GDPR에 따른 AI 도구 사용: EU 팀을 위한 실용 가이드

저는 변호사도 아니고 이것은 법적 조언도 아닙니다. 그러나 저는 팀이 EU에서 AI 도구를 설정하는 것을 도우며 양쪽에 앉아 업무용 노트북에 도구가 허용되는지 여부를 결정하는 동일한 4가지 질문에 대해 결정합니다. 즉, 어떤 데이터가 들어가는지, 어디에서 처리되는지, 누가 볼 수 있는지, 얼마나 오래 보관되는지입니다. 공급업체가 이 네 가지에 대해 명확하게 대답할 수 없다면 모델이 아무리 훌륭하더라도 도구는 고객 데이터를 처리할 준비가 되어 있지 않은 것입니다.

실질적인 출발점은 대부분의 개인 데이터가 소비자 채팅 도구에 전혀 들어가지 않아야 한다는 것입니다. 이름, 이메일 및 계약 조항은 GDPR에 따른 개인 데이터이며 이를 일반 보조자에 붙여넣는 것은 일반적으로 귀하가 통제할 수 없는 인프라에 배치되고, 협상하지 않은 조건에 따라 개선에 사용되며, 예상보다 삭제하기가 어렵다는 것을 의미합니다. 대부분의 팀에 적용되는 기본값은 내부적이고 중요하지 않은 작업을 위한 소비자 도구, 고객과 관련된 모든 것에 대한 기업 계약입니다.

어떤 정책 문서보다 더 많은 작업을 수행하는 설정은 데이터 교육을 끄는 것입니다. 이는 대부분의 기업 계층에 존재하며 종종 소비자 설정에도 존재하며, 프롬프트가 훈련 데이터인지 아닌지의 차이입니다. 교육에 프롬프트가 사용되는지 여부가 비즈니스 계정에 명확하게 명시되어 있지 않은 경우 서면으로 받을 때까지 이를 거부하는 것으로 간주하십시오.

유럽에서는 마케팅 페이지에서 제안하는 것보다 데이터 상주가 더 중요합니다. 팀이 EU 호스팅 처리를 고집하는 경우 플래그 아이콘을 신뢰하기보다는 지역을 확인하고 실제로 사용하는 공급업체(모델 제공업체, 전사 서비스 및 중간에 있는 자동화 도구)에 대한 하위 프로세서 목록을 확인하세요. 각각은 별도의 전이 질문이며 곱해집니다.

유지는 대부분의 팀이 놀란 부분입니다. 수년간 작업 공간에 남아 있는 채팅 기록은 프로젝트보다 오래 지속되는 책임이며, 데이터가 만료되도록 설계되지 않았다면 18개월 후에 도착하는 삭제 요청은 더 어려워질 것입니다. 필요하기 전에 공급업체에 보존 기간 및 삭제 보장에 대해 문의하고, 애초에 붙여넣어서는 안 되는 항목에 대한 자체 내부 규칙을 설정하세요.

마침내 조언 대신 정책을 작성하게 된 것은 소규모 팀이 자체 규칙을 만드는 것을 지켜본 것입니다. 소비자 도구에 고객 데이터가 없고, 개인 저장소의 소스 코드가 없고, 건강 정보가 없으며, 승인된 목록 외부의 모델에 항목이 전달되기 전에 5분 승인 단계가 있습니다. 기억할 수 있을 만큼 간단하고 시행할 수 있을 만큼 구체적이며 첫 번째 감사에서도 살아남았습니다.

자주 묻는 질문:

Q: 직장에서 ChatGPT를 사용하는 것은 GDPR에 따라 불법인가요?

A: 자동으로 그런 것은 아니지만 고객 데이터에 소비자 계정을 사용하는 것은 방어하기가 매우 어렵습니다. 일반적으로 데이터가 처리된 위치, 교육에 사용되었는지 또는 요청 시 삭제되었는지 확인할 수 없기 때문입니다. 내부 작업, 개인 작업이 아닌 경우 일반적으로 괜찮습니다.

Q: AI 도구를 팀에 배포하기 전에 최소한 수행해야 할 작업은 무엇입니까?

답변: 4가지: 데이터 교육이 포함된 사업 계획, 승인된 도구 목록, 고객 데이터 및 소스 코드를 포함하는 붙여넣기 금지 내부 목록, 누군가 막혔을 때 질문에 답변하는 명명된 소유자입니다.

Q: 공급업체와의 데이터 처리 계약이 필요합니까?

A: 예. 일반적으로 비즈니스 계층에서 사용할 수 있습니다. 공급업체가 계약에 서명하지 않는다면 이는 제품이 얼마나 좋은지에 관계없이 개인 데이터를 보내지 말라는 분명한 신호입니다.