Potrebujeme spracovateľskú zmluvu s poskytovateľom AI?

Áno, ak do modelu posielate údaje, z ktorých sa dá identifikovať človek. Poskytovateľ je vtedy spracovateľ podľa článku 28 GDPR.

Môže AI sama rozhodovať o zamestnancoch alebo klientoch?

Nie pri rozhodnutiach s právnym alebo podobne významným následkom. Model môže pripraviť podklad, rozhodnúť má človek, ktorý to vie zmeniť a vysvetliť.

Ako znížiť riziko pri nasadení AI najlacnejšie?

Posielať len údaje, ktoré sú na danú úlohu potrebné, obmedziť, ako dlho sa uchovávajú logy, a zapísať, kto má k čomu prístup.

GDPR a AI vo firme: čo si overiť pred nasadením

12. mája 20266 min čítania

Krátka odpoveď

Ak do jazykového modelu posielate čokoľvek, z čoho sa dá identifikovať človek, poskytovateľ modelu je spracovateľ osobných údajov a potrebujete s ním spracovateľskú zmluvu, vedieť kde dáta spracúva a záruku, že ich nepoužije na trénovanie. To sú tri otázky, ktoré treba položiť pred nasadením, nie po ňom.

01Čo je vlastne osobný údaj v tomto kontexte

Nielen meno a adresa. Aj e-mail, ktorý posielate na spracovanie, aj text objednávky s menom kontaktnej osoby, aj nahrávka hovoru, aj fotka faktúry, na ktorej je podpis.

Prakticky to znamená, že takmer každá užitočná firemná automatizácia sa osobných údajov dotkne. Netreba z toho robiť drámu, treba to mať ošetrené.

02Tri otázky na poskytovateľa

Odpovede majú byť v zmluve, nie v marketingových materiáloch.

01Je uzavretá spracovateľská zmluva podľa článku 28 GDPR?
02Kde sa dáta spracúvajú a ak mimo EÚ, na akom právnom základe?
03Používajú sa vstupy na trénovanie modelov a dá sa to vypnúť?

03Čo pomáha najviac a stojí najmenej

Neposielať to, čo netreba. Ak model triedi dopyty, nepotrebuje k tomu rodné číslo ani číslo účtu — dá sa to pred odoslaním odstrániť.

Nastaviť, ako dlho sa čokoľvek uchováva. U poskytovateľa aj u vás. Log s celým obsahom e-mailov, ktorý nikto nemaže, je väčšie riziko než samotný model.

Zapísať, kto k tomu má prístup. To je zároveň to, čo pri kontrole ako prvé pýtajú.

04Rozhodnutia, ktoré model nesmie robiť sám

GDPR obmedzuje automatizované rozhodovanie, ktoré má pre človeka právne účinky alebo ho podobne významne ovplyvňuje. Prakticky: zamietnutie žiadosti, ukončenie zmluvy, hodnotenie zamestnanca, posúdenie bonity.

Riešenie nie je nerobiť to. Riešenie je nechať model pripraviť podklad a rozhodnutie nechať na človeku, ktorý ho vie zmeniť a vie vysvetliť prečo.

05Čo si zapísať, aj keď to nikto nepýta

Jednu stranu: na čo sa AI vo firme používa, aké údaje do toho vstupujú, kto je poskytovateľ, ako dlho sa čo uchováva a kto to schválil.

Táto strana je pri kontrole rozdiel medzi hodinovým rozhovorom a niekoľkomesačným zisťovaním. A ak vám ju dodávateľ nevie pomôcť napísať, je to informácia sama o sebe.

Časté otázky

Potrebujeme spracovateľskú zmluvu s poskytovateľom AI?: Áno, ak do modelu posielate údaje, z ktorých sa dá identifikovať človek. Poskytovateľ je vtedy spracovateľ podľa článku 28 GDPR.
Môže AI sama rozhodovať o zamestnancoch alebo klientoch?: Nie pri rozhodnutiach s právnym alebo podobne významným následkom. Model môže pripraviť podklad, rozhodnúť má človek, ktorý to vie zmeniť a vysvetliť.
Ako znížiť riziko pri nasadení AI najlacnejšie?: Posielať len údaje, ktoré sú na danú úlohu potrebné, obmedziť, ako dlho sa uchovávajú logy, a zapísať, kto má k čomu prístup.