Sử dụng công cụ AI theo GDPR: Hướng dẫn thực hành cho các nhóm EU

Tôi không phải là luật sư và đây không phải là lời khuyên pháp lý - nhưng tôi đã đứng về cả hai phía trong vấn đề này, giúp các nhóm thiết lập công cụ AI ở EU và bốn câu hỏi tương tự quyết định xem một công cụ có được phép sử dụng trên máy tính xách tay làm việc hay không: dữ liệu nào được đưa vào, dữ liệu nào được xử lý ở đâu, ai khác có thể xem dữ liệu đó và dữ liệu đó được lưu giữ trong bao lâu. Nếu nhà cung cấp không thể trả lời rõ ràng bốn câu hỏi đó thì công cụ đó chưa sẵn sàng cho dữ liệu khách hàng, cho dù mô hình có tốt đến đâu.

Điểm khởi đầu thực tế là hầu hết dữ liệu cá nhân không được đưa vào công cụ trò chuyện của người tiêu dùng. Tên, email và điều khoản hợp đồng là dữ liệu cá nhân theo GDPR và việc dán chúng vào trợ lý chung thường có nghĩa là chúng sẽ nằm trên cơ sở hạ tầng nằm ngoài tầm kiểm soát của bạn, được sử dụng để cải thiện theo các điều khoản mà bạn không thương lượng và khó xóa hơn bạn mong đợi. Chế độ mặc định phù hợp với hầu hết các nhóm là: công cụ tiêu dùng dành cho công việc nội bộ, không nhạy cảm, thỏa thuận doanh nghiệp dành cho bất kỳ điều gì liên quan đến khách hàng.

Cài đặt hoạt động hiệu quả hơn bất kỳ tài liệu chính sách nào đang tắt hoạt động đào tạo về dữ liệu của bạn. Nó tồn tại ở hầu hết các cấp doanh nghiệp và thường có trong cài đặt của người tiêu dùng và đó là sự khác biệt giữa lời nhắc của bạn là dữ liệu đào tạo và không phải là dữ liệu đào tạo. Trong trường hợp tài khoản doanh nghiệp không nói rõ liệu lời nhắc có được sử dụng cho đào tạo hay không, hãy coi đó là không cho đến khi bạn nhận được bằng văn bản.

Nơi lưu trữ dữ liệu ở Châu Âu quan trọng hơn những gì các trang tiếp thị đề xuất. Nếu nhóm của bạn nhất quyết yêu cầu xử lý do EU lưu trữ, hãy xác minh khu vực thay vì tin tưởng vào biểu tượng cờ và kiểm tra danh sách bộ xử lý phụ để tìm nhà cung cấp mà bạn thực sự sử dụng - nhà cung cấp mô hình, dịch vụ phiên âm và bất kỳ công cụ tự động hóa nào nằm ở giữa. Mỗi cái là một câu hỏi chuyển tiếp riêng biệt và chúng nhân lên.

Giữ chân là nơi mà hầu hết các đội đều ngạc nhiên. Lịch sử trò chuyện tồn tại trong không gian làm việc trong nhiều năm là một trách nhiệm tồn tại lâu hơn dự án và yêu cầu xóa đến sau mười tám tháng sẽ khó khăn hơn nếu dữ liệu không bao giờ được thiết kế để hết hạn. Hãy hỏi nhà cung cấp của bạn về thời hạn lưu giữ và đảm bảo xóa trước khi bạn cần, đồng thời đặt quy tắc nội bộ của riêng bạn về những gì không bao giờ được dán ngay từ đầu.

Điều cuối cùng đã thuyết phục tôi viết chính sách thay vì lời khuyên là việc xem một nhóm nhỏ phát minh ra các quy tắc riêng của mình - không có dữ liệu khách hàng trong các công cụ tiêu dùng, không có mã nguồn từ kho riêng, không có thông tin sức khỏe và bước phê duyệt kéo dài 5 phút trước khi mọi thứ được đưa vào mô hình ngoài danh sách được phê duyệt. Đủ đơn giản để ghi nhớ, đủ cụ thể để thực thi và nó đã vượt qua lần kiểm tra đầu tiên.

Các câu hỏi thường gặp:

Câu hỏi: Việc sử dụng ChatGPT tại nơi làm việc có bất hợp pháp theo GDPR không?

Đáp: Không phải tự động, nhưng rất khó bảo vệ việc sử dụng tài khoản người tiêu dùng cho dữ liệu khách hàng vì bạn thường không thể cho biết dữ liệu được xử lý ở đâu, dữ liệu đó có được sử dụng để đào tạo hay dữ liệu đó đã bị xóa theo yêu cầu hay không. Đối với công việc nội bộ, phi cá nhân thì nhìn chung là ổn.

Câu hỏi: Điều tối thiểu tôi nên làm trước khi triển khai công cụ AI cho nhóm là gì?

Đáp: Bốn điều: một kế hoạch kinh doanh đã tắt chương trình đào tạo về dữ liệu của bạn, một danh sách công cụ được phê duyệt, một danh sách không dán nội bộ bao gồm dữ liệu khách hàng và mã nguồn, và một chủ sở hữu có tên sẽ trả lời các câu hỏi khi ai đó gặp khó khăn.

Câu hỏi: Tôi có cần thỏa thuận xử lý dữ liệu với nhà cung cấp không?

Đáp: Có, và nó thường có sẵn ở cấp độ doanh nghiệp. Nếu nhà cung cấp không ký, đó là tín hiệu rõ ràng không gửi cho họ dữ liệu cá nhân, bất kể sản phẩm có tốt đến đâu.