Czy pracownicy mogą wstawiać dane klientów do narzędzia AI?

Dane klientów w narzędziach AI to możliwe, ale nie byle jak

Umieszczenie danych klientów w narzędziu AI nie jest z góry zakazane, ale stanowi przetwarzanie danych osobowych, do którego stosuje się te same zasady co do każdego innego systemu. Zanim dane pójdą w tym kierunku, istotne jest, jaka dla tego istnieje podstawa prawna, czy chodzi o więcej danych niż potrzeba do celu, i — co często stanowi najważniejszy punkt — co dostawca narzędzia AI robi z tymi danymi wejściowymi. Wiele ogólnych narzędzi AI wykorzystuje dane wejściowe do trenowania lub udoskonalania własnego modelu, a to jest inny cel niż ten, do którego klient pierwotnie podał swoje dane.

Ten ostatni punkt natychmiast dotyczy ograniczenia celu i minimalizacji danych z RODO: dane zebrane do kontaktu z klientem nie nadają się automatycznie do umieszczenia w dowolnym narzędziu AI. Jeśli narzędzie przetwarza dane w imieniu organizacji, dostawca jest podmiotem przetwarzającym, a powinien być przy tym umowy przetwarzania, która określa, co dzieje się z danymi, gdzie się znajdują i czy są wykorzystywane do celów treningowych. Nie jest to zatem prosta kwestia tak-lub-nie dotycząca "AI", ale pytanie, które różni się w zależności od narzędzia, ustawienia i typu danych klientów — niektóre narzędzia AI oferują warianty biznesowe, w których trening na danych wejściowych jest wyraźnie wyłączony, inne nie.

Skąd to wynika: art. 5 i 6 RODO

Fakt, że każde przetwarzanie wymaga podstawy prawnej, wynika z art. 6 RODO, a że dane nie mogą być wykorzystywane do celów wykraczających poza cel, do którego zostały zebrane, i nie więcej niż potrzeba, wynika z zasad ograniczenia celu i minimalizacji danych określonych w art. 5 RODO. Europejska Rada Ochrony Danych publikuje wytyczne dotyczące w szczególności postępowania z danymi osobowymi w systemach AI i udzielają one dalszych wskazówek w kwestiach takich jak trening na danych wejściowych i rola dostawcy jako podmiotu przetwarzającego.