Se aplică GDPR și atunci când compania dumneavoastră folosește ChatGPT sau alte instrumente de inteligență artificială?
Da, dar nu pentru că folosiți un instrument de IA în sine. GDPR-ul se aplică imediat ce prelucrați date cu caracter personal, iar asta se poate întâmpla la fel de bine într-un procesor de text ca și într-un chatbot. Nu conteaza deci ce instrument folosiți, ci ce introduceti în el și ce face instrumentul cu acele date.
Dacă folosiți IA doar pentru texte generale, rezumate ale informațiilor publice sau asistență în programare fără nume, adrese de e-mail sau alte date identificabile, GDPR-ul nu afectează acea acțiune specifică. Dacă totuși introduceți date ale clienților, candidaților sau angajaților, de exemplu pentru a redacta o e-mail pe baza unui dosar de client, atunci prelucrați date cu caracter personal și se aplică regulile obișnuite.
Care este exact diferența
Distincția se referă la conținutul a ceea ce introduceți, nu la eticheta "IA". Un installer care lasa rescris o descriere de ofertă fără numele clientului funcționează diferit față de un manager HR care lasa rezumat o scrisoare de candidatură cu nume, adresă și note de discuție. În primul caz, nu există nimic identificabil cu o persoană. În al doilea caz, da, și atunci introducerea contează ca o prelucrare.
Același lucru se aplică și rezultatului. Un instrument de IA care pe baza datelor de client introduse generează un profil sau o recomandare prelucrează mai departe acele date. Aceasta este relevant pentru că GDPR-ul nu se uită doar la stocarea datelor, ci la fiecare acțiune: colectare, introducere, prelucrare de către un terț și utilizare a rezultatului.
Cine este atunci prelucrătorul
Majoritatea instrumentelor de IA pe care le folosesc companiile rulează pe servere ale unui furnizor extern. Dacă introduceți date cu caracter personal acolo, acel furnizor este în practică adesea un procesor: o parte care prelucrează date în baza unui mandat al companiei dumneavoastră. Aceasta este aceeași figură ca în cazul unui pachet de contabilitate sau al unui sistem CRM, doar că la instrumentele de IA este mai puțin vizibil pentru că introducerea pare ca text liber în locul unui fișier de date structurat.
EDPB și Autoritatea pentru protecția datelor acorda atenție acestui aspect pentru că pentru utilizatori este adesea neclar dacă și cât timp datele introduse rămân stocate, și dacă sunt folosite pentru a antrena modelul subiacent. Acestea sunt întrebări pe care le veți găsi în condițiile furnizorului, și care determina dacă este necesară o acord de prelucrare. Dacă aveți îndoieli că un acord pe care l-ati deja semnat acoperă acest tip de utilizare, atunci îl puteți face verificat în baza de cunoștințe în funcție de textul GDPR-ului.
Când nu vă afectează
Dacă compania dumneavoastră folosește IA exclusiv pentru sarcini fără date identificabile, cum ar fi generarea de texte de marketing generale, traducerea informațiilor despre produse publice sau rezumarea proceselor interne proprii fără nume, atunci pentru acea aplicație specifică nu există prelucrare de date cu caracter personal și nici o obligație suplimentară din perspectiva GDPR-ului. Aceasta nu înseamnă că utilizarea IA în general scapă de reglementare; înseamnă că trebuie să analizați fiecare aplicație pentru a vedea ce se introduce efectiv.
Ce înseamnă aceasta în practică pentru înregistrarea dumneavoastră
Imediat ce un instrument de IA prelucrează date cu caracter personal, acea prelucrare aparține registrului de activități de prelucrare, la fel ca orice altă activitate: scop, ce date, durata de retenție și care parte furnizează instrumentul. Multe companii uită de asta pentru că utilizarea IA apare adesea ad hoc, prin intermediul unui cont separat al unui angajat, fără a fi considerată un "sistem". Totuși, se socotește la fel ca un CRM sau un sistem salarial.
Dacă afacerea dvs. se confruntă concret cu aceasta depinde de modul în care IA este utilizată în cadrul organizației dvs. și de cine o utilizează. Un director care ocazional lasă o persoană să verifice un text fără date de clienți se află într-o poziție diferită decât un departament HR care lasă rezumate date de cereri de angajare. În caz de îndoială, nu este o măsură de prisos să discutați aceasta cu un jurist sau cu Autoritatea pentru Protecția Datelor, mai ales atunci când sunt implicate date sensibile, cum ar fi informații de sănătate sau financiare.
Doriți să aflați rapid dacă utilizarea IA în cadrul afacerii dvs. se încadrează în GDPR și ce implică aceasta? Realizați o analiză rapidă gratuită cu câteva întrebări și o indicație directă analiză rapidă cu câteva întrebări și o indicație directă, consultați modul în care sursele subiacente sunt construite prin o explicație cu privire la unde provin informațiile, sau citiți întrebările frecvente dacă doriți mai întâi să vedeți cum alți antreprenori abordează aceasta.