Прилага ли се GDPR, ако вашата компания използва ChatGPT или други AI инструменти?
Да, но не защото сами по себе си използвате AI инструмент. GDPR важи веднага щом обработвате лични данни, а това може да се случи толкова лесно в текстообработващ софтуер, колкото и в чат бот. Следователно не е важно кой инструмент използвате, а какво вкарвате в него и какво прави инструментът с това.
Ако използвате AI само за общи текстове, резюмета на публична информация или помощ при програмиране без имена, имейли или други идентифицирни данни, то GDPR не засяга това конкретно действие. Ако вмъкнете данни на клиенти, кандидати или служители, например за да напишете имейл въз основа на досие на клиент, то обработвате лични данни и важат обичайните правила.
Де точно е разликата
Разграничението се върти около съдържанието на това, което вкарвате, не около етикета "AI". Монтажна фирма, която преписва описание на оферта без име на клиент, работи по-различно от HR мениджър, който обобщава писмо от кандидат със име, адрес и бележки от разговор. В първия случай няма нищо, което да показва личност. Във втория случай има, и тогава вмъкването се счита за обработка.
Същото важи и за резултата. AI инструмент, който генерира профил или препоръка на основата на вмъкнати данни на клиенти, продължава обработката на тези данни. Това е съществено, защото GDPR не гледа само на съхранението на данни, а на всяко действие: събиране, вмъкване, пускане на обработка чрез трета страна и използване на резултата.
Кой тогава е обработвачът
Повечето AI инструменти, които използват предприятията, се изпълняват на сървъри на външен доставчик. Ако вмъкнете там лични данни, то този доставчик е в практиката често обработвач: страна, която обработва данни по поръчка на вашето предприятие. Това е същата роля както при счетоводна програма или CRM система, само че при AI инструменти е по-неясно, защото вмъкването изглежда като обикновен текст вместо структурирана база данни.
EDPB и Autoriteit Persoonsgegevens обръщат внимание на това, защото за потребителите е често неясно дали и как дълго остават вмъкнатите данни съхранени и дали се използват за обучение на основния модел. Това са въпроси, които намирате в условията на доставчика, и те определят дали е необходимо договор за обработка. Ако се съмнявате дали договор, който вече сте подписали, покрива подобно използване, то можете той да бъде проверен в познавателната база според текста на GDPR.
Когато не ви засяга
Ако вашето предприятие използва AI единствено за задачи без идентифицирни данни, като генериране на общ маркетингов текст, преводи на публична информация за продукти или обобщаване на собствени вътрешни процеси без имена, то за това конкретно приложение няма обработка на лични данни и следователно няма допълнително задължение по GDPR. Това не означава, че AI използването в общ план е изключено; означава, че трябва да разгледате всяко приложение отделно какво е наистина вмъкнато.
Какво това означава в практиката за вашата регистрация
Веднага щом AI инструмент обработва лични данни, тази обработка, както всяка друга, е място в регистъра на обработката: каква е целта, какви са данните, кой е сроквът за съхранение и коя страна предоставя инструмента. Много предприятия забравят това, защото AI използването често възниква ad hoc, чрез отделен акаунт на служител, без да се възприема като "система". Въпреки това се счита точно толкова колкото CRM или платежна система.
Дали вашето предприятие конкретно ще се сблъска с това, зависи от начина, по който AI се използва в рамките на вашата организация и кой го използва. Директор, който сам от време на време проверява текст без данни на клиентите, е в различна ситуация от отдел HR, който обобщава данни от кандидатури. Ако се съмнявате, не е непроизводно да обсъдите това с юрист или с Органа по защита на личните данни, особено когато се говори за чувствителни данни, като здравословна или финансова информация.
Искате ли да разберете бързо дали използването на AI в рамките на вашето предприятие попада под GDPR и какво трябва да направите? Направете безплатната бърза проверка с няколко въпроса и преки показатели, разгледайте как са структурирани основните източници чрез обяснение относно това откъде идва информацията, или прочетете часто задаваните въпроси, ако първо искате да видите как други предприемачи се справят с това.