GDPR e chatbot IA

Anche un semplice chatbot di supporto raccoglie dati personali: identificatori come un'email o un numero di telefono, dettagli di ordine e consegna, il contenuto dei messaggi e dati tecnici come un indirizzo IP. Poiché gli utenti possono digitare liberamente, possono anche condividere informazioni che l'azienda non ha mai richiesto, inclusi dati sensibili come dettagli sulla salute. L'autorità francese per la protezione dei dati, la CNIL, raccomanda di avvisare gli utenti prima della conversazione di non condividere dati sensibili a meno che non siano necessari.

Questa pagina fornisce informazioni generali sul GDPR (Regolamento (UE) 2016/679). Non è una consulenza legale; per la tua situazione, consulta il tuo responsabile della protezione dei dati o un avvocato.

L'azienda che decide perché e come viene utilizzato il chatbot è generalmente il titolare del trattamento. Ha bisogno di una base legale per ciascun scopo — ad esempio, eseguire un contratto quando risponde a una domanda sull'ordine di un cliente. Deve informare gli utenti (Articoli 13 e 14): chi è il titolare, scopi, base legale, destinatari, periodo di conservazione e diritti. Dovrebbe raccogliere solo ciò che lo scopo richiede, impostare periodi di conservazione e consentire alle persone di esercitare i propri diritti di accesso, rettifica e cancellazione.

Il fornitore del chatbot di solito agisce come responsabile del trattamento e deve essere vincolato da un contratto che soddisfi l'Articolo 28. Se i dati personali vengono inviati in un paese al di fuori dell'UE — ad esempio a un fornitore di modelli negli Stati Uniti — si applicano le regole di trasferimento del Capitolo V.

Controlla se i dati delle conversazioni vengono utilizzati per addestrare o migliorare i modelli, da chi e se ciò può essere disattivato. Sappi dove viene eseguito il modello linguistico, poiché i prompt contengono dati personali. Fai attenzione alle decisioni che hanno effetti legali o similmente significativi — rifiutare un rimborso, ad esempio — prese esclusivamente con mezzi automatizzati, che l'Articolo 22 limita. Per implementazioni più grandi, potrebbe essere necessaria una valutazione d'impatto sulla protezione dei dati.

L'Opinione 28/2024 del Comitato Europeo per la Protezione dei Dati aggiunge che i modelli IA addestrati su dati personali non sono automaticamente anonimi, il che è importante quando si scelgono i fornitori di modelli. La Legge UE sull'IA richiede separatamente di informare le persone che stanno parlando con un'IA.

AI SmartTalk è un'azienda francese e ospita la piattaforma in Francia. Gli assistenti utilizzano modelli IA ospitati nell'Unione Europea per impostazione predefinita; un amministratore può scegliere un modello non UE come OpenAI o Anthropic, e l'applicazione richiede il consenso esplicito ogni volta che uno viene selezionato. I dati delle conversazioni vengono conservati fino a quando l'assistente o l'account non vengono eliminati, con cancellazione permanente 30 giorni dopo una richiesta di eliminazione dell'account, come descritto nell'informativa sulla privacy. Le aziende rimangono responsabili di informare i propri visitatori.