GDPR dan chatbot AI
Definisi ringkas
Chatbot AI yang bercakap dengan orang di EU memproses data peribadi, jadi perniagaan yang menjalankannya mesti mematuhi Peraturan Perlindungan Data Umum (GDPR) dalam perbualannya. Data tersebut termasuk nama, emel, butiran pesanan dan apa sahaja yang ditaip oleh pengguna.
Pada halaman ini
Data peribadi apa yang ditangani oleh chatbot
Walaupun chatbot sokongan yang sederhana mengumpul data peribadi: pengenalan seperti emel atau nombor telefon, butiran pesanan dan penghantaran, kandungan mesej, dan data teknikal seperti alamat IP. Oleh kerana pengguna boleh menaip dengan bebas, mereka mungkin juga berkongsi maklumat yang tidak pernah diminta oleh perniagaan, termasuk data sensitif seperti butiran kesihatan. Pihak berkuasa perlindungan data Perancis, CNIL, mengesyorkan memberi amaran kepada pengguna sebelum perbualan agar tidak berkongsi data sensitif kecuali ia diperlukan.
Halaman ini memberikan maklumat umum mengenai GDPR (Peraturan (EU) 2016/679). Ia bukan nasihat undang-undang; untuk situasi anda sendiri, berunding dengan pegawai perlindungan data anda atau peguam.
Kewajipan utama untuk perniagaan
Perniagaan yang memutuskan mengapa dan bagaimana chatbot digunakan biasanya adalah pengawal. Ia memerlukan asas undang-undang untuk setiap tujuan — contohnya melaksanakan kontrak apabila menjawab soalan pesanan pelanggan. Ia mesti memaklumkan kepada pengguna (Artikel 13 dan 14): siapa pengawal, tujuan, asas undang-undang, penerima, tempoh penyimpanan dan hak. Ia harus mengumpul hanya apa yang diperlukan untuk tujuan, menetapkan tempoh penyimpanan, dan membenarkan orang melaksanakan hak akses, pembetulan dan pemadaman mereka.
Penyedia chatbot biasanya bertindak sebagai pemproses dan mesti terikat oleh kontrak yang memenuhi Artikel 28. Jika data peribadi dihantar ke negara di luar EU — contohnya kepada penyedia model di Amerika Syarikat — peraturan pemindahan Bab V terpakai.
Poin khusus untuk AI
Semak sama ada data perbualan digunakan untuk melatih atau memperbaiki model, oleh siapa, dan sama ada itu boleh dimatikan. Ketahui di mana model bahasa beroperasi, kerana arahan mengandungi data peribadi. Berhati-hati dengan keputusan yang mempunyai kesan undang-undang atau sama pentingnya — menolak pengembalian wang, contohnya — yang diambil semata-mata oleh cara automatik, yang dihadkan oleh Artikel 22. Untuk penggunaan yang lebih besar, penilaian impak perlindungan data mungkin diperlukan.
Pendapat 28/2024 daripada Lembaga Perlindungan Data Eropah menambah bahawa model AI yang dilatih dengan data peribadi tidak secara automatik anonim, yang penting apabila memilih penyedia model. Akta AI EU secara berasingan memerlukan memberitahu orang bahawa mereka bercakap dengan AI.
Bagaimana AI SmartTalk menghadapinya
AI SmartTalk adalah syarikat Perancis dan menghoskan platform di Perancis. Pembantu menggunakan model AI yang dihoskan di Kesatuan Eropah secara lalai; seorang pentadbir boleh memilih model bukan EU seperti OpenAI atau Anthropic, dan aplikasi meminta persetujuan eksplisit setiap kali satu dipilih. Data perbualan disimpan sehingga pembantu atau akaun dipadamkan, dengan pemadaman kekal 30 hari selepas permintaan pemadaman akaun, seperti yang diterangkan dalam dasar privasi. Perniagaan tetap bertanggungjawab untuk memaklumkan pengunjung mereka sendiri.
Soalan lazim
Adakah ia sah untuk menggunakan chatbot AI di bawah GDPR?
Ya. GDPR tidak melarang chatbot; ia menetapkan peraturan untuk data peribadi yang mereka proses: asas undang-undang, maklumat kepada pengguna, pengurangan, keselamatan, had penyimpanan dan menghormati hak orang.
Adakah saya memerlukan persetujuan untuk menggunakan chatbot di laman web saya?
Tidak semestinya untuk perbualan itu sendiri, yang sering kali boleh bergantung pada asas undang-undang lain seperti menjawab permintaan. Kuki atau pengesan yang digunakan oleh widget sembang mungkin memerlukan persetujuan di bawah peraturan ePrivacy. Semak dengan penasihat perlindungan data anda.
Bolehkah perbualan pelanggan dihantar kepada penyedia AI di AS?
Hanya selaras dengan peraturan GDPR mengenai pemindahan antarabangsa, contohnya di bawah keputusan kesesuaian atau langkah perlindungan yang sesuai, dan dengan pengguna dimaklumkan. Memilih model yang dihoskan di EU mengelakkan persoalan ini.
Adakah GDPR memerlukan untuk memberitahu pengguna bahawa mereka sedang bercakap dengan AI?
GDPR memerlukan ketelusan tentang bagaimana data peribadi diproses. Tanggungjawab khusus untuk mendedahkan bahawa seseorang sedang berinteraksi dengan AI datang dari Akta AI EU, yang berkuat kuasa mulai 2 Ogos 2026.