Este permis să introduci date de clienți în sisteme IA?
Întrebarea se pune de obicei prea târziu – adică după ce primele date au fost deja introduse. Acest articol încadrează situația juridică, numește cele trei puncte care trebuie clarificate înainte de prima utilizare și oferă întrebările pe care ar trebui să i le puneți furnizorului.
Pe scurt
- Datele cu caracter personal pot ajunge într-un sistem IA dacă există un contract de prelucrare, dacă locul prelucrării este clarificat și dacă folosirea la antrenament a fost exclusă contractual.
- O setare în cont nu este suficientă. Ce contează este angajamentul contractual – setările pot fi modificate, inclusiv din greșeală.
- Accesele gratuite și conturile private sunt în principiu nepotrivite pentru datele clienților, indiferent de furnizor.
- Cea mai frecventă încălcare nu este decizia conștientă, ci angajatul care inserează un text al unui client pentru a-l reformula.
Puține teme provoacă în companii atâta nesiguranță – și atât de puține reglementări concrete. În practică lucrurile decurg de obicei așa: cineva folosește o unealtă IA pentru munca zilnică, inserează la un moment dat o solicitare a unui client, iar nimeni nu a stabilit vreodată dacă acest lucru este permis.
Vestea bună: situația juridică este mai clară decât lasă să se creadă stadiul discuției. Este vorba de trei întrebări.
Cele trei întrebări
Ce trebuie clarificat înainte de prima introducere
- 1. Există un contract de prelucrare?
- Cine lasă date cu caracter personal să fie prelucrate de un prestator are nevoie de un contract pentru asta – în UE conform articolului 28 din RGPD, în Elveția conform legii revizuite privind protecția datelor. Fără acest contract, prelucrarea este nepermisă, indiferent cât de sigur lucrează furnizorul din punct de vedere tehnic.
- 2. Unde sunt prelucrate datele?
- În interiorul UE, respectiv al Elveției, lucrurile sunt neproblematice. La prelucrarea în țări terțe este nevoie de un temei solid – de pildă o decizie privind caracterul adecvat sau clauze contractuale standard. Verificați ce anume promite furnizorul în această privință și dacă oferă un loc de prelucrare în Europa.
- 3. Este exclusă folosirea la antrenament?
- Punctul în care accesele de afaceri și cele private se deosebesc cel mai clar. Decisiv nu este un comutator în setări, ci un angajament contractual. Un comutator poate fi schimbat, de o persoană, din greșeală, la o schimbare de produs.
Știai că…?
RGPD este valabil și pentru companiile elvețiene, de îndată ce prelucrează date ale unor persoane din UE – de pildă la clienți, potențiali clienți sau destinatari de newsletter din spațiul UE. Sediul în Elveția singur nu scutește.
Invers, legea elvețiană revizuită privind protecția datelor se aplică prelucrărilor cu legătură cu Elveția. Multe companii trebuie deci să îndeplinească ambele – ceea ce în practică înseamnă de regulă orientarea după criteriul mai strict.
Ce înseamnă de fapt date cu caracter personal
Aici stă cea mai frecventă apreciere greșită. Cu caracter personal nu este doar numele dintr-un câmp, ci tot ce face o persoană identificabilă.
Clar cu caracter personal
Nume, adrese de e-mail, numere de telefon, adrese poștale, numere de client în legătură cu un nume, fotografii.
Tratare: doar într-un cadru reglementatAdesea trecut cu vederea
O solicitare a unui client, cuvânt cu cuvânt. Un proces-verbal de discuție. O ofertă cu numele firmei și persoana de contact. Un e-mail de reclamație dat spre reformulare.
Tratare: aceeași ca mai sus – lucrul acesta este subestimat regulatDe regulă neproblematic
Cifre agregate fără legătură individuală. Date de piață disponibile public. Texte proprii fără legătură cu persoane.
Tratare: la propria apreciereDeosebit de sensibile
Date de sănătate, informații despre religie, apartenență sindicală, viață sexuală, date biometrice. Aici se aplică cerințe considerabil mai stricte.
Tratare: nu fără verificare juridică de la caz la cazCe ar trebui să îl întrebați pe furnizor
Aceste șase întrebări se pot pune prin e-mail și ar trebui să primească răspuns în scris. Cine ocolește una dintre ele a răspuns deja la întrebare.
1. Puneți la dispoziție un contract de prelucrare conform art. 28 RGPD? Vă rugăm să ne trimiteți contractul-model. 2. În ce țări sunt prelucrate și stocate datele? Oferiți o prelucrare exclusiv în interiorul UE? 3. Este exclusă contractual folosirea datelor introduse de noi la antrenarea modelelor – nu doar printr-o setare de cont? 4. Cât timp sunt păstrate datele introduse și rezultatele și cum putem solicita ștergerea lor? 5. Ce subîmputerniciți folosiți și cum suntem informați despre modificări? 6. Cum ne sprijiniți la cererile de acces și de ștergere ale persoanelor vizate?
Regula care funcționează cu adevărat
Majoritatea încălcărilor nu apar printr-o decizie conștientă a conducerii, ci în rutina zilnică: cineva are în față un e-mail dificil de la un client și îl inserează, ca să i se formuleze un răspuns. Este de înțeles, eficient – și, în funcție de cadru, nepermis.
Ce are efect în practică nu este o instruire despre temeiuri juridice, ci o singură regulă clară pe care fiecare o poate reține. La noi ea sună așa: ce conține un nume merge doar în sistemul avizat. Restul este liber.
Această formulare nu este completă din punct de vedere juridic – există date cu caracter personal fără nume. Dar este respectată, iar asta valorează mai mult decât o regulă corectă de care nu își amintește nimeni.
Anonimizarea ca soluție intermediară
Acolo unde nu este disponibil un sistem avizat, legătura cu persoana poate fi adesea îndepărtată înainte de introducerea textului. Din «Domnul Marin de la firma de construcții Alfa se plânge de livrarea întârziată din 12 iunie» devine «Un client se plânge de o livrare întârziată».
Două limitări fac parte din asta. În primul rând: dacă rămân suficiente amănunte, persoana devine din nou identificabilă – indicațiile de loc, denumirile de domeniu de activitate și datele calendaristice în combinație sunt adesea de ajuns pentru asta. În al doilea rând: ce este esențial pentru sarcină nu are voie să cadă, altfel rezultatul este lipsit de valoare.
Ca regulă practică: pentru ajutorul la formulare, anonimizarea funcționează bine. Pentru tot ce are nevoie de cazul concret nu funcționează – acolo nu există cale de ocolire a unui sistem reglementat.
Concluzie
Întrebarea are răspuns, iar acest răspuns poate fi dat înainte să se întâmple ceva. Clarificarea a trei puncte, încheierea unui contract, avizarea unui sistem și formularea unei reguli care se poate reține – asta înseamnă o după-amiază de muncă și o factură de la avocat.
Cât costă dacă nu o faci se poate cifra mai greu. Cadrul amenzilor este una. Cealaltă este clientul care întreabă ce s-a întâmplat cu datele lui – și căruia nu i se poate da un răspuns solid.
Întrebări frecvente
Este permis să introduci date de clienți în ChatGPT?
Numai cu un contract de prelucrare, cu locul prelucrării clarificat și cu folosirea la antrenament exclusă contractual. Pentru accesele gratuite și conturile private aceste condiții nu sunt de regulă îndeplinite. Pentru ofertele destinate clienților de afaceri ele pot fi verificate – iar asta trebuie făcut înainte de prima introducere.
Se aplică RGPD companiilor elvețiene?
Da, de îndată ce sunt prelucrate date ale unor persoane din UE. Sediul în Elveția singur nu scutește. În plus se aplică legea elvețiană revizuită privind protecția datelor. Multe companii trebuie să îndeplinească ambele și de aceea se orientează după criteriul mai strict.
Este suficient să dezactivezi antrenamentul din setări?
Nu. O setare poate fi modificată – de o persoană, din greșeală sau la o schimbare de produs. Ce contează este angajamentul contractual. Cine doar mută comutatorul nu are un temei solid.
Ce se consideră dată cu caracter personal?
Tot ce face o persoană identificabilă – nu doar numele. Aici intră și solicitările clienților cuvânt cu cuvânt, procesele-verbale de discuție și ofertele cu persoană de contact. Exact aceste cazuri sunt cel mai des trecute cu vederea în rutina zilnică.
Ajută să anonimizezi textul în prealabil?
Pentru sarcinile de formulare da. Important este ca persoana să nu mai fie apoi într-adevăr identificabilă – locul, domeniul de activitate și data dau în combinație adesea din nou o legătură. Pentru sarcinile care au nevoie de cazul concret, anonimizarea nu înlocuiește un cadru reglementat.
Care este cea mai practicabilă regulă pentru o echipă?
Una care se poate reține: ce conține un nume merge doar în sistemul avizat. Nu este completă juridic, dar este respectată în rutina zilnică – iar asta are mai mult efect decât o regulă corectă de care nu își amintește nimeni. Mai important decât regula este însă ca un sistem avizat să fie în general disponibil.
Marketing care se configurează singur
Beta Studio Engine este deschisă. Rezervă-ți locul și contribuie de la început.
Participă la beta →