Platí GDPR aj v prípade, že vaša spoločnosť používa ChatGPT alebo iné nástroje s umelou inteligenciou?
Áno, ale nie preto, že ako takú používate nástroj AI. GDPR sa vzťahuje hneď, keď spracovávate osobné údaje, a to sa môže rovnako dobre stať v textovom editore ako v chatbote. Nejde teda o to, ktorý nástroj používate, ale o to, čo v ňom vložíte a čo s tým nástroj robí.
Ak používate AI iba na všeobecné texty, zhrnutia verejne dostupných informácií alebo programovateľskú pomoc bez mien, e-mailových adries alebo iných údajov umožňujúcich identifikáciu, GDPR sa na danú konkrétnu činnosť nevzťahuje. Ak však vložíte údaje zákazníkov, uchádzačov alebo zamestnancov, napríklad aby sa vytvoril e-mail na základe záznamu zákazníka, spracovávate osobné údaje a platia obvyklé pravidlá.
Kde presne leží ten rozdiel
Rozlíšenie sa točí okolo obsahu toho, čo vložíte, nie okolo označenia „AI". Inštalačná spoločnosť, ktorá nechá prepísať popis ponuky bez mena zákazníka, postupuje inak ako manažér HR, ktorý nechá zsumarizovať motivačný list s menom, adresou a poznámkami z rozhovoru. V prvom prípade neexistuje nič, čo by umožňovalo identifikovať osobu. V druhom prípade áno, a potom sa vstup počíta ako spracovanie.
To isté platí pre výsledok. Nástroj AI, ktorý na základe vložených údajov zákazníkov vygeneruje profil alebo odporúčanie, tieto údaje ďalej spracuje. To je relevantné, pretože GDPR sa nepozerá len na uchovávanie údajov, ale na každú činnosť: zhromažďovanie, vloženie, spracovanie treťou stranou a používanie výsledku.
Kto je potom spracovateľom
Väčšina nástrojov AI, ktoré spoločnosti používajú, beží na serveroch externého poskytovateľa. Ak tam vložíte osobné údaje, je ten poskytovateľ v praxi často spracovateľom: strana, ktorá spracúva údaje na pokyn vašej spoločnosti. Je to rovnaká osoba ako u účtovného balíka alebo CRM systému, len že u nástrojov AI je to menej viditeľné, pretože vstup vyzerá ako voľný text namiesto štruktúrovaného súboru údajov.
EDPB a Úrad na ochranu osobných údajov sa tejto otázke venujú, pretože pre používateľov je často nejasné, či a ako dlho sa vložené údaje uchovávajú a či sa používajú na trénovanie základného modelu. Sú to otázky, ktoré nájdete v podmienkach poskytovateľa, a tie určujú, či je potrebná zmluva o spracovaní. Ak si nie ste istí, či zmluva, ktorú ste už podpísali, takéto použitie pokrýva, môžete ju nechať overiť v knižnici údajov podľa textu GDPR.
Kedy vás to nedotýka
Ak vaša spoločnosť používa AI výhradne na úlohy bez údajov umožňujúcich identifikáciu, ako je tvorba všeobecných marketingových textov, preklad verejne dostupných informácií o produktoch alebo zhrnutie vlastných interných procesov bez mien, potom pre danú konkrétnu aplikáciu nedochádza k spracovaniu osobných údajov a preto ani k žiadnej ďalšej povinnosti vyplývajúcej z GDPR. To neznamená, že používanie AI všeobecne ujde; znamená to, že pre každú aplikáciu musíte posúdiť, čo sa skutočne vložilo.
Čo to v praxi znamená pre vašu evidenciu
Hneď, keď nástroj AI spracúva osobné údaje, toto spracovanie má rovnakú úlohu ako akékoľvek iné v registri aktivít spracúvania: aký účel, aké údaje, aká doba uchovania a ktorá strana nástroj poskytuje. Mnoho spoločností na to zabúda, pretože používanie AI často vzniká ad hoc, prostredníctvom samostatného účtu zamestnanca, bez toho, aby sa to považovalo za „systém". Aj tak sa to počíta rovnako ako CRM alebo systém miezd.
Či sa vaša spoločnosť konkrétne potýka s týmto problémom, závisí od toho, ako sa umelá inteligencia v rámci vašej organizácie používa a kto ju používa. Riaditeľ, ktorý občas nechá skontrolovať text bez údajov zákazníkov, má v tejto otázke inú pozíciu ako oddelenie HR, ktoré nechá zhrnúť údaje uchádzačov. V prípade pochybností nie je zbytočným krokom prebrať si to s právnikom alebo s Úradom na ochranu osobných údajov, najmä ak sú v hre citlivé údaje, ako sú informácie o zdraví alebo finančné informácie.
Chcete si rýchlo ujasniť, či používanie umelej inteligencie v rámci vašej spoločnosti podlieha GDPR a čo s tým súvisí? Vykonajte bezplatný rýchly test s niekoľkými otázkami a priamou indikáciou, pozrite si, ako sú zostrojené základné zdroje prostredníctvom vysvetlenie, odkiaľ pochádzajú informácie, alebo si prečítajte často kladené otázky, ak chcete najskôr vidieť, ako s tým pracujú iní podnikatelia.