Yleisin virhe tekoälytyökalujen käytössä työpaikalla on, että työntekijät syöttävät henkilötietoja työkaluun, kuten ChatGPT, Copilot tai vastaavaan chatbottiin, ilman, että yritys tietää tästä. Ansioluettelo, asiakaskertomus tai sähköpostikeskustelu tiivistetään tai kirjoitetaan uudelleen nopeasti, vaikka kukaan ei ole selvittänyt, missä nämä tiedot sitten ovat, kuka niitä voi nähdä ja onko tämän työkalun tarjoajan kanssa solmittu tietojen käsittelijän sopimus.
Se ei ole pieni yksityiskohta. Heti kun työkalu käsittelee henkilötietoja, samat periaatteet pätevät kuin kaikkiin muihin SaaS-sovelluksiin: täytyy olla oikeusperusta, käsittely täytyy olla rekisteröity käsittelyrekisteriin, ja jos tarjoaja toimii tietojen käsittelijän roolissa, täytyy olla tietojen käsittelijän sopimus. Monissa ilmaisissa tekoälytyökaluissa tämä puuttuu tai käyttöehdoissa sanotaan, että syöttöä voidaan käyttää mallin kouluttamiseen. Tämä vaihtelee suuresti tarjoajittain ja tilausmuodon mukaan, ja juuri siksi ennakkotarkistus on tarpeen.
Kuinka tämä käytännössä menee pieleen
Useimmissa tapauksissa ongelma ei johdu huolimattomuudesta vaan tietämättömyydestä. HR-työntekijä liittää hakemuksensa chatbottiin parantaakseen ilmoitustekstiä. Projektipäällikkö laskee asiakkaalta tulleet viestit yhteen. Kukaan heistä ei ajattele tietosuojayhteisöä, koska se tuntuu apuvälineeltä, eikä henkilötietojen käsittelystä. Yritys itse ei usein tiedä, mitkä tekoälytyökalut otetaan päivittäin käyttöön, puhumattakaan siitä, ovatko ne käsittelyrekisterissä tai jollakin hyväksytyn ohjelmiston luettelossa.
Toinen toistuva virhe on, että yritykset, joilla on tekoälyyn liittyvä käytäntö, eivät sovita sitä olemassa olevaan käsittelyrekisteriin ja tietojen käsittelijän sopimuksiin. Tekoälytyökalua käsitellään sitten erillään muusta tietosuojalainsäädännöstä, vaikka se on pohjimmiltaan sama kysymys, joka syntyy myös kaikkiin muihin SaaS-työkaluihin: kuka käsittelee mitä tietoja, mihin tarkoitukseen ja minkä perusteella. tietopankissa kunkin aiheen selityksineen käsittelee tätä kysymystä myös muusta usein käytetystä ohjelmistosta ja osoittaa, että tekoälytyökalut eivät ole käytännössä poikkeama järjestelmästä, joka pätee jo muihin toimittajiin.
Miksi se voi koskea henkilötietoja, vaikka se ei olisikaan tarkoitus
Tietosuoja-asetus käyttää laajaa henkilötietojen määritelmää: kaikki tiedot, jotka ovat jäljitettävissä nimettyyn luonnolliseen henkilöön. Nimi, asiakasnumero, valokuva, puhelinmuistiinpano tai tietoyhdistelmä, joka yhdessä tekee henkilön tunnistettavaksi, kuuluu siihen. Tekoälytyökalujen käytössä kyseessä ei siis ole vain nimenomaisia henkilötietoja, kuten ansioluettelo, vaan myös fragmentteja, jotka piiloutuvat isompaan asiakirjaan, kuten nimi liitteessä, joka kopioituu mukaan.
Tietosuojaviranomainen ja tietosuojan neuvotteluryhmä julkaisevat ohjeita tekoälyn ja henkilötietojen käsittelystä, ja nämä kehittyvät; mitä tänään pidetään tavallisena tulkintana, voidaan osittain tarkentaa. Tämä on yksi syy siihen, miksi kiinteä menettely yrityksessä tarjoaa enemmän tukea kuin hajallaan olevat sopimukset työntekijöittäin.
Kuinka vältät tämän virheen
Ratkaisun ydin on yksinkertainen muotoilla, vaikka toteuttaminen vie aikaa: kartoita, mitä tekoälytyökaluja yrityksessäsi käytetään, ja määritä työkalua kohti, syötetäänkö niihin henkilötietoja. Jos näin on, työkalu täytyy sisältyä käsittelyrekisteriin ja kuten muiden SaaS-toimittajien kanssa, täytyy tarkistaa, toimiiko tarjoaja tietojen käsittelijän roolissa ja onko tietojen käsittelijän sopimus saatavilla. kuinka tietoja suojataan tietojen käsittelijöillä antaa kuvan siitä, mitä seikkoja silloin on otettava huomioon.
Lisäksi lyhyt, konkreettinen ohjeistus työntekijöille auttaa enemmän kuin laaja politiikkaasiakirja, jonka kukaan ei lue: mitkä työkalut ovat sallittuja, mitkä tiedot niihin voidaan laittaa ja mitkä ei, ja kenelle työntekijä ilmoittaa epävarmuuden tapauksessa. Tämä viimeinen vaihe on ehkä tärkein, koska useimmat virheet johtuvat eivät tahallisesta vastustuksesta vaan selkeän yhteyspuolisen puuttumisesta.
Jos se on jo tapahtunut
Jos suuri määrä henkilötietoja on vahingossa syötetty tekoälytyökaluun ilman sitä varten tehtävää tietojen käsittelijän sopimusta, on järkevää arvioida, ovatko nämä tapahtumat sellaisia, jotka vaativat toimenpiteitä, esimerkiksi tietovuotojen ilmoitusvelvollisuuden puitteissa. saada muutamalla kysymyksellä ensimmäinen viite voi antaa siihen alkuperäisen tukipisteen riippumatta siitä, onko ilmoitus tietyssä tapauksessa tarpeen; tämä arviointi kuuluu vastuuhenkilölle tai juristille.
Haluatko luetteloida omassa yrityksessäsi, mitkä työkalut, mukaan lukien tekoälysovellukset, vaativat huomiota? Suorita ilmainen quick-scan tai lue aiheita usein kysytyt kysymykset GDPR:stä ja ohjelmistoista nähdäksesi, mitä tilanteesi edellyttää.