GDPR og AI-chatboter

Selv en enkel støtte-chatbot samler inn personopplysninger: identifikatorer som en e-post eller telefonnummer, bestillings- og leveringsdetaljer, innholdet i meldinger, og tekniske data som en IP-adresse. Fordi brukere kan skrive fritt, kan de også dele informasjon som virksomheten aldri har bedt om, inkludert sensitive data som helseopplysninger. Frankrikes databeskyttelsesmyndighet, CNIL, anbefaler å advare brukere før samtalen om å ikke dele sensitive data med mindre det er nødvendig.

Denne siden gir generell informasjon om GDPR (Forordning (EU) 2016/679). Det er ikke juridisk rådgivning; for din egen situasjon, konsulter din databeskyttelsesansvarlig eller en advokat.

Virksomheten som bestemmer hvorfor og hvordan chatboten brukes, er generelt kontrollør. Den trenger et juridisk grunnlag for hvert formål — for eksempel å oppfylle en kontrakt når den svarer på et kundespørsmål om bestilling. Den må informere brukerne (artikler 13 og 14): hvem kontrolløren er, formål, juridisk grunnlag, mottakere, lagringsperiode og rettigheter. Den bør bare samle inn det som formålet krever, sette lagringsperioder, og la folk utøve sine rettigheter til tilgang, retting og sletting.

Chatbot-leverandøren fungerer vanligvis som en behandler og må være bundet av en kontrakt som oppfyller artikkel 28. Hvis personopplysninger sendes til et land utenfor EU — for eksempel til en modellleverandør i USA — gjelder overføringsreglene i kapittel V.

Sjekk om samtaledata brukes til å trene eller forbedre modeller, av hvem, og om det kan slås av. Vær klar over hvor språkmodellen kjører, siden forespørslene inneholder personopplysninger. Vær forsiktig med beslutninger som har juridiske eller lignende betydelige effekter — for eksempel å nekte refusjon — som tas utelukkende av automatiserte midler, noe som artikkel 22 begrenser. For større distribusjoner kan det være nødvendig med en vurdering av databeskyttelsespåvirkning.

Den europeiske databeskyttelsesmyndighetens uttalelse 28/2024 legger til at AI-modeller trent på personopplysninger ikke automatisk er anonyme, noe som er viktig når man velger modellleverandører. EU AI-loven krever separat å informere folk om at de snakker med en AI.

AI SmartTalk er et fransk selskap og hoster plattformen i Frankrike. Assistenter bruker AI-modeller som er hostet i Den europeiske union som standard; en administrator kan velge en ikke-EU-modell som OpenAI eller Anthropic, og applikasjonen ber om eksplisitt samtykke hver gang en velges. Samtaledata oppbevares til assistenten eller kontoen slettes, med permanent sletting 30 dager etter en forespørsel om kontosletting, som beskrevet i personvernerklæringen. Virksomheter forblir ansvarlige for å informere sine egne besøkende.