Nejčastější chyba při používání nástrojů AI na pracovišti je, že zaměstnanci zadávají osobní údaje do nástroje, jako je ChatGPT, Copilot nebo podobný chatbot, aniž by o tom věděl podnik. Životopis, zákaznický spis nebo e-mailová korespondence se rychle shrnují nebo přepisují, přestože nikdo nezkontroloval, kde se údaje následně nacházejí, kdo je může vidět a zda existuje smlouva o zpracování s poskytovatelem tohoto nástroje.
To není malá věc. Jakmile nástroj zpracovává osobní údaje, platí pro to stejné principy jako u jakékoli jiné aplikace SaaS: musí existovat právní základ, zpracování by mělo být zapsáno v registru zpracovatelských činností a pokud poskytovatel působí jako zpracovatel, měla by k tomu přináležet smlouva o zpracování. U mnoha bezplatných nástrojů AI toto chybí, nebo v podmínkách stojí, že vstupní údaje lze použít k trénování modelu. To se velmi liší podle poskytovatele a typu předplatného, a právě proto je nezbytná předchozí kontrola.
Jak se to v praxi pokazí
Ve většině případů problém nevzniká z nedbalosti, ale z neznalosti. Personalista vloží motivační dopis do chatbotu, aby zlepšil text pracovní nabídky. Vedoucí projektu nechá shrnout e-mail klienta. Nikdo z nich si neuvědomuje GDPR, protože se to zdá jako pomocný nástroj a ne jako zpracování osobních údajů. Sám podnik si často neuvědomuje, které nástroje AI se každodenně používají, natož aby věděl, zda jsou tyto nástroje v registru zpracovatelských činností nebo na seznamu schváleného softwaru.
Druhou se opakující chybou je, že podniky, které mají politiku AI, tuto politiku nekalibrují podle svého stávajícího registru zpracovatelských činností a smluv o zpracování. Nástroj AI se pak považuje za oddělený od zbytku agendy GDPR, přestože jde v podstatě o stejnou otázku, která se týká i každého jiného nástroje SaaS: kdo zpracovává jaké údaje, za jakým účelem a na jakém základě. znalostní base s vysvětlením pro jednotlivá témata zabývá se touto otázkou také pro ostatní běžně používaný software a ukazuje, že nástroje AI v praxi nejsou výjimkou ze systematiky, která již platí pro ostatní dodavatele.
Proč může jít o osobní údaje, i když to není záměr
GDPR má širokou definici osobních údajů: veškeré informace, které lze přiřadit identifikovatelné fyzické osobě. Jméno, číslo zákazníka, fotografie, telefonní poznámka nebo kombinace údajů, které dohromady osobu identifikují, spadají pod tuto definici. Při používání nástrojů AI se nejedná pouze o explicitní osobní údaje, jako je životopis, ale také o fragmenty, které jsou skryté ve větším dokumentu, například jméno v příloze, které se zkopíruje spolu s ním.
Úřad pro ochranu osobních údajů a EDPB zveřejňují pokyny pro zacházení s AI a osobními údaji, a tyto se vyvíjejí; to, co se dnes považuje za běžný výklad, může být v některých aspektech zpřísněno. To je jeden z důvodů, proč pevný postup v rámci podniku poskytuje více jistoty než volné dohody mezi zaměstnanci.
Jak se této chybě vyhnout
Jádro řešení se formuluje jednoduše, i když realizace vyžaduje čas: zmapujte, které nástroje AI se v podniku používají, a pro každý nástroj určete, zda se v něm zadávají osobní údaje. Pokud je tomu tak, měl by být tento nástroj zapsán v registru zpracovatelských činností a mělo by se zkontrolovat, stejně jako u ostatních poskytovatelů SaaS, zda poskytovatel působí jako zpracovatel a zda je k dispozici smlouva o zpracování. jak jsou údaje u zpracovatelů chráněny poskytuje přehled o relevantních bodech v této věci.
Kromě toho více pomáhá stručný, konkrétní návod pro zaměstnance než rozsáhlý dokument politiky, který nikdo nečte: která nástrojů jsou povoleny, která data do nich mohou nebo nemohou vstoupit, a komu se zaměstnanec ohlásí, když si není jistý. Poslední krok je možná nejdůležitější, protože většina chyb nevzniká ze zlé vůle, ale z chybějícího jasného kontaktního místa.
Pokud se to již stalo
Pokud byla velká množství osobních údajů neúmyslně zadána do nástroje umělé inteligence bez existence pro to příslušné smlouvy o zpracování, je vhodné posoudit, zda se jedná o událost vyžadující reakci, například v rámci oznamovací povinnosti při porušení zabezpečení dat. v několika otázkách získat první orientaci může poskytnout první oporu, nezávisle na otázce, zda je v konkrétním případě hlášení nutné; toto posouzení přísluší samotné odpovědné osobě nebo právníkovi.
Chcete si pro svou vlastní firmu ujasňovat, které nástroje, včetně aplikací umělé inteligence, vyžadují pozornost? Proveďte bezplatné rychlé skenování nebo si přečtěte témata v často kladené otázky o GDPR a softwaru abyste viděli, co vaše situace vyžaduje.