Dažniausiai daroma klaida naudojant dirbtinio intelekto įrankius darbo vietoje yra ta, kad darbuotojai asmenines duomenis įveda į tokius įrankius kaip ChatGPT, Copilot arba panašią pokalbių programą, nežinodami, kad įmonė apie tai žino. Darbai, kliento aplankai ar elektroninio pašto susirašinėjimai greitai sumuojami arba perrašomi, o niekas nepatikrino, kur šie duomenys lieka, kas juos gali pamatyti ir ar su įrankio teikėju sudarytas duomenų tvarkymo sutartis.
Tai ne smulkus detalė. Kai tik įrankis tvarko asmeninius duomenis, jiems taikomos tos pačios taisyklės kaip ir bet kuriai kitai debesų paslaugai: turi būti pagrindas, tvarkymas turi būti įrašytas duomenų tvarkymo registre, o jei teikėjas veikia kaip tvarkytoja, tam turi būti sudaryti duomenų tvarkymo sutartis. Daugelyje nemokamų dirbtinio intelekto įrankių to nėra, arba sąlygose nurodyta, kad įvestis gali būti panaudota modeliui mokyti. Tai labai skiriasi priklausomai nuo teikėjo ir prenumeratos formos, ir būtent todėl reikalinga išankstinė kontrolė.
Kaip tai praktikoje klaidinga
Dažniausiai problema kyla ne dėl nerūpestingumo, o dėl neišprususimo. HR specialistė įkelia paraišką pokalbių programai, kad pagerinti vakansiją. Projekto vadovas prašo apibendrintą kliento el. laišką. Nė vienas iš jų neturi omenyje GDPR, nes tai atrodo kaip pagalbinė priemonė, o ne asmeninių duomenų tvarkymas. Pati įmonė dažnai neturi apžvalgos, kurie dirbtinio intelekto įrankiai naudojami kasdien, jau nekalbant apie tai, ar šie įrankiai yra duomenų tvarkymo registre arba kokiame nors patvirtintos programinės įrangos sąraše.
Antra pasikartojanti klaida yra ta, kad įmonės, kurios vis dėlto turi dirbtinio intelekto politiką, šios politikos nesusieina su esamais duomenų tvarkymo registrais ir duomenų tvarkymo sutartimis. Tada dirbtinio intelekto įrankis traktuojamas atskirai nuo likusios GDPR administracijos, nors iš esmės tai yra tas pats klausimas, kuris iškyla ir naudojant bet kokią kitą debesų paslaugą: kas tvarko kokius duomenis, kokiu tikslu ir pagal ką. žinybos su paaiškinimu pagal temą nagrinėja šį klausimą ir kitai plačiai naudojamai programinei įrangai, bei rodo, kad dirbtinio intelekto įrankiai praktikoje nėra išimtis iš sistemos, galiojančios kitiems teikėjams.
Kodėl gali būti asmeninių duomenų, net jei tai nėra ketinimas
GDPR taikyti plačią asmeninių duomenų sąvoką: visa informacija, kurią galima susieti su identifikuojamu fiziniu asmeniu. Vardas, kliento numeris, nuotrauka, telefoninis pastabos ar duomenų derinys, nurodantis asmenį, patenka į šią kategoriją. Naudojant dirbtinio intelekto įrankius, kalbame ne tik apie aiškius asmeninius duomenis, pavyzdžiui, darbų rašymą, bet ir apie šiuos duomenis didesniam dokumente, pavyzdžiui, vardą prieduose, kurie yra nukopijuoti.
Lietuvoje (GDPR analogiška institucija) ir EDPB skelbia gidas dėl dirbtinio intelekto ir asmeninių duomenų tvarkymo, ir jos tobulėja; tai, kas šiandien taikoma, gali būti patikslinta. Tai viena iš priežasčių, kodėl nuolatinė procedūra įmonėje suteikia daugiau patikimumo nei vienkartinės prielaidos kiekvienam darbuotojui.
Kaip išvengti šios klaidos
Sprendimo esmė yra paprasta suformuluoti, nors jo įgyvendinimas reikalauja laiko: nustatyti, kurie dirbtinio intelekto įrankiai įmonėje naudojami, ir nustatyti kiekvienam įrankiui, ar į jį įvedami asmenys duomenys. Jei taip, tas įrankis turi būti duomenų tvarkymo registre ir, kaip ir kitų debesų paslaugų teikėjų atveju, reikia patikrinti, ar teikėjas yra duomenų tvarkytoja ir ar yra duomenų tvarkymo sutartis. kaip duomenys apsaugomi pas tvarkytojus pateikia vaizdą apie svarbius taškus šiame kontekste.
Be to, trumpas ir konkretus nurodymas darbuotojams dažnai paduoda geriau nei išplėtintas politikos dokumentas, kurį niekas neskaito: kurie įrankiai yra leistini, kokie duomenys juose gali būti ir kokie negali, ir pas ką darbuotojas praneša, jei jam keista. Šis paskutinis žingsnis galbūt yra svarbiausia, nes dauguma klaidų atsiranda ne iš piktybės, o dėl to, kad nėra aiškaus kontaktinio asmens.
Jei tai jau įvyko
Jei į dirbtinio intelekto įrankį netyčia buvo įvesta didelė asmeninių duomenų apimtis, tiesioginei sutarčiai su duomenų tvarkymo tvarkytoju nesant, patartina įvertinti, ar tai atitinka įvykį, reikalaujantį reagavimo, pavyzdžiui, duomenų saugumo pažeidimo pranešimo pareigos rėmuose. Per kelis klausimus gauti pirmąjį rodiklį gali padėti gauti pirminę orientaciją, nepriklausomai nuo to, ar konkretų atvejį būtina pranešti; tas vertinimas priklauso patam pačiam atsakingam asmeniui arba juristui.
Ar norėtumėte savo verslui sudaryti sąrašą, kurie įrankiai, įskaitant dirbtinio intelekto programas, reikalauja dėmesio? Atlikite nemokamą greitą patikrinimą arba perskaitykite dalykus dažnai užduodami klausimai apie BDAR ir programinę įrangą kad pamatytumėte, ko reikalinga jūsų situacija.