Kõige levinum viga AI-tööriistade kasutamisel töökohal on see, et töötajad sisestavad isikuandmeid tööriistasse, näiteks ChatGPT, Copilot või sarnane vestlusbot, ilma selleta, et ettevõte teaks, et see juhtub. CV, kliendikaart või e-postide vahetus võetakse kiiresti kokku või kirjutatakse ümber, samal ajal kui keegi pole kontrollinud, kus need andmed seejärel asuvad, kes neid näha saavad ja kas tööriista pakkujaga on andmetöötleja leping olemas.
See pole väike detail. Niipea kui tööriist töötleb isikuandmeid, kehtivad neile samad põhimõtted kui mis tahes muule pilvetarkvaralisele lahendusele: peab olema õiguslik alus, töötlemine peab sisalduma andmetöötluse registris ja kui pakkuja tegutseb andmetöötlejana, peab olema andmetöötleja leping. Paljude tasuta AI-tööriistade puhul puudub see viimane, või on tingimustesse märgitud, et sisestust võib kasutada mudeli koolitamiseks. See varieerub tugevasti pakkuja ja tellimuse vormi järgi ning see on täpselt põhjus, miks eelnevat kontrolli on vaja.
Kuidas see praktikas valesti läheb
Enamikul juhtudel ei teki probleem hooletusest, vaid teadmatusest. HR-töötaja kleebib avalduskirja vestelubotti, et parandada vakantsitekstin. Projektijuht laseb kliendipostipoolt kokku võtta. Keegi neist ei mõtle GDPR-ile, kuna see tunnetab end abivahendusmehhanismina ja mitte isikuandmete töötlemisena. Ettevõttel endal pole sageli ülevaadet, milliseid AI-tööriistasid igapäevaselt kasutatakse, rääkimata sellest, kas need tööriistadest sisalduvad andmetöötluse registris või on kusagil kinnitatud tarkvaraloendis.
Teine korduv viga on see, et ettevõtted, kellel on AI-poliitika, ei seota seda poliitikast nende olemasolevate andmetöötluse registriga ja andmetöötleja lepingutega. AI-tööriista käsitletakse siis ülejäänud GDPR-administratsioonist eraldi, kuigi sisuliselt on tegemist sama küsimusega, mis kehtib ka mis tahes muu pilvetarkvaralisele tööriistale: kes töötleb milliseid andmeid, mis eesmärgil ja mille alusel. teemakaupa selgitavast teadmusbaasist käsitleb seda küsimust ka muude tavaliselt kasutatavate tarkvara jaoks ja näitab, et AI-tööriistadel pole praktikas erandit süsteemile, mis juba teiste pakkujate puhul kehtib.
Miks võib tegemist olla isikuandmetega, isegi kui see pole kavatsus
GDPR käsitleb isikuandmete laia käsitust: kogu teave, mida saab seostada tuvastatud füüsilise isikuga. Nimi, kliendikood, foto, telefonotitjm või andmete kombinatsioon, mis koos kellegit märgistavad, kuuluvad selle alla. AI-tööriistade kasutamisel ei ole seega tegemist ainult otseste isikuandmetega nagu CV, vaid ka fragmentidega, mis on peidus suuremas dokumendis, näiteks nimi manuses, mis kopeeritakse kaasa.
Autoriteit Persoonsgegevens ja EDPB avaldavad juhtnöörid AI-i ja isikuandmete käsitlemisest ning need arvenevad; kes täna kehtib tavapärase tõlgendusena, võib osadel juhtudel muutuda. See on üks põhjus, miks püsiv protseduur ettevõttes pakub rohkem kindlust kui lahtised kokkulepped töötajate kaupa.
Kuidas seda viga vältida
Lahenduse tuum on lihtne sõnastada, kuigi täitmine nõuab aega: kaardistage, milliseid AI-tööriistasid ettevõttes kasutatakse, ja määrake iga tööriista kohta, kas isikuandmeid sisestatakse. Kui jah, peab tööriist sisalduma andmetöötluse registris ja tuleb, nagu teiste pilvetarkvaralisete pakkujate puhul, kontrollida, kas pakkuja tegutseb andmetöötlejana ja kas andmetöötleja leping on saadaval. kuidas andmeid andmetöötlejate juures kaitstakse annab pildi asjakohastest punktidest.
Lisaks aitab lühike, konkreetne juhis töötajatele rohkem kui ulatuslik poliitikadokument, mida keegi ei loe: millised tööriistad on lubatud, millised andmed võivad neis olla ja millised mitte, ning kellele teatab töötaja, kui tal on kahtlusi. See viimane samm võib olla kõige olulisem, sest enamik vigu ei teki pahatahtlikkusest, vaid sellepärast, et puudub selge kontaktisik.
Kui see on juba juhtunud
Kui suurte hulkade isikuandmeid sisestatakse tahtmatult tehisintellekti tööriistasse ilma et selleks oleks olemas andmetöötleja leping, siis on mõistlik hinnata, kas tegemist on sündmusega, mis nõuab reaktsiooni, näiteks andmekaitserikete teatamisvaldkonna puhul. saate mõne küsimuse kaudu esimese hinnangu võib andmekaitserikete teatamise kohustusega seotud esimese tugipunkti, lahus küsimusest, kas teatamine konkreetsel juhul vajalik on; see hindamine kuulub vastutava või juristiga tegelemise alla.
Kas soovite oma äriettevõtte jaoks üles märkida, millised tööriistad, sealhulgas tehisintellekti rakendused, vajavad tähelepanu? Tehke tasuta kiirülevaatus või lugege teemasid korduma kippuvate küsimuste kohta AVG-st ja tarkvarast et näha, mida teie olukord nõuab.