Največja napaka pri uporabi orodij umetne inteligence na delovnem mestu je, da zaposleni osebne podatke vnesejo v orodje, kot je ChatGPT, Copilot ali podobna chatbot, ne da bi podjetje vedelo, da se to dogaja. Življenjepis, datoteka stranke ali e-poštna korespondenca se hitro povzame ali prepiše, medtem ko nihče ni preveril, kje se ti podatki nato nahajajo, kdo jih lahko vidi in ali s ponudnikom tega orodja obstaja pogodba s prejemnikom podatkov.
To ni majhna podrobnost. Takoj ko orodje obdeluje osebne podatke, veljajo za njih ista načela kot za katero koli drugo aplikacijo v oblaku: biti mora pravna podlaga, obdelava mora biti vključena v register dejavnosti obdelave, in če ponudnik deluje kot prejemnik podatkov, mora biti priložena pogodba s prejemnikom podatkov. Pri številnih brezplačnih orodjih umetne inteligence slednje manjka ali je v pogojih navedeno, da je mogoče vnesene podatke uporabiti za usposabljanje modela. To se razlikuje glede na ponudnika in vrsto naročnine, in to je natanko razlog, zakaj je potrebna predhodno preverjanje.
Kako se to v praksi zgodi narobe
V večini primerov problem ne nastane iz malomarnosti, ampak iz nevednosti. Zaposleni v kadrovskem oddelku prilepи pismoč za prijavo v chatbot, da izboljša besedilo razpisa za delovno mesto. Vodja projekta naredi povzetek e-pošte stranke. Nihče od njih ne razmišlja o Uredbi (EU) 2016/679, ker se počuti kot pomoč in ne kot obdelava osebnih podatkov. Samo podjetje pogosto nima pregleda, katera orodja umetne inteligence se uporabljajo dnevno, kaj šele ali so ta orodja vključena v register dejavnosti obdelave ali na seznamu potrjene programske opreme.
Druga pogosta napaka je, da podjetja, ki imajo politiko za umetno inteligenco, te politike ne uskладijo s svojim obstoječim registrom dejavnosti obdelave in pogodbami s prejemniki podatkov. Orodje umetne inteligence se nato obravnava ločeno od preostalega upravljanja Uredbe (EU) 2016/679, čeprav je v bistvu govora o istem vprašanju, ki se postavlja tudi pri vsakem drugem oblačnem orodju: kdo obdeluje katere podatke, za kakšen namen in na kateri pravni podlagi. spoznavnica s pojasnili po temah obravnava to vprašanje tudi za drugo pogosto uporabljeno programsko opremo in kaže, da orodja umetne inteligence v praksi niso izjema od sistematike, ki že velja za druge ponudnike.
Zakaj lahko gre za osebne podatke, tudi če to ni namen
Uredba (EU) 2016/679 ima široko razumevanje osebnih podatkov: vse informacije, ki so povezljive z identificirljivo fizično osebo. Ime, številka stranke, fotografija, telefonska opomba ali kombinacija podatkov, ki skupaj označujejo nekoga, spadajo v to kategorijo. Pri uporabi orodij umetne inteligence torej ne gre le za izrecne osebne podatke, kot je življenjepis, ampak tudi za fragmenti, ki so v večjem dokumentu skritih, kot je ime v priponki, ki se skopira skupaj.
Autorität Persoonsgegevens in EDPB objavljata smernice o ravnanju s programsko opremo umetne inteligence in osebnih podatkov, te pa se razvijajo; kaj danes velja kot splošna razlaga, se lahko na posameznih točkah ostre. To je eden od razlogov, zakaj ima stalen postopek znotraj podjetja večjo vrednost kot posamezne dogovore s zaposlenimi.
Kako se izognete tej napaki
Jedro rešitve je preprosto formulirano, čeprav zahteva izvajanje časa: naredite pregled, katera orodja umetne inteligence se uporabljajo v podjetju, in za vsako orodje ugotovite, ali se pri tem vnašajo osebni podatki. Če je to primer, mora biti to orodje vključeno v register dejavnosti obdelave in, tako kot pri drugih ponudnikih v oblaku, je treba preveriti, ali ponudnik deluje kot prejemnik podatkov in ali je pogodba s prejemnikom podatkov na voljo. kako se podatki pri prejemnikih podatkov varujejo da prikaže točke, ki so pri tem relevantne.
Poleg tega kratka, konkretna navodila za zaposlence ponavadi bolj pomagajo kot obsežen dokument o politiki, ki ga nihče ne bere: kateri orodja so dovoljena, kateri podatki se v njih lahko vključijo in kateri ne, in pri kom se zaposljenec obrne, če dvomi. Ta zadnja stopnja je morda najpomembnejša, ker se večina napak ne pojavi iz zlobe temveč iz pomanjkanja jasne kontaktne osebe.
Če se je že zgodilo
Če je bila po nesreči velika količina osebnih podatkov vnesena v orodje za umetno inteligenco brez da bi za to obstajal pogodbe s sodelavcem pri obdelavi, je pametno oceniti, ali se to šteje za primer, ki zahteva ukrepanje, na primer v zvezi z obaveznostjo prijave kršitev varnosti podatkov. v nekaj vprašanjih dobiti prvi napotek lahko pri tem da nekoliko opore, ne glede na vprašanje, ali je prijava v konkretnem primeru potrebna; to ocenjevanje je naloga samega odgovornega ali pravnika.
Ali želite za svoje podjetje na pregledni način navesti, katera orodja, vključno z aplikacijami umetne inteligence, potrebujejo pozornost? Izvedite brezplačno hitro preverjavo ali preberite teme v pogostih vprašanjih o Uredbi o varstvu podatkov in programski opremi da vidite, kaj zahteva vaša situacija.