Najčešća greška pri korištenju AI-alata na radnom mjestu je što zaposlenici upisuju osobne podatke u alat kao ChatGPT, Copilot ili sličan chatbot, bez znanja poduzeća da se to događa. Životopis, mapa klijenta ili razmjena e-pošte brzo se sažme ili prepiše, a nitko nije provjеrio gdje se ti podaci zatim nalaze, tko ih može vidjeti i postoji li ugovor o obradi podataka s pružateljem tog alata.
To nije sitnica. Čim alat obrađuje osobne podatke, na njega se primjenjuju ista načela kao na bilo koju drugu SaaS-aplikaciju: mora postojati pravna osnova, obrada mora biti upisana u registar aktivnosti obrade, a ako pružatelj kao obrada podataka, mora postojati ugovor o obradi podataka. Kod mnogih besplatnih AI-alata nedostaje potonje, ili uvjeti kaže da se unos može koristiti za obuku modela. To se značajno razlikuje po pružatelju i obliku pretplate, i upravo je zato prethodna provjera potrebna.
Kako se to u praksi javlja
U većini slučajeva problem ne nastaje iz nemar, već iz neznanja. Zaposlenica iz kadrovskog odjela unosi pismo kandidata u chatbot kako bi poboljšala tekst radnog mjesta. Voditelj projekta traži da se e-pošta klijenta sažme. Nitko od njih ne misli na GDPR jer se čini kao pomoćni alat, a ne kao obrada osobnih podataka. Само poduzeće često nema pregled kojih se AI-alata svakodnevno koristi, a kamoli jesu li ti alati u registru aktivnosti obrade ili na popisu odobrene programske podrške.
Druga česta greška je što poduzeća koja imaju AI-politiku ne usklađuju tu politiku sa svojim postojećim registrom aktivnosti obrade i ugovorima o obradi podataka. AI-alat se tada tretira odvojeno od ostatka GDPR-administracije, iako je u biti riječ o istom pitanju koje se javlja i kod bilo kojeg drugog SaaS-alata: tko obrađuje koje podatke, za koju svrhu i na temelju čega. bazama znanja s objašnjima po temama također se bavi tim pitanjem za drugu široko korištenu programsku podrsku i pokazuje da AI-alati nisu iznimka od sustavnosti koja već vrijedi za druge pružatelje.
Zašto se može raditi o osobnim podacima, čak i kada to nije namjera
GDPR koristi širo postavljenu definiciju osobnih podataka: sve informacije koje se mogu povezati s identificiranom ili identificiranom prirodnom osobom. Ime, broj klijenta, fotografija, bilješka po telefonu ili kombinacija podataka koja zajedno čini nekoga prepoznatljivim pada pod tu definiciju. Pri korištenju AI-alata, dakle, nije samo pitanje eksplicitnih osobnih podataka poput životopisa, već i odlomaka uklopljenih u veći dokument, kao što je ime u prilozi koji se kopira.
Autoritet za zaštitu podataka i EDPB objavljuju smjernice o odnosu prema AI-u i osobnim podacima, i one se razvijaju; ono što se danas smatra opće prihvaćenim može se na pojedinim dijelovima poboljšati. To je jedan od razloga zašto uvijek postavljen postupak unutar poduzeća pruža veću sigurnost nego labavi dogovori po zaposleniku.
Kako izbjegavate ovu grešku
Srž rješenja može se jednostavno formulirati, iako izvršavanje zahtijeva vrijeme: utvrdite koje se AI-alate koriste unutar poduzeća i odredite za svaki alat jesu li osobni podaci upisani. Ako je to slučaj, taj alat mora biti u registru aktivnosti obrade i, kao kod ostalih SaaS-pružatelja, mora se provjeriti jesu li pružatelj kao obrada podataka i postoji li ugovor o obradi podataka. kako se podaci štite kod obrade podataka daje pregled relevantnih točaka.
Osim toga, kratka i konkretna uputa zaposlenicima više pomaže nego opširni dokument politike kojeg nitko ne čita: koji su alati dozvoljeni, koji podaci se u njih smiju unijeti a koji ne, te kod koga zaposlenika treba javiti ako je nesiguran. Taj posljednji korak možda je najvažniji, jer većina pogrešaka ne nastaje iz loše volje već iz nedostatka jasne osobe za kontakt.
Ako se već dogodilo
Ako je versehence veliki broj podataka o osobama unesen u AI-alat bez da postoji ugovor o obradi podataka za to, pametno je procijeniti kvalificira li se to kao događaj koji zahtijeva odgovor, na primjer u kontekstu obaveze obavijesti o povjedama podataka. u nekoliko pitanja dobiti prvi pokazatelj može pritom pružiti prvi oslonac, neovisno o pitanju je li obavijest potrebna u konkretnom slučaju; ta procjena pripada samoj odgovornoj osobi ili odvjetniku.
Želite li za svoje poduzeće nabrojati koje alate, uključujući AI-aplikacije, trebaju pažnju? Obavite besplatnu brzu procjenu ili pročitajte teme u čestim pitanjima o GDPR-u i softveru kako biste vidjeli što vaša situacija zahtijeva.