Greșeala cea mai frecventă la utilizarea instrumentelor AI la locul de muncă este că angajații introduc date cu caracter personal într-un instrument precum ChatGPT, Copilot sau o asistenență conversațională similară, fără ca întreprinderea să știe că se întâmplă acest lucru. Un CV, un dosar de client sau o corespondență prin e-mail este rezumat rapid sau rescris, în timp ce nimeni nu a verificat unde ajung acele date, cine le poate vizualiza și dacă există un acord de prelucrare a datelor cu furnizorul acestui instrument.
Nu este un detaliu minor. De îndată ce un instrument prelucrează date cu caracter personal, se aplică aceleași principii fundamentale ca și în cazul oricărei alte aplicații SaaS: trebuie să existe un temei legal, prelucrarea trebuie să fie înregistrată în registrul de activități de prelucrare, și dacă furnizorul acționează ca procesator de date, trebuie să existe un acord de prelucrare a datelor. La numeroase instrumente AI gratuite lipsește acesta din urmă, sau condițiile stipulează că datele introduse pot fi utilizate pentru antrenarea modelului. Aceasta variază considerabil în funcție de furnizor și de forma de abonament, și tocmai de aceea este necesară o verificare prealabilă.
Cum se manifestă în practică
În majoritatea cazurilor, problema nu apare din neglijență, ci din lipsa de cunoștințe. Un angajat din HR introduce o scrisoare de candidatură într-o asistenență conversațională pentru a îmbunătăți o descriere a locului de muncă. Un manager de proiect cer rezumarea unei e-mailuri de client. Niciunul dintre ei nu se gândește la GDPR, deoarece pare un instrument de asistență și nu o prelucrare de date cu caracter personal. Însuși biznețul nu are adesea o imagine de ansamblu asupra ce instrumente AI sunt utilizate zilnic, mai puțin dacă acele instrumente sunt înregistrate în registrul de activități de prelucrare sau figureaza pe o listă de software aprobat.
O a doua eroare recurentă este că întreprinderile care dispun de o politică AI nu-și aliniază această politică la registrul de activități de prelucrare și acordurile de prelucrare a datelor existente. Instrumentul AI este tratat atunci separat de restul administrației GDPR, în timp ce în esență se pune aceeași întrebare care se pune și la orice alt instrument SaaS: cine prelucrează ce date, cu ce scop și pe ce temei. baza de cunoștințe cu explicații pe fiecare subiect abordează, de asemenea, această întrebare și pentru alt software des utilizat, și arată că instrumentele AI nu sunt, în practică, o excepție la sistemul care se aplică și altor furnizori.
De ce pot fi implicate date cu caracter personal, chiar dacă nu este intenția
GDPR utilizează o conceptualizare largă a datelor cu caracter personal: orice informație care poate fi referită unei persoane naturale identificabile. Un nume, un număr de client, o fotografie, o notă telefonică sau o combinație de date care împreună identifică o persoană, intră sub această definiție. Deci, la utilizarea instrumentelor AI nu este vorba doar de date cu caracter personal explicite, cum ar fi un CV, ci și de fragmente ascunse într-un document mai mare, cum ar fi un nume dintr-o anexă care este copiat în același timp.
Autoritatea pentru Protecția Datelor și EDPB publică orientări cu privire la utilizarea AI și datelor cu caracter personal, iar acestea evoluează; ceea ce astazi se consideră interpretare comună poate fi clarificat în unele aspecte. Acesta este unul dintre motivele pentru care o procedură stabilă în cadrul întreprinderii oferă mai multă siguranță decât acorduri punctuale cu angajații.
Cum evitați această greșeală
Esența soluției este simplă de formulat, chiar dacă execuția necesită timp: identificați ce instrumente AI sunt utilizate în cadrul întreprinderii și determinați pentru fiecare instrument dacă sunt introduse date cu caracter personal. Dacă da, atunci acel instrument trebuie să fie înregistrat în registrul de activități de prelucrare și trebuie să verificați, la fel ca și în cazul altor furnizori SaaS, dacă furnizorul acționează ca procesator de date și dacă este disponibil un acord de prelucrare a datelor. cum sunt protejate datele la procesatorii de date oferă o imagine asupra punctelor relevante în acest sens.
Pe lângă aceasta, o instrucțiune scurtă și concretă pentru angajați ajută mai mult decât un document de politică extins pe care nimeni nu-l citește: care sunt instrumentele permise, ce date pot sau nu pot fi introduse în acestea, și cui raportează un angajat dacă are dubii. Acest ultim pas este poate cel mai important, deoarece majoritatea greșelilor nu apar din rea voință, ci din absența unui punct de contact clar.
Dacă s-a întâmplat deja
Dacă o cantitate mare de date cu caracter personal a fost introdusă din greșeală într-un instrument de inteligență artificială fără ca pentru aceasta să existe un acord de prelucrare, este recomandabil să se evalueze dacă aceasta se califică ca un eveniment care necesită o reacție, de exemplu în contextul obligației de notificare în cazul unei încălcări de date cu caracter personal. obțineți o primă indicație în câteva întrebări poate oferi în acest sens o primă orientare, indiferent de întrebarea dacă notificarea este necesară într-un caz specific; această evaluare aparține persoanei responsabile sau unui jurist.
Doriți să enumerați pentru propria dvs. întreprindere care instrumente, inclusiv aplicații de inteligență artificială, necesită atenție? Faceți scanarea gratuită rapidă sau citiți subiectele din întrebările frecvente despre RGPD și software pentru a vedea ce situație dvs. necesită.