Μπορούν οι υπάλληλοι να βάζουν δεδομένα πελατών σε ένα εργαλείο ΤΝ;

Δεδομένα πελατών σε εργαλεία AI μπορεί, αλλά όχι αλόγιστα

Η τοποθέτηση δεδομένων πελατών σε ένα εργαλείο AI δεν απαγορεύεται εκ των προτέρων, αλλά είναι μια επεξεργασία δεδομένων προσώπων η οποία υπόκειται στους ίδιους κανόνες με κάθε άλλο σύστημα. Πριν τα δεδομένα αποσταλούν προς αυτή την κατεύθυνση, είναι σχετικό ποια νομική βάση υπάρχει γι' αυτό, εάν εμπλέκονται περισσότερα δεδομένα από ό,τι είναι απαραίτητα για τον σκοπό, και — συχνά το πιο κρίσιμο σημείο — τι κάνει ο πάροχος του εργαλείου AI με αυτή την είσοδο. Πολλά γενικά εργαλεία AI χρησιμοποιούν αρχικά δεδομένα είτε για να εκπαιδεύσουν ή να βελτιώσουν το δικό τους μοντέλο, είτε όχι, και αυτός είναι ένας διαφορετικός σκοπός από αυτόν για τον οποίο ο πελάτης είχε αρχικά δώσει τα δεδομένα του.

Το τελευταίο θέτει αμέσως εν αμφιβόλῳ τον περιορισμό σκοπού και τη μειοδοσία δεδομένων από το GDPR: δεδομένα που συγκεντρώθηκαν για επικοινωνία με πελάτες δεν είναι αυτόματα κατάλληλα για να εισαχθούν σε ένα τυχαίο εργαλείο AI. Εάν το εργαλείο επεξεργάζεται τα δεδομένα για λογαριασμό του οργανισμού, ο πάροχος είναι επεξεργαστής δεδομένων, και θα πρέπει να υπάρχει μια συμφωνία επεξεργασίας δεδομένων που καθορίζει τι μπορεί και τι δεν μπορεί να γίνει με τα δεδομένα, πού βρίσκονται και εάν χρησιμοποιούνται για σκοπούς εκπαίδευσης. Δεν είναι λοιπόν ένα απλό ναι-ή-όχι ερώτημα σχετικά με την «AI», αλλά ένα ερώτημα που διαφέρει ανά εργαλείο, ανά εγκατάσταση και ανά τύπο δεδομένων πελάτη — ορισμένα εργαλεία AI προσφέρουν επιχειρηματικές παραλλαγές στις οποίες η εκπαίδευση στα δεδομένα εισόδου είναι ρητά απενεργοποιημένη, άλλα όχι.

Από πού προκύπτει αυτό: άρθρο 5 και 6 GDPR

Το ότι απαιτείται νομική βάση για κάθε επεξεργασία προκύπτει από το άρθρο 6 του GDPR, και το ότι τα δεδομένα δεν μπορούν να χρησιμοποιηθούν πέρα από τον σκοπό για τον οποίο συγκεντρώθηκαν, και όχι περισσότερο από ό,τι είναι απαραίτητο, προκύπτει από τις αρχές του περιορισμού σκοπού και της μειοδοσίας δεδομένων στο άρθρο 5 του GDPR. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων δημοσιεύει κατευθυντήριες γραμμές που αναφέρονται ειδικά στον τρόπο διαχείρισης δεδομένων προσώπων σε συστήματα AI, και αυτές παρέχουν περαιτέρω διευκρίνιση σε ερωτήματα όπως η εκπαίδευση στα δεδομένα εισόδου και ο ρόλος του παρόχου ως επεξεργαστή δεδομένων.