Pot angajații să introducă date cu caracter personal ale clienților în instrumente AI?

Datele clienților în instrumente de IA se pot, dar nu la întâmplare

Introducerea datelor clienților într-un instrument de IA nu este interzisă din principiu, dar este o prelucrare de date cu caracter personal la care se aplică aceleași reguli ca pentru orice alt sistem. Înainte ca datele să fie transferate în acel sens, este relevant care bază juridică există pentru aceasta, dacă sunt mai multe date decât este necesar pentru scop, și — adesea punctul cel mai ascuțit — ce face furnizorul instrumentului de IA cu acea intrare. Multe instrumente de IA generale folosesc intrările pentru a-și antrena sau îmbunătăți propriul model, iar aceasta este un scop diferit de cel pentru care clientul și-a furnizat inițial datele.

Acesta din urmă afectează imediat limitarea scopului și minimizarea datelor din RGPD: datele colectate pentru un contact cu clientul nu sunt în mod automat potrivite pentru a fi introduce într-un instrument de IA arbitrar. Dacă instrumentul prelucrează datele în numele organizației, furnizorul este un subcontractant, iar aceasta trebuie să fie urmată de un acord de prelucrare a datelor care stabilește ce se poate și nu se poate întâmpla cu datele, unde se află acestea, și dacă sunt utilizate în scopuri de antrenament. Prin urmare, nu este o simplă întrebare da-sau-nu despre "IA", ci o întrebare care diferă în funcție de instrument, de setare și de tipul datelor clienților — unele instrumente de IA oferă variante comerciale în care antrenamentul pe intrări este în mod explicit dezactivat, altele nu.

De unde decurge aceasta: articolele 5 și 6 RGPD

Faptul că o bază juridică este necesară pentru orice prelucrare decurge din articolul 6 al RGPD, și faptul că datele nu pot fi utilizate în continuare decât în scopul pentru care au fost colectate, și nu mai mult decât este necesar, decurge din principiile limitării scopului și minimizării datelor din articolul 5 al RGPD. Consiliul European pentru Protecția Datelor publică orientări care se referă în mod specific la tratamentul datelor cu caracter personal în sistemele de IA, iar acestea oferă clarificări suplimentare la întrebări precum antrenamentul pe datele de intrare și rolul furnizorului ca subcontractant.