GDPR และ AI แชทบอท
คำจำกัดความอย่างรวดเร็ว
AI แชทบอทที่พูดคุยกับผู้คนในสหภาพยุโรปจะประมวลผลข้อมูลส่วนบุคคล ดังนั้นธุรกิจที่ดำเนินการต้องใช้กฎระเบียบการปกป้องข้อมูลทั่วไป (GDPR) กับการสนทนาของตน ข้อมูลนั้นรวมถึงชื่อ, อีเมล, รายละเอียดการสั่งซื้อ และสิ่งที่ผู้ใช้พิมพ์.
ในหน้านี้
ข้อมูลส่วนบุคคลที่แชทบอทจัดการ
แม้แต่แชทบอทสนับสนุนที่ง่ายก็เก็บข้อมูลส่วนบุคคล: ตัวระบุเช่นอีเมลหรือหมายเลขโทรศัพท์, รายละเอียดการสั่งซื้อและการจัดส่ง, เนื้อหาของข้อความ, และข้อมูลทางเทคนิคเช่นที่อยู่ IP เนื่องจากผู้ใช้สามารถพิมพ์ได้อย่างอิสระ พวกเขาอาจจะแชร์ข้อมูลที่ธุรกิจไม่เคยขอ รวมถึงข้อมูลที่ละเอียดอ่อนเช่นรายละเอียดสุขภาพ หน่วยงานคุ้มครองข้อมูลของฝรั่งเศส CNIL แนะนำให้เตือนผู้ใช้ก่อนการสนทนาไม่ให้แชร์ข้อมูลที่ละเอียดอ่อนเว้นแต่จะจำเป็น.
หน้านี้ให้ข้อมูลทั่วไปเกี่ยวกับ GDPR (ระเบียบ (EU) 2016/679) ไม่ใช่คำแนะนำทางกฎหมาย; สำหรับสถานการณ์ของคุณเอง ให้ปรึกษาผู้ดูแลข้อมูลของคุณหรือทนายความ.
ข้อผูกพันหลักสำหรับธุรกิจ
ธุรกิจที่ตัดสินใจว่าทำไมและอย่างไรแชทบอทจะถูกใช้โดยทั่วไปคือผู้ควบคุม มันต้องมีฐานทางกฎหมายสำหรับแต่ละวัตถุประสงค์ — เช่นการดำเนินการตามสัญญาเมื่อให้คำตอบเกี่ยวกับคำถามการสั่งซื้อของลูกค้า มันต้องแจ้งผู้ใช้ (มาตรา 13 และ 14): ผู้ควบคุมคือใคร, วัตถุประสงค์, ฐานทางกฎหมาย, ผู้รับ, ระยะเวลาในการเก็บรักษาและสิทธิของผู้ใช้ มันควรเก็บเฉพาะสิ่งที่วัตถุประสงค์ต้องการ, ตั้งระยะเวลาในการเก็บรักษา, และให้ผู้คนสามารถใช้สิทธิในการเข้าถึง, แก้ไข และลบ.
ผู้ให้บริการแชทบอทมักทำหน้าที่เป็นผู้ประมวลผลและต้องผูกพันตามสัญญาที่ตรงตามมาตรา 28 หากข้อมูลส่วนบุคคลถูกส่งไปยังประเทศนอกสหภาพยุโรป — เช่นไปยังผู้ให้บริการโมเดลในสหรัฐอเมริกา — กฎการโอนของบทที่ V จะมีผล.
จุดเฉพาะสำหรับ AI
ตรวจสอบว่าข้อมูลการสนทนาถูกใช้เพื่อฝึกหรือปรับปรุงโมเดลโดยใคร และสามารถปิดการใช้งานได้หรือไม่ รู้ว่ารูปแบบภาษาใช้งานอยู่ที่ไหน เนื่องจากคำกระตุ้นมีข้อมูลส่วนบุคคล ระมัดระวังกับการตัดสินใจที่มีผลทางกฎหมายหรือมีความสำคัญในลักษณะเดียวกัน — การปฏิเสธการคืนเงิน เช่น — ที่ทำโดยวิธีอัตโนมัติเพียงอย่างเดียว ซึ่งมาตรา 22 จำกัดไว้ สำหรับการใช้งานที่ใหญ่ขึ้น อาจต้องมีการประเมินผลกระทบด้านการปกป้องข้อมูล.
ความคิดเห็นที่ 28/2024 ของคณะกรรมการคุ้มครองข้อมูลยุโรปเสริมว่าโมเดล AI ที่ฝึกจากข้อมูลส่วนบุคคลไม่ได้เป็นแบบไม่ระบุชื่อโดยอัตโนมัติ ซึ่งมีความสำคัญเมื่อเลือกผู้ให้บริการโมเดล พระราชบัญญัติ AI ของสหภาพยุโรปยังต้องการให้แจ้งผู้คนว่าพวกเขากำลังพูดคุยกับ AI.
AI SmartTalk จัดการเรื่องนี้อย่างไร
AI SmartTalk เป็นบริษัทฝรั่งเศสและโฮสต์แพลตฟอร์มในฝรั่งเศส ผู้ช่วยใช้โมเดล AI ที่โฮสต์ในสหภาพยุโรปโดยค่าเริ่มต้น; ผู้ดูแลระบบสามารถเลือกโมเดลนอกสหภาพยุโรปเช่น OpenAI หรือ Anthropic และแอปพลิเคชันจะขอความยินยอมอย่างชัดเจนทุกครั้งที่เลือกหนึ่งในนั้น ข้อมูลการสนทนาจะถูกเก็บรักษาจนกว่าผู้ช่วยหรือบัญชีจะถูกลบ โดยจะถูกลบถาวร 30 วันหลังจากคำขอลบบัญชี ตามที่ระบุในนโยบายความเป็นส่วนตัว ธุรกิจยังคงมีความรับผิดชอบในการแจ้งผู้เยี่ยมชมของตนเอง.
คำถามที่พบบ่อย
การใช้แชทบอท AI ภายใต้ GDPR เป็นเรื่องถูกกฎหมายหรือไม่?
ใช่. GDPR ไม่ห้ามแชทบอท; มันกำหนดกฎสำหรับข้อมูลส่วนบุคคลที่พวกเขาประมวลผล: ฐานทางกฎหมาย, ข้อมูลสำหรับผู้ใช้, การลดขนาด, ความปลอดภัย, ขีดจำกัดการเก็บรักษาและการเคารพสิทธิของผู้คน.
ฉันต้องการความยินยอมในการใช้แชทบอทบนเว็บไซต์ของฉันหรือไม่?
ไม่จำเป็นสำหรับการสนทนาเอง ซึ่งมักจะอิงจากฐานทางกฎหมายอื่นเช่นการตอบสนองต่อคำขอ คุกกี้หรือเครื่องติดตามที่ใช้โดยวิดเจ็ตแชทอาจต้องการความยินยอมภายใต้กฎ ePrivacy ตรวจสอบกับที่ปรึกษาด้านการปกป้องข้อมูลของคุณ.
การสนทนาของลูกค้าสามารถส่งไปยังผู้ให้บริการ AI ในสหรัฐอเมริกาได้หรือไม่?
เฉพาะตามกฎของ GDPR เกี่ยวกับการโอนข้อมูลระหว่างประเทศ เช่น ภายใต้การตัดสินใจที่เหมาะสมหรือมาตรการที่เหมาะสม และต้องมีการแจ้งให้ผู้ใช้ทราบ การเลือกโมเดลที่โฮสต์ในสหภาพยุโรปจะหลีกเลี่ยงคำถามนี้
GDPR ต้องการให้แจ้งผู้ใช้ว่าพวกเขากำลังสนทนากับ AI หรือไม่?
GDPR ต้องการความโปร่งใสเกี่ยวกับวิธีการประมวลผลข้อมูลส่วนบุคคล หน้าที่เฉพาะในการเปิดเผยว่าบุคคลกำลังโต้ตอบกับ AI มาจากพระราชบัญญัติ AI ของสหภาพยุโรป ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2026