Najčastejšou chybou pri používaní nástrojov AI na pracovisku je, že zamestnanci vkladajú osobné údaje do nástroja ako ChatGPT, Copilot alebo podobný chatbot bez toho, aby o tom spoločnosť vedela. Životopis, záznam o klientovi alebo výmena e-mailov sa rýchlo zhrnie alebo prepíše, zatiaľ čo nikto nepreskúmal, kde sa tieto údaje následne nachádzajú, kto ich môže vidieť a či s poskytovateľom tohto nástroja existuje zmluva o spracovaní údajov.
To nie je malá detail. Akonáhle nástroj spracováva osobné údaje, platia preň rovnaké princípy ako pre akúkoľvek inú aplikáciu SaaS: musí existovať právny základ, spracovanie by malo byť zaznamenané v registri spracovateľských činností, a ak poskytovateľ pôsobí ako spracovateľ, musí existovať zmluva o spracovaní údajov. Pri mnohých bezplatných nástrojoch AI to chýba alebo v podmienkach stojí, že vstup sa môže použiť na trénovanie modelu. To sa líši značne podľa poskytovateľa a formy predplatného a práve preto je potrebná predchádzajúca kontrola.
Ako sa to v praxi pokazí
Vo väčšine prípadov problém nevzniká z nedbanlivosti, ale z nevedomosti. Pracovník HR vloží motivačný list do chatbotu, aby zlepšil text pracovnej pozície. Vedúci projektu si nechá zhrniť e-mail klienta. Nikto z nich nemyslí na GDPR, pretože to vníma ako pomocný prostriedok a nie ako spracovanie osobných údajov. Samotná spoločnosť často nemá prehľad o tom, ktoré nástroje AI sa denne používajú, a ešte menej či sú tieto nástroje zaznamenané v registri spracovateľských činností alebo niekde na zozname schváleného softvéru.
Druhou opakovanou chybou je, že spoločnosti, ktoré majú politiku AI, túto politiku neprepájajú so svojím existujúcim registrom spracovateľských činností a zmluvami o spracovaní údajov. Nástroj AI sa potom považuje oddelene od ostatnej agendy GDPR, zatiaľ čo v podstate ide o tú istú otázku, ktorá sa vznáša aj pri akejkoľvek inej aplikácii SaaS: kto spracováva ktoré údaje, s akým zámerom a na základe čoho. v banke vedomostí s vysvetlením na danú tému tiež sa touto otázkou zaoberá pre ďalší bežne používaný softvér a ukazuje, že nástroje AI v praxi nie sú výnimkou zo systematiky, ktorá už platí pre ďalších dodávateľov.
Prečo môže ísť o osobné údaje, aj keď to nie je zámerom
GDPR využíva širokú definíciu osobných údajov: všetky informácie, ktoré sú vzťažné na identificírateľnú fyzickú osobu. Meno, číslo klienta, fotografia, poznámka v telefóne alebo kombinácia údajov, ktoré spolu osobu identifikujú, spadajú pod túto kategóriu. Pri používaní nástrojov AI nejde teda len o explicitné osobné údaje ako životopis, ale aj o fragmenty ukryté vo väčšom dokumente, ako je napríklad meno v prílohe, ktoré sa kopíruje spolu s ním.
Autoridad pre ochranu osobných údajov a EDPB publikujú usmernenia o zaobchádzaní s AI a osobnými údajmi a tieto sa vyvíjajú; to, čo je dnes uznávané ako bežný výklad, môže byť v niektorých aspektoch spresnené. To je jeden z dôvodov, prečo pevný postup v rámci spoločnosti poskytuje väčšiu oporu ako voľné dohody medzi jednotlivými zamestnancami.
Ako sa vyhnúť tejto chybe
Jadro riešenia sa dá formulovať jednoducho, aj keď jeho implementácia vyžaduje čas: zmapujte, ktoré nástroje AI sa v spoločnosti používajú, a určite pre každý nástroj, či sa v ňom vkladajú osobné údaje. Ak je to tak, nástroj by mal byť zaznamenané v registri spracovateľských činností a tak ako u ďalších dodávateľov SaaS by sa malo skontrolovať, či poskytovateľ pôsobí ako spracovateľ a či je dostupná zmluva o spracovaní údajov. ako sú údaje chránené u spracovateľov poskytuje prehľad relevantných bodov v tomto ohľade.
Okrem toho pomôže kratké, konkrétne pokyny pre zamestnancov viac ako rozsiahly dokument politiky, ktorý nikto nečíta: ktoré nástroje sú povolené, ktoré údaje sa v nich môžu a nemôžu nachádzať, a u koho hlási zamestnanec, ak má pochybnosti. Tento posledný krok je možno najdôležitejší, pretože väčšina chýb nevznikne z nezáujmu, ale z absencie jasného kontaktného bodu.
Ak sa to už stalo
Ak sa bez úmyslu do nástroja umelej inteligencie zadali veľké množstvo osobných údajov bez toho, aby na to existovala dohoda o spracovaní údajov, je vhodné posúdiť, či sa to kvalifikuje ako udalosť vyžadujúca si opatrenie, napríklad v rámci povinnosti nahlásiť porušenie ochrany údajov. na pár otázok získate prvý ukazovateľ môže poskytnúť prvý základ bez ohľadu na to, či je oznamovanie potrebné v konkrétnom prípade; toto posúdenie patrí samému správcovi alebo právnikovi.
Chcete si pre svoju vlastnú spoločnosť zoradiť, ktoré nástroje vrátane aplikácií umelej inteligencie si vyžadujú pozornosť? Absolvujte bezplatnú rýchlu kontrolu alebo si prečítajte témy v často kladaných otázok o GDPR a softvéri aby ste videli, čo vaša situácia vyžaduje.