Smiju li se podaci o klijentima unositi u AI sustave?

Napomena Ovaj članak smješta temu i ne zamjenjuje pravni savjet. Što vrijedi za vaš konkretan slučaj, ovisi o vašim podacima, vašoj svrsi i vašem pružatelju – i treba to jednom provjeriti netko tko za to odgovara.

Najvažnije ukratko

Osobni podaci smiju u AI sustav ako postoji ugovor o obradi, ako je razjašnjeno mjesto obrade i ako je upotreba za treniranje ugovorno isključena.
Postavka u računu nije dovoljna. Vrijedi ugovorno obećanje – postavke se mogu promijeniti, i to nehotice.
Besplatni pristupi i privatni računi za podatke o klijentima načelno nisu prikladni, neovisno o pružatelju.
Najčešća povreda nije svjesna odluka nego zaposlenik koji umetne tekst klijenta radi preoblikovanja.

Malo koja tema u tvrtkama izaziva toliko nesigurnosti – i toliko malo konkretnih pravila. U praksi to obično teče ovako: netko koristi AI alat za svakodnevni posao, pritom u nekom trenutku umetne upit klijenta, a nitko nikad nije odredio je li to dopušteno.

Dobra vijest: pravno je stanje jasnije nego što stanje rasprave daje naslutiti. Radi se o tri pitanja.

Svjetleće čestice obavija prozirna ovojnica, druge promiču izvana — Granica ne prolazi između dopuštenog i zabranjenog nego između uređenog i neuređenog.

Tri pitanja

Što mora biti riješeno prije prvog unosa

1. Postoji li ugovor o obradi?: Tko osobne podatke daje na obradu pružatelju usluge, za to treba ugovor – u EU prema članku 28. GDPR-a, u Švicarskoj prema revidiranom Zakonu o zaštiti podataka. Bez tog ugovora obrada je nedopuštena, neovisno o tome koliko pružatelj tehnički sigurno radi.
2. Gdje se podaci obrađuju?: Unutar EU odnosno Švicarske to nije problematično. Kod obrade u trećim zemljama treba održiv temelj – primjerice odluku o primjerenosti ili standardne ugovorne klauzule. Provjerite što pružatelj o tome jamči i nudi li mjesto obrade u Europi.
3. Je li upotreba za treniranje isključena?: Točka po kojoj se poslovni i privatni pristupi najjasnije razlikuju. Odlučna nije sklopka u postavkama nego ugovorno obećanje. Sklopka se može premjestiti, od strane neke osobe, nehotice, pri promjeni proizvoda.

Jeste li znali?

GDPR vrijedi i za švicarske tvrtke čim obrađuju podatke osoba u EU – primjerice kod klijenata, zainteresiranih ili primatelja newslettera iz područja EU. Sjedište u Švicarskoj samo po sebi ne oslobađa.

Obrnuto, revidirani švicarski Zakon o zaštiti podataka vrijedi za obrade povezane sa Švicarskom. Mnoge tvrtke moraju dakle ispuniti oboje – što u praksi obično znači ravnati se po strožem mjerilu.

Što je uopće osobni podatak

Ovdje je najčešća pogrešna procjena. Osobno nije samo ime u nekom polju nego sve što neku osobu čini odredivom.

Nedvojbeno osobni podaci

Imena, adrese e-pošte, telefonski brojevi, poštanske adrese, brojevi klijenata u vezi s imenom, fotografije.

Postupanje: samo uz uređen okvir

Često se previdi

Upit klijenta u doslovnom obliku. Zapisnik razgovora. Ponuda s nazivom tvrtke i osobom za kontakt. Poruka s pritužbom koju treba preoblikovati.

Postupanje: isto kao gore – to se redovito podcjenjuje

Uglavnom neproblematično

Zbrojene brojke bez veze s pojedincem. Javno dostupni tržišni podaci. Vlastiti tekstovi bez veze s osobama.

Postupanje: po vlastitoj prosudbi

Osobito zaštićeni

Podaci o zdravlju, navodi o vjeri, sindikalnom članstvu, spolnom životu, biometrijski podaci. Ovdje vrijede znatno stroži zahtjevi.

Postupanje: ne bez pravne provjere u pojedinom slučaju

Što biste trebali pitati pružatelja

Dvije geometrijske plohe susreću se uzduž precizno povučenog svjetlosnog spoja — Ugovor je pravi spoj. Bez njega ništa ne pristaje, koliko god tehnika bila dobra.

Ovih šest pitanja može se postaviti e-poštom i na njih treba odgovoriti pisanim putem. Tko kod nekog od njih izbjegne odgovor, odgovorio je na pitanje.

Upit pružatelju

1. Stavljate li na raspolaganje ugovor o obradi prema čl. 28. GDPR-a?
   Molimo pošaljite nam ogledni ugovor.

2. U kojim se zemljama podaci obrađuju i pohranjuju?
   Nudite li obradu isključivo unutar EU?

3. Je li upotreba naših unosa za treniranje modela
   ugovorno isključena – ne samo postavkom u računu?

4. Koliko se dugo pohranjuju unosi i ispisi te kako
   možemo zatražiti brisanje?

5. Koje podizvršitelje obrade koristite i kako ćemo
   biti obaviješteni o promjenama?

6. Kako nam pomažete kod zahtjeva za pristup i brisanje
   od strane ispitanika?

Treće je pitanje odlučujuće. «Ne koristimo vaše podatke za treniranje» u marketinškoj izjavi nešto je drugo od iste izjave u ugovoru.

Pravilo koje doista funkcionira

Iz prakse

Većina povreda ne nastaje svjesnom odlukom uprave nego u svakodnevici: netko ima pred sobom tešku poruku klijenta i umetne je kako bi dobio formuliran odgovor. To je razumljivo, učinkovito – i ovisno o okviru nedopušteno.

Ono što u praksi djeluje nije obuka o pravnim osnovama nego jedno jedino jasno pravilo koje svatko može zapamtiti. Kod nas ono glasi: ono što sadrži ime ide samo u odobreni sustav. Sve ostalo je slobodno.

Ta formulacija pravno nije potpuna – postoje osobni podaci bez imena. Ali se poštuje, a to vrijedi više od ispravnog pravila kojeg se nitko ne sjeća.

Savjet Kad je odobreni sustav na raspolaganju, broj povreda pada znatno jače nego zbog bilo kakve upute. Razlog je jednostavan: većina ljudi ne zaobilazi pravilo iz inata nego zato što želi obaviti svoj posao, a dopuštenog puta ne vidi.

Anonimizacija kao međurješenje

Gdje odobreni sustav nije na raspolaganju, veza s osobom često se može ukloniti prije nego što se tekst unese. Od «Gospodin Marić iz građevinske tvrtke Kovač žali se na zakašnjelu isporuku od 12. lipnja» nastaje «Klijent se žali na zakašnjelu isporuku».

Uz to idu dva ograničenja. Prvo: ako ostane dovoljno pojedinosti, osoba je opet odrediva – navodi o mjestu, oznake djelatnosti i datumi u kombinaciji za to često dostaju. Drugo: ono što je bitno za zadatak ne smije otpasti, inače je rezultat bezvrijedan.

Kao pravilo palca: za pomoć pri formuliranju anonimizacija dobro funkcionira. Za sve što treba konkretan slučaj ne funkcionira – ondje nema zaobilaženja uređenog sustava.

Zaključak

Na pitanje se može odgovoriti, i to prije nego što se išta dogodi. Razjasniti tri točke, sklopiti ugovor, odobriti jedan sustav i formulirati pravilo koje se može zapamtiti – to je jedno poslijepodne rada i jedan račun odvjetnika.

Koliko stoji ako se to ne učini, teže je izraziti brojkom. Raspon novčanih kazni je jedno. Drugo je klijent koji pita što se dogodilo s njegovim podacima – a kojem se ne može dati čvrst odgovor.

Česta pitanja

Smiju li se podaci o klijentima unositi u ChatGPT?

Samo uz ugovor o obradi, razjašnjeno mjesto obrade i ugovorno isključenu upotrebu za treniranje. Kod besplatnih pristupa i privatnih računa te pretpostavke u pravilu nisu ispunjene. Kod poslovnih ponuda mogu se provjeriti – a to ide prije prvog unosa.

Vrijedi li GDPR za švicarske tvrtke?

Da, čim se obrađuju podaci osoba u EU. Sjedište u Švicarskoj samo po sebi ne oslobađa. Dodatno vrijedi revidirani švicarski Zakon o zaštiti podataka. Mnoge tvrtke moraju ispuniti oboje i zato se ravnaju po strožem mjerilu.

Je li dovoljno u postavkama isključiti treniranje?

Ne. Postavka se može promijeniti – od strane neke osobe, nehotice ili pri promjeni proizvoda. Vrijedi ugovorno obećanje. Tko samo prebaci sklopku, nema čvrst temelj.

Što se smatra osobnim podatkom?

Sve što neku osobu čini odredivom – ne samo ime. Tu spadaju i doslovni upiti klijenata, zapisnici razgovora i ponude s osobom za kontakt. Upravo se ti slučajevi u svakodnevici najčešće previđaju.

Pomaže li anonimizirati tekst unaprijed?

Za zadatke formuliranja da. Važno je da osoba nakon toga doista više nije odrediva – mjesto, djelatnost i datum u kombinaciji često opet daju vezu. Za zadatke kojima treba konkretan slučaj anonimizacija nije zamjena za uređen okvir.

Koje je najizvedivije pravilo za tim?

Ono koje se može zapamtiti: ono što sadrži ime ide samo u odobreni sustav. Pravno nije potpuno, ali se u svakodnevici poštuje – a to djeluje više od ispravnog pravila kojeg se nitko ne sjeća. Važnije od pravila ipak je da odobreni sustav uopće postoji.

Marketing koji se sam postavlja

Beta verzija Studio Enginea je otvorena. Osigurajte mjesto i sudjelujte od početka.

Pridruži se beti →

← Natrag na pregled