AI agenti in GDPR: sedem vprašanj pred uvedbo v podjetju
Praktičen kontrolni seznam za podjetja v EU, ki izbirajo platformo z AI agenti. Zajema lokacijo obdelave podatkov, učenje modelov, dostop, človeško odobritev, evidence, pogodbe in izbris.
AI agenti niso le okno za klepet. Delajo z datotekami podjetja, se povezujejo z njegovimi orodji in lahko izvajajo dejanja, kot sta pošiljanje e-pošte ali objava strani. Zato so uporabni. Prav zato pa mora podjetje v EU postaviti nekaj vprašanj, preden jim omogoči dostop do osebnih podatkov.
Ta kontrolni seznam je izhodišče za pogovor in ne pravni nasvet. Pri vsakem vprašanju pojasnimo, kako ga rešuje Outclank.
1. Kje se podatki shranjujejo in obdelujejo?
Zahtevajte seznam vseh ponudnikov, ki obdelujejo vaše podatke, ter podatek, kaj vsak od njih počne in kje. „V oblaku“ ni odgovor.
V Outclanku: spletna stran in aplikacija za osnovno infrastrukturo delovnega prostora (gostovanje, podatkovno zbirko, prijavo in shrambo datotek) uporabljata regije EU. Zahteve za AI se posredujejo ponudnikom modelov. Kraj obdelave je odvisen od omogočenega ponudnika in poti, zato ni splošnega zagotovila, da obdelava z AI poteka izključno v EU. Vsi ponudniki in lokacije obdelave podatkov so navedeni na strani o podobdelovalcih.
2. Ali ponudniki AI naše podatke uporabljajo za učenje svojih modelov?
To vprašanje je v ozadju večine pomislekov glede uporabe AI pri delu. Računi za osebno uporabo AI pogosto dopuščajo učenje na podatkih, ki jih uporabniki vnašajo. Poslovna platforma bi morala to izključiti s pogodbami s ponudniki.
V Outclanku: ponudniki AI v skladu z našimi pogodbami z njimi vaših podatkov ne uporabljajo za učenje svojih modelov. Ponudnik lahko zahtevo za kratek čas hrani za odkrivanje zlorab, kot to dovoljujejo njegovi pogoji.
3. Do česa lahko agent dejansko dostopa?
Agent naj ima le dostop, ki ga potrebuje za delo: do določenih orodij, informacij in dejanj. Povezava računa ene osebe ne sme neopazno povezati tudi računov vseh drugih.
V Outclanku: agenti delujejo le v okviru dostopa, ki jim ga dodeli podjetje, razpoložljivih dejanj in pravil odobritev podjetja. Skrbniki podjetja nastavijo povezave in določijo, katera orodja sme agent uporabljati, do katerih informacij lahko dostopa in katere naloge sme opravljati.
4. Kdo odloča, kaj bo uporabljeno?
Splošna uredba o varstvu podatkov (GDPR) posebno pozornost namenja odločitvam, ki temeljijo izključno na avtomatizirani obdelavi. V praksi pa lahko zaradi nepreverjenih rezultatov AI napake pridejo do strank.
V Outclanku: agenti opravijo delo, neodvisna kontrola kakovosti (QA) preveri skladnost rezultata z navodili, pooblaščena oseba pa rezultat sprejme ali zahteva spremembe. Dejanja, kot sta objava ali pošiljanje, lahko zahtevajo predhodno odobritev. Več preberite v članku Predajte, preglejte, sprejmite.
5. Ali obstaja evidenca dogajanja?
Ko vas kdo vpraša, kateri podatki so bili uporabljeni ali zakaj je bilo sporočilo poslano, morate znati odgovoriti. Preverite, ali se vodi evidenca navodil, datotek, vprašanj, preverjanj in odločitve.
V Outclanku: navodila, vprašanja, datoteke, preverjanja in odločitev o sprejemu rezultata ostanejo skupaj z delom. Vsak korak je zabeležen.
6. Ali je na voljo pogodba o obdelavi podatkov?
Kadar ponudnik obdeluje osebne podatke v imenu vašega podjetja, 28. člen Splošne uredbe o varstvu podatkov zahteva pogodbo, ki določa način obdelave. Vaše podjetje ostaja upravljavec podatkov, ki jih vnese v delovni prostor.
V Outclanku: za vsebino, ki jo podjetje vnese v svoj delovni prostor, je podjetje upravljavec, Humanodoro pa te podatke obdeluje v imenu podjetja kot njegov obdelovalec. Na zahtevo sklenemo pogodbo o obdelavi osebnih podatkov v skladu z 28. členom Splošne uredbe o varstvu podatkov. Naši ponudniki podatke obdelujejo le po naših navodilih in na podlagi pogodb o obdelavi osebnih podatkov.
7. Kaj se zgodi s podatki, ko prenehamo uporabljati storitev?
Vprašajte, kako dolgo se podatki hranijo, kdaj se izbrišejo in kaj se zgodi z varnostnimi kopijami.
V Outclanku: podatke delovnega prostora hranimo v času trajanja pogodbe in jih izbrišemo v 90 dneh po njenem prenehanju, razen če podjetje zahteva zgodnejši izbris ali zakon zahteva daljšo hrambo. Varnostne kopije prepišemo v nadaljnjih 30 dneh. Celotna tabela obdobij hrambe je v politiki zasebnosti.
Na kratko
Preden agentom omogočite dostop do podatkov podjetja, morate vedeti, kam podatki gredo, da se ne uporabljajo za učenje modelov, do česa agenti dostopajo, kdo odobri njihovo delo, kje je evidenca, kaj določa pogodba in kdaj se podatki izbrišejo. Če ponudnik na katero od teh vprašanj ne zna jasno odgovoriti, je tudi to odgovor.
Imate vprašanja o nastavitvah za svoje podjetje? Pišite na info@humanodoro.com.