GDPR en KI-kletsbots
Vinige definisie
‘n KI-kletsbot wat met mense in die EU praat, verwerk persoonlike data, so die besigheid wat dit bestuur, moet die Algemene Data Beskermingsregulasie (GDPR) op sy gesprekke toepas. Daardie data sluit name, e-posse, bestelbesonderhede en wat gebruikers tik in.
Op hierdie bladsy
Watter persoonlike data 'n kletsbot hanteer
Selfs 'n eenvoudige ondersteuningskletsbot versamel persoonlike data: identifiseerders soos 'n e-pos of telefoonnommer, bestel- en afleweringsbesonderhede, die inhoud van boodskappe, en tegniese data soos 'n IP-adres. Omdat gebruikers vrylik kan tik, kan hulle ook inligting deel wat die besigheid nooit gevra het nie, insluitend sensitiewe data soos gesondheidsbesonderhede. Frankryk se data beskermingsowerheid, die CNIL, beveel aan om gebruikers voor die gesprek te waarsku om sensitiewe data nie te deel tensy dit nodig is.
Hierdie bladsy gee algemene inligting oor die GDPR (Regulasie (EU) 2016/679). Dit is nie regsadvies nie; vir jou eie situasie, raadpleeg jou data beskermingsbeampte of 'n prokureur.
Hoofverpligtinge vir die besigheid
Die besigheid wat besluit waarom en hoe die kletsbot gebruik word, is oor die algemeen die beheerder. Dit het 'n regsbasis nodig vir elke doel — byvoorbeeld om 'n kontrak uit te voer wanneer 'n klant se bestelvraag beantwoord word. Dit moet gebruikers inlig (Artikel 13 en 14): wie die beheerder is, doele, regsbasis, ontvangers, bewaringstydperk en regte. Dit moet slegs insamel wat die doel vereis, bewaringstydperke stel, en mense toelaat om hul regte op toegang, regstelling en verwydering uit te oefen.
Die kletsbotverskaffer tree gewoonlik op as 'n verwerker en moet gebonde wees deur 'n kontrak wat Artikel 28 nakom. As persoonlike data na 'n land buite die EU gestuur word — byvoorbeeld na 'n modelverskaffer in die Verenigde State — is die oordragreëls van Hoofstuk V van toepassing.
Punte spesifiek vir KI
Kontroleer of gesprekdata gebruik word om modelle op te lei of te verbeter, deur wie, en of dit afgeskakel kan word. Weet waar die taalmodel loop, aangesien aanwysings persoonlike data bevat. Wees versigtig met besluite wat wettige of soortgelyk betekenisvolle gevolge het — om 'n terugbetaling te weier, byvoorbeeld — wat slegs deur geoutomatiseerde middele geneem word, wat Artikel 22 beperk. Vir groter implementasies mag 'n data beskermingsimpakassessering vereis word.
Die Europese Data Beskermingsraad se Opinie 28/2024 voeg by dat KI-modelle wat op persoonlike data opgelei is, nie outomaties anoniem is nie, wat belangrik is wanneer modelverskaffers gekies word. Die EU KI-wet vereis ook om mense te vertel dat hulle met 'n KI praat.
Hoe KI SmartTalk dit benader
KI SmartTalk is 'n Franse maatskappy en huisves die platform in Frankryk. Assistente gebruik KI-modelle wat standaard in die Europese Unie gehost word; 'n administrateur kan 'n nie-EU-model soos OpenAI of Anthropic kies, en die toepassing vra vir eksplisiete toestemming elke keer wanneer een gekies word. Gesprekdata word gehou totdat die assistent of rekening verwyder word, met permanente verwydering 30 dae na 'n rekeningverwyderingsversoek, soos beskryf in die privaatheidsbeleid. Besighede bly verantwoordelik om hul eie besoekers in te lig.
Gereelde vrae
Is dit wettig om 'n KI-kletsbot onder die GDPR te gebruik?
Ja. Die GDPR verbied nie kletsbots nie; dit stel reëls vir die persoonlike data wat hulle verwerk: 'n regsbasis, inligting aan gebruikers, minimalisering, sekuriteit, bewaringlimiete en respek vir mense se regte.
Het ek toestemming nodig om 'n kletsbot op my webwerf te gebruik?
Nie noodwendig vir die gesprek self nie, wat dikwels op 'n ander regsbasis kan staatmaak, soos om 'n versoek te beantwoord. Koekies of trackers wat deur die klets-widget gebruik word, mag toestemming benodig onder ePrivacy-reëls. Kontroleer met jou data beskermingsadviseur.
Kan klantgesprekke na 'n Amerikaanse KI-verskaffer gestuur word?
Slegs in ooreenstemming met die GDPR se reëls oor internasionale oordragte, byvoorbeeld onder 'n geskiktheidsbesluit of toepaslike waarborge, en met gebruikers ingelig. Die keuse van 'n EU-gehoste model vermy die vraag.
Vereis die GDPR dat gebruikers ingelig word dat hulle met 'n KI praat?
Die GDPR vereis deursigtigheid oor hoe persoonlike data verwerk word. Die spesifieke plig om te openbaar dat 'n persoon met 'n KI interaksie het, kom van die EU KI-wet, wat vanaf 2 Augustus 2026 van krag is.