U razgovorima o digitalizaciji podaci se često opisuju kao „nova nafta” ili „novo zlato”. Metafora je atraktivna i gotovo uvijek pogrešna. Nafta ima cijenu neovisno o tome tko je posjeduje. Podatak nema vrijednost ako nitko ne može utvrditi odakle dolazi, tko ga smije mijenjati i što znači kada se promijeni. Zato podaci postaju infrastruktura tek kada uz njih postoje tri stvari: vlasnik, pravilo i trag.

Vlasništvo: tko smije reći „ne”

U većini tvrtki na pitanje „čiji su ovi podaci” odgovor je odjel. „To je marketing”, „to je financije”, „to je CRM tima prodaje”. Odjel nije vlasnik. Vlasnik je uloga koja ima ovlast odbiti zahtjev za uporabu, definirati dopuštene svrhe i snositi posljedicu ako se pravilo prekrši.

Razlika je praktična. Ako podatke o kupcima može kopirati svaki odjel bez pitanja, granica odgovornosti ne postoji. Kada dođe do incidenta ili pogrešne odluke, nitko nije nadležan — jer su svi „koristili”.

Zato dobar inventar podataka ne počinje tehničkim katalogom, nego pitanjem: koja je jedina osoba ili funkcija koja može odobriti novu uporabu ovog skupa podataka? Ako odgovor nije jasan u deset sekundi, vlasništvo nije uređeno.

Pravilo: što se smije promijeniti i pod kojim uvjetom

Podaci se mijenjaju cijelo vrijeme. Problem nije promjena, nego promjena bez pravila. Tvrtke koje to razumiju uvode nekoliko jednostavnih konvencija:

  • Definicija polja. Što točno znači „aktivan kupac”? Nakon koliko dana neaktivnosti status se mijenja?
  • Izvor istine. Koji je sustav mjerodavan kada se dva sustava razlikuju?
  • Dopuštena uporaba. Smiju li se podaci iz korisničke službe koristiti za marketinške kampanje bez nove pravne osnove?
  • Rok čuvanja. Kada podatak prestaje biti imovina i postaje obveza?

Bez tih pravila nastaje poznati fenomen: svaka analiza ima svoju verziju istine, a sastanak se pretvara u raspravu o brojkama umjesto o odluci.

Trag: dokaz koji ne ovisi o sjećanju

Revizijski trag nije administratorski dodatak. To je jedini način da tvrtka nakon godinu dana može odgovoriti na pitanje „zašto se ovo promijenilo”. U praksi to znači zapis o tome tko je unio podatak, kada, iz kojeg izvora i po kojoj osnovi — uključujući automatske izmjene.

Kod umjetne inteligencije to postaje još važnije. Kada model predloži cijenu, klasificira zahtjev ili sastavi odgovor korisniku, pitanje nije samo je li rezultat točan, nego može li se rekonstruirati put do njega. Bez zapisa o ulaznim podacima, verziji modela i osobi koja je prihvatila izlaz, nema ni odgovornosti ni mogućnosti ispravka.

GDPR: osnova, ne dodatak

Opća uredba o zaštiti podataka (Uredba (EU) 2016/679) od tvrtki ne traži da „imaju politiku privatnosti”. Traži da znaju svrhu obrade, pravnu osnovu, rok čuvanja i tko ima pristup. Kada se to postavi kao infrastruktura, usklađenost prestaje biti projekt koji traje tri mjeseca i postaje svojstvo sustava.

Najčešći propust nije nedostatak dokumenta, nego njegova nepovezanost sa stvarnim tokovima podataka. Politika kaže da se podaci ne prenose trećim stranama, a ugovor s dobavljačem alata za analitiku dopušta upravo to. Politika kaže da se čuvaju dvije godine, a sigurnosne kopije čuvaju se pet.

AI Act: namjena je dio dokumentacije

Uredba (EU) 2024/1689 uvodi obvezu da se za sustave s višim rizikom dokumentira namjena, način rada, ograničenja i ljudski nadzor. To je logičan nastavak iste ideje: podatak i model moraju imati kontekst. Nije dovoljno reći „koristimo AI za predikciju”; treba reći za koju odluku, s kojim podacima, s kojim ograničenjima i koja osoba može zaustaviti proces.

Praktični okvir u pet koraka

  1. Popišite skupove podataka po svrsi, ne po sustavu. Jedan skup može živjeti u tri alata; svrha je ono što se štiti.
  2. Imenujte vlasnika za svaki skup. Vlasnik mora imati ovlast odbiti uporabu.
  3. Zapišite pravilo izmjene. Tko mijenja, pod kojim uvjetom i kako se verzija bilježi.
  4. Uvedite obavezan revizijski trag za sve što utječe na kupca, zaposlenika ili financijski izvještaj.
  5. Povežite politike s ugovorima. Ono što piše u politici mora pisati i u ugovoru s dobavljačem.

Zašto je to pitanje uprave, a ne samo IT-a

Infrastruktura se ne ocjenjuje po tome koliko je moderna, nego po tome koliko je predvidiva. Tvrtka može imati najskuplji oblak i najnapredniji model, a i dalje ne znati čiji su podaci i tko ih je izmijenio. To nije tehnološki problem. To je problem upravljanja, i rješava se odlukom — ne licencom.

Komentar urednika

U vlastitom poslovanju podatke tretiramo kao infrastrukturu: svaki skup ima vlasnika, svrhu i evidenciju izmjena. To nije savršenstvo — to je minimum bez kojeg se ne može razgovarati o odgovornosti.

Ako u tvrtki postoji samo jedan dokument koji opisuje tokove podataka, a nitko ga nije otvorio više od godinu dana, vjerojatno je opisivao stanje koje više ne postoji.

— Nermin Sefić, glavni urednik

Predložak za X / Twitter

Podatak bez vlasnika nije imovina. To je trošak koji nitko ne mjeri. Tri stvari koje svaki skup podataka mora imati: vlasnika, pravilo izmjene i trag.

GDPR ne traži da imate politiku privatnosti. Traži da znate svrhu, osnovu, rok i pristup. Politika bez toga je literatura.

Objava je pripremljena za ručno objavljivanje na računu. Dodajte poveznicu: https://gnk-asg-kanal.pages.dev/podaci-kao-poslovna-infrastruktura/

Izvori i provjera

  1. Uredba (EU) 2016/679 (GDPR) — EUR-Lex
  2. Uredba (EU) 2024/1689 (AI Act) — EUR-Lex
  3. Metodologija kanala — razine provjere i ispravci

Česta pitanja

Je li revizijski trag obavezan za sve podatke?

Nije za svaki podatak, ali jest za sve što utječe na kupca, zaposlenika, financijski izvještaj ili zakonsku obvezu. Za ostalo je dobra praksa.

Može li mala tvrtka to provesti bez posebnog alata?

Može. Dovoljni su registar skupova podataka, imenovani vlasnici, pisana pravila izmjene i evidencija u postojećim sustavima. Alat pomaže, ali nije uvjet.