GDPR og AI-chatbots

Selv en simpel supportchatbot indsamler persondata: identifikatorer såsom en e-mail eller telefonnummer, ordre- og leveringsoplysninger, indholdet af beskeder og tekniske data såsom en IP-adresse. Fordi brugere kan skrive frit, kan de også dele oplysninger, som virksomheden aldrig har bedt om, herunder følsomme data såsom sundhedsoplysninger. Frankrigs databeskyttelsesmyndighed, CNIL, anbefaler at advare brugerne før samtalen om ikke at dele følsomme data, medmindre det er nødvendigt.

Denne side giver generel information om GDPR (Forordning (EU) 2016/679). Det er ikke juridisk rådgivning; for din egen situation, konsulter din databeskyttelsesansvarlige eller en advokat.

Den virksomhed, der beslutter hvorfor og hvordan chatbotten bruges, er generelt kontrolpersonen. Den har brug for et juridisk grundlag for hvert formål — for eksempel at udføre en kontrakt, når den svarer på et kundespørgsmål om ordre. Den skal informere brugerne (artikler 13 og 14): hvem kontrolpersonen er, formål, juridisk grundlag, modtagere, opbevaringsperiode og rettigheder. Den bør kun indsamle det, som formålet kræver, fastsætte opbevaringsperioder og lade folk udøve deres rettigheder til adgang, berigtigelse og sletning.

Chatbot-udbyderen fungerer normalt som en behandler og skal være bundet af en kontrakt, der opfylder artikel 28. Hvis persondata sendes til et land uden for EU — for eksempel til en modeludbyder i USA — gælder overførselsreglerne i kapitel V.

Tjek om samtaledata bruges til at træne eller forbedre modeller, af hvem, og om det kan slås fra. Vær opmærksom på, hvor sprogmodellen kører, da prompts indeholder persondata. Vær forsigtig med beslutninger, der har juridiske eller lignende betydelige virkninger — for eksempel at nægte en refundering — truffet udelukkende ved automatiserede midler, som artikel 22 begrænser. For større implementeringer kan en vurdering af databeskyttelsespåvirkningen være nødvendig.

Den Europæiske Databeskyttelsesråds udtalelse 28/2024 tilføjer, at AI-modeller, der er trænet på persondata, ikke automatisk er anonyme, hvilket er vigtigt, når man vælger modeludbydere. EU's AI-lov kræver desuden at informere folk om, at de taler med en AI.

AI SmartTalk er et fransk firma og hoster platformen i Frankrig. Assistenter bruger som standard AI-modeller, der er hostet i Den Europæiske Union; en administrator kan vælge en ikke-EU-model som OpenAI eller Anthropic, og applikationen beder om eksplicit samtykke hver gang en vælges. Samtaledata opbevares, indtil assistenten eller kontoen slettes, med permanent sletning 30 dage efter en anmodning om kontosletning, som beskrevet i privatlivspolitikken. Virksomheder forbliver ansvarlige for at informere deres egne besøgende.