Mohou zaměstnanci vkládat údaje o zákaznících do AI nástroje?

Údaje o zákaznících v nástrojích AI lze použít, ale ne ledabilo jak

Vložení údajů o zákaznících do nástroje AI není apriorně zakázáno, ale jedná se o zpracování osobních údajů, na které se vztahují stejná pravidla jako na jakýkoli jiný systém. Než se údaje tímto způsobem přesunou, je relevantní, jaký právní základ pro to existuje, zda se jedná o více údajů, než je potřeba pro daný účel, a – často nejcitlivější bod – co poskytovatel nástroje AI se vstupními údaji dělá. Mnoho obecných nástrojů AI používá vstupní údaje nebo je nepoužívá k trénování nebo zlepšování svého vlastního modelu, a to je jiný účel, než pro který původně zákazník své údaje poskytl.

Právě to se okamžitě dotýká účelového omezení a minimalizace údajů z GDPR: údaje shromážděné pro kontakt se zákazníkem se automaticky nehodí k vložení do libovolného nástroje AI. Pokud nástroj údaje zpracovává jménem organizace, je poskytovatel zpracovatelem a měla by tam být dohoda se zpracovatelem, která stanoví, co se s údaji děje a co ne, kde jsou uloženy a zda se používají pro účely trénování. Nejedná se tedy o jednoduchou ano-nebo-ne otázku o "AI", ale o otázku, která se liší v závislosti na nástroji, nastavení a typu údajů o zákaznících – některé nástroje AI nabízejí obchodní varianty, ve kterých je trénování na vstupních údajích výslovně vypnuto, jiné ne.

Odkud to vyplývá: čl. 5 a 6 GDPR

Skutečnost, že pro každé zpracování je potřeba právní základ, vyplývá z článku 6 GDPR, a skutečnost, že se údaje nesmějí používat dále, než je účel, pro který byly shromážděny, a ne více, než je potřeba, vyplývá ze zásad účelového omezení a minimalizace údajů v článku 5 GDPR. Evropský sbor pro ochranu údajů vydává pokyny, které se specificky zabývají nakládáním s osobními údaji v systémech AI, a poskytují další vyjasnění k otázkám, jako je trénování na vstupních údajích a role poskytovatele jako zpracovatele.