Koskeeko GDPR-asetus myös sitä, kun yrityksenne käyttää ChatGPT:tä tai muita tekoäly-työkaluja?
Kyllä, mutta ei siksi, että käytätte tekoäly-työkalua sinänsä. GDPR-asetus tulee voimaan heti, kun käsittelette henkilötietoja, ja se voi tapahtua yhtä hyvin tekstinkäsittelyohjelmassa kuin chatbotissa. Kyse ei siis ole siitä, mitä työkalua käytätte, vaan siitä, mitä siihen syötätte ja mitä työkalu tekee sillä.
Jos käytätte tekoälyä vain yleisten tekstien luomiseen, julkisen tiedon yhteenvedoiksi tai ohjelmointiaputyökaluiksi ilman nimiä, sähköpostiosoitteita tai muita tunnistettavia tietoja, GDPR-asetus ei koske tätä erityistä toimintoa. Jos kuitenkin syötätte asiakkaiden, hakijoiden tai työntekijöiden tietoja, esimerkiksi sähköpostin kirjoittamiseen asiakkaan dossierin pohjalta, käsittelette henkilötietoja ja tavalliset säännöt pätevät.
Mikä ero tarkalleen ottaen on
Ero perustuu siihen, mitä syötätte, ei siihen, että otsikko sanoo "tekoäly". Asennusyritys, joka antaa tarjousten kuvauksen uudelleenkirjoitettavaksi ilman asiakkaan nimeä, toimii eri tavalla kuin HR-johtaja, joka antaa hakupyynnön tiivistettäväksi mukaan lukien nimi, osoite ja keskustelumuistiinpanot. Ensimmäisessä tapauksessa ei ole mitään tunnistettavaa henkilötietoa. Toisessa tapauksessa on, ja silloin syöte lasketaan käsittelyksi.
Sama koskee tuloksia. Tekoäly-työkalu, joka muodostaa profiilin tai neuvon syötettyjen asiakastietojen pohjalta, käsittelee niitä edelleen. Tämä on merkityksellinen, koska GDPR-asetus ei pelkästään katso tietojen tallentamista, vaan jokaista toimintoa: kerääminen, syöttäminen, kolmannen osapuolen tekemä käsittely ja tulosten käyttö.
Kuka on silloin käsittelijä
Useimmat tekoäly-työkalut, joita yritykset käyttävät, toimivat ulkoisen toimittajan palvelimilla. Jos syötätte sinne henkilötietoja, toimittaja on käytännössä usein käsittelijä: osapuoli, joka käsittelee tietoja yrityksenne toimeksiannosta. Tämä on sama rooli kuin kirjanpitoohjelmistossa tai CRM-järjestelmässä, paitsi että tekoäly-työkaluissa se on vähemmän näkyvä, koska syöte näyttää irralliselta tekstiltä strukturoidun tietojoukon sijaan.
EDPB ja Suomen tietosuojaviranomainen kiinnittävät tähän huomiota, koska käyttäjille on usein epäselvää, säilytetäänkö syötettyjä tietoja ja kuinka kauan, sekä käytetäänkö niitä taustalla olevan mallin kouluttamiseen. Nämä kysymykset löytävät vastaukset toimittajan ehdoista, ja ne määräävät, tarvitseeko käsittelijäsopimusta. Jos olet epävarma, ovatko jo allekirjoittamasi ehdot tarkoituksena kattaa tämäntyyppisen käytön, voit tarkistaa ne tietokannan avulla GDPR-asetuksen tekstin perusteella.
Kun se ei sinua koske
Jos yrityksenne käyttää tekoälyä vain tehtäviin, joissa ei ole tunnistettavaa henkilötietoa, kuten yleisten markkinointitekstien luomiseen, julkisten tuotetietojen kääntämiseen tai omien sisäisten prosessien yhteenvedoksi ilman nimiä, ei ole henkilötietojen käsittelyä siinä erityisessä soveltamisessa eikä siten myöskään lisävelvoitteita GDPR-asetuksesta. Tämä ei tarkoita, että tekoälyn käyttö yleensä jää huomiotta; se tarkoittaa, että sinun on katsottava jokaista soveltamista kohti, mitä todellisuudessa syötetään.
Mitä tämä käytännössä tarkoittaa rekisteröinnille
Heti kun tekoäly-työkalu käsittelee henkilötietoja, käsittely kuuluu rekisteriin muiden tavoin: tarkoitus, tiedot, säilytysaika ja työkalun toimittaja. Monet yritykset unohtavat tämän, koska tekoälyä käytetään usein ad hoc -periaatteella, yhden työntekijän yksittäisellä tilillä, ilman että sitä pidetään "järjestelmänä". Silti se lasketaan samalla tavalla kuin CRM tai palkkajärjestelmä.
Riippuu siitä, miten tekoälyä organisaatiossanne käytetään ja kuka sitä käyttää. Johtaja, joka ajoittain tarkastuttaa tekstiä ilman asiakastietoja, on eri tilanteessa kuin henkilöstöosasto, joka tiivistää hakemuksiin liittyviä tietoja. Jos olet epävarma, on järkevää keskustella asiasta lakimiehen tai tietosuojaviranomaisen kanssa, etenkin kun on kyse arkaluontoisista tiedoista, kuten terveys- tai rahoitustiedoista.
Haluatko nopeasti selvittää, soveltuuko tietosuoja-asetus tekoälyn käyttöön yrityksessäsi ja mitä se edellyttää? Tee ilmainen nopea arviointi muutamalla kysymyksellä ja suoralla vastauksella, tutustu lähteisiin tietojen lähteistä antama selvitystai lue usein kysytyt kysymykset, jos haluat ensin nähdä kuinka muut yrittäjät toimivat asiassa.