Vztahuje se GDPR také na vaši firmu, pokud používáte ChatGPT nebo jiné nástroje AI?
Ano, ale ne proto, že sám o sobě používáte nástroj AI. GDPR se uplatňuje, jakmile zpracováváte osobní údaje, a to se může stát stejně snadno v textovém editoru jako v chatbotu. Nejde tedy o to, který nástroj používáte, ale o to, co do něj vložíte a co s tím nástroj dělá.
Používáte-li AI pouze pro obecné texty, shrnutí veřejných informací nebo programovací pomoc bez jmen, e-mailových adres nebo jiných identifikovatelných údajů, pak GDPR se na tuto konkrétní činnost nevztahuje. Pokud však vkládáte údaje o zákaznících, kandidátech nebo zaměstnancích, například abyste si nechali napsat e-mail na základě zákaznického spisu, pak zpracováváte osobní údaje a obvyklá pravidla se uplatňují normálně.
Kde je přesně rozdíl
Rozdíl se točí kolem obsahu toho, co vkládáte, ne kolem označení "AI". Instalační firma, která si nechá přepsat popis nabídky bez jména zákazníka, funguje jinak než personalista, který si nechá shrnout motivační dopis s jménem, adresou a poznámkami z pohovoru. V prvním případě není nic, co by bylo identifikovatelné jako osoba. V druhém případě ano, a pak se vstup počítá jako zpracování.
Totéž platí pro výsledek. Nástroj AI, který na základě zadaných údajů zákazníka generuje profil nebo doporučení, dále zpracovává tyto údaje. To je důležité, protože GDPR nejen sleduje ukládání údajů, ale každou činnost: sběr, vložení, nechání zpracovat třetí stranou a používání výsledku.
Kdo je tedy správcem zpracování
Většina nástrojů AI, které firmy používají, běží na serverech externího poskytovatele. Pokud tam vkládáte osobní údaje, je tento poskytovatel v praxi často zpracovatelem: stranou, která zpracovává údaje na pokyn vaší firmy. To je stejná role jako u účetního balíčku nebo CRM systému, jen u nástrojů AI je to méně viditelné, protože vstup vypadá jako volný text místo strukturovaného datového souboru.
EDPB a Úřad na ochranu osobních údajů věnují pozornost tomuto tématu, protože pro uživatele často není jasné, zda a jak dlouho jsou vkládané údaje uchováváány, a zda se používají k tréninku základního modelu. To jsou otázky, které najdete v podmínkách poskytovatele, a ty určují, zda je potřeba smlouva se zpracovatelem. Máte-li pochybnosti o tom, zda smlouva, kterou jste již podepsali, pokrývá tento druh používání, pak ji můžete v knihovně znalostí ověřit na základě textu GDPR.
Kdy se vás to netýká
Pokud vaše firma používá AI výhradně pro úkoly bez identifikovatelných údajů, jako je generování obecných marketingových textů, překlad veřejných informací o produktech nebo shrnutí vlastních interních procesů bez jmen, pak pro tuto konkrétní aplikaci neexistuje zpracování osobních údajů a neexistuje tedy ani další povinnost vyplývající z GDPR. To neznamená, že se používání AI obecně vyhýbá; znamená to, že musíte zvážit každou aplikaci zvlášť, aby se podívala, co se skutečně vkládá.
Co to v praxi znamená pro vaši registraci
Jakmile nástroj AI zpracovává osobní údaje, mělo by se zpracování objevit v registru zpracování jako každé jiné: za jakým účelem, které údaje, jak dlouho se uchovávají a která strana nástroj dodává. Mnoho firem to zapomene, protože používání AI často vzniká ad hoc, prostřednictvím samostatného účtu zaměstnance, bez toho, aby se to považovalo za "systém". Přesto se to počítá stejně jako CRM nebo mzdový systém.
Zda se váš podnik konkrétně týká, závisí na tom, jak se AI ve vaší organizaci používá a kdo jej používá. Ředitel, který si sám občas nechá zkontrolovat text bez údajů o zákaznících, se v tomto problému ocitá jinak než oddělení HR, které nechá shrnovat údaje o uchazečích. Pokud si nejste jisti, není zbytečným krokem prodiskutovat to s právníkem nebo Úřadem pro ochranu osobních údajů, zejména pokud jde o citlivé údaje, jako jsou informace o zdravotním stavu nebo finanční údaje.
Chcete si rychle ujasníte, zda používání AI ve vaší společnosti podléhá GDPR a co s tím souvisí? Provedete si zdarma rychlou kontrolu s několika otázkami a přímou indikací, podívejte se, jak jsou strukturovány základní zdroje prostřednictvím vysvětlení, odkud informace pocházejí, nebo si přečtěte často kladené otázky, pokud nejprve chcete vidět, jak s tím zachází jiní podnikatelé.