Το πιο συνηθισμένο λάθος στη χρήση εργαλείων τεχνητής νοημοσύνης στο χώρο εργασίας είναι ότι οι υπάλληλοι εισάγουν δεδομένα προσωπικού χαρακτήρα σε ένα εργαλείο όπως το ChatGPT, το Copilot ή ένα παρόμοιο chatbot, χωρίς η εταιρεία να γνωρίζει ότι συμβαίνει αυτό. Ένα βιογραφικό, ένα αρχείο πελάτη ή μια ανταλλαγή ηλεκτρονικών μηνυμάτων συνοψίζονται ή ξαναγράφονται γρήγορα, ενώ κανείς δεν έχει ελέγξει πού βρίσκονται στη συνέχεια τα δεδομένα, ποιος μπορεί να τα δει και εάν υπάρχει σύμβαση επεξεργασίας με τον παροχο του εργαλείου.
Δεν είναι ένα μικρό στοιχείο. Από τη στιγμή που ένα εργαλείο επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, ισχύουν γι' αυτά οι ίδιες αρχές όπως και για κάθε άλλη εφαρμογή SaaS: πρέπει να υπάρχει νομική βάση, η επεξεργασία θα πρέπει να εμφανίζεται στο μητρώο δραστηριοτήτων επεξεργασίας, και αν ο παροχος ενεργεί ως επεξεργαστής, θα πρέπει να συνοδεύεται από σύμβαση επεξεργασίας. Σε πολλά δωρεάν εργαλεία τεχνητής νοημοσύνης αυτό το τελευταίο λείπει, ή αναφέρεται στους όρους ότι η εισαγωγή μπορεί να χρησιμοποιηθεί για την εκπαίδευση του μοντέλου. Αυτό διαφέρει σημαντικά ανάλογα με τον παροχο και τη μορφή της συνδρομής, και είναι ακριβώς ο λόγος για τον οποίο απαιτείται προηγούμενος έλεγχος.
Πώς συμβαίνει αυτό στην πράξη
Στις περισσότερες περιπτώσεις, το πρόβλημα δεν προκύπτει από απροσεξία, αλλά από άγνοια. Ένας υπάλληλος τμήματος ανθρώπινων πόρων επικολλάει ένα γράμμα αίτησης σε ένα chatbot για να βελτιώσει ένα κείμενο θέσης εργασίας. Ένας διευθυντής έργου κάνει ένα email πελάτη να συνοψιστεί. Κανείς από αυτούς δεν σκέφτεται την Αρχή Προστασίας Δεδομένων, επειδή νιώθει σαν ένα εργαλείο και όχι σαν επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η ίδια η εταιρεία συχνά δεν έχει επισκόπηση των εργαλείων τεχνητής νοημοσύνης που χρησιμοποιούνται καθημερινά, και πόσο μάλλον εάν αυτά τα εργαλεία είναι στο μητρώο δραστηριοτήτων επεξεργασίας ή σε κάποια λίστα εγκεκριμένου λογισμικού.
Ένα δεύτερο επαναλαμβανόμενο σφάλμα είναι ότι οι εταιρείες που έχουν πολιτική τεχνητής νοημοσύνης δεν συνδέουν αυτήν την πολιτική με το υπάρχον μητρώο δραστηριοτήτων επεξεργασίας και τις συμβάσεις επεξεργασίας. Το εργαλείο τεχνητής νοημοσύνης αντιμετωπίζεται τότε ξεχωριστά από το υπόλοιπο της προστασίας δεδομένων, ενώ στο δικό του, είναι στην ουσία το ίδιο ερώτημα που τίθεται και σε κάθε άλλο εργαλείο SaaS: ποιος επεξεργάζεται ποια δεδομένα, για ποιο σκοπό και με ποια βάση. η τράπεζα γνώσης με εξηγήσεις ανά θέμα αντιμετωπίζει επίσης το ερώτημα για άλλο ευρέως χρησιμοποιούμενο λογισμικό και δείχνει ότι τα εργαλεία τεχνητής νοημοσύνης στην πράξη δεν αποτελούν εξαίρεση στη σyστηματική προσέγγιση που ισχύει ήδη για άλλους παρόχους.
Γιατί μπορεί να πρόκειται για δεδομένα προσωπικού χαρακτήρα, ακόμα κι αν δεν είναι η πρόθεση
Η Αρχή Προστασίας Δεδομένων χρησιμοποιεί μια ευρεία έννοια των δεδομένων προσωπικού χαρακτήρα: όλες οι πληροφορίες που είναι δυνατόν να εντοπιστούν σε μια αναγνωρίσιμη φυσική πρόσωπο. Ένα όνομα, ένας αριθμός πελάτη, μια φωτογραφία, μια σημείωση τηλεφώνου ή ένας συνδυασμός δεδομένων που μαζί κάνουν κάποιον αναγνωρίσιμο, εμπίπτει σε αυτό. Όταν χρησιμοποιούνται εργαλεία τεχνητής νοημοσύνης, λοιπόν, δεν πρόκειται μόνο για ρητά δεδομένα προσωπικού χαρακτήρα όπως ένα βιογραφικό, αλλά και για τμήματα που κρύβονται σε ένα μεγαλύτερο έγγραφο, όπως ένα όνομα σε μια προσαρτημένη λίστα που συνοδεύεται.
Η Αρχή Προστασίας Δεδομένων και ο Ευρωπαϊκός Συμβούλιος Προστασίας Δεδομένων δημοσιεύουν κατευθυντήριες γραμμές για την αντιμετώπιση της τεχνητής νοημοσύνης και των δεδομένων προσωπικού χαρακτήρα, και αυτές εξελίσσονται· αυτό που ισχύει σήμερα ως συνηθισμένη ερμηνεία μπορεί σε ορισμένα σημεία να διευκρινιστεί. Αυτός είναι ένας από τους λόγους για τους οποίους μια σταθερή διαδικασία εντός της εταιρείας προσφέρει περισσότερη σοβαρότητα από τις χαλαρές συμφωνίες ανά υπάλληλο.
Πώς αποφεύγετε αυτό το λάθος
Ο πυρήνας της λύσης είναι απλό να διατυπωθεί, αν και η υλοποίηση απαιτεί χρόνο: καταγράψτε ποια εργαλεία τεχνητής νοημοσύνης χρησιμοποιούνται εντός της εταιρείας και προσδιορίστε για κάθε εργαλείο εάν εισάγονται δεδομένα προσωπικού χαρακτήρα. Αν ναι, το εργαλείο θα πρέπει να εμφανίζεται στο μητρώο δραστηριοτήτων επεξεργασίας και, όπως και με άλλους παρόχους SaaS, θα πρέπει να ελεγχθεί εάν ο παροχος ενεργεί ως επεξεργαστής και εάν υπάρχει σύμβαση επεξεργασίας. πώς τα δεδομένα προστατεύονται στους επεξεργαστές δίνει μια εικόνα των σημείων που είναι σχετικά σε αυτό.
Επιπλέον, μια σύντομη και συγκεκριμένη οδηγία για τους υπαλλήλους είναι πιο αποτελεσματική από ένα εκτεταμένο έγγραφο πολιτικής που κανείς δεν διαβάζει: ποια εργαλεία επιτρέπονται, ποια δεδομένα μπορούν και δεν μπορούν να περιέχονται σε αυτά, και σε ποιον αναφέρει ένας υπάλληλος εάν έχει αμφιβολίες. Αυτό το τελευταίο βήμα είναι ίσως το πιο σημαντικό, διότι τα περισσότερα σφάλματα δεν προέρχονται από έλλειψη θέλησης αλλά από την απουσία ενός σαφούς σημείου επικοινωνίας.
Εάν έχει ήδη συμβεί
Εάν μια μεγάλη ποσότητα δεδομένων προσώπων έχει εισαχθεί κατά λάθος σε ένα εργαλείο τεχνητής νοημοσύνης χωρίς να υπάρχει σχετικό συμβόλαιο επεξεργασίας, συνιστάται να αξιολογηθεί εάν αυτό αποτελεί γεγονός που απαιτεί αντιμετώπιση, για παράδειγμα στο πλαίσιο της υποχρέωσης ειδοποίησης σε περίπτωση παραβίασης δεδομένων. σε λίγες ερωτήσεις λαμβάνετε μια πρώτη ένδειξη μπορεί να παρέχει μια πρώτη βοήθεια, ανεξάρτητα από το ερώτημα εάν η ειδοποίηση είναι απαραίτητη σε συγκεκριμένη περίπτωση· η αξιολόγηση αυτή ανήκει στον ίδιο τον υπεύθυνο επεξεργασίας ή σε έναν νομικό σύμβουλο.
Θέλετε να καταγράψετε για τη δική σας επιχείρηση ποια εργαλεία, συμπεριλαμβανομένων των εφαρμογών τεχνητής νοημοσύνης, χρειάζονται προσοχή; Κάντε τη δωρεάν γρήγορη σάρωση ή διαβάστε τα θέματα στο τις συχνές ερωτήσεις σχετικά με τη GDPR και το λογισμικό για να δείτε τι απαιτεί η κατάστασή σας.