AI a GDPR: ako používať umelú inteligenciu s osobnými údajmi
AI nástroje pracujú s textom, ktorý im dáte, a ten často obsahuje osobné údaje: mená, e-maily, adresy, objednávky. GDPR pri tom platí rovnako ako pri iných systémoch. Neznamená to, že AI nemôžete používať, ale treba to robiť premyslene.
Základné otázky
- Aké údaje AI spracúva: naozaj potrebuje mená a kontakty, alebo stačí obsah požiadavky?
- Na akom právnom základe: napríklad plnenie zmluvy pri vybavení objednávky alebo oprávnený záujem.
- Kto je sprostredkovateľ: poskytovateľ AI služby spracúva údaje vo vašom mene a potrebujete s ním zmluvu o spracúvaní.
- Kde sa údaje spracúvajú: v EÚ, alebo sa prenášajú inam a na akom základe.
Trénovanie na vašich dátach
Pri spotrebiteľských verziách AI nástrojov sa vstupy môžu podľa nastavení používať na zlepšovanie modelov. Firemné a API služby veľkých poskytovateľov to zvyčajne v predvolenom stave nerobia. Pred použitím si overte podmienky a nastavenia konkrétnej služby a zamestnancom určte, ktoré nástroje smú používať.
Praktické opatrenia
- Minimalizácia: posielajte AI len údaje, ktoré na úlohu potrebuje.
- Anonymizácia: kde sa dá, nahraďte mená a kontakty zástupnými údajmi.
- Doba uchovávania: nastavte, ako dlho sa vstupy a výstupy uchovávajú.
- Prístupy: obmedzte, kto k automatizáciám a ich záznamom má prístup.
- Záznamy: zaznamenávajte, čo AI spravila, aby ste vedeli odpovedať na otázky zákazníkov.
Informovanie zákazníkov
V zásadách ochrany osobných údajov uveďte, že na spracovanie využívate aj AI služby a kto sú sprostredkovatelia. Pri chatbotoch treba ľuďom povedať, že komunikujú s AI, čo vyžaduje aj AI Act. Viac v článku AI Act pre firmy.
Automatizované rozhodovanie
Ak by AI sama rozhodovala o niečom, čo má pre človeka právne alebo podobne závažné následky, GDPR kladie ďalšie požiadavky vrátane práva na ľudský zásah. Pri bežných automatizáciách nechávame dôležité rozhodnutia vždy na človeku.
Tento článok nenahrádza právne poradenstvo. Automatizácie navrhujeme tak, aby spracúvali len nevyhnutné údaje a dali sa zosúladiť s vašimi povinnosťami podľa GDPR.
