ChatGPT in GDPR: kako AI orodja uporabljati z osebnimi podatki
Ko zaposleni v ChatGPT ali drugo AI orodje vnese osebne podatke strank ali sodelavcev, podjetje te podatke obdeluje in za to veljajo pravila GDPR. Tveganje bistveno zmanjšate s poslovnim paketom in pogodbo o obdelavi podatkov, s preverjenim mestom obdelave, z nastavitvami hrambe in z enostavnim pravilom: osebnih podatkov ne vnašamo, če niso nujni.
Ta vodnik je splošen pregled, ne pravni nasvet. Za presojo vašega primera se obrnite na pooblaščeno osebo za varstvo podatkov ali pravnika.
Pet vprašanj pred uporabo AI z osebnimi podatki
1. Ali imamo pogodbo o obdelavi podatkov?
Ponudnik AI orodja, ki obdeluje osebne podatke v vašem imenu, je obdelovalec. Potrebujete pogodbo po členu 28 GDPR. Poslovni paketi večjih ponudnikov jo običajno vključujejo, brezplačne in osebne različice pa ne kot standard.
2. Kje se podatki obdelujejo?
Če podatki zapustijo EU, mora za prenos obstajati ustrezna podlaga, na primer sklep o ustreznosti ali standardne pogodbene klavzule. Nekateri ponudniki omogočajo hrambo in obdelavo v EU za poslovne stranke.
3. Ali se podatki uporabljajo za učenje modela?
Pri poslovnih paketih in API je to po navedbah večjih ponudnikov privzeto izključeno. Pri osebnih računih je pogosto vključeno, a ga je mogoče izklopiti. Preverite nastavitve.
4. Kako dolgo se podatki hranijo?
Pogovori in naložene datoteke se pri ponudniku hranijo določen čas. Preverite nastavitve hrambe in ali jih lahko skrajšate.
5. Ali imamo pravno podlago in smo ljudi obvestili?
Obdelava mora imeti podlago (na primer izvajanje pogodbe ali zakoniti interes), v obvestilu o zasebnosti pa naj bo omenjena uporaba ponudnikov AI kot obdelovalcev.
Preprosta pravila za zaposlene
- Uporabljamo samo orodja, ki jih je odobrilo podjetje.
- Imena, naslove, telefone, EMŠO, davčne in zdravstvene podatke pred vnosom odstranimo, kadar niso potrebni.
- Posebnih vrst podatkov (zdravje, verska prepričanja, sindikalno članstvo) ne vnašamo.
- Pogodb in dokumentov strank ne nalagamo v osebne račune.
- Ob dvomu vprašamo odgovorno osebo.
Kako to rešujemo pri prilagojenih rešitvah
- dostop prek API ponudnika s pogodbo o obdelavi,
- obdelava v EU, kjer je na voljo,
- odstranitev osebnih podatkov pred pošiljanjem modelu, ko niso potrebni,
- kratki roki hrambe in dnevniki dostopa,
- za zelo občutljive podatke možnost modela, ki teče na vašem strežniku.
GDPR in AI Act skupaj
GDPR ureja osebne podatke, AI Act pa uporabo umetne inteligence. Pri chatbotih, kadrovskih orodjih in prepisu klicev veljata oba. Glej EU zakon o umetni inteligenci in AI pismenost zaposlenih.
Pogosta vprašanja
Ali je ChatGPT skladen z GDPR?
Skladnost ni lastnost orodja, ampak načina uporabe. Isto orodje je lahko uporabljeno skladno ali neskladno. Pomembno je, kateri paket uporabljate, ali imate pogodbo o obdelavi, kje se podatki obdelujejo, katere podatke vnašate in ali imate za obdelavo pravno podlago.
Ali lahko v ChatGPT vnesem e-pošto stranke, da napiše odgovor?
Z brezplačnim ali osebnim računom tega ne priporočamo. S poslovnim paketom, pogodbo o obdelavi in jasnimi internimi pravili je tveganje bistveno manjše. Pogosto lahko imena in kontaktne podatke pred vnosom preprosto odstranite.
Kdo v Sloveniji nadzoruje varstvo osebnih podatkov?
Informacijski pooblaščenec Republike Slovenije. Na njegovi spletni strani so smernice in odgovori na pogosta vprašanja, tudi o umetni inteligenci.
Preberite tudi
Opišite ga. Povemo vam, ali ga znamo rešiti.
Ni prodajnega klica in ni obveznosti. Vsak opis preberemo sami. Če je problem nekaj, kar znamo dobro narediti, se vam oglasimo s predlogom. Če ni, vam to povemo in po možnosti priporočimo, kdo bi lahko pomagal.