GDPR ja AI-chatbotit

Jopa yksinkertainen tukichatbot kerää henkilötietoja: tunnisteita, kuten sähköposti tai puhelinnumero, tilaus- ja toimitustiedot, viestien sisältö ja teknisiä tietoja, kuten IP-osoite. Koska käyttäjät voivat kirjoittaa vapaasti, he saattavat jakaa myös tietoja, joita yritys ei koskaan kysynyt, mukaan lukien arkaluontoisia tietoja, kuten terveyteen liittyviä tietoja. Ranskan tietosuojaviranomainen CNIL suosittelee varoittamaan käyttäjiä ennen keskustelua, ettei arkaluontoisia tietoja tulisi jakaa, ellei se ole tarpeen.

Tämä sivu antaa yleistä tietoa GDPR:stä (asetus (EU) 2016/679). Se ei ole oikeudellista neuvontaa; omaa tilannettasi varten ota yhteyttä tietosuojavastaavaasi tai asianajajaan.

Yritys, joka päättää, miksi ja miten chatbotia käytetään, on yleensä rekisterinpitäjä. Sen on oltava laillinen peruste jokaiselle tarkoitukselle — esimerkiksi sopimuksen täyttäminen asiakkaan tilauskysymykseen vastaamisessa. Sen on tiedotettava käyttäjille (artiklat 13 ja 14): kuka rekisterinpitäjä on, tarkoitukset, laillinen peruste, vastaanottajat, säilytysaika ja oikeudet. Sen tulisi kerätä vain sen, mitä tarkoitus vaatii, asettaa säilytysaikoja ja antaa ihmisten käyttää oikeuksiaan pääsyyn, oikaisuun ja poistamiseen.

Chatbotin tarjoaja toimii yleensä käsittelijänä ja sen on oltava sidottu sopimukseen, joka täyttää artiklan 28. Jos henkilötietoja siirretään EU:n ulkopuolelle — esimerkiksi mallitoimittajalle Yhdysvalloissa — sovelletaan luvun V siirtosääntöjä.

Tarkista, käytetäänkö keskustelutietoja mallien kouluttamiseen tai parantamiseen, kuka niitä käyttää ja voidaanko se kytkeä pois päältä. Tiedä, missä kielimalli toimii, koska kehotteet sisältävät henkilötietoja. Ole varovainen päätöksissä, joilla on oikeudellisia tai vastaavanlaisia merkittäviä vaikutuksia — esimerkiksi hyvityksen kieltäminen — jotka tehdään pelkästään automatisoiduilla keinoilla, mitä artikla 22 rajoittaa. Suuremmissa käyttöönottoissa saatetaan tarvita tietosuojavaikutusten arviointi.

Euroopan tietosuojaneuvoston lausunto 28/2024 lisää, että henkilötiedoilla koulutetut AI-mallit eivät ole automaattisesti anonyymejä, mikä on tärkeää mallitoimittajia valittaessa. EU:n AI-asetus vaatii erikseen kertomaan ihmisille, että he keskustelevat AI:n kanssa.

AI SmartTalk on ranskalainen yritys ja isännöi alustaa Ranskassa. Avustajat käyttävät oletusarvoisesti EU:ssa isännöityjä AI-malleja; järjestelmänvalvoja voi valita EU:n ulkopuolisen mallin, kuten OpenAI:n tai Anthropicin, ja sovellus pyytää erillistä suostumusta joka kerta, kun yksi valitaan. Keskustelutietoja säilytetään, kunnes avustaja tai tili poistetaan, pysyvä poistaminen tapahtuu 30 päivää tilin poistopyynnön jälkeen, kuten tietosuojakäytännössä kuvataan. Yritykset ovat edelleen vastuussa omien kävijöidensä tiedottamisesta.