GDPR に基づく AI ツールの使用: EU チームのための実践ガイド

私は弁護士ではありませんし、これは法的なアドバイスではありません。しかし、私はこの問題の両側に座って、EU で AI ツールのセットアップを支援するチームを支援しました。同じ 4 つの質問によって、職場のラップトップでのツールの使用が許可されるかどうかが決まります。つまり、どのようなデータが入力されるか、どこで処理されるか、他の誰がそれを見ることができるか、そしてデータはどのくらいの期間保存されるかということです。ベンダーがこれら 4 つに明確に答えられない場合、モデルがどれほど優れていても、そのツールは顧客データに対応できていません。

実際的な出発点は、ほとんどの個人データを消費者向けチャット ツールにまったく入れるべきではないということです。名前、電子メール、契約条項は GDPR の下では個人データであり、それらを一般アシスタントに貼り付けることは、通常、それらが制御不能なインフラストラクチャに到達し、交渉していない条件の下で改善に使用され、予想よりも削除が困難であることを意味します。ほとんどのチームで機能するデフォルトは、社内の機密性の低い作業には消費者ツール、顧客に関わるものには企業契約です。

どのポリシー文書よりも効果的な設定は、データのトレーニングをオフにすることです。これはほとんどのエンタープライズ層に存在し、多くの場合、コンシューマ設定にも存在し、プロンプトがトレーニング データであるかどうかの違いです。ビジネスアカウントがトレーニングにプロンプトを使用するかどうかを明確に述べていない場合は、それを書面で受け取るまでは「ノー」として扱います。

ヨーロッパでは、マーケティング ページが示唆するよりもデータの所在地が重要です。チームが EU ホストの処理を主張する場合は、フラグ アイコンを信頼するのではなく地域を確認し、実際に使用しているベンダー (モデル プロバイダー、文字起こしサービス、およびその中間に位置する自動化ツール) のサブプロセッサ リストを確認してください。それぞれが個別の転送に関する質問であり、複数になります。

ほとんどのチームが驚くのは維持率です。ワークスペースに何年も残るチャット履歴はプロジェクトを超えて存続する責任であり、データが期限切れになるように設計されていなかった場合、18 か月後に届く削除リクエストはさらに困難になります。必要になる前に保持期間と削除保証についてベンダーに問い合わせ、そもそも貼り付けてはいけないものについて独自の内部ルールを設定してください。

最終的に私がアドバイスではなくポリシーを書くことを確信したのは、小規模なチームが独自のルールを考案するのを観察したことでした。消費者向けツールには顧客データは含まれず、プライベート リポジトリからのソース コードは含まれず、健康情報は含まれず、承認リスト外のモデルに何かが適用される前に 5 分間の承認ステップが必要でした。覚えておくのに十分なほど単純で、強制するのに十分なほど具体的であり、最初の監査に耐えました。

よくある質問:

Q: 職場で ChatGPT を使用することは GDPR の下で違法ですか?

A: 自動的にではありませんが、顧客データに消費者アカウントを使用することは、通常、データが処理された場所、トレーニングに使用されたか、要求に応じて削除されたかどうかを示すことができないため、防御するのが非常に困難です。社内の個人的な仕事以外の場合は、通常は問題ありません。

Q: AI ツールをチームに展開する前に最低限行うべきことは何ですか?

A: データに関するトレーニングがオフになっているビジネス プラン、承認されたツールのリスト、顧客データとソース コードをカバーする社内の貼り付け禁止リスト、そして誰かが行き詰まったときに質問に答える指名された所有者です。

Q: ベンダーとのデータ処理契約は必要ですか?

A: はい、通常はビジネス層で利用できます。ベンダーが署名しない場合、それは、製品がどれほど優れているかに関係なく、個人データを送信しないという明らかな合図です。