Vai darbinieki drīkst ievietot klientu datus mākslīgā intelekta rīkā?

Klientu dati AI rīkos var, bet ne tik viegli

Klientu datu ievietošana AI rīkā nav iepriekš aizliegta, taču tā ir personu datu apstrāde, uz kuru attiecas tādi paši noteikumi kā uz jebkuru citu sistēmu. Pirms datu nosūtīšanas uz turieni ir svarīgi noskaidrot, kāds ir tiesiskais pamatojums, vai netiek apstrādāti vairāk datu nekā nepieciešams mērķim, un — bieži vien skaļākais jautājums — ko AI rīka piegādātājs dara ar ievadītajiem datiem. Daudzas vispārējās AI rīkus izmanto ievades datus, lai trenētu vai uzlabotu savus modeļus, un tas ir cits mērķis nekā tas, kuram klients sākotnēji savus datus sniedza.

Pēdējais jautājums uzreiz skar mērķa saistības un datu minimizācijas principus no GDPR: dati, kas apkopoti klienta kontaktam, automātiski nav piemēroti jebkuram AI rīkam. Ja rīks apstrādā datus organisācijas vārdā, piegādātājs ir datu apstrādātājs, un tam jābūt datu apstrādes līgumam, kurā noteikts, ko ar datiem drīkst un nedrīkst darīt, kur tie atrodas un vai tos izmanto apmācības nolūkos. Tāpēc tas nav vienkāršs jā vai nē jautājums par "AI", bet jautājums, kas atšķiras atkarībā no rīka, iestatījuma un klientu datu veida — daži AI rīki piedāvā biznesa variantus, kuros apmācība uz ievadi ir skaidri izslēgta, citi nē.

No kā tas izriet: GDPR 5. un 6. pants

Tas, ka katrai apstrādei nepieciešams tiesiskais pamatojums, izriet no GDPR 6. panta, un tas, ka datus nedrīkst izmantot tālāk par mērķi, kuram tie apkopoti, un ne vairāk kā nepieciešams, izriet no mērķa saistības un datu minimizācijas principiem GDPR 5. pantā. Eiropas Datu Aizsardzības Padomei ir publicējusi vadlīnijas, kas īpaši skar personu datu apstrādi AI sistēmās, un tās sniedz papildu skaidrojumu jautājumiem, piemēram, par apmācību uz ievades datiem un piegādātāja lomu kā datu apstrādātāja.