Primjenjuje li se GDPR kada vaše poduzeće koristi ChatGPT ili druge AI-alate?
Da, ali ne zato što koristite AI-alat kao takav. GDPR se primjenjuje čim obrađujete osobne podatke, a to se može dogoditi jednako dobro u tekstualnom procesoru kao i u chatbotu. Dakle, nije važno koji alat koristite, već što u njega unosite i što alat s tim podacima radi.
Ako koristite AI samo za opće tekstove, sažetke javno dostupnih informacija ili pomoć pri programiranju bez imena, e-mailnih adresa ili drugih podataka koji se mogu povezati s osobom, tada GDPR ne regulira tu specifičnu radnju. Međutim, ako unosite podatke o kupcima, kandidatima ili zaposlenicima, primjerice kako bi se sastavilo e-poštansko pismo na temelju dosijea kupca, tada obrađujete osobne podatke i primjenjuju se uobičajena pravila.
Gdje je razlika točno
Razlika se temelji na sadržaju onoga što unosite, a ne na oznaci "AI". Instalacijske poduzeće koje da preformulira opis ponude bez imena kupca djeluje drugačije od menadžera za ljudske resurse koji da sumira pismo motivacije s imenom, adresom i bilješkama razgovora. U prvom slučaju nema podataka koji se mogu povezati s osobom. U drugom slučaju ima, pa se unos računa kao obrada.
Isto se primjenjuje i na rezultat. AI-alat koji na temelju unesenih podataka kupaca kreira profil ili preporuku dalje obrađuje te podatke. To je važno jer GDPR ne gleda samo na pohranu podataka, već na svaku radnju: prikupljanje, unošenje, prepuštanje obrade trećoj strani i korištenje rezultata.
Tko je tada obraditelj
Većina AI-alata koje poduzeća koriste funkcionira na poslužiteljima vanjskog davatelja. Ako u njih unosite osobne podatke, taj je davatelj u praksi često obraditelj: stranka koja obrađuje podatke u ime vašega poduzeća. To je ista figura kao kod programa za računovodstvo ili CRM-sustava, samo što kod AI-alata nije toliko vidljivo jer unos izgleda kao slobodni tekst umjesto strukturirane baze podataka.
EDPB i Autoritet za zaštitu podataka obraćaju pozornost na ovo jer je za korisnike često nejasno jesu li i kako dugo uneseni podaci ostaju pohranjeni, te se li koriste za obuku temeljnog modela. To su pitanja koja ćete pronaći u uvjetima davatelja, a ona određuju je li potreban ugovor o obradi podataka. Ako ste u dogovoru koji ste već potpisali nesigurni obuhvaća li on ovu vrstu korištenja, možete ga provjeriti u bazi znanja prema tekstu GDPR-a.
Kada vas to ne pogađa
Ako vaše poduzeće koristi AI isključivo za zadatke bez podataka koji se mogu povezati s osobom, kao što su generiranje općih tekstova za marketing, prijevod javno dostupnih informacija o proizvodima ili sumiranje vlastitih internih procesa bez imena, tada za tu specifičnu primjenu nema obrade osobnih podataka i stoga nema dodatne obveze iz GDPR-a. To ne znači da je korištenje AI-ja općenito izuzeto; to znači da trebate provjeriti svaku primjenu kako biste vidjeli što se zapravo unosi.
Što to znači u praksi za vašu evidenciju
Čim AI-alat obrađuje osobne podatke, ta obrada kao i svaka druga pripada registru aktivnosti obrade: svrha, podaci, rok čuvanja i stranka koja pruža alat. Mnoga poduzeća to zaboravljaju jer korištenje AI-ja često nastaje ad hoc, preko zasebnog računa zaposlenika, bez da se smatra "sustavom". Ipak, brojano je jednako kao i CRM ili sustav za plaće.
Primjenjuje li se to konkretno na vašu tvrtku ovisi o tome kako se AI koristi unutar vaše organizacije i tko ga koristi. Direktor koji povremeno provjerava tekst bez podataka o kupcima nalazi se drugačije u ovom pitanju od HR-odjela koji sažima podatke o kandidatima. Ako ste u sumnji, nije nepotreban korak da to razgovarate s pravnikom ili Autoritetom za zaštitu podataka, pogotovo kada su u pitanju osjetljivi podaci poput zdravstvenih ili financijskih informacija.
Želite li brzo saznati primjenjuje li se GDPR na korištenje AI-a u vašoj tvrtki i što to uključuje? Obavite besplatnu brzu analizu s nekoliko pitanja i izravnom indikacijom, pogledajte kako su strukturirani temeljni izvori putem obrazloženje gdje dolaze informacije, ili pročitajte često postavljana pitanja ako prvo želite vidjeti kako se drugi poduzetnici s time nose.