Ισχύει ο GDPR και όταν η επιχείρησή σας χρησιμοποιεί ChatGPT ή άλλα εργαλεία AI;
Ναι, αλλά όχι επειδή χρησιμοποιείτε καθεαυτό ένα εργαλείο AI. Το GDPR ισχύει από τη στιγμή που επεξεργάζεστε δεδομένα προσωπικού χαρακτήρα, και αυτό μπορεί εξίσου να συμβεί σε έναν επεξεργαστή κειμένου όπως και σε ένα chatbot. Επομένως δεν θέλει να πει ποιο εργαλείο χρησιμοποιείτε, αλλά τι βάζετε σε αυτό και τι κάνει το εργαλείο με αυτό.
Εάν χρησιμοποιείτε AI μόνο για γενικά κείμενα, περιλήψεις δημόσιων πληροφοριών ή βοήθεια προγραμματισμού χωρίς ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου ή άλλα στοιχεία που μπορούν να αναγνωριστούν, τότε το GDPR δεν αφορά αυτήν τη συγκεκριμένη ενέργεια. Εάν όμως εισάγετε στοιχεία πελατών, υποψηφίων για πρόσληψη ή υπαλλήλων, για παράδειγμα για να δημιουργηθεί ένα μήνυμα ηλεκτρονικού ταχυδρομείου με βάση ένα αρχείο πελάτη, τότε επεξεργάζεστε δεδομένα προσωπικού χαρακτήρα και ισχύουν οι συνηθισμένοι κανόνες.
Ποιο ακριβώς είναι το διαχωριστικό
Η διάκριση εξαρτάται από το περιεχόμενο αυτού που εισάγετε, όχι από την ετικέτα "AI". Μια εταιρεία εγκατάστασης που κάνει ένα κείμενο προσφοράς να ξαναγραφεί χωρίς το όνομα του πελάτη λειτουργεί διαφορετικά από ένας υπεύθυνος ανθρώπινου δυναμικού που κάνει μια συνηθισμένη επιστολή να συνοψιστεί με όνομα, διεύθυνση και σημειώσεις συνομιλίας. Στην πρώτη περίπτωση δεν υπάρχει τίποτα που μπορεί να αναγνωριστεί ως σχετικό με ένα πρόσωπο. Στη δεύτερη περίπτωση υπάρχει, και επομένως η εισαγωγή είναι μια επεξεργασία.
Το ίδιο ισχύει για το αποτέλεσμα. Ένα εργαλείο AI που δημιουργεί ένα προφίλ ή μια συμβουλή με βάση τα εισαχθέντα δεδομένα πελατών, επεξεργάζεται περαιτέρω αυτά τα δεδομένα. Αυτό είναι σημαντικό επειδή το GDPR δεν εξετάζει μόνο την αποθήκευση των δεδομένων, αλλά κάθε ενέργεια: συλλογή, εισαγωγή, επεξεργασία από τρίτο, και χρήση του αποτελέσματος.
Ποιος λοιπόν είναι ο επεξεργαστής
Τα περισσότερα εργαλεία AI που χρησιμοποιούν οι επιχειρήσεις τρέχουν σε διακομιστές ενός εξωτερικού παρόχου. Εάν εισάγετε δεδομένα προσωπικού χαρακτήρα εκεί, αυτός ο παρόχος είναι συχνά ουσιαστικά ένας επεξεργαστής: μια μερίδα που επεξεργάζεται δεδομένα για λογαριασμό της επιχείρησής σας. Αυτό είναι το ίδιο με έναν λογιστικό πακέτο ή ένα σύστημα CRM, μόνο που με εργαλεία AI είναι λιγότερο ορατό επειδή η εισαγωγή φαίνεται ως χαλαρό κείμενο αντί για ένα δομημένο αρχείο δεδομένων.
Το EDPB και η Αρχή Προστασίας Δεδομένων προσέχουν αυτό επειδή για τους χρήστες είναι συχνά ασαφές αν και για πόσο χρόνο τα εισαχθέντα δεδομένα παραμένουν, και αν χρησιμοποιούνται για την εκπαίδευση του βασικού μοντέλου. Αυτές είναι ερωτήσεις που θα βρείτε στους όρους του παρόχου, και που καθορίζουν αν χρειάζεται μια σύμβαση επεξεργασίας. Εάν αμφιβάλλετε ή μια σύμβαση που έχετε ήδη υπογράψει καλύπτει αυτή τη χρήση, τότε μπορείτε να την να την ελέγξετε στη γνωσιακή βάση με βάση το κείμενο του GDPR.
Πότε δεν σας αφορά
Εάν η επιχείρησή σας χρησιμοποιεί AI αποκλειστικά για εργασίες χωρίς στοιχεία που μπορούν να αναγνωριστούν, όπως η δημιουργία γενικών κειμένων marketing, η μετάφραση δημόσιων πληροφοριών προϊόντος ή η περίληψη δικών σας εσωτερικών διαδικασιών χωρίς ονόματα, τότε δεν υπάρχει για αυτήν τη συγκεκριμένη εφαρμογή επεξεργασία δεδομένων προσωπικού χαρακτήρα και συνεπώς καμία επιπλέον υποχρέωση από το GDPR. Αυτό δεν σημαίνει ότι η χρήση AI γενικά ξεφεύγει από τη δικαιοσύνη· σημαίνει ότι πρέπει να εξετάσετε κατά περίπτωση τι πραγματικά εισάγεται.
Τι σημαίνει αυτό στην πράξη για τον δικό σας κατάλογο
Από τη στιγμή που ένα εργαλείο AI επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, αυτή η επεξεργασία ανήκει, όπως κάθε άλλη, στον κατάλογο δραστηριοτήτων επεξεργασίας: ποιος ο σκοπός, ποια δεδομένα, ποιο διάστημα διατήρησης και ποια μερίδα παρέχει το εργαλείο. Πολλές επιχειρήσεις ξεχνούν αυτό επειδή η χρήση AI συχνά προκύπτει ad hoc, μέσω ενός χαλαρού λογαριασμού ενός υπαλλήλου, χωρίς να θεωρείται "σύστημα". Ωστόσο, σχετίζεται εξίσου πολύ όπως ένα CRM ή ένα σύστημα μισθοδοσίας.
Το αν η επιχείρησή σας ασχολείται συγκεκριμένα με αυτό εξαρτάται από το πώς και από ποιον χρησιμοποιείται η τεχνητή νοημοσύνη στον οργανισμό σας. Ένας διευθυντής που περιστασιακά κάνει έλεγχο κειμένου χωρίς δεδομένα πελατών βρίσκεται σε διαφορετική κατάσταση από ένα τμήμα ανθρώπινων πόρων που συνοψίζει δεδομένα αιτήσεων. Σε περίπτωση αμφιβολίας, δεν είναι περιττό βήμα να συζητήσετε αυτό το θέμα με έναν δικηγόρο ή την Αρχή Προστασίας Δεδομένων, ειδικά όταν εμπλέκονται ευαίσθητα δεδομένα όπως πληροφορίες υγείας ή χρηματοοικονομικές πληροφορίες.
Θέλετε να κατανοήσετε γρήγορα αν η χρήση τεχνητής νοημοσύνης στην επιχείρησή σας υπόκειται στον κανονισμό και τι περιλαμβάνει; Κάντε το δωρεάν quick-scan με μερικές ερωτήσεις και μια άμεση ένδειξη, ανατρέξτε στον τρόπο κατασκευής των υποκείμενων πηγών μέσω μια εξήγηση του πού προέρχονται οι πληροφορίες, ή διαβάστε τις συχνές ερωτήσεις αν θέλετε πρώτα να δείτε πώς άλλοι επιχειρηματίες αντιμετωπίζουν αυτό.