Zaktualizowane: 28 maja 2026 roku
Czym jest „data contribution” Atlassiana? „Data contribution” to wprowadzona przez Atlassian od 17 sie 2026 polityka domyślnego zbierania metadanych i treści in-app z Jira, Confluence, Jira Service Management i innych produktów chmurowych w celu trenowania modeli AI (m.in. Rovo i Rovo Dev). Polityka dotyczy ok. 300 000 klientów Atlassiana globalnie i wprowadza czterowarstwowy model opt-out zależny od planu – Free, Standard i Premium nie mogą wyłączyć zbierania metadanych, tylko Enterprise dostaje pełen opt-out, choć i tam metadata jest domyślnie włączona (źródło: ghacks.net, 19 kwi 2026 oraz oficjalna strona atlassian.com/trust/ai/data-contribution).
Data contribution Atlassiana – w skrócie:
- Od 17 sie 2026 Atlassian domyślnie zbiera dwa typy danych z Jira, Confluence i JSM: metadane (story points, readability scores, semantic similarity, „common patterns” z Rovo Chat) oraz in-app data (treść stron Confluence, opisy ticketów, komentarze, nazwy custom workflow).
- Plan Free i Standard – metadata i in-app data włączone, opt-out z metadata niedostępny; Premium – metadata zawsze ON (brak opt-out), in-app data OFF domyślnie; Enterprise – oba ON domyślnie, ale dostępny pełen opt-out (źródło: oficjalna strona Atlassian).
- Retencja danych do 7 lat. Po opt-out: in-app data usuwane w 30 dni, metadata w 90 dni, modele retrenowane w 90 dni. Dane już wbite w wagi modeli wytrenowanych przed opt-outem nie podlegają retroaktywnemu „odtrenowaniu”.
- Wykluczeni z data contribution: klienci z customer-managed encryption keys, Atlassian Government Cloud, Atlassian Isolated Cloud, klienci z wymogami HIPAA.
- Rollout ustawień: 16 kwi 2026 (start) – 19 maj 2026 (pełne dostępne ustawienia) – 17 sie 2026 (start zbierania); webinar Atlassiana 28 kwi 2026.
- Zmiana dotyka jednocześnie trzech domen: data governance (klasyfikacja, retencja), AI governance (re-użycie danych do nowego celu w rozumieniu RODO Art. 6(4)) i data sovereignty (lokalizacja danych i ich pochodnych w wagach modeli). Patronusec jako akredytowany QSA i doradca DORA/NIS2/ISO 27001 wspiera klientów w przeglądach klauzul AI w umowach SaaS oraz aktualizacji rejestrów ICT third-party – od mapowania ekspozycji po update klauzul exit strategy w istniejących kontraktach.
Co to jest „data contribution” i dlaczego Atlassian nie nazywa tego „data collection”?
„Data contribution” to nazwa, jaką Atlassian nadał polityce domyślnego zbierania danych klientów do trenowania modeli AI. Oficjalna strona Atlassiana (atlassian.com/trust/ai/data-contribution) konsekwentnie używa zwrotów typu „giving you control over your data contribution” oraz „so you can adopt AI confidently”. To celowy zabieg językowy, nie pomyłka.
Trzy rzeczy, które robi to słowo:
- Przesuwa rolę aktora. Klient jest „kontrybutorem”, Atlassian – odbiorcą. Ten sam mechanizm techniczny opisany jako „Atlassian collects your data to train models” tworzy zupełnie inne ramy negocjacyjne.
- Sugeruje akt woli. Kontrybucja zakłada dawanie. Dawanie zakłada zgodę. W rzeczywistości od 17 sie 2026 default dla planów Free, Standard i Premium to ON (metadata bezwzględnie, in-app data dla Free/Standard); nawet Enterprise startuje z metadatami włączonymi. Nikt aktywnie się nie zgłosił – to gramatyka wykonuje pracę zgody.
- Wyprzedza rozmowę regulacyjną. Jeśli to „kontrybucja”, to DPO trudniej będzie zbudować argument, że to nowy cel przetwarzania w rozumieniu RODO Art. 6(4). Jeśli to „collection”, pytanie samo się pisze.
To nie jest unikalna praktyka Atlassiana. Microsoft, Google, GitHub, Notion, Slack i Salesforce stosują warianty tego samego frame’u w 2026 r. („improve apps and experiences for all customers”, „help us make our products better”). Różnica polega na tym, że Atlassian opublikował relatywnie przejrzystą dokumentację – matrycę planów, okresy retencji, listę wykluczonych klientów. To ułatwia analizę, ale nie zmienia natury transakcji.
Patronusec Insight: Z naszego doświadczenia projektowego najczęstszym błędem w przeglądach umów SaaS w 2026 r. jest traktowanie języka kontraktu jako neutralnego - tymczasem zmiana z "collection" na "contribution" realnie wpływa na to, którego komitetu wewnętrznego sprawa dosięgnie (procurement vs. AI governance vs. zarząd). W ramach naszego doradztwa DORA i ICT third-party risk zawsze zaczynamy review klauzul AI od mapowania języka kontraktu na faktyczne procesy przetwarzania - dopiero to pozwala odpowiednio sklasyfikować dostawcę w rejestrze Art. 28.
Jakie dokładnie dane zbiera Atlassian od 17 sie 2026?
Atlassian dzieli zbierane dane na dwie kategorie. Metadata obejmuje „content attributes” (cechy statystyczne treści: liczba story points, złożoność strony Confluence, wartości SLA Jira Service Management, semantic similarity między stronami) oraz „common patterns” (frazy, słowa kluczowe i tematy wyciągnięte z zapytań wyszukiwania, konwersacji w Rovo Chat – łącznie z promptami i odpowiedziami – oraz custom configuration data, jeśli powtarzają się u wielu klientów).
In-app data to treść tworzona przez użytkowników: tytuły i body stron Confluence, tytuły, opisy i komentarze ticketów Jira, nazwy custom emoji, nazwy custom statusów, nazwy custom workflow.
Wszystkie dane są – zgodnie z deklaracją Atlassiana – „de-identified and aggregated” przed użyciem do trenowania, z usunięciem bezpośrednich identyfikatorów (imię, e-mail) i zastosowaniem kontroli zapobiegających re-identyfikacji. Trzy zastrzeżenia, które warto sobie zapisać:
- „De-identified” nie znaczy „harmless”. Semantic similarity scores w agregacie mogą ujawniać topologię produktu, sekwencję roadmapy i strukturę zespołów – to dokładnie ten rodzaj informacji, który zespoły wywiadu konkurencyjnego aktywnie pozyskują.
- Common patterns obejmują Rovo Chat. Jeśli wewnętrzni użytkownicy korzystają z Rovo Chat do pytań o klientów, procesy lub strategię, frazy z tych konwersacji – po de-identyfikacji – są materiałem treningowym.
- In-app data Confluence to często najbardziej wrażliwe dane organizacji. Playbooki incydentów, matryce oceny dostawców, draft board packów, dokumentacja procesów wewnętrznych – to standardowa zawartość Confluence w średnich i większych firmach.
W ramach przeglądów ekspozycji SaaS realizowanych dla klientów w modelu vCISO zawsze rekomendujemy klasyfikację treści w Confluence i Jira na poziomie spacja/projekt – dopiero to pozwala podjąć świadomą decyzję, które obszary powinny zostać wyłączone z data contribution (jeśli plan na to pozwala) lub przeniesione poza domyślny scope (np. do dedykowanej przestrzeni z customer-managed keys).
Jaki jest harmonogram zmian i kogo Atlassian wyklucza z data contribution?
Atlassian podzielił rollout na trzy etapy. Wszystkie daty pochodzą z oficjalnej strony atlassian.com/trust/ai/data-contribution:
| Data | Wydarzenie | Co powinien zrobić admin |
|---|---|---|
| 16 kwi 2026 | Start rollout ustawień data contribution w Atlassian Administration | Sprawdzić, czy ustawienia są już dostępne dla organizacji |
| 28 kwi 2026 | Webinar Atlassiana – walkthrough zmian | Wpisać w kalendarz; webinar dostępny też on-demand |
| 19 maj 2026 | Rollout ustawień zakończony – dostępne wszystkim organizacjom | 90 dni okna decyzyjnego startuje od tej daty |
| 17 sie 2026 | Start zbierania danych zgodnie z ustawieniami | Default-on dla planów wg matrycy poniżej |
Domyślne ustawienia per plan:
| Plan | Metadata | In-app data | Opt-out z metadata | Opt-out z in-app data |
|---|---|---|---|---|
| Free | ON | ON | NIE | TAK |
| Standard | ON | ON | NIE | TAK |
| Premium | ON | OFF | NIE | TAK |
| Enterprise | ON | OFF | TAK | TAK |
Z data contribution wykluczeni są:
- Klienci z customer-managed encryption keys (CMEK)
- Klienci Atlassian Government Cloud
- Klienci Atlassian Isolated Cloud
- Klienci z wymogami zgodności HIPAA
Wykluczenie oznacza, że ani metadata, ani in-app data nie są zbierane – niezależnie od planu. W praktyce dla większości firm w EU (poza sektorem zdrowotnym objętym HIPAA i administracją publiczną) jedyną realną ścieżką pełnego wyłączenia jest plan Enterprise z aktywnym opt-out lub CMEK.
Czy wiesz, gdzie dokładnie Twoja organizacja jest narażona przed 17 sie 2026?
Patronusec realizuje review umów SaaS pod kątem klauzul AI training i re-use - z listą rekomendacji, co należy zmienić w istniejących kontraktach, DPIA i rejestrze ICT third-party Art. 28. W ciągu 10 dni roboczych otrzymujesz pisemny raport z mapowaniem ekspozycji per dostawca, ze wskazaniem kontraktów wymagających pilnej renegocjacji.
Zamów review klauzul AI w umowach SaaS
Jaka jest różnica między data governance, AI governance i data sovereignty?
To trzy różne domeny, które większość polityk wewnętrznych w 2026 r. nadal myli. Atlassian „data contribution” to dobry stress test, bo dotyka wszystkich trzech jednocześnie.
Data governance odpowiada na pytania: kto jest właścicielem danych, gdzie są przechowywane, kto może je czytać, jak długo są retencjonowane. Atlassian 7-letni okres retencji oraz SLA 30/90 dni na usuwanie należą tutaj. Klasyczne kontrole z ISO/IEC 27001:2022 (Aneks A.5.12 – klasyfikacja informacji, A.5.34 – prywatność i ochrona PII) powinny już to pokrywać. Jeśli nie pokrywają, luka jest po Twojej stronie, nie Atlassiana.
AI governance zadaje inne pytanie: czy te dane mogą zostać użyte do nowego celu – w tym wypadku trenowania modelu dostawcy – którego nie obejmowała pierwotna podstawa prawna? RODO Art. 6(4) wymaga oceny kompatybilności, gdy dane są przetwarzane w celu innym niż pierwotny. Europejska Rada Ochrony Danych (EROD) wielokrotnie sygnalizowała, że trenowanie AI na danych zebranych w innym celu to nietrywialne pytanie Art. 6(4). Większość DPIA przygotowanych przed 2024 r. nie zawiera w ogóle sekcji o re-use danych dla AI – Atlassian de facto wymusza dodanie tej sekcji.
Data sovereignty zadaje najtrudniejsze pytanie: gdy Twoje dane trafią do modelu, a model jest serwowany z infrastruktury w innej jurysdykcji, gdzie prawnie i fizycznie znajdują się Twoje dane i ich pochodne (wagi modelu)? Schrems II dotyczył transferów, nie trenowania. EU AI Act, którego obowiązki dla modeli GPAI weszły w życie 2 sie 2025 r., wymaga od dostawców GPAI publikacji podsumowania danych treningowych i zgodności z dyrektywą o prawie autorskim, ale nie ustanawia „prawa do bycia zapomnianym z wag modelu”.
Jeśli Twój framework AI governance nie potrafi odpowiedzieć na pytanie „czy to nowy cel przetwarzania?” w ciągu tygodnia roboczego, to nie jest framework. To dokument oczekujący na test.
Patronusec Insight: Z naszej praktyki projektowej wynika, że największą luką nie jest brak polityki AI governance, tylko brak właściciela decyzyjnego. W większości firm średniej wielkości, gdy wpada zmiana typu "data contribution Atlassiana", odpowiedzialność rozpływa się między procurement, security, legal i DPO - i nikt nie ma autorytetu do pchnięcia tematu do zarządu. Pracując z klientami w modelu vCISO, włączamy review klauzul AI do regularnego cyklu vendor management - tak by zmiany typu Atlassian były wychwytywane przed dniem efektywnym, nie po nim.
Jak data contribution Atlassiana wpływa na obowiązki z DORA i NIS2?
Dla podmiotów objętych DORA (Digital Operational Resilience Act) to nie jest dyskusja akademicka. DORA Art. 28 wymaga prowadzenia rejestru wszystkich umów z dostawcami ICT obsługujących krytyczne lub ważne funkcje, z konkretnymi polami: charakter usługi, dane przetwarzane, lokalizacja przetwarzania, strategia wyjścia, ryzyko koncentracji.
W większości regulowanych firm finansowych, z którymi pracujemy, Atlassian jest w rejestrze – ale jako „narzędzie zarządzania projektami”. Po 17 sie 2026 ta klasyfikacja jest niekompletna. Atlassian staje się również dostawcą, który pozyskuje dane treningowe AI z systemów objętych scope’em DORA.
Trzy konkretne aktualizacje, które trzeba zrobić w rejestrze Art. 28:
- Dodać pole „AI training contribution” w rekordzie dostawcy, ze wskazaniem typu danych (metadata, in-app data), planu (Free/Standard/Premium/Enterprise) i statusu opt-out.
- Zaktualizować klauzulę exit strategy (Art. 28 ust. 2 lit. g) – exit musi obejmować nie tylko ekstrakcję danych, ale też potwierdzenie, że dane rezydualne nie są używane do trenowania nowych wersji modelu. Standardowe klauzule exit z 2023 r. tego nie pokrywają.
- Ponownie ocenić ryzyko koncentracji. Jeśli Atlassian obsługuje krytyczną funkcję (np. JSM jako narzędzie incident management), data contribution wpływa też na ocenę odporności operacyjnej – bo modyfikacja kontraktu (opt-out) wymaga aktywności admina, której DORA Art. 30 oczekuje udokumentowania.
Analogicznie dla podmiotów objętych NIS2: Art. 21 ust. 2 lit. d wymaga, by środki zarządzania ryzykiem obejmowały bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa w relacjach między podmiotem a jego bezpośrednim dostawcą. AI training to nowy wymiar bezpieczeństwa łańcucha dostaw, który powinien być uwzględniony w mapowaniu.
Z naszego doświadczenia projektowego rejestr Art. 28 zaktualizowany o klauzulę AI training średnio wskazuje 5-15 dostawców w stacku SaaS, którzy w 2026 r. wprowadzili podobne polityki domyślnego zbierania danych – Atlassian jest tylko najbardziej widocznym przypadkiem.
Co konkretnie zrobić przed 17 sie 2026 – lista 6 pytań do każdego dostawcy SaaS
Lista przeznaczona dla CISO, Head of IT, DPO i Compliance Officer. Przejdź ją dla każdego dostawcy SaaS obsługującego dane klasyfikowane jako poufne lub wyższe:
- Klauzula re-use: czy aktualna umowa pozwala dostawcy na re-use danych klienta (w jakiejkolwiek formie: raw, metadata, derived, aggregated, „contributed”) do trenowania modeli serwowanych dla osób trzecich?
- RODO Art. 6(4): jeśli tak, czy DPO ocenił re-use jako kompatybilny z pierwotną podstawą prawną, czy jako nowy cel wymagający nowej podstawy?
- Opt-out: jaki jest mechanizm opt-out, na jakim planie i w jakim oknie czasowym jest dostępny?
- Retencja: jaki jest okres retencji danych już zebranych, czy obowiązuje timeline usuwania po opt-out?
- Model weights: czy wagi modeli trenowane na danych klienta są retroaktywnie „odtrenowywane” po opt-out, retrenowane bez tych danych, czy ani jedno, ani drugie?
- DORA / NIS2: czy dostawca jest w rejestrze Art. 28 DORA / w mapowaniu Art. 21 NIS2 z poprawną klasyfikacją (uwzględniającą AI training contribution)?
Większość przeglądów dostawców prowadzonych przez procurement pomija 3-4 z tych pytań. Nie dlatego, że procurement działa źle – tylko dlatego, że pytania te wymagają wiedzy z trzech różnych domen (kontraktowej, RODO, regulacyjnej) i nikt jednoosobowo ich nie obejmuje.
Twój zespół nie ma zasobów, żeby przejrzeć 20-50 umów SaaS przed 17 sie 2026?
W modelu vCISO Patronusec realizujemy stack-wide review klauzul AI training dla średnich i większych organizacji – z dostawą w 15-25 dni roboczych, w zależności od liczby dostawców. Efektem jest aktualizacja rejestru ICT third-party, lista kontraktów do renegocjacji oraz draft klauzuli AI training do wstawienia w nowe umowy.
Umów rozmowę scope assessment vCISO
Jak data contribution wpływa na ISO 27001 i istniejące DPIA?
ISO/IEC 27001:2022 nie wymaga jeszcze dedykowanego kontrolu dla AI training, ale dwa istniejące kontrole z Aneksu A bezpośrednio pokrywają temat:
- A.5.12 – klasyfikacja informacji – jeśli Twoja organizacja sklasyfikowała treści w Confluence i Jira (a powinna, jeśli ma ważny certyfikat), to klasyfikacja jest punktem wyjścia do decyzji o data contribution.
- A.5.34 – prywatność i ochrona PII – jeśli treści in-app zawierają PII (a w większości firm zawierają: e-maile klientów w ticketach, dane kontaktowe w stronach Confluence), data contribution wchodzi w scope tego kontrolu.
Audytorzy ISO 27001 w 2026 r. zaczynają zadawać pytania o AI training. To nie wymóg, ale praktyka audytowa się zmienia – z naszego doświadczenia w prowadzeniu klientów przez audyt re-certyfikacyjny ISO 27001 wynika, że klienci, którzy nie mają udokumentowanej oceny re-use danych w SaaS, dostają „observation” (jeszcze nie non-conformity, ale flagę do następnego audytu).
W zakresie DPIA (RODO Art. 35) sytuacja jest prostsza: DPIA wymaga aktualizacji w momencie zmiany sposobu przetwarzania. Data contribution to oczywista zmiana. Jeśli Twoja DPIA dla Confluence/Jira powstała przed 2024 r., trzeba ją odświeżyć – z dodaniem sekcji o AI re-use i oceną Art. 6(4).
Patronusec Insight: Większość DPIA, które widzimy w projektach gap analysis przed audytem, zostało napisanych jako jednorazowy dokument - bez procesu aktualizacji. Atlassian "data contribution" to praktyczny test, czy organizacja ma żywy DPIA process, czy tylko dokument w katalogu. Pracując z klientami w obszarze ISO 27001 i DORA, włączamy DPIA refresh do regularnego cyklu - tak by zmiany u dostawców automatycznie wpadały do oceny, nie wymagały odkrycia.
Czy opt-out wystarczy, żeby ograniczyć ryzyko?
Krótko: nie wystarczy, ale jest niezbędnym pierwszym krokiem.
Opt-out (gdzie jest dostępny) zatrzymuje przyszłe zbieranie i uruchamia usunięcie danych już zebranych w SLA Atlassiana (30 dni dla in-app data, 90 dni dla metadata, 90 dni na retrenowanie modeli). Czego opt-out nie robi:
- Nie usuwa retroaktywnie Twojej kontrybucji z wag modeli wytrenowanych przed datą opt-out. Atlassian otwarcie to dokumentuje – retrenowanie dotyczy modeli używających danych po opt-out, nie modeli wcześniejszych.
- Nie zmienia klasyfikacji dostawcy w rejestrze DORA Art. 28 – w rejestrze nadal musi być wskazany jako dostawca, który może zbierać dane do AI training, nawet jeśli aktualne ustawienie to OFF.
- Nie zmienia oceny RODO Art. 6(4) dla okresu między 17 sie 2026 a datą opt-out. Jeśli organizacja włączy opt-out 1 paź 2026, dane zebrane między 17 sie a 1 paź wciąż wymagają oceny podstawy prawnej.
- Nie chroni przed kolejnymi zmianami u dostawcy. Atlassian może w przyszłości wprowadzić kolejne kategorie „data contribution” – opt-out z jednej nie obejmuje opt-out z drugiej.
W praktyce opt-out to „stopień 1” odpowiedzi. Stopień 2 to aktualizacja rejestru ICT third-party. Stopień 3 to renegocjacja kontraktu z klauzulą antycypującą podobne zmiany w przyszłości (np. wymóg 90 dni notice przed wprowadzeniem nowej kategorii zbierania danych).
W projektach DORA realizowanych przez Patronusec rekomendujemy klientom wpisanie do nowych kontraktów SaaS klauzuli „AI training data use – notice and consent”, która wymaga od dostawcy aktywnej zgody klienta przed wprowadzeniem zbierania danych do trenowania – niezależnie od domyślnego ustawienia w UI dostawcy. To prosta klauzula, którą warto włączyć do template umów MSA dla wszystkich kontraktów odnawianych od 2026 r.
FAQ
Czy data contribution Atlassiana to to samo co training danych przez OpenAI w ChatGPT Enterprise?
Nie. ChatGPT Enterprise (OpenAI) i Atlassian Rovo mają różne polityki domyślne. OpenAI w produktach Enterprise/API domyślnie NIE używa danych klienta do trenowania modeli (opt-in). Atlassian od 17 sie 2026 robi odwrotnie – default jest ON dla niższych planów, opt-out wymaga aktywności admina. Mechanizm techniczny jest podobny, polityka defaultu fundamentalnie różna. Z perspektywy AI governance to różnica między „vendor pyta zanim weźmie” a „vendor bierze, chyba że powiesz nie”.
Czy „de-identified and aggregated” oznacza, że moje dane są bezpieczne?
De-identyfikacja zmniejsza ryzyko, ale go nie eliminuje. Atlassian deklaruje usuwanie bezpośrednich identyfikatorów (imię, e-mail) i stosowanie kontroli przeciwko re-identyfikacji. To prawda. Jednocześnie semantic similarity scores, common patterns z Rovo Chat i agregowane metadane w skali wielu klientów mogą – przy odpowiedniej analizie – ujawniać wzorce nieoczywiste z perspektywy pojedynczego rekordu. To pole aktywnych badań akademickich. Z perspektywy compliance bezpieczniejsze założenie: de-identified data wciąż wymaga oceny ryzyka, nie znika z rejestru przetwarzania.
Czy mogę całkowicie wyłączyć Rovo i Atlassian Intelligence, żeby uniknąć data contribution?
Wyłączenie produktu AI nie wyłącza data contribution. Atlassian zbiera dane na poziomie organizacji, nie na poziomie pojedynczego produktu AI. Wyłączenie Rovo oznacza, że Twoja organizacja nie używa funkcji AI – ale Twoje dane mogą wciąż być zbierane do trenowania modeli, z których korzystają inni klienci. Pełne wyłączenie wymaga opt-out w Atlassian Administration (dostępne dla in-app data we wszystkich planach, dla metadata tylko w Enterprise) lub przejścia na customer-managed encryption keys / Atlassian Government Cloud / Isolated Cloud.
Czy Atlassian musi przestrzegać RODO przy zbieraniu danych z klientów europejskich?
Tak. Atlassian jako procesor (Art. 28 RODO) musi przestrzegać RODO przy przetwarzaniu danych osobowych pochodzących z UE. Pytanie nie jest „czy musi”, tylko „na jakiej podstawie”. Atlassian opiera się na swoich umowach (DPA) i deklaracji de-identyfikacji. Z perspektywy administratora (Twojej organizacji) odpowiedzialność jest dwustronna: musisz ocenić, czy nowy cel (trenowanie AI) jest kompatybilny z pierwotnym celem (zarządzanie projektami) w rozumieniu Art. 6(4). To ocena, której Atlassian nie zrobi za Ciebie.
Co się stanie, jeśli mój audytor ISO 27001 lub QSA PCI DSS znajdzie data contribution włączoną?
Zależy od kontekstu. Dla ISO 27001 audytor sprawdzi, czy klasyfikacja informacji i ocena prywatności obejmuje ten przypadek (kontrole A.5.12 i A.5.34) – jeśli nie, prawdopodobnie wpisze observation. Dla PCI DSS sytuacja jest bardziej delikatna: jeśli treści Confluence/Jira zawierają dane karty (CHD) lub dane uwierzytelniające (SAD) – co nie powinno mieć miejsca, ale w praktyce się zdarza – data contribution może oznaczać poważny finding. Z naszego doświadczenia jako akredytowany QSA zalecamy klientom PCI DSS jednoznaczny opt-out z in-app data + audyt treści Confluence/Jira pod kątem CHD/SAD przed audytem QSA.
Ile kosztuje review klauzul AI w umowach SaaS w Patronusec?
Cena zależy od liczby dostawców SaaS w scope review, złożoności umów (czy są to standardowe DPA dostawców, czy negocjowane kontrakty MSA) i wymaganego deliverable (sam raport czy też draft klauzul do renegocjacji). Po bezpłatnej 30-minutowej rozmowie scope-assessment przedstawiamy stałą wycenę z gwarantowanym terminem dostarczenia. Dla klientów realizujących u nas pełny program DORA lub NIS2 review klauzul AI jest częścią pakietu, bez dodatkowej wyceny.
Jak rozpocząć współpracę z Patronusec w obszarze AI governance i DORA third-party risk?
Pierwszym krokiem jest bezpłatna 30-minutowa rozmowa scope-assessment. W jej trakcie omawiamy: aktualny stan rejestru ICT third-party, liczbę dostawców SaaS w scope, dotychczasowe DPIA i ocenę RODO Art. 6(4), oraz oczekiwany timeline. Po rozmowie otrzymujesz pisemną propozycję zakresu i wycenę fixed-price. Dla większości organizacji średniej wielkości pełny program AI governance review (review umów + update rejestru + draft klauzul + szkolenie zespołu) zajmuje 4-8 tygodni.
Data contribution Atlassiana i AI governance – bezpłatna konsultacja
Patronusec, jako akredytowany QSA i doradca DORA/NIS2/ISO 27001, wspiera organizacje średnie i większe w mapowaniu ekspozycji wynikającej z domyślnych polityk AI training u dostawców SaaS. Pracujemy z klientami w sektorach fintech, retail, e-commerce i finansowym.
W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- Zmapować, które kontrakty SaaS Twojej organizacji wymagają pilnego review przed 17 sie 2026
- Określić, czy „data contribution” w przypadku Twoich dostawców kwalifikuje się jako nowy cel przetwarzania w rozumieniu RODO Art. 6(4)
- Zidentyfikować dostawców, których trzeba dopisać do rejestru DORA Art. 28 / mapowania NIS2 Art. 21 z poprawną klasyfikacją AI training
- Zaplanować update istniejących DPIA i klauzul exit strategy w istniejących kontraktach
Umów bezpłatną konsultację | Doradztwo DORA | Doradztwo NIS2 | ISO 27001 | vCISO na godziny
