Usando ferramentas de IA no GDPR: um guia prático para equipes da UE

Não sou advogado e isto não é aconselhamento jurídico - mas estive em ambos os lados disto, ajudando equipas a criar ferramentas de IA na UE, e as mesmas quatro perguntas decidem se uma ferramenta é permitida no portátil de trabalho: que dados entram, onde são processados, quem mais os pode ver e durante quanto tempo são mantidos. Se um fornecedor não puder responder a essas quatro perguntas claramente, a ferramenta não estará pronta para os dados do cliente, não importa quão bom seja o modelo.

O ponto de partida prático é que a maioria dos dados pessoais não deveria de forma alguma ir para uma ferramenta de chat do consumidor. Um nome, um e-mail e uma cláusula contratual são dados pessoais sob o GDPR, e colá-los em um assistente geral geralmente significa que eles chegam a uma infraestrutura fora do seu controle, são usados para melhorias sob termos que você não negociou e são mais difíceis de excluir do que você espera. O padrão que funciona para a maioria das equipes é: ferramentas de consumidor para trabalho interno e não confidencial, acordos empresariais para qualquer coisa que envolva os clientes.

A configuração que funciona mais do que qualquer documento de política é desativar o treinamento em seus dados. Ele existe na maioria das camadas empresariais e, muitas vezes, também em ambientes de consumo, e é a diferença entre seus prompts serem dados de treinamento ou não. Quando uma conta comercial não diz claramente se os prompts são usados para treinamento, trate isso como um não até que você receba por escrito.

A residência dos dados é mais importante na Europa do que sugerem as páginas de marketing. Se a sua equipe insiste no processamento hospedado na UE, verifique a região em vez de confiar em um ícone de bandeira e verifique a lista de subprocessadores para os fornecedores que você realmente usa – provedores de modelos, serviços de transcrição e qualquer ferramenta de automação intermediária. Cada uma é uma questão de transferência separada e elas se multiplicam.

A retenção é onde a maioria das equipes se surpreende. Os históricos de bate-papo que permanecem em um espaço de trabalho por anos são uma responsabilidade que sobrevive ao projeto, e a solicitação de exclusão que chega em dezoito meses será mais difícil se os dados nunca tiverem sido projetados para expirar. Pergunte ao seu fornecedor sobre janelas de retenção e garantias de exclusão antes de precisar delas e defina sua própria regra interna sobre o que nunca deve ser colado.

O que finalmente me convenceu a escrever políticas em vez de conselhos foi observar uma pequena equipa inventar as suas próprias regras - sem dados de clientes em ferramentas de consumo, sem código-fonte de repositórios privados, sem informações de saúde e com uma etapa de aprovação de cinco minutos antes de qualquer coisa ir para um modelo fora da lista de aprovados. Simples o suficiente para lembrar, específico o suficiente para ser aplicado e sobreviveu à primeira auditoria.

Perguntas frequentes:

P: O uso do ChatGPT no trabalho é ilegal de acordo com o GDPR?

R: Não automaticamente, mas é muito difícil defender o uso de uma conta de consumidor para dados de clientes, porque normalmente não é possível mostrar onde os dados foram processados, se foram usados para treinamento ou se foram excluídos mediante solicitação. Para trabalho interno e não pessoal, geralmente é bom.

P: Qual é o mínimo que devo fazer antes de implementar uma ferramenta de IA para uma equipe?

R: Quatro coisas: um plano de negócios com o treinamento em seus dados desativado, uma lista de ferramentas aprovadas, uma lista interna de não colar cobrindo dados do cliente e código-fonte e um proprietário nomeado que responde a perguntas quando alguém fica preso.

P: Preciso de um contrato de processamento de dados com o fornecedor?

R: Sim, e geralmente está disponível em níveis empresariais. Se um fornecedor não assinar um, é um sinal claro para não lhe enviar dados pessoais, independentemente da qualidade do produto.