GDPR și chatboții AI
Definiție rapidă
Un chatbot AI care vorbește cu oameni din UE procesează date personale, astfel că afacerea care îl administrează trebuie să aplice Regulamentul General privind Protecția Datelor (GDPR) în conversațiile sale. Aceste date includ nume, adrese de email, detalii despre comenzi și orice altceva ce scriu utilizatorii.
Pe această pagină
Ce date personale gestionează un chatbot
Chiar și un chatbot simplu de suport colectează date personale: identificatori precum o adresă de email sau un număr de telefon, detalii despre comenzi și livrări, conținutul mesajelor și date tehnice precum o adresă IP. Deoarece utilizatorii pot scrie liber, este posibil să împărtășească informații pe care afacerea nu le-a solicitat niciodată, inclusiv date sensibile precum detalii despre sănătate. Autoritatea de protecție a datelor din Franța, CNIL, recomandă avertizarea utilizatorilor înainte de conversație să nu împărtășească date sensibile decât dacă sunt necesare.
Această pagină oferă informații generale despre GDPR (Regulamentul (UE) 2016/679). Nu este sfat legal; pentru situația dumneavoastră, consultați ofițerul de protecție a datelor sau un avocat.
Obligațiile principale pentru afacere
Afacerea care decide de ce și cum este utilizat chatbotul este, în general, operatorul. Are nevoie de o bază legală pentru fiecare scop — de exemplu, executarea unui contract atunci când răspunde la întrebarea unui client despre comandă. Trebuie să informeze utilizatorii (Articolele 13 și 14): cine este operatorul, scopurile, baza legală, destinatarii, perioada de păstrare și drepturile. Ar trebui să colecteze doar ceea ce necesită scopul, să stabilească perioade de păstrare și să permită oamenilor să își exercite drepturile de acces, rectificare și ștergere.
Furnizorul de chatbot acționează, de obicei, ca un procesator și trebuie să fie legat printr-un contract care respectă Articolul 28. Dacă datele personale sunt trimise într-o țară din afara UE — de exemplu, către un furnizor de modele din Statele Unite — se aplică regulile de transfer din Capitolul V.
Puncte specifice pentru AI
Verificați dacă datele conversației sunt utilizate pentru a antrena sau îmbunătăți modele, de cine și dacă acest lucru poate fi dezactivat. Știți unde rulează modelul lingvistic, deoarece solicitările conțin date personale. Fiți atenți la deciziile care au efecte legale sau semnificative similare — refuzarea unei rambursări, de exemplu — luate exclusiv prin mijloace automate, ceea ce Articolul 22 restricționează. Pentru desfășurări mai mari, poate fi necesară o evaluare a impactului asupra protecției datelor.
Opinia 28/2024 a Comitetului European pentru Protecția Datelor adaugă că modelele AI antrenate pe date personale nu sunt automat anonime, ceea ce este important atunci când alegeți furnizorii de modele. Legea AI a UE cere separat să se informeze oamenii că discută cu un AI.
Cum abordează AI SmartTalk
AI SmartTalk este o companie franceză și găzduiește platforma în Franța. Asistenții folosesc modele AI găzduite în Uniunea Europeană în mod implicit; un administrator poate alege un model din afara UE, cum ar fi OpenAI sau Anthropic, iar aplicația cere consimțământ explicit de fiecare dată când unul este selectat. Datele conversației sunt păstrate până când asistentul sau contul este șters, cu ștergere permanentă la 30 de zile după o cerere de ștergere a contului, așa cum este descris în politica de confidențialitate. Afacerile rămân responsabile pentru informarea propriilor vizitatori.
Întrebări frecvente
Este legal să folosești un chatbot AI sub GDPR?
Da. GDPR nu interzice chatboții; stabilește reguli pentru datele personale pe care le procesează: o bază legală, informații pentru utilizatori, minimizare, securitate, limite de păstrare și respectarea drepturilor oamenilor.
Am nevoie de consimțământ pentru a folosi un chatbot pe site-ul meu?
Nu neapărat pentru conversația în sine, care poate adesea să se bazeze pe o altă bază legală, cum ar fi răspunsul la o solicitare. Cookie-urile sau trackerele utilizate de widgetul de chat pot necesita consimțământ conform regulilor ePrivacy. Verificați cu consilierul dumneavoastră de protecție a datelor.
Pot fi conversațiile clienților trimise unui furnizor de AI din SUA?
Numai în conformitate cu regulile GDPR privind transferurile internaționale, de exemplu, în baza unei decizii de adecvare sau a unor măsuri de protecție adecvate, și cu utilizatorii informați. Alegerea unui model găzduit în UE evită întrebarea.
GDPR-ul cere să le spunem utilizatorilor că vorbesc cu un AI?
GDPR-ul impune transparență cu privire la modul în care sunt procesate datele personale. Datoria specifică de a dezvălui că o persoană interacționează cu un AI provine din Legea UE privind AI, care se aplică din 2 august 2026.