GDPR и ИИ чатботове

Дори един прост чатбот за поддръжка събира лични данни: идентификатори като имейл или телефонен номер, детайли за поръчки и доставки, съдържанието на съобщенията и технически данни като IP адрес. Поради факта, че потребителите могат да пишат свободно, те също могат да споделят информация, която бизнесът никога не е искал, включително чувствителни данни като информация за здравето. Френският орган за защита на данните, CNIL, препоръчва да се предупреждават потребителите преди разговора да не споделят чувствителни данни, освен ако не е необходимо.

Тази страница предоставя обща информация за GDPR (Регламент (ЕС) 2016/679). Това не е правен съвет; за вашата собствена ситуация се консултирайте с вашия служител по защита на данните или адвокат.

Бизнесът, който решава защо и как се използва чатботът, обикновено е контролерът. Той се нуждае от правна основа за всяка цел — например изпълнение на договор при отговор на въпрос за поръчка на клиент. Трябва да информира потребителите (Членове 13 и 14): кой е контролерът, цели, правна основа, получатели, срок на съхранение и права. Трябва да събира само това, което целта изисква, да задава срокове за съхранение и да позволява на хората да упражняват правата си на достъп, корекция и изтриване.

Доставчикът на чатбот обикновено действа като обработващ и трябва да бъде обвързан с договор, който отговаря на Член 28. Ако лични данни се изпращат в страна извън ЕС — например на доставчик на модели в Съединените щати — важат правилата за прехвърляне от Глава V.

Проверете дали данните от разговорите се използват за обучение или подобряване на модели, от кого и дали това може да бъде изключено. Знайте къде работи езиковият модел, тъй като подканите съдържат лични данни. Бъдете внимателни с решения, които имат правни или подобно значими последици — отказ на възстановяване, например — взети единствено по автоматичен начин, което Член 22 ограничава. За по-големи внедрявания може да е необходимо оценяване на въздействието върху защитата на данните.

Мнението 28/2024 на Европейския комитет за защита на данните добавя, че ИИ модели, обучени на лични данни, не са автоматично анонимни, което е важно при избора на доставчици на модели. Регламентът на ЕС за ИИ отделно изисква да се информират хората, че говорят с ИИ.

ИИ SmartTalk е френска компания и хоства платформата във Франция. Асистентите използват ИИ модели, хоствани в Европейския съюз по подразбиране; администратор може да избере модел извън ЕС, като OpenAI или Anthropic, и приложението иска изрично съгласие всеки път, когато такъв бъде избран. Данните от разговорите се съхраняват до изтриването на асистента или акаунта, с окончателно изтриване 30 дни след искане за изтриване на акаунта, както е описано в политиката за поверителност. Бизнесите остават отговорни за информирането на собствените си посетители.