जीडीपीआर के तहत एआई टूल्स का उपयोग करना: ईयू टीमों के लिए एक व्यावहारिक मार्गदर्शिका

मैं वकील नहीं हूं और यह कानूनी सलाह नहीं है - लेकिन मैं इसके दोनों पक्षों पर बैठा हूं, टीमों को ईयू में एआई टूलींग स्थापित करने में मदद करता हूं, और वही चार प्रश्न तय करते हैं कि कार्य लैपटॉप पर टूल की अनुमति है या नहीं: कौन सा डेटा जाता है, यह कहां संसाधित होता है, इसे और कौन देख सकता है, और इसे कितने समय तक रखा जाता है। यदि कोई विक्रेता उन चार का स्पष्ट रूप से उत्तर नहीं दे सकता है, तो उपकरण ग्राहक डेटा के लिए तैयार नहीं है, चाहे मॉडल कितना भी अच्छा क्यों न हो।

व्यावहारिक प्रारंभिक बिंदु यह है कि अधिकांश व्यक्तिगत डेटा को उपभोक्ता चैट टूल में बिल्कुल भी नहीं जाना चाहिए। एक नाम, एक ईमेल और एक अनुबंध खंड जीडीपीआर के तहत व्यक्तिगत डेटा हैं, और उन्हें एक सामान्य सहायक में चिपकाने का आमतौर पर मतलब है कि वे आपके नियंत्रण से बाहर बुनियादी ढांचे पर आते हैं, उन शर्तों के तहत सुधार के लिए उपयोग किए जाते हैं जिन पर आपने बातचीत नहीं की थी, और आपकी अपेक्षा से अधिक उन्हें हटाना कठिन है। अधिकांश टीमों के लिए जो डिफ़ॉल्ट काम करता है वह है: आंतरिक, गैर-संवेदनशील कार्य के लिए उपभोक्ता उपकरण, ग्राहकों को छूने वाली किसी भी चीज़ के लिए उद्यम समझौते।

वह सेटिंग जो किसी भी नीति दस्तावेज़ से अधिक काम करती है वह आपके डेटा पर प्रशिक्षण बंद कर रही है। यह अधिकांश उद्यम स्तरों में और अक्सर उपभोक्ता सेटिंग्स में भी मौजूद है, और यह आपके संकेतों के प्रशिक्षण डेटा होने और न होने के बीच का अंतर है। जहां कोई व्यवसाय खाता स्पष्ट रूप से यह नहीं बताता है कि प्रशिक्षण के लिए संकेतों का उपयोग किया गया है या नहीं, उसे तब तक 'नहीं' मानें जब तक कि आप इसे लिखित रूप में प्राप्त न कर लें।

यूरोप में डेटा रेजीडेंसी मार्केटिंग पेजों की तुलना में अधिक मायने रखती है। यदि आपकी टीम ईयू-होस्टेड प्रसंस्करण पर जोर देती है, तो ध्वज आइकन पर भरोसा करने के बजाय क्षेत्र को सत्यापित करें, और उन विक्रेताओं के लिए उपप्रोसेसर सूची की जांच करें जिनका आप वास्तव में उपयोग करते हैं - मॉडल प्रदाता, ट्रांसक्रिप्शन सेवाएं, और बीच में बैठने वाला कोई भी स्वचालन उपकरण। प्रत्येक एक अलग स्थानांतरण प्रश्न है, और वे गुणा करते हैं।

रिटेंशन वह जगह है जहां अधिकांश टीमें आश्चर्यचकित होती हैं। वर्षों तक कार्यस्थान में रहने वाले चैट इतिहास एक दायित्व हैं जो परियोजना को समाप्त करते हैं, और अठारह महीनों में आने वाला डिलीट अनुरोध कठिन होगा यदि डेटा को कभी भी समाप्त होने के लिए डिज़ाइन नहीं किया गया था। आवश्यकता पड़ने से पहले अपने विक्रेता से प्रतिधारण विंडो और विलोपन गारंटी के बारे में पूछें, और अपना स्वयं का आंतरिक नियम निर्धारित करें कि पहले स्थान पर क्या चिपकाया नहीं जाना चाहिए।

आख़िरकार सलाह के बजाय जिस चीज़ ने मुझे नीति लिखने के लिए प्रेरित किया, वह एक छोटी सी टीम को अपने स्वयं के नियमों का आविष्कार करते हुए देखना था - उपभोक्ता टूल में कोई ग्राहक डेटा नहीं, निजी रिपॉजिटरी से कोई स्रोत कोड नहीं, कोई स्वास्थ्य जानकारी नहीं, और अनुमोदित सूची के बाहर किसी मॉडल पर जाने से पहले पांच मिनट का अनुमोदन चरण। याद रखने में काफी सरल, लागू करने में काफी विशिष्ट, और यह पहले ऑडिट में बच गया।

अक्सर पूछे जाने वाले प्रश्नों:

प्रश्न: क्या कार्यस्थल पर चैटजीपीटी का उपयोग जीडीपीआर के तहत अवैध है?

उत्तर: स्वचालित रूप से नहीं, लेकिन ग्राहक डेटा के लिए उपभोक्ता खाते का उपयोग करना बचाव करना बहुत कठिन है, क्योंकि आप आमतौर पर यह नहीं दिखा सकते हैं कि डेटा कहां संसाधित किया गया था, क्या इसका उपयोग प्रशिक्षण के लिए किया गया था, या इसे अनुरोध पर हटा दिया गया था। आंतरिक, गैर-व्यक्तिगत कार्यों के लिए यह आम तौर पर ठीक है।

प्रश्न: किसी टीम के लिए एआई टूल पेश करने से पहले मुझे न्यूनतम क्या करना चाहिए?

ए: चार चीजें: आपके डेटा पर प्रशिक्षण के साथ एक व्यवसाय योजना, एक स्वीकृत-उपकरण सूची, ग्राहक डेटा और स्रोत कोड को कवर करने वाली एक आंतरिक नो-पेस्ट सूची, और एक नामित मालिक जो किसी के फंसने पर सवालों का जवाब देता है।

प्रश्न: क्या मुझे विक्रेता के साथ डेटा प्रोसेसिंग समझौते की आवश्यकता है?

उत्तर: हाँ, और यह आमतौर पर व्यावसायिक स्तरों पर उपलब्ध है। यदि कोई विक्रेता उस पर हस्ताक्षर नहीं करेगा, तो यह एक स्पष्ट संकेत है कि उन्हें व्यक्तिगत डेटा न भेजें, भले ही उत्पाद कितना भी अच्छा हो।