Az AI-eszközök munkahelyi használatánál a leggyakoribb hiba az, hogy az alkalmazottak személyes adatokat viszik be egy olyan eszközbe, mint a ChatGPT, a Copilot vagy egy hasonló chatbot, anélkül, hogy a vállalat tudná, hogy ez megtörténik. Egy önéletrajz, egy ügyfél-dosszié vagy egy e-mail-levelezés gyorsan összefoglalódik vagy átíródik, miközben senki sem vizsgálta meg, hogy az adatok hol kerülnek majd, ki tekintheti meg őket, és hogy van-e adatkezelési szerződés az eszköz szolgáltatójával.
Ez nem apró részlet. Amint egy eszköz személyes adatokat kezel, ugyanazok az alapelvek vonatkoznak rá, mint bármely más SaaS-alkalmazásra: van egy jogalap, a kezelésnek szerepelnie kell az adatkezelési nyilvántartásban, és ha a szolgáltató adatkezelőként működik, ahhoz adatkezelési szerződés szükséges. Sok ingyenes AI-eszköznél hiányzik az utóbbi, vagy a feltételekben szerepel, hogy a bemeneti adatokat fel lehet használni a modell betanítására. Ez eszközönként és előfizetés típusonként erősen eltér, és pont ezért szükséges az előzetes ellenőrzés.
Hogyan megy ez félre a gyakorlatban
A legtöbb esetben a probléma nem gondatlanságból, hanem tudatlanságból keletkezik. Egy HR-szakember egy chatbotba illeszti egy önéletrajz-borítót, hogy egy álláshirdetési szöveget javítson. Egy projektmenedzser leönteti egy ügyfél-levelet. Egyikük sem gondol az GDPR-ra, mert segédeszköznek érzi magát, nem személyes adatkezelésnek. Maga a vállalat gyakran nincs tisztában azzal, mely AI-eszközöket használnak napi szinten, nemhogy azok benne vannak-e az adatkezelési nyilvántartásban vagy valamely jóváhagyott szoftver-listán.
A második visszatérő hiba az, hogy azok a vállalatok, amelyeknek van AI-szabályzatuk, nem kapcsolják össze ezt a szabályzatot meglévő adatkezelési nyilvántartásukkal és adatkezelési szerződéseikkel. Az AI-eszköz ekkor elkülönítetten kezelendő lesz az egyéb GDPR-adminisztráció mellett, holott lényegében ugyanarról a kérdésről van szó, amely más SaaS-eszközöknél is felvetődik: ki kezel mely adatokat, milyen célból, és milyen alapon. tudásbázisban, témánként magyarázattal ugyanezt a kérdést tárgyalja más gyakran használt szoftverekre vonatkozóan is, és megmutatja, hogy az AI-eszközök a gyakorlatban nem kivételek a szisztémára, amely már más szállítóknál is érvényesül.
Miért lehet személyes adat, még ha az nem szándék
Az GDPR az személyes adatok széles körű meghatározása: minden olyan információ, amely azonosítható természetes személyre visszavezethető. Egy név, egy ügyfél-szám, egy fénykép, egy telefonos jegyzet, vagy olyan adatok kombinációja, amely együtt valakit azonosítható személlyé tesz, erre vonatkozik. Az AI-eszközök használata során tehát nemcsak explicit személyes adatokról, mint például egy önéletrajz, hanem olyan töredékekről is szó lehet, amelyek nagyobb dokumentumban rejtőznek, például egy név egy csatolt mellékletben, amely véletlenül lemásolódik.
Az Autoriteit Persoonsgegevens és az EDPB iránymutatásokat tesz közzé az AI és a személyes adatok kezeléséről, és ezek továbbfejlődnek; amit ma szokásos értelmezésnek tekintünk, részben további pontosítások tárgya lehet. Ez az egyik oka annak, hogy egy rögzített eljárás a vállalaton belül több támpontot nyújt, mint alkalmazottenként szétszórt megállapodások.
Hogyan kerülheti el ezt a hibát
A megoldás magja egyszerűen megfogalmazható, bár a megvalósítás időt igényel: térképezze fel, mely AI-eszközöket használnak a vállalatban, és eszközönként állapítsa meg, hogy személyes adatokat viesznek-e be. Ha igen, az eszköznek az adatkezelési nyilvántartásban kell szerepelnie, és az más SaaS-szállítóknál is szokásos módon meg kell vizsgálni, hogy a szolgáltató adatkezelőként működik-e, és van-e adatkezelési szerződés. hogyan védi az adatkezelő az adatokat képet ad a releváns pontokról.
Ezen túl egy rövid, konkrét utasítás a munkatársaknak sokkal hasznosabb, mint egy terjedékes szabályzati dokumentum, amelyet senki sem olvas: mely eszközök engedélyezettek, milyen adatok helyezhetők el bennük és mik nem, valamint kinek szól a bejelentés, ha a munkatárs bizonytalanul érez. Ez az utolsó lépés talán a legfontosabb, mert a legtöbb hiba nem rossz szándékból keletkezik, hanem egy egyértelmű kapcsolattartási pont hiányából.
Ha már megtörtént
Ha véletlenül nagy mennyiségű személyes adat kerül egy AI-eszközbe anélkül, hogy annak támogató adatfeldolgozási szerződés lenne, érdemes megítélni, hogy ez olyan eseményt képez-e, amely reagálást igényel, például az adatbiztonságot érintő incidens bejelentésé kapcsán. néhány kérdésben egy kezdeti jelzést kaphat ebben egy kezdeti támpontot adhat, függetlenül attól, hogy egy adott esetben bejelentésre van-e szükség; ezt az értékelést az adatfeldolgozásért felelős szervezet vagy egy jogász feladata.
Szeretné-e saját vállalkozása számára összeállítani, mely eszközöket, ideértve az AI-alkalmazásokat is, érdemes figyelemmel kísérni? Végezze el az ingyenes gyorsértékelést, vagy olvassa el a témákat a gyakran ismételt kérdésekről az általános adatvédelmi rendeletről és szoftverekről hogy meglátsa, mi szükséges a helyzetéhez.