Ar GDPR taikomas ir jūsų įmonei naudojant ChatGPT ar kitus AI įrankius?
Taip, tačiau ne todėl, kad savaime naudojate AI įrankį. BDAR taikomas iš karto, kai apdorojate asmeninius duomenis, ir tai gali vykti tiek tekstų redagavimo programoje, tiek grindinio robote. Todėl svarbu ne tai, kurį įrankį naudojate, o tai, ką į jį įvedate ir ką su tuo įrankiu daro.
Jei naudojate AI tik bendriesiems tekstams, viešosios informacijos santraukoms ar programavimo pagalbai be vardų, el. pašto adresų ar kitų atpažintinų duomenų, BDAR nedalivauja tame konkrečiame veiksme. Jei įvedate kliento, pretendento ar darbuotojo duomenis, pvz., norėdami sudaryti el. laišką pagal kliento bylą, apdoroji asmeninius duomenis ir galioja paprastos taisyklės.
Koks yra skirtumas
Skirtumą lemia jūsų įvesto turinio turinys, o ne žyma "AI". Montavimo įmonė, kuri perrašo pasiūlymo aprašą be kliento vardo, veikia kitaip nei HR vadybininkas, kuris sutrumpina prašymo laišką su vardu, adresu ir pokalbio nuotrauka. Pirmuoju atveju nėra nieko, kas būtų susijęs su asmeniu. Antruoju atveju yra, todėl įvestis skaičiuojama kaip apdorojimas.
Tas pats pasakytina ir apie rezultatą. AI įrankis, kuris pagal įvestus kliento duomenis sugeneruoja profilį ar rekomendaciją, toliau apdoroja tuos duomenis. Tai svarbu, nes BDAR žiūri ne tik į duomenų saugojimą, bet į kiekvieną veiksmą: rinkimą, įvedimą, apdorojimą trečiųjų šalių, ir gautų rezultatų naudojimą.
Kas tada yra duomenų tvarkytoja
Dauguma AI įrankių, kuriuos naudoja įmonės, veikia išorinio teikėjo serveriuose. Jei jūs ten įvedate asmeninius duomenis, paprastai tas teikėjas yra duomenų tvarkytoja – šalis, apdorojanti duomenis jūsų įmonės užsakymu. Tai ta pati figura kaip ir bухгалterinė programa ar CRM sistema, tik AI įrankiuose tai mažiau matomu, nes įvestis atrodo kaip laisvas tekstas, o ne struktūrinti duomenų bazė.
EDPB ir Asmeninės duomenų apsaugos tarnyba šiuo klausimu sutelkia dėmesį, nes naudotojams dažnai neaišku, ar ir kiek laiko saugomi įvesti duomenys bei ar jie naudojami pagrindiniam modeliui treniruoti. Tai yra klausimai, kuriuos rasite teikėjo sąlygose, ir jie nulemia, ar reikalinga duomenų tvarkymo sutartis. Jei abejojate, ar jūsų jau pasirašyta sutartis apima tokį naudojimą, galite ją patikrinti žinyno pagalba pagal BDAR tekstą.
Kai tai jūsų neliečia
Jei jūsų įmonė naudoja AI tik užduotims be atpažintinų duomenų, pvz., bendrų rinkodaros tekstų generavimui, viešosios produkto informacijos vertimui arba savų vidinių procesų santraukoms be vardų, tai tame konkrečiame taikymo atveju nėra asmeninių duomenų apdorojimo, todėl nėra papildomos BDAR pareigos. Tai nereiškia, kad bendras AI naudojimas yra neliečiamas; tai reiškia, kad turite kiekvieną taikymą išanalizuoti, pamatyti, kas iš tikrųjų įvedama.
Ką tai reiškia praktikoje jūsų registrui
Kai tik AI įrankis apdoroja asmeninius duomenis, tas apdorojimas, kaip ir bet kuris kitas, turi būti asmeninių duomenų apdorojimo registre: tikslas, duomenys, saugojimo laikas ir teikėjas. Daugelis įmonių tai pamiršta, nes AI naudojimas dažnai atsiranda ad hoc, per atskirą darbuotojo paskyrą, nematant to kaip "sistemos". Tačiau tai svarbu ne mažiau nei CRM ar algalapio sistema.
Ar jūsų verslas konkrečiai šiuo klausimu susiduria, priklauso nuo to, kaip dirbtinis intelektas naudojamas jūsų organizacijoje ir kas jį naudoja. Vadovas, kuris kartais patikrina tekstą be kliento duomenų, yra kitoje situacijoje nei personalinės vadybos skyrius, kuris tvarko paraišky duomenis. Jei turite abejonių, nėra per daug atidžiai šią problemą aptarti su juridiniu patarėju ar Duomenų apsaugos institucija, ypač kai susiję jautrūs duomenys, tokie kaip sveikatos ar finansinė informacija.
Ar norite greitai suprasti, ar jūsų versle naudojamas dirbtinis intelektas patenka po GDPR ir kokios yra to pasekmės? Atlikite nemokamą greitąją analizę su keliais klausimais ir tiesiogine rekomendacija, peržiūrėkite, kaip sudaromi pagrindiniai šaltiniai per paaiškinimas, iš kur informacija gaunamaarba perskaitykite dažniausiai užduodamus klausimus, jei pirmiausia norite pamatyti, kaip kiti versleiviai tai sprendžia.