GDPR i AI chatbotovi

Čak i jednostavni chatbot za podršku prikuplja osobne podatke: identifikatore poput e-pošte ili broja telefona, detalje narudžbi i isporuka, sadržaj poruka i tehničke podatke poput IP adrese. Budući da korisnici mogu slobodno tipkati, mogu također podijeliti informacije koje tvrtka nikada nije tražila, uključujući osjetljive podatke poput zdravstvenih informacija. Francuska agencija za zaštitu podataka, CNIL, preporučuje upozoravanje korisnika prije razgovora da ne dijele osjetljive podatke osim ako to nije potrebno.

Ova stranica daje opće informacije o GDPR-u (Uredba (EU) 2016/679). To nije pravni savjet; za vašu vlastitu situaciju, konzultirajte svog službenika za zaštitu podataka ili odvjetnika.

Tvrtka koja odlučuje zašto i kako se chatbot koristi obično je voditelj obrade. Potrebna joj je pravna osnova za svaku svrhu — na primjer, izvršavanje ugovora kada odgovara na pitanje o narudžbi kupca. Mora obavijestiti korisnike (Članci 13 i 14): tko je voditelj obrade, svrhe, pravna osnova, primatelji, razdoblje zadržavanja i prava. Trebala bi prikupljati samo ono što svrha zahtijeva, postaviti razdoblja zadržavanja i omogućiti ljudima da ostvaruju svoja prava na pristup, ispravak i brisanje.

Pružatelj chatbota obično djeluje kao obrađivač i mora biti vezan ugovorom koji ispunjava Članak 28. Ako se osobni podaci šalju u zemlju izvan EU — na primjer, pružatelju modela u Sjedinjenim Državama — primjenjuju se pravila o prijenosu iz Poglavlja V.

Provjerite koristi li se podatkovni razgovor za obuku ili poboljšanje modela, tko to radi i može li se to isključiti. Znajte gdje se jezični model pokreće, budući da upiti sadrže osobne podatke. Budite oprezni s odlukama koje imaju pravne ili slične značajne učinke — odbijanje povrata, na primjer — koje se donose isključivo automatiziranim sredstvima, što Članak 22 ograničava. Za veće implementacije može biti potrebna procjena učinka na zaštitu podataka.

Mišljenje Europskog odbora za zaštitu podataka 28/2024 dodaje da modeli AI obučeni na osobnim podacima nisu automatski anonimni, što je važno prilikom odabira pružatelja modela. EU Zakon o AI odvojeno zahtijeva obavještavanje ljudi da razgovaraju s AI.

AI SmartTalk je francuska tvrtka i hostira platformu u Francuskoj. Asistenti koriste AI modele koji se po defaultu hostiraju u Europskoj uniji; administrator može odabrati model izvan EU poput OpenAI ili Anthropic, a aplikacija traži izričitu suglasnost svaki put kada se jedan odabere. Podaci o razgovoru čuvaju se dok se asistent ili račun ne obrišu, s trajnim brisanjem 30 dana nakon zahtjeva za brisanje računa, kako je opisano u pravilniku o privatnosti. Tvrtke ostaju odgovorne za obavještavanje svojih vlastitih posjetitelja.