GDPR og AI spjallmenni
Hraðskilgreining
AI spjallmenni sem talar við fólk í ESB vinnur með persónuupplýsingar, svo fyrirtækið sem rekur það verður að beita almennum persónuverndarlögum (GDPR) á samtöl sín. Þessar upplýsingar fela í sér nöfn, tölvupóst, pöntunardetails og allt sem notendur skrifa.
Á þessari síðu
Hvaða persónuupplýsingar spjallmenni meðhöndlar
Jafnvel einfalt stuðningsspjallmenni safnar persónuupplýsingum: auðkenni eins og tölvupóst eða símanúmer, pöntun og afhendingardetails, innihald skilaboða, og tæknilegar upplýsingar eins og IP-tölu. Vegna þess að notendur geta skrifað frjálst, gætu þeir einnig deilt upplýsingum sem fyrirtækið hefur aldrei beðið um, þar á meðal viðkvæmar upplýsingar eins og heilsufarsupplýsingar. Persónuverndarstofnun Frakklands, CNIL, mælir með að vara notendur við áður en samtalið hefst að deila ekki viðkvæmum upplýsingum nema það sé nauðsynlegt.
Þessi síða veitir almennar upplýsingar um GDPR (Reglugerð (ESB) 2016/679). Það er ekki lögfræðileg ráðgjöf; fyrir þína eigin aðstæður, ráðfærðu þig við persónuverndarfulltrúa þinn eða lögfræðing.
Aðalskyldur fyrir fyrirtækið
Fyrirtækið sem ákveður hvers vegna og hvernig spjallmennið er notað er almennt stjórnandi. Það þarf lagalegan grundvöll fyrir hvert tilgang — til dæmis að framkvæma samning þegar svarað er spurningu um pöntun viðskiptavinar. Það verður að upplýsa notendur (greinar 13 og 14): hver stjórnandinn er, tilgangar, lagalegur grundvöllur, móttakendur, varðveislu tímabil og réttindi. Það ætti að safna aðeins því sem tilgangurinn krefst, setja varðveislu tímabil, og leyfa fólki að nýta réttindi sín til aðgangs, leiðréttingar og eyðingar.
Veittandi spjallmenna fer venjulega fram sem vinnsluaðili og verður að vera bundinn af samningi sem uppfyllir grein 28. Ef persónuupplýsingar eru sendar til lands utan ESB — til dæmis til líkanveitanda í Bandaríkjunum — gilda flutningsreglur kafla V.
Punktar sem tengjast AI
Athugaðu hvort samtalsgögn séu notuð til að þjálfa eða bæta líkan, af hverjum, og hvort það sé hægt að slökkva á því. Vitaðu hvar tungumálalíkanið keyrir, þar sem fyrirmæli innihalda persónuupplýsingar. Værðu var um ákvarðanir sem hafa lagalegar eða sambærilega mikilvæg áhrif — að hafna endurgreiðslu, til dæmis — sem teknar eru eingöngu með sjálfvirkum hætti, sem grein 22 takmarkar. Fyrir stærri útfærslur kann að vera nauðsynlegt að framkvæma mat á áhrifum persónuverndar.
Álit Evrópska persónuverndarráðsins 28/2024 bætir við að AI líkön sem þjálfuð eru á persónuupplýsingum eru ekki sjálfkrafa nafnlaus, sem skiptir máli þegar valið er líkanveitendur. ESB AI-lögin krafist sérstaklega að segja fólki að það sé að tala við AI.
Hvernig AI SmartTalk nálgast það
AI SmartTalk er franskt fyrirtæki og hýsir vettvanginn í Frakklandi. Aðstoðarmenn nota AI líkön sem hýst eru í Evrópusambandinu að sjálfsögðu; stjórnandi getur valið líkan utan ESB eins og OpenAI eða Anthropic, og forritið biður um skýra samþykki í hvert sinn sem eitt er valið. Samtalsgögn eru varðveitt þar til aðstoðarmaðurinn eða reikningurinn er eytt, með varanlegri eyðingu 30 dögum eftir beiðni um eyðingu reiknings, eins og lýst er í persónuverndarstefnunni. Fyrirtæki bera áfram ábyrgð á að upplýsa eigin gesti.
Algengar spurningar
Er það löglegt að nota AI spjallmenni samkvæmt GDPR?
Já. GDPR bannar ekki spjallmenni; það setur reglur um persónuupplýsingar sem þau vinna með: lagalegan grundvöll, upplýsingar til notenda, minnkun, öryggi, varðveislu takmarkanir og virðingu fyrir réttindum fólks.
Þarf ég samþykki til að nota spjallmenni á vefsíðu minni?
Ekki endilega fyrir samtalið sjálft, sem getur oft treyst á annan lagalegan grundvöll eins og að svara beiðni. Kökurnar eða sporvagnarnir sem notaðir eru af spjallglugganum kunna að þurfa samþykki samkvæmt ePrivacy-reglum. Athugaðu með persónuverndarráðgjafa þínum.
Má samtöl við viðskiptavini vera send til bandarísks AI veitanda?
Aðeins í samræmi við reglur GDPR um alþjóðlegar flutninga, til dæmis samkvæmt hæfnisákvörðun eða viðeigandi öryggisráðstöfunum, og með því að upplýsa notendur. Að velja EU-hýsta líkan forðast spurninguna.
Krefst GDPR þess að segja notendum að þeir séu að tala við AI?
GDPR krefst gegnsæis um hvernig persónuupplýsingar eru unnar. Sérstaka skylda til að upplýsa um að einstaklingur sé að eiga samskipti við AI kemur frá EU AI lögunum, sem taka gildi 2. ágúst 2026.