Uso de herramientas de inteligencia artificial según el RGPD: una guía práctica para los equipos de la UE
Lo que realmente le pide el RGPD cuando el personal pega datos de clientes en herramientas de inteligencia artificial: la lista de verificación legal que les doy a los clientes, además de las configuraciones que hacen la mayor parte del trabajo.
No soy abogado y esto no es un consejo legal, pero me he sentado en ambos lados de esto, ayudando a equipos a configurar herramientas de IA en la UE, y las mismas cuatro preguntas deciden si una herramienta está permitida en la computadora portátil del trabajo: qué datos entran, dónde se procesan, quién más puede verlos y cuánto tiempo se conservan. Si un proveedor no puede responder claramente a esas cuatro preguntas, la herramienta no está preparada para los datos del cliente, sin importar cuán bueno sea el modelo.
El punto de partida práctico es que la mayoría de los datos personales no deberían ingresar en absoluto en una herramienta de chat para consumidores. Un nombre, un correo electrónico y una cláusula contractual son datos personales según el RGPD, y pegarlos en un asistente general generalmente significa que aterrizan en una infraestructura fuera de su control, se utilizan para mejorar bajo términos que usted no negoció y son más difíciles de eliminar de lo esperado. El valor predeterminado que funciona para la mayoría de los equipos es: herramientas de consumo para trabajo interno no sensible, acuerdos empresariales para cualquier cosa que afecte a los clientes.
La configuración que hace más trabajo que cualquier documento de política es desactivar la capacitación sobre sus datos. Existe en la mayoría de los niveles empresariales y, a menudo, también en entornos de consumidores, y es la diferencia entre que sus indicaciones sean datos de capacitación o no. Cuando una cuenta comercial no indique claramente si se utilizan indicaciones para la capacitación, trátelo como un no hasta que lo reciba por escrito.
La residencia de datos importa más en Europa de lo que sugieren las páginas de marketing. Si su equipo insiste en el procesamiento alojado en la UE, verifique la región en lugar de confiar en un ícono de bandera y verifique en la lista de subprocesadores los proveedores que realmente utiliza: proveedores de modelos, servicios de transcripción y cualquier herramienta de automatización que se encuentre en el medio. Cada una es una pregunta de transferencia separada y se multiplican.
La retención es lo que sorprende a la mayoría de los equipos. Los historiales de chat que permanecen en un espacio de trabajo durante años son una carga que sobrevive al proyecto, y la solicitud de eliminación que llega en dieciocho meses será más difícil si los datos nunca fueron diseñados para caducar. Pregunte a su proveedor sobre los plazos de retención y las garantías de eliminación antes de que los necesite, y establezca su propia regla interna sobre lo que nunca se debe pegar en primer lugar.
Lo que finalmente me convenció de escribir políticas en lugar de consejos fue ver a un pequeño equipo inventar sus propias reglas: sin datos de clientes en herramientas de consumo, sin código fuente de repositorios privados, sin información de salud y un paso de aprobación de cinco minutos antes de que algo pase a un modelo fuera de la lista aprobada. Lo suficientemente simple de recordar, lo suficientemente específico como para aplicarlo, y sobrevivió a la primera auditoría.
Preguntas frecuentes:
P: ¿Es ilegal usar ChatGPT en el trabajo según el RGPD?
R: No automáticamente, pero el uso de una cuenta de consumidor para los datos del cliente es muy difícil de defender, porque generalmente no se puede mostrar dónde se procesaron los datos, si se usaron para capacitación o si se eliminaron a pedido. Para trabajos internos y no personales, generalmente está bien.
P: ¿Cuál es lo mínimo que debo hacer antes de implementar una herramienta de IA en un equipo?
R: Cuatro cosas: un plan de negocios con capacitación sobre sus datos desactivada, una lista de herramientas aprobadas, una lista interna de no pegar que cubre los datos del cliente y el código fuente, y un propietario designado que responde preguntas cuando alguien se queda atascado.
P: ¿Necesito un acuerdo de procesamiento de datos con el proveedor?
R: Sí, y normalmente está disponible en niveles empresariales. Si un proveedor no firma uno, es una señal clara de no enviarle datos personales, independientemente de lo bueno que sea el producto.