Най-честата грешка при използването на инструменти с изкуствен интелект на работното място е, че служителите въвеждат лични данни в инструмент като ChatGPT, Copilot или подобна чат-бот платформа, без компанията да знае, че това се случва. Едно резюме, клиентско досие или е-мейл кореспонденция се обобщава или преписва за кратко, докато никой не е проверил къде се намират впоследствие тези данни, кой може да ги види и дали съществува договор за обработка на данни с доставчика на този инструмент.
Това не е малък детайл. Щом един инструмент обработва лични данни, за него важат същите принципи като за всяко друго приложение за софтуер като услуга: трябва да съществува законна основа, обработката трябва да е вписана в регистъра на дейностите по обработка на данни, и ако доставчикът действа като обработвател на данни, трябва да съществува договор за обработка на данни. При много безплатни инструменти с изкуствен интелект липсва последното, или условията посочват, че въвежданите данни могат да се използват за обучение на модела. Това варира значително в зависимост от доставчика и формата на абонамента, и това е точно причината, поради която е необходима предварителна проверка.
Как това се развива неправилно в практиката
В повечето случаи проблемът не възниква от небрежност, а от липса на информираност. Служител от отдела за управление на персонала вмъква заявление за работа в чат-бот, за да подобри текст на обява. Ръководител на проект прави да обобщи е-мейл от клиент. Никой от тях не се замисля за GDPR, защото това изглежда като помощен инструмент, а не като обработка на лични данни. Самата компания често нямало преглед на това кои инструменти с изкуствен интелект се използват ежедневно, камо ли дали тези инструменти са вписани в регистъра на дейностите по обработка на данни или са някъде на списък на одобрен софтуер.
Втора повтаряща се грешка е, че компании, които имат политика относно инструменти с изкуствен интелект, не съгласуват тази политика със своя съществуващ регистър на дейностите по обработка на данни и договорите за обработка на данни. Инструментът с изкуствен интелект се третира тогава отделно от останалата администрация на GDPR, докато по същество работи с един и същ въпрос, който също възниква при всеки друг софтуер за услуга: кой обработва кои данни, с каква цел и на каква законна основа. уроци с обяснение по тема разглежда този въпрос и за друг часто използван софтуер, и показва, че инструментите с изкуствен интелект в практиката не са исключение от системата, която вече се прилага за други доставчици.
Защо може да се касае лични данни, дори ако това не е намерението
GDPR прилага широко определение на личните данни: всяка информация, която е свързана с идентифицируемо физическо лице. Име, номер на клиент, снимка, телефонна забележка или комбинация от данни, които заедно идентифицират някой, попадат под това определение. При използването на инструменти с изкуствен интелект не се касае само до явни лични данни като резюме, но и до фрагменти, скрити в по-голям документ, като например име в приложение, което случайно се копира.
Органът за защита на личните данни и EDPB публикуват указания относно работата с изкуствен интелект и лични данни, и тези указания се развиват; това, което днес е общоприето обяснение, може да бъде уточнено по отделни точки. Това е една от причините, поради които установена процедура в компанията дава по-голяма сигурност от спорадични споразумения по служител.
Как да избегнете тази грешка
Ядрото на решението е просто да се формулира, макар че прилагането му отнема време: картографирайте кои инструменти с изкуствен интелект се използват в компанията и определете за всеки инструмент дали при него се въвеждат лични данни. Ако е така, инструментът трябва да е вписан в регистъра на дейностите по обработка на данни и, както при други доставчици на софтуер за услуга, трябва да се провери дали доставчикът действа като обработвател на данни и дали е налице договор за обработка на данни. как личните данни се защитават при обработвателите на данни дава преглед на съответните точки.
Освен това кратко, конкретно указание към служителите е по-полезно от разширен документ за политика, който никой не чита: кои инструменти са разрешени, какви данни могат и не могат да се поставят в тях, и при кого служител докладва, ако се колебае. Този последния етап е може би най-важният, тъй като повечето грешки не възникват от нежелание, а от липсата на ясна точка на контакт.
Ако вече е станало
Ако по неволя е внесена голяма количество лични данни в инструмент с изкуствен интелект без да съществува съответен договор с обработвач на данни, препоръчително е да се преценим дали това се квалифицира като събитие, което изисква реакция, например в контекста на задължението за докладване при нарушения на данни. в няколко въпроса получите първа индикация може да даде първа ориентир в това отношение, независимо от въпроса дали докладването е необходимо в конкретен случай; тази преценка е отговорност на самия контролер на данни или на юрист.
Искате ли за вашата собствена компания да установите кои инструменти, включително приложения с изкуствен интелект, имат нужда от внимание? Направете безплатното бързо сканиране или прочетете темите в често задавани въпроси относно GDPR и софтуер за да видите какво изисква вашата ситуация.