Az GDPR akkor is vonatkozik, ha a vállalata ChatGPT vagy más AI-eszközöket használ?
Igen, de nem azért, mert önmagában AI-eszközt használ. Az GDPR azonnal vonatkozik, amikor személyes adatokat dolgoz fel, és ez ugyanúgy történhet szövegszerkesztőben, mint chatbotban. Tehát nem az számít, hogy melyik eszközt használja, hanem az, hogy mit rak bele és az eszköz mit csinál vele.
Ha az AI-t kizárólag általános szövegekhez, nyilvános információk összefoglalásához vagy programozási segítséghez használja név, e-mail-cím vagy más azonosítható adat nélkül, akkor az GDPR ezt a konkrét műveletet nem érinti. Ha azonban ügyfelek, jelentkezők vagy alkalmazottak adatait adja meg – például hogy az ügyfél-dosszié alapján összeállítsanak egy e-mailt –, akkor személyes adatokat dolgoz fel, és a szokásos szabályok érvényesek.
Hol pontosan a különbség
A megkülönböztetés a feltöltött tartalom körül forog, nem az "AI" címke körül. Egy szerelőcég, amely egy árajánlat leírását módosíttatja az ügyfél neve nélkül, másképp működik, mint egy HR-vezető, aki egy felvételi levelet foglal össze név, cím és interjúmegjegyzésekkel. Az első esetben nincs semmi, ami egy személyhez vezetne vissza. A második esetben igen, és akkor a feltöltés feldolgozásnak számít.
Ugyanez vonatkozik az eredményre. Egy AI-eszköz, amely a feltöltött ügyféladatok alapján profilt vagy tanácsot készít, tovább dolgozza fel azokat az adatokat. Ez azért lényeges, mert az GDPR nem csak az adatok tárolására néz, hanem minden műveletre: gyűjtés, feltöltés, harmadik fél általi feldolgozás, valamint az eredmény felhasználása.
Akkor ki a feldolgozó
A legtöbb AI-eszköz, amelyet a vállalatok használnak, egy külső szolgáltató szervereire fut. Ha személyes adatokat tölt fel oda, akkor az adott szolgáltató gyakorlatilag gyakran feldolgozó: olyan fél, amely az Ön vállalkozásának megbízásából dolgozza fel az adatokat. Ez ugyanaz a szereplő, mint egy könyvelési csomagnál vagy egy CRM-rendszernél, csak az AI-eszközöknél kevésbé látható, mert a feltöltés szabad szövegnek tűnik, ahelyett, hogy strukturált adatfájl lenne.
Az EDPB és a Személyes Adatok Védelméért Felelős Hatóság erre azért fordít figyelmet, mert a felhasználók számára gyakran nem egyértelmű, hogy a feltöltött adatokat meddig tartják meg, és hogy a mögöttes modell betanítására használják-e azokat. Ezek olyan kérdések, amelyek az szolgáltató feltételeit között találhatók, és ezek határozzák meg, hogy szükséges-e adatfeldolgozási szerződés. Ha azt gyanítja, hogy az már aláírott szerződés nem fedi ezt a típusú felhasználást, akkor azt a tudásbázisban tesztelheti az GDPR szövegének alapján.
Amikor nem érinti Önt
Ha vállalatása az AI-t kizárólag azonosítható adat nélküli feladatokra használja – például általános marketingszövegek készítése, nyilvános termékinformációk fordítása vagy saját belső folyamatok összefoglalása név nélkül –, akkor az adott alkalmazásnak nincs személyes adatok feldolgozása, és így az GDPR-ból sem következik további kötelezettség. Ez nem jelenti azt, hogy az AI-felhasználás általában kimarad; azt jelenti, hogy alkalmazásonként kell megnézni, hogy mi történik valójában.
Mit jelent ez a gyakorlatban az Ön nyilvántartásában
Amint egy AI-eszköz személyes adatokat dolgoz fel, az feldolgozás – mint minden más – helyet kap a feldolgozási nyilvántartásban: milyen cél, milyen adatok, milyen megőrzési időtartam és melyik fél szolgáltatja az eszközt. Sok vállalat ezt elfelejti, mert az AI-felhasználás gyakran ad hoc jelleggel alakul ki, egy alkalmazott külön fiókjához kötötten, anélkül, hogy "rendszernek" tekintené. Mégis ugyanúgy számít, mint egy CRM vagy egy bérrendszer.
Attól függ, hogy vállalkozása konkrétan ezzel foglalkozik-e, hogy az AI-t miként és ki által használják a szervezetben. Egy igazgató, aki alkalmanként szöveget ellenőriztet az ügyfél-adatok nélkül, másképp helyezkedik el ebben a kérdésben, mint egy HR-osztály, amely állásjelentkezési adatokat foglaltat össze. Kétség esetén nem fölösleges lépés ezt egy jogásszal vagy az Adatvédelmi Hatósággal megbeszélni, különösen akkor, ha érzékeny adatok, például egészségügyi vagy pénzügyi információk játszanak szerepet.
Szeretné gyorsan tisztázni, hogy a vállalkozásában az AI használata az GDPR alá tartozik-e, és mit jelent ez? Végezze el az ingyenes gyorskeresést néhány kérdés és egy azonnali javaslat segítségével, tekintse meg az alapul szolgáló forrásokat a magyarázat arra vonatkozóan, hogy az információ honnan származiksegítségével, vagy olvassa el a gyakran ismételt kérdéseket, ha először azt szeretné megtudni, hogyan kezelik ezt más vállalkozások.