Visizplatītākā kļūda, izmantojot mākslīgā intelekta rīkus darba vietā, ir tā, ka darbinieki personu datus ievada rīkos, piemēram, ChatGPT, Copilot vai līdzīgos tērzē-botos, bez uzņēmuma zināšanas. Dzīvesbiogrāfija, klienta doseja vai e-pasta korespondence tiek ātri apkopota vai pārformulēta, nenovērtējot, kur šie dati pēc tam atrodas, kurš var tos aplūkot un vai ar rīka nodrošinātāju pastāv datu apstrādātāja līgums.
Tas nav maznozīmīgs sīkums. Tiklīdz rīks apstrādā personu datus, uz to attiecas tādi paši principi kā uz jebkuru citu SaaS-lietojumprogrammu: jāpastāv juridiskai pamatam, apstrāde jāietver datu apstrādes reģistrā, un, ja nodrošinātājs darbojās kā datu apstrādātājs, pie tā jāpievieno datu apstrādātāja līgums. Daudziem bezmaksas mākslīgā intelekta rīkiem šis trūkst vai noteikumos norādīts, ka ievadi var izmantot modeļa apmācībai. Tas ievērojami atšķiras atkarībā no nodrošinātāja un abonēšanas formas, un tieši tāpēc ir nepieciešama iepriekšēja pārbaude.
Kā tas praksē noiet greizi
Vairumā gadījumu problēma rodas nevis no neuzmanības, bet no nezināšanas. Personālistika pievieno pieteikuma vēstuli tērzē-botam, lai uzlabotu vakances tekstu. Projekta vadītājs laiž apkopot klienta e-pastu. Neviens no viņiem nedomā par GDPR, jo tas izskatās kā palīgrīks, nevis personu datu apstrāde. Pašam uzņēmumam bieži nav ieskats par to, kuri mākslīgā intelekta rīki katru dienu tiek izmantoti, par spīti tam, vai šie rīki atrodas datu apstrādes reģistrā vai ir iekļauti kaut kāda apstiprinātā programmatūras sarakstā.
Otrā atkārtota kļūda ir tā, ka uzņēmumi, kuriem mākslīgā intelekta politika pastāv, nepieņem šo politiku saskaņā ar viņu esošo datu apstrādes reģistru un datu apstrādātāja līgumiem. Mākslīgā intelekta rīks pēc tam tiek uzskatīts atsevišķi no pārējās GDPR administrācijas, kamēr pēc būtības runa ir par tādu pašu jautājumu, kas pastāv arī pie jebkura cita SaaS-rīka: kurš apstrādā kādus datus, kādam nolūkam un kādā pamatā. zināšanu bāzē ar paskaidrojumiem par katru tēmu aplūko šo jautājumu arī citai bieži izmantotai programmatūrai un parāda, ka mākslīgā intelekta rīki praksē nav izņēmums no sistēmātikas, kas jau pastāv citiem nodrošinātājiem.
Kāpēc var būt runa par personu datiem, pat ja tas nav nolūks
GDPR pieņem plašu personu datu definīciju: jebkura informācija, kas ir attiecināma uz identificējamu dabas personu. Vārds, klienta numurs, foto, tālruņa piezīme vai datu kombinācija, kas kopā iespējamā kādu noteikt, ietilpst šajā kategorijā. Mākslīgā intelekta rīku izmantošanā tāpēc runa ir ne tikai par skaidri norādītiem personu datiem, piemēram, dzīvesbiogrāfiju, bet arī par fragmentiem, kas ir paslēpti lielākā dokumentā, piemēram, vārds pielikumā, ko kopē līdzi.
Iestāde personu datu aizsardzībai un EDPB publicē vadlīnijas par darbu ar mākslīgo intelektu un personu datiem, un tās attīstās; tas, kas šodien uzskatās par vispārpieņemtu skaidrojumu, var dažos aspektos tikt pietvirtots. Šis ir viens no iemesliem, kāpēc nemainīga procedūra uzņēmumā nodrošina vairāk skaidrības nekā atsevišķas vienošanās ar katru darbinieku.
Kā novērst šo kļūdu
Risinājuma kodols ir vienkārši formulējams, lai gan realizācija prasa laiku: noskaidrojiet, kuri mākslīgā intelekta rīki uzņēmumā tiek izmantoti, un katram rīkam nosakiet, vai tajā tiek ievadīti personu dati. Ja tas ir tā, tad rīks jāiekļauj datu apstrādes reģistrā un, tāpat kā citu SaaS-nodrošinātāju gadījumā, jāpārbaudā, vai nodrošinātājs darbojās kā datu apstrādātājs un vai ir pieejams datu apstrādātāja līgums. kā dati tiek aizsargāti pie datu apstrādātājiem sniedz priekšstatu par attiecīgajiem punktiem.
Turklāt īss, konkrēts norādījums darbiniekiem ir noderīgāks nekā plašs politikas dokuments, ko neviens nelasa: kuri rīki ir atļauti, kuri dati tajā smēļami un kuri ne, un pie kā darbinieks vēršas, ja viņš šaubās. Šī pēdējā darbība, iespējams, ir visvairāk svarīga, jo lielākā daļa kļūdu rodas nevis no nelabvēlības, bet no skaidra kontaktpersona neesamības.
Ja tas jau ir noticis
Ja liels apjoms personisku datu bez nodotas datu apstrādes līguma ir neuzmanīgi ievadīts AI rīkā, ir ieteicams novērtēt, vai tas kvalificējams kā notikums, kas prasa reaģēšanu, piemēram, datu noplūdes paziņošanas pienākuma ietvaros. dažu jautājumu laikā saņemt pirmsnorādi var sniegt pirmo orientieri, neatkarīgi no jautājuma, vai paziņošana konkrētā gadījumā ir nepieciešama; šāds novērtējums piesaista pašam datu apstrādes vadītājam vai juristam.
Vai vēlaties savai uzņēmumam sarakstīt, kuri rīki, tostarp AI lietojumprogrammas, prasa uzmanību? Veiciet bezmaksas ātro skenēšanu vai izlasiet tēmas sadaļā bieži uzdotie jautājumi par GDPR un programmatūru lai redzētu, kāda ir jūsu situācija.