Smějí se zákaznická data vkládat do systémů AI?

Poznámka Tento článek téma zařazuje a nenahrazuje právní poradenství. Co platí pro váš konkrétní případ, závisí na vašich datech, vašem účelu a vašem poskytovateli – a patří to nechat jednou posoudit někým, kdo za to ručí.

To nejdůležitější

Osobní údaje smějí do systému AI tehdy, když existuje smlouva o zpracování osobních údajů, je vyjasněné místo zpracování a použití k trénování je smluvně vyloučeno.
Nastavení v účtu nestačí. Co se počítá, je smluvní příslib – nastavení se dá změnit, i nedopatřením.
Bezplatné přístupy a soukromé účty jsou pro zákaznická data zásadně nevhodné, nezávisle na poskytovateli.
Nejčastějším porušením není vědomé rozhodnutí, ale zaměstnanec, který vloží zákaznický text k přeformulování.

Málokteré téma vyvolává ve firmách tolik nejistoty – a tak málo konkrétních pravidel. V praxi to většinou probíhá takto: někdo používá nástroj AI pro každodenní práci, někdy přitom vloží zákaznický dotaz a nikdo nikdy nestanovil, jestli je to povolené.

Dobrá zpráva: právní situace je jasnější, než by se ze stavu diskuse zdálo. Jde o tři otázky.

Zářící částice jsou obklopeny průsvitným obalem, jiné plují vně kolem — Hranice nevede mezi povoleným a zakázaným, ale mezi ošetřeným a neošetřeným.

Tři otázky

Co musí být vyjasněno před prvním vložením

1. Existuje smlouva o zpracování osobních údajů?: Kdo nechává osobní údaje zpracovávat poskytovatelem služby, potřebuje k tomu smlouvu – v EU podle článku 28 GDPR, ve Švýcarsku podle revidovaného zákona o ochraně osobních údajů. Bez této smlouvy je zpracování nepřípustné, nezávisle na tom, jak bezpečně poskytovatel technicky pracuje.
2. Kde se data zpracovávají?: Uvnitř EU, respektive Švýcarska, je to bez potíží. Při zpracování ve třetích zemích je potřeba nosný podklad – například rozhodnutí o odpovídající ochraně nebo standardní smluvní doložky. Ověřte, co k tomu poskytovatel slibuje a jestli nabízí místo zpracování v Evropě.
3. Je použití k trénování vyloučeno?: Bod, ve kterém se firemní a soukromé přístupy liší nejzřetelněji. Rozhodující není přepínač v nastavení, ale smluvní příslib. Přepínač se dá přehodit – jedním člověkem, nedopatřením, při změně produktu.

Věděli jste, že…?

GDPR platí i pro švýcarské firmy, jakmile zpracovávají údaje osob v EU – například u zákazníků, zájemců nebo odběratelů newsletteru z prostoru EU. Samotné sídlo ve Švýcarsku od toho neosvobozuje.

Naopak revidovaný švýcarský zákon o ochraně osobních údajů platí pro zpracování s vazbou na Švýcarsko. Mnoho firem tedy musí splnit obojí – což v praxi většinou znamená řídit se přísnějším měřítkem.

Co je vlastně osobní údaj

Tady leží nejčastější chybný odhad. Osobní není jen jméno v políčku, ale všechno, co činí osobu určitelnou.

Jednoznačně osobní

Jména, e-mailové adresy, telefonní čísla, adresy, zákaznická čísla ve spojení se jménem, fotografie.

Zacházení: jen v ošetřeném rámci

Často přehlédnuté

Zákaznický dotaz v doslovném znění. Zápis z jednání. Nabídka s názvem firmy a kontaktní osobou. Stížnostní e-mail k přeformulování.

Zacházení: stejné jako výše – tohle se pravidelně podceňuje

Většinou bez potíží

Agregovaná čísla bez vazby na jednotlivce. Veřejně dostupná tržní data. Vlastní texty bez vazby na osoby.

Zacházení: podle vlastního uvážení

Zvláště chráněné

Údaje o zdraví, údaje o náboženství, členství v odborech, sexuálním životě, biometrické údaje. Zde platí výrazně přísnější požadavky.

Zacházení: ne bez právního posouzení v jednotlivém případě

Na co byste se měli poskytovatele zeptat

Dvě geometrické plochy se setkávají podél přesného světelného švu — Smlouva je ten vlastní spoj. Bez ní k sobě nic nesedí, ať je technika jakkoli dobrá.

Těchto šest otázek se dá položit e-mailem a měly by být zodpovězeny písemně. Kdo se u některé z nich vykroutí, tím ji zodpověděl.

Dotaz na poskytovatele

1. Poskytujete smlouvu o zpracování osobních údajů podle čl. 28 GDPR?
   Zašlete nám prosím vzorovou smlouvu.

2. Ve kterých zemích se data zpracovávají a ukládají?
   Nabízíte zpracování výhradně uvnitř EU?

3. Je použití našich vstupů k trénování modelů
   smluvně vyloučeno – ne jen přes nastavení účtu?

4. Jak dlouho se vstupy a výstupy uchovávají a jak
   můžeme zařídit jejich výmaz?

5. Které další zpracovatele nasazujete a jak
   nás informujete o změnách?

6. Jak nás podpoříte při žádostech o přístup a výmaz
   ze strany dotčených osob?

Třetí otázka je ta rozhodující. «Vaše data nepoužíváme k trénování» v marketingovém sdělení je něco jiného než totéž tvrzení ve smlouvě.

Pravidlo, které skutečně funguje

Z praxe

Většina porušení nevzniká vědomým rozhodnutím vedení, ale v běžném provozu: někdo má před sebou obtížný zákaznický e-mail a vloží ho, aby si nechal zformulovat odpověď. Je to pochopitelné, efektivní – a podle rámce nepřípustné.

Co v praxi funguje, není školení o právních základech, ale jediné jasné pravidlo, které si každý zapamatuje. U nás zní: co obsahuje jméno, jde jen do schváleného systému. Všechno ostatní je volné.

Tato formulace není právně úplná – existují osobní údaje bez jména. Ale dodržuje se, a to má větší cenu než správné pravidlo, na které si nikdo nevzpomene.

Tip Když je schválený systém k dispozici, klesá počet porušení výrazně silněji než po jakémkoli pokynu. Důvod je prostý: většina lidí neobchází pravidlo ze vzdoru, ale protože chtějí udělat svou práci a nevidí povolenou cestu.

Anonymizace jako mezicesta

Tam, kde schválený systém k dispozici není, se dá vazba na osobu často odstranit dřív, než se text vloží. Z «pan Meier ze stavební firmy Schmidt si stěžuje na opožděnou dodávku z 12. června» se stane «zákazník si stěžuje na opožděnou dodávku».

Patří k tomu dvě omezení. Za prvé: když zbude dost podrobností, je osoba znovu určitelná – údaje o místě, označení oboru a datum v kombinaci k tomu často stačí. Za druhé: co je pro úlohu podstatné, nesmí vypadnout, jinak je výsledek bezcenný.

Jako pravidlo palce: pro pomoc s formulacemi anonymizace funguje dobře. Pro všechno, co potřebuje konkrétní případ, nefunguje – tam vede cesta jedině přes ošetřený systém.

Závěr

Ta otázka se zodpovědět dá, a dá se zodpovědět dřív, než se něco stane. Vyjasnit tři body, uzavřít smlouvu, schválit jeden systém a zformulovat pravidlo, které se dá zapamatovat – to je odpoledne práce a jedna faktura od právníka.

Co to stojí, když se to neudělá, se vyčísluje hůř. Rámec pokut je jedna věc. Druhá je zákazník, který se ptá, co se stalo s jeho daty – a kterému nedokážete dát průkaznou odpověď.

Časté otázky

Smějí se zákaznická data zadávat do ChatGPT?

Jen se smlouvou o zpracování osobních údajů, vyjasněným místem zpracování a smluvně vyloučeným použitím k trénování. U bezplatných přístupů a soukromých účtů tyto předpoklady zpravidla splněny nejsou. U nabídek pro firemní zákazníky se dají prověřit – a patří to před první vložení.

Platí GDPR pro švýcarské firmy?

Ano, jakmile se zpracovávají údaje osob v EU. Samotné sídlo ve Švýcarsku od toho neosvobozuje. Navíc platí revidovaný švýcarský zákon o ochraně osobních údajů. Mnoho firem musí splnit obojí, a proto se řídí přísnějším měřítkem.

Stačí vypnout trénování v nastavení?

Ne. Nastavení se dá změnit – jedním člověkem, nedopatřením nebo při změně produktu. Co se počítá, je smluvní příslib. Kdo jen přehodí přepínač, nemá průkazný podklad.

Co se považuje za osobní údaj?

Všechno, co činí osobu určitelnou – ne jen jméno. Patří sem i zákaznické dotazy v doslovném znění, zápisy z jednání a nabídky s kontaktní osobou. Právě tyto případy se v běžném provozu přehlížejí nejčastěji.

Pomůže text předem anonymizovat?

U úloh s formulacemi ano. Důležité je, aby osoba potom skutečně už nebyla určitelná – místo, obor a datum dají v kombinaci často znovu vazbu. U úloh, které potřebují konkrétní případ, není anonymizace náhradou za ošetřený rámec.

Jaké je nejpraktičtější pravidlo pro tým?

Takové, které se dá zapamatovat: co obsahuje jméno, jde jen do schváleného systému. Právně to není úplné, ale v běžném provozu se to dodržuje – a to působí víc než správné pravidlo, na které si nikdo nevzpomene. Důležitější než pravidlo je ovšem, aby schválený systém vůbec byl k dispozici.