RODO i chatboty AI

Nawet prosty chatbot wsparcia zbiera dane osobowe: identyfikatory, takie jak adres e-mail lub numer telefonu, szczegóły zamówienia i dostawy, treść wiadomości oraz dane techniczne, takie jak adres IP. Ponieważ użytkownicy mogą pisać swobodnie, mogą również dzielić się informacjami, o które firma nigdy nie pytała, w tym danymi wrażliwymi, takimi jak szczegóły zdrowotne. Francuski organ ochrony danych, CNIL, zaleca ostrzeganie użytkowników przed rozmową, aby nie dzielili się danymi wrażliwymi, chyba że są one potrzebne.

Ta strona zawiera ogólne informacje na temat RODO (Rozporządzenie (UE) 2016/679). To nie jest porada prawna; w swojej sytuacji skonsultuj się z inspektorem ochrony danych lub prawnikiem.

Firma, która decyduje, dlaczego i jak chatbot jest używany, jest zazwyczaj administratorem. Potrzebuje podstawy prawnej dla każdego celu — na przykład wykonania umowy, gdy odpowiada na pytanie klienta dotyczące zamówienia. Musi poinformować użytkowników (artykuły 13 i 14): kim jest administrator, cele, podstawa prawna, odbiorcy, okres przechowywania i prawa. Powinna zbierać tylko to, co jest wymagane przez cel, ustalać okresy przechowywania i umożliwiać ludziom korzystanie z ich praw dostępu, sprostowania i usunięcia.

Dostawca chatbota zazwyczaj działa jako przetwarzający i musi być związany umową, która spełnia artykuł 28. Jeśli dane osobowe są wysyłane do kraju spoza UE — na przykład do dostawcy modelu w Stanach Zjednoczonych — obowiązują zasady transferu z rozdziału V.

Sprawdź, czy dane rozmowy są używane do szkolenia lub poprawy modeli, przez kogo i czy można to wyłączyć. Wiedz, gdzie działa model językowy, ponieważ podpowiedzi zawierają dane osobowe. Bądź ostrożny w decyzjach, które mają skutki prawne lub podobnie znaczące — na przykład odmowa zwrotu pieniędzy — podejmowanych wyłącznie w sposób zautomatyzowany, co ogranicza artykuł 22. W przypadku większych wdrożeń może być wymagane przeprowadzenie oceny skutków dla ochrony danych.

Opinia 28/2024 Europejskiego Urzędu Ochrony Danych dodaje, że modele AI szkolone na danych osobowych nie są automatycznie anonimowe, co ma znaczenie przy wyborze dostawców modeli. Ustawa AI UE oddzielnie wymaga informowania ludzi, że rozmawiają z AI.

AI SmartTalk to francuska firma, która hostuje platformę we Francji. Asystenci korzystają z modeli AI hostowanych domyślnie w Unii Europejskiej; administrator może wybrać model spoza UE, taki jak OpenAI lub Anthropic, a aplikacja prosi o wyraźną zgodę za każdym razem, gdy jeden z nich jest wybierany. Dane rozmowy są przechowywane do momentu usunięcia asystenta lub konta, z trwałym usunięciem 30 dni po złożeniu wniosku o usunięcie konta, jak opisano w polityce prywatności. Firmy pozostają odpowiedzialne za informowanie swoich własnych odwiedzających.