GDPR és AI chatbotok

Még egy egyszerű támogatási chatbot is gyűjt személyes adatokat: azonosítók, mint például e-mail cím vagy telefonszám, rendelési és szállítási részletek, az üzenetek tartalma, és technikai adatok, mint például egy IP-cím. Mivel a felhasználók szabadon gépelhetnek, olyan információkat is megoszthatnak, amelyeket a vállalkozás soha nem kért, beleértve a érzékeny adatokat, mint például az egészségügyi részleteket. Franciaország adatvédelmi hatósága, a CNIL, azt javasolja, hogy figyelmeztessük a felhasználókat a beszélgetés előtt, hogy ne osszanak meg érzékeny adatokat, hacsak nem szükségesek.

Ez az oldal általános információt nyújt a GDPR-ról (2016/679 EU rendelet). Ez nem jogi tanács; a saját helyzetével kapcsolatban konzultáljon adatvédelmi tisztviselőjével vagy ügyvédjével.

Az a vállalkozás, amely eldönti, hogy miért és hogyan használják a chatbotot, általában az adatkezelő. Jogi alapra van szüksége minden célhoz — például egy ügyfél rendelési kérdésére adott válasz esetén. Tájékoztatnia kell a felhasználókat (13. és 14. cikk): ki az adatkezelő, célok, jogi alap, címzettek, megőrzési idő és jogok. Csak azt szabad gyűjteni, ami a célhoz szükséges, meg kell határozni a megőrzési időszakokat, és lehetővé kell tenni az emberek számára, hogy gyakorolják hozzáférési, helyesbítési és törlési jogaikat.

A chatbot szolgáltatója általában feldolgozóként jár el, és kötelező érvényű szerződésnek kell megfelelnie, amely teljesíti a 28. cikket. Ha személyes adatokat küldenek az EU-n kívüli országba — például egy modell szolgáltatóhoz az Egyesült Államokban —, akkor az V. fejezet átutalási szabályai vonatkoznak.

Ellenőrizze, hogy a beszélgetési adatokat használják-e modellek képzésére vagy javítására, ki által, és hogy ezt ki lehet-e kapcsolni. Tudja, hol fut a nyelvi modell, mivel a promptok személyes adatokat tartalmaznak. Legyen óvatos a jogi vagy hasonlóan jelentős hatású döntésekkel — például a visszatérítés elutasítása —, amelyeket kizárólag automatizált módon hoznak, amit a 22. cikk korlátoz. Nagyobb telepítések esetén adatvédelmi hatásvizsgálat szükséges lehet.

Az Európai Adatvédelmi Testület 28/2024. számú véleménye hozzáteszi, hogy a személyes adatokon képzett AI modellek nem automatikusan névtelenek, ami fontos a modell szolgáltatók kiválasztásakor. Az EU AI törvény külön megköveteli, hogy tájékoztassák az embereket, hogy AI-val beszélgetnek.

Az AI SmartTalk egy francia cég, és a platformot Franciaországban üzemelteti. Az asszisztensek alapértelmezés szerint az Európai Unióban hosztolt AI modelleket használnak; egy adminisztrátor választhat nem EU-s modellt, mint például az OpenAI vagy az Anthropic, és az alkalmazás minden alkalommal explicit hozzájárulást kér, amikor egyet választanak. A beszélgetési adatokat addig őrzik, amíg az asszisztens vagy a fiók törlésre nem kerül, a végleges törlés 30 nappal a fiók törlésére vonatkozó kérelem után történik, ahogy azt az adatvédelmi irányelv leírja. A vállalkozások továbbra is felelősek saját látogatóik tájékoztatásáért.