AI dla administracji publicznej, w której urząd decyduje, dokąd trafiają informacje
Standard Compute to bramka AI, przez którą urzędy, jednostki samorządu terytorialnego i administracja rządowa udostępniają pracownikom i systemom Claude, GPT i otwarte modele z mechanizmami kontroli, o które pytają KRI, ustawa o krajowym systemie cyberbezpieczeństwa i wskazówki Ministerstwa Cyfryzacji dotyczące generatywnej AI. Przez jedno API każdy krok trafia do najtańszego modelu, który sobie z nim poradzi.
Urząd ustawia reguły raz: przetwarzanie w Europie, bez przechowywania, bez trenowania, tylko zatwierdzeni dostawcy i modele, logowanie przez własne Microsoft Entra ID i stały budżet dla każdej osoby i aplikacji.
Załóż konto organizacjilub napiszcie na contact@standardcompute.com
Krótkie odpowiedzi
- Czy pracownicy urzędu mogą wpisywać do AI dane osobowe i informacje wewnętrzne?
- Ministerstwo Cyfryzacji radzi, aby do narzędzi GenAI nie wpisywać informacji niejawnych, wewnętrznych informacji urzędowych w fazie przygotowawczej ani danych osobowych, których ujawnienie narusza przepisy, i stosować się do zasad ustalonych w urzędzie. Standard Compute pozwala urzędowi ustalić te zasady w samym narzędziu: prompty są przetwarzane w pamięci operacyjnej, nigdy nie trafiają do pamięci trwałej ani logów i nigdy nie służą do trenowania modeli.
- Co KRI wymaga od umów z dostawcami?
- § 19 ust. 2 pkt 10 rozporządzenia w sprawie Krajowych Ram Interoperacyjności z 2024 r. wymaga zawierania w umowach serwisowych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji. Umowę powierzenia przetwarzania danych ze Standard Compute podpisujecie w panelu, a listę dalszych podmiotów przetwarzających publikujemy wraz z lokalizacjami.
- Gdzie przetwarzane są dane?
- Przy ograniczeniu do Europy każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe inferencji. Nasza bramka UE kończy połączenia TLS i działa w Finlandii, a dane konta są przechowywane we Frankfurcie.
Wymagania i odpowiadające im mechanizmy kontroli
Czego KRI, ustawa o krajowym systemie cyberbezpieczeństwa i wskazówki Ministerstwa Cyfryzacji oczekują, gdy urząd wprowadza generatywną AI, i mechanizm kontroli, który odpowiada na każdy punkt.
| Czego wymagają przepisy i wytyczne | Jak realizuje to Standard Compute |
|---|---|
| Zapisy o bezpieczeństwie informacji w umowach ze stronami trzecimi (KRI § 19 ust. 2 pkt 10) | Podpiszcie umowę powierzenia przetwarzania danych (DPA) w panelu w kilka minut: bez trenowania na Waszych danych, bez przechowywania Waszych treści i ze zgłoszeniem naruszenia w ciągu 72 godzin. Publikujemy każdy dalszy podmiot przetwarzający i uprzedzamy 14 dni przed dodaniem nowego. |
| Bez danych osobowych i informacji wewnętrznych pozostawionych u dostawcy | Po włączeniu zerowej retencji danych (ZDR) każde żądanie trafia wyłącznie do punktów końcowych, które zobowiązują się nie zachowywać żadnej kopii Waszych danych. Przetwarzamy prompty w pamięci operacyjnej i nigdy nie zapisujemy ich w pamięci trwałej ani w logach. |
| Dane przekazane do AI nie służą do trenowania modeli | Standard Compute nigdy nie trenuje modeli na Waszych promptach ani odpowiedziach. Przy ograniczeniu regionalnym lub włączonej ZDR każde żądanie trafia wyłącznie do dostawców, którzy zobowiązują się nie trenować na nim modeli. |
| Dostawca wskazuje lokalizacje przetwarzania danych (Standardy Cyberbezpieczeństwa Chmur Obliczeniowych) | Ustawcie ograniczenie do Europy dla całej organizacji, zespołu lub pojedynczego klucza. Każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe inferencji, a żądanie, którego nie może obsłużyć żaden europejski punkt końcowy, zostaje odrzucone, zanim prompt zostanie wysłany. |
| Bezpieczeństwo łańcucha dostaw usług ICT (KSC art. 8) | Wybierzcie dokładnie, którzy dostawcy inferencji mogą przetwarzać Wasze dane, dla organizacji, zespołu lub klucza. Niższe poziomy mogą listę tylko zawęzić, nowy dostawca nigdy nie zostaje dodany bez zgody administratora, a trasy zapasowe nigdy jej nie omijają. Zdecydujcie, z jakich modeli może korzystać każdy klucz, aby każda aplikacja i każda osoba miała dokładnie te modele, które zatwierdzicie. GLM, DeepSeek i MiniMax działają u europejskich dostawców dla kont ograniczonych do Europy. |
| Uprawnienia zgodne z zadaniami i zmieniane wraz z nimi (KRI § 19 ust. 2 pkt 4 i 5), zarządzane z katalogu urzędu | Połączcie Microsoft Entra ID lub innego dostawcę tożsamości SAML. Każda osoba ze zweryfikowanej domeny automatycznie dołącza do organizacji, a dostęp do Claude Desktop i Claude Code wynika z Waszych grup w Entra dzięki synchronizacji SCIM. |
| Rozliczalność udokumentowana w logach (KRI § 20) | Każda zmiana wprowadzona przez administratora jest zapisywana z wartością przed i po. Możecie wyeksportować zapis każdego żądania z modelem, dostawcą, który je obsłużył, i obowiązującym ograniczeniem regionalnym, przechowywany przez 12 miesięcy. Dane konta i dane o użyciu są przechowywane we Frankfurcie, a bramka UE działa w Finlandii. Rejestry żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy prompty ani odpowiedzi. |
| Koszty w granicach budżetu | Każda osoba i każda aplikacja dostaje stały budżet miesięczny, który nigdy nie zostaje przekroczony, z limitami wydatków dla każdego klucza i dla całej organizacji. Faktury Stripe zawierają nazwę organizacji i jej numer VAT. |
Wdrożenie w jedno popołudnie
Załóżcie konto organizacji
Zaproście współpracowników e-mailem, podzielcie ich na zespoły i dajcie każdej osobie i każdej aplikacji osobny klucz.
Ustawcie ograniczenie do Europy i zerową retencję danych
Ustawcie oba dla całej organizacji. Zespoły i klucze je dziedziczą i nigdy nie mogą ich wyłączyć.
Połączcie Microsoft Entra ID
Pracownicy logują się kontem służbowym i korzystają z Claude Desktop i Claude Code ze swoim służbowym kontem Microsoft przez naszą bramkę UE.
Zatwierdźcie dostawców i modele, podpiszcie umowę
Wybierzcie, z jakich dostawców inferencji i modeli może korzystać każdy klucz, ustawcie budżety i podpiszcie umowę powierzenia w panelu.
Przepisy i wytyczne w źródle
Teksty, które inspektor ochrony danych, bezpieczeństwo informacji i zamówienia publiczne czytają najpierw, z linkiem do oficjalnego źródła. Stanowią punkt wyjścia do Waszej własnej oceny.
Linki sprawdzone 9 listopada 2026.
Pytania od IT, bezpieczeństwa i zamówień
- Kto jest dostawcą?
- Standard Compute AS, norweska spółka akcyjna (nr org. 938 498 806) z siedzibą w Oslo. Nasza umowa powierzenia podlega prawu norweskiemu.
- Czy pracownicy mogą logować się przez Microsoft Entra ID?
- Tak. Połączcie Microsoft Entra ID lub innego dostawcę tożsamości SAML, a pracownicy logują się kontem służbowym, zaś każda osoba ze zweryfikowanej domeny dołącza automatycznie. Do Claude Desktop i Claude Code logują się służbowym kontem Microsoft przez naszą bramkę UE.
- Czy różne wydziały mogą korzystać z różnych modeli?
- Tak. Podzielcie pracowników na zespoły i zdecydujcie, z jakich modeli może korzystać każdy klucz. Reguły ustawione dla całego urzędu zespoły i klucze mogą tylko zawęzić.
- Czy są materiały do oceny bezpieczeństwa?
- Tak. Strona z materiałami do oceny bezpieczeństwa opisuje, jakie dane są przetwarzane i gdzie, przechowywanie, dalsze podmioty przetwarzające, umowę powierzenia, logowanie, kontrolę dostępu i logi, z odpowiedziami na typowe pytania z kwestionariuszy dla dostawców.
Czytaj dalej
Inne sektory
Załóżcie konto organizacji, ustawcie ograniczenie do Europy i zerową retencję danych, a pracownicy mogą zacząć tego samego dnia.