GDPR và chatbot AI

Ngay cả một chatbot hỗ trợ đơn giản cũng thu thập dữ liệu cá nhân: các định danh như email hoặc số điện thoại, chi tiết đơn hàng và giao hàng, nội dung của các tin nhắn, và dữ liệu kỹ thuật như địa chỉ IP. Bởi vì người dùng có thể nhập tự do, họ cũng có thể chia sẻ thông tin mà doanh nghiệp chưa bao giờ yêu cầu, bao gồm cả dữ liệu nhạy cảm như thông tin sức khỏe. Cơ quan bảo vệ dữ liệu của Pháp, CNIL, khuyến nghị cảnh báo người dùng trước cuộc trò chuyện không chia sẻ dữ liệu nhạy cảm trừ khi cần thiết.

Trang này cung cấp thông tin chung về GDPR (Quy định (EU) 2016/679). Đây không phải là tư vấn pháp lý; cho tình huống của bạn, hãy tham khảo ý kiến của nhân viên bảo vệ dữ liệu hoặc luật sư.

Doanh nghiệp quyết định lý do và cách sử dụng chatbot thường là người kiểm soát. Họ cần một cơ sở pháp lý cho mỗi mục đích — ví dụ như thực hiện hợp đồng khi trả lời câu hỏi đơn hàng của khách hàng. Họ phải thông báo cho người dùng (Các Điều 13 và 14): ai là người kiểm soát, mục đích, cơ sở pháp lý, người nhận, thời gian lưu giữ và quyền lợi. Họ nên chỉ thu thập những gì mà mục đích yêu cầu, thiết lập thời gian lưu giữ, và cho phép mọi người thực hiện quyền truy cập, chỉnh sửa và xóa bỏ của họ.

Nhà cung cấp chatbot thường hoạt động như một bên xử lý và phải bị ràng buộc bởi một hợp đồng đáp ứng Điều 28. Nếu dữ liệu cá nhân được gửi đến một quốc gia ngoài EU — ví dụ như đến một nhà cung cấp mô hình ở Hoa Kỳ — các quy tắc chuyển giao của Chương V sẽ áp dụng.

Kiểm tra xem dữ liệu cuộc trò chuyện có được sử dụng để đào tạo hoặc cải thiện các mô hình, bởi ai, và liệu điều đó có thể được tắt đi hay không. Biết nơi mà mô hình ngôn ngữ chạy, vì các lời nhắc chứa dữ liệu cá nhân. Cẩn thận với các quyết định có ảnh hưởng pháp lý hoặc tương tự — từ chối hoàn tiền, chẳng hạn — được thực hiện hoàn toàn bằng phương tiện tự động, điều mà Điều 22 hạn chế. Đối với các triển khai lớn hơn, có thể cần một đánh giá tác động bảo vệ dữ liệu.

Ý kiến 28/2024 của Hội đồng Bảo vệ Dữ liệu Châu Âu bổ sung rằng các mô hình AI được đào tạo trên dữ liệu cá nhân không tự động trở nên ẩn danh, điều này quan trọng khi chọn nhà cung cấp mô hình. Đạo luật AI của EU yêu cầu riêng biệt thông báo cho mọi người rằng họ đang nói chuyện với một AI.

AI SmartTalk là một công ty Pháp và lưu trữ nền tảng tại Pháp. Các trợ lý sử dụng các mô hình AI được lưu trữ trong Liên minh Châu Âu theo mặc định; một quản trị viên có thể chọn một mô hình không thuộc EU như OpenAI hoặc Anthropic, và ứng dụng yêu cầu sự đồng ý rõ ràng mỗi khi một mô hình được chọn. Dữ liệu cuộc trò chuyện được giữ cho đến khi trợ lý hoặc tài khoản bị xóa, với việc xóa vĩnh viễn sau 30 ngày kể từ khi yêu cầu xóa tài khoản, như đã mô tả trong chính sách quyền riêng tư. Doanh nghiệp vẫn có trách nhiệm thông báo cho khách truy cập của họ.