GDPR ja AI vestlusrobotid

Isegi lihtne tugivestlusrobot kogub isikuandmeid: identifikaatorid nagu e-post või telefoninumber, tellimise ja kohaletoimetamise üksikasjad, sõnumite sisu ja tehnilised andmed nagu IP-aadress. Kuna kasutajad saavad vabalt kirjutada, võivad nad jagada ka teavet, mida ettevõte kunagi ei küsinud, sealhulgas tundlikke andmeid nagu terviseandmed. Prantsusmaa andmekaitseasutus CNIL soovitab hoiatada kasutajaid enne vestlust, et nad ei jagaks tundlikke andmeid, kui see pole vajalik.

See leht annab üldist teavet GDPR-i (määrus (EL) 2016/679) kohta. See ei ole õigusnõuanne; oma olukorra puhul konsulteerige oma andmekaitseametniku või advokaadiga.

Ettevõte, mis otsustab, miks ja kuidas vestlusrobotit kasutatakse, on üldiselt andmete vastutav töötleja. Tal peab olema iga eesmärgi jaoks õiguslik alus — näiteks lepingute täitmine kliendi tellimusküsimusele vastamisel. Ta peab teavitama kasutajaid (artiklid 13 ja 14): kes on andmete vastutav töötleja, eesmärgid, õiguslik alus, saajad, säilitamisperiood ja õigused. Ta peaks koguma ainult seda, mis on eesmärgiks vajalik, seadma säilitamisperioodid ja võimaldama inimestel kasutada oma õigusi juurdepääsule, parandamisele ja kustutamisele.

Vestlusrobotite pakkuja tegutseb tavaliselt töötlejana ja peab olema seotud lepinguga, mis vastab artikli 28 nõuetele. Kui isikuandmed edastatakse EL-ist väljapoole — näiteks mudelipakkujale Ameerika Ühendriikides — kehtivad peatüki V edastusreeglid.

Kontrollige, kas vestlusandmeid kasutatakse mudelite koolitamiseks või parandamiseks, kelle poolt ja kas seda saab välja lülitada. Teadke, kus keelemudel töötab, kuna sisendid sisaldavad isikuandmeid. Olge ettevaatlikud otsuste tegemisel, millel on juriidilised või sarnased olulised tagajärjed — näiteks tagasimakse keeldumine —, mis tehakse ainult automatiseeritud meetoditega, mida piirab artikkel 22. Suuremate rakenduste puhul võib olla vajalik andmekaitse mõju hindamine.

Euroopa Andmekaitse Nõukogu arvamus 28/2024 lisab, et isikuandmetel koolitatud AI mudelid ei ole automaatselt anonüümsed, mis on oluline mudelipakkujate valimisel. EL-i AI seadus nõuab eraldi, et inimesi teavitataks, et nad räägivad AI-ga.

AI SmartTalk on Prantsuse ettevõte ja majutab platvormi Prantsusmaal. Assistendid kasutavad vaikimisi EL-is majutatud AI mudeleid; administraator võib valida mitte-EL mudeli, nagu OpenAI või Anthropic, ja rakendus küsib iga kord, kui üks valitakse, selget nõusolekut. Vestlusandmeid hoitakse kuni assistendi või konto kustutamiseni, püsiv kustutamine toimub 30 päeva pärast konto kustutamise taotlust, nagu on kirjeldatud privaatsuspoliitikas. Ettevõtted jäävad vastutavaks oma külastajate teavitamise eest.