GDPR та ШІ чат-боти

Навіть простий чат-бот підтримки збирає особисті дані: ідентифікатори, такі як електронна адреса або номер телефону, деталі замовлення та доставки, вміст повідомлень і технічні дані, такі як IP-адреса. Оскільки користувачі можуть вводити інформацію вільно, вони також можуть ділитися даними, які бізнес ніколи не запитував, включаючи чутливу інформацію, таку як медичні дані. Французький орган захисту даних, CNIL, рекомендує попереджати користувачів перед розмовою не ділитися чутливими даними, якщо це не потрібно.

Ця сторінка містить загальну інформацію про GDPR (Регламент (ЄС) 2016/679). Це не юридична консультація; для вашої ситуації проконсультуйтеся з вашим офіцером з захисту даних або юристом.

Бізнес, який вирішує, чому і як використовується чат-бот, зазвичай є контролером. Йому потрібна правова основа для кожної мети — наприклад, виконання контракту при відповіді на запитання клієнта про замовлення. Він повинен інформувати користувачів (статті 13 і 14): хто є контролером, мета, правова основа, отримувачі, термін зберігання та права. Він повинен збирати лише те, що вимагає мета, встановити терміни зберігання та дозволити людям реалізувати свої права на доступ, виправлення та видалення.

Постачальник чат-бота зазвичай діє як обробник і повинен бути зв'язаний контрактом, який відповідає статті 28. Якщо особисті дані передаються до країни за межами ЄС — наприклад, до постачальника моделей у Сполучених Штатах — застосовуються правила передачі з глави V.

Перевірте, чи використовуються дані розмови для навчання або покращення моделей, ким, і чи можна це вимкнути. Знайте, де працює мовна модель, оскільки запити містять особисті дані. Будьте обережні з рішеннями, які мають юридичні або подібно значні наслідки — відмова у поверненні, наприклад — які приймаються виключно автоматизованими засобами, що обмежується статтею 22. Для більших впроваджень може знадобитися оцінка впливу на захист даних.

Думка Європейського комітету з захисту даних 28/2024 додає, що моделі ШІ, навчальні на особистих даних, не є автоматично анонімними, що важливо при виборі постачальників моделей. Акт ШІ ЄС окремо вимагає повідомляти людей, що вони спілкуються з ШІ.

AI SmartTalk — французька компанія, яка хостить платформу у Франції. Асистенти за замовчуванням використовують моделі ШІ, розміщені в Європейському Союзі; адміністратор може вибрати модель за межами ЄС, таку як OpenAI або Anthropic, і застосування запитує явну згоду щоразу, коли одна з них вибирається. Дані розмови зберігаються до тих пір, поки асистент або обліковий запис не буде видалено, з постійним видаленням через 30 днів після запиту на видалення облікового запису, як описано в політиці конфіденційності. Бізнеси залишаються відповідальними за інформування своїх відвідувачів.