranjevanja je zanemarljiv.
Ali lahko za obravnavo vprašanj zaposlenih, naslovljenih na servis, uporabim umetno inteligenco?
Zaznavanje in zakrivanje podatkov v dokumentih v rešitvi Redactic potekata na infrastrukturi pod nadzorom Redactic v Evropi, brez izvajanja sklepanja z umetno inteligenco ali strojnim učenjem tretjih oseb na nezakriti vsebini. Izbirni postopki z umetno inteligenco so ločeni: zaznane občutljive vrednosti se odstranijo ali nadomestijo, preden se pripravljena vsebina pošlje izbranemu ponudniku. Preglej besedilo dokumenta, dodatna navodila in sporočila v klepetu; spregledane vrednosti in kontekstualne podrobnosti lahko še vedno omogočijo identifikacijo posameznikov. Ponudnik, regija ter pogoji hrambe in učenja so odvisni od izbranega postopka in veljavne pogodbe.
Kaj se zgodi, če naše orodje umetne inteligence med odgovarjanjem upravljavcu A vidi podatke upravljavca B?
To je uhajanje med strankami in sproži obveznosti po Art. 33-34 do obeh upravljavcev, pa tudi do njihovih zaposlenih, če tveganje to zahteva. Obseg obveščanja se množi. Arhitekturna rešitev je zakrivanje, omejeno na posamezno stranko: slovar in kontekst zaznavanja, naložena za sejo, morata biti omejena na upravljavca, ki mu seja pripada, orodje umetne inteligence pa ne sme imeti pomnilnika med strankami. Skladnost z GDPR pri obračunu plač za več strank je strukturno preprostejša z zakrivanjem, omejenim na posamezno stranko, kot brez njega.
Ali akt EU o umetni inteligenci velja za orodja umetne inteligence, ki jih uporabljamo za obračun plač?
Večina orodij umetne inteligence za obračun plač ni razvrščena kot visokotvegana po Prilogi III. Najbližji kategoriji, ki bi lahko veljali, sta Priloga III(4) (kadrovske uporabe, zlasti ocenjevanje uspešnosti), če se orodje za obračun plač uporablja za ocenjevanje, in Priloga III(5)(d) (ocenjevanje tveganja pri finančnih storitvah), če orodje sproža odločitve o kreditih ali goljufijah. Za večino uporab umetne inteligence v servisih za obračun plač veljajo preglednost po Art. 13 akta o umetni inteligenci, obveznosti uvajalcev po Art. 26 in pismenost na področju umetne inteligence po Art. 4 (velja od februarja 2025).
Kako nadzornemu organu dokažemo ločevanje strank?
Zahtevaj dokazila o nadzorih dostopa do delovnega prostora, ločevanju strank in razpoložljivih revizijskih izvozih, ki so pomembni za tvojo uvedbo. Te zahteve preveri z ekipo Redactic, namesto da predpostavljaš, da vsako potrdilo vsebuje identifikator upravljavca ali da je določen izvoz vključen v vsak paket.
Kje Redactic hrani naše podatke o plačah?
Dokumenti in rezultati uporabljajo začasno shrambo za obdelavo na infrastrukturi pod nadzorom Redactic v Evropi. Vključena je lahko začasna strežniška obdelava podatkov za obnovitev. Evidence uporabniškega računa, obračunavanja, privolitev in operacij se obravnavajo ločeno. Za pogoje hrambe in izbrisa preglej DPA in obvestilo o zasebnosti Redactic ter nas prosi za potrditev profila za tvoj postopek. Dodatno branje: strani o zaupanju
Še zadnja operativna opomba za servise za obračun plač, ki razmišljajo o spremembi arhitekture. Ekonomika odločitve med lastnim razvojem in nakupom se bolj nagiba k nakupu kot pri drugih strokovnih kategorijah, ki smo jih obravnavali, iz dveh razlogov. Prvič, zahteva po omejevanju na posamezno stranko dodaja operativno kompleksnost, s katero ima izkušnje malo notranjih ekip. Drugič, obravnava stolpcev po členu 9 zahteva sprotno prilagajanje razvoju nacionalnih delovnopravnih predpisov; ponudniki s strankami v več jurisdikcijah ta razvoj opazijo hitreje kot kateri koli posamezen servis. Oportunitetni strošek odlašanja z arhitekturno odločitvijo je pri obračunu plač večji kot drugod, ker neprekinjen mesečni cikel ustvarja stalno skušnjavo uporabe shadow AI; vsak mesec odlašanja pomeni več nenadzorovanih dogodkov v naboru tveganj servisa.
Če tvoj servis mesečno obračunava plače za petdeset ali več upravljavcev, in jih, vsak od teh mesečnih obračunov trenutno potuje prek e-pošte, notranjih diskov in potrošniških orodij umetne inteligence brez predhodne plasti zakrivanja, ki upošteva posamezno stranko. Cena neukrepanja ni abstraktna: to je naslednja kršitev varstva podatkov več upravljavcev, pri kateri se eno obvestilo spremeni v petdeset, naslednji nadzor organa Garante ali CNIL, pri katerem so dokazila o orodjih umetne inteligence prva zahtevana stvar, naslednja pritožba sveta delavcev zaradi sistema spremljanja, uvedenega brez posvetovanja, in vse pogosteje naslednja zavrnitev zahtevka pri zavarovalnici poklicne odgovornosti, ker uporaba umetne inteligence ni bila dokumentirana. Arhitektura obstaja, regulatorni čas teče, plast zakrivanja pa se povrne že prvič, ko upravljavec zahteva dokazila po členu 30. Ta mesec začni s tremi upravljavci z največjim obsegom. Praktično pravilo za vrstni red: prednost daj upravljavcem z najzahtevnejšimi kolektivnimi pogodbami (več stolpcev po členu 9, več zapletenosti pri sindikalnih članarinah), upravljavcem z največjimi sveti delavcev (več preverjanja soodločanja) in upravljavcem, ki so najdejavnejši pri čezmejnem napotovanju delavcev (več prekrivanja jurisdikcij). Servisi, ki plast zakrivanja za te tri upravljavce uvedejo v prvem mesecu, običajno ugotovijo, da se operativna disciplina prenese na preostale stranke z malo dodatnega truda, postopek uporabe potrdila kot dokazila pa v enem četrtletju postane novo izhodišče. Najtežji del je redko tehnologija; gre za operativni prehod z ad hoc obravnave na dokazila, podprta s potrdili, na vsakem koraku. Ko je ta prehod izveden za tri upravljavce, preostale stranke sledijo na podlagi pravil, ne usposabljanja.
Za temeljno arhitekturo glej osrednji vodnik; za postopke, povezane s kadrovanjem, glej kadrovski tematski sklop; za računovodstvo, osredotočeno na davke, glej računovodski tematski sklop; za vzporednice z odvetniškimi pisarnami glej pravni tematski sklop. Če želiš videti Redactic na vzorčni preglednici za obračun plač za več zaposlenih, vstopna stran redactic.eu vključuje predstavitev v živo. Za servise s paketom Solo ali Firm je ista arhitektura na voljo po objavljenih cenah na uporabniško mesto in jo je mogoče razširjati z rastjo servisa.