Čo vyžaduje GDPR pri nasadení AI?
- Zmluvu so sprostredkovateľom (článok 28). Upravuje, čo dodávateľ s údajmi smie robiť, kto sú jeho subdodávatelia a čo sa stane s dátami po skončení spolupráce.
- Minimalizáciu údajov (článok 5). AI dostane len to, čo na úlohu potrebuje.
- Pravidlá prenosu mimo EÚ (kapitola V). Najjednoduchšie je, keď údaje zostanú v EÚ alebo vo vašej sieti.
- Posúdenie vplyvu (článok 35), ak spracúvanie predstavuje vysoké riziko pre ľudí, ktorých sa údaje týkajú.
Trénuje AI na našich dátach?
Pri firemných rozhraniach nie. Poskytovatelia podnikových API zmluvne vylučujú trénovanie modelov na údajoch zákazníkov. Iné je to pri bezplatných verejných aplikáciách, kde podmienky trénovanie často umožňujú. Preto by zamestnanci nemali vkladať firemné dáta do súkromných účtov chatbotov.
Ako chránime osobné údaje pri našich agentoch?
Pred spustením podpíšeme zmluvu o spracúvaní, dáta zostávajú v EÚ alebo priamo u vás a pri citlivých agendách do jazykového modelu odchádzajú len anonymizované úryvky textu. Agent má minimálne oprávnenia a každý krok sa zaznamenáva. Podrobnosti sú na stránke bezpečnosť dát.
Na čo si dať pozor vo vlastnej firme?
Spíšte, ktoré AI nástroje zamestnanci smú používať a s akými údajmi. Osobné údaje zákazníkov, mzdy a zdravotné údaje nepatria do verejných chatbotov. Ak AI rozhoduje o ľuďoch, napríklad pri výbere zamestnancov, posúďte riziká vopred a zapojte zodpovednú osobu.
Zhrnutie
AI a GDPR sa nevylučujú. Potrebná je zmluva o spracúvaní, dáta v EÚ alebo u vás, minimum údajov a jasné pravidlá pre zamestnancov.