在 GDPR 下使用人工智能工具：欧盟团队实用指南

我不是律师，这也不是法律建议——但我曾站在这两个方面，帮助团队在欧盟建立人工智能工具，同样的四个问题决定是否允许在工作笔记本电脑上使用工具：哪些数据进入，在哪里处理，其他人可以看到它，以及它保存多长时间。如果供应商无法清楚地回答这四个问题，则无论模型有多好，该工具都还没有准备好用于客户数据。

实际出发点是，大多数个人数据根本不应该进入消费者聊天工具。根据 GDPR，姓名、电子邮件和合同条款属于个人数据，将它们粘贴到一般助理中通常意味着它们会落在您无法控制的基础设施上，根据您未协商的条款用于改进，并且比您预期更难删除。适用于大多数团队的默认设置是：用于内部、非敏感工作的消费者工具、用于任何涉及客户的企业协议。

比任何策略文档更有效的设置是关闭数据训练。它存在于大多数企业层中，并且通常也存在于消费者环境中，这就是您的提示是否是训练数据之间的区别。如果企业帐户没有明确说明提示是否用于培训，则将其视为“否”，直到您以书面形式获得为止。

在欧洲，数据驻留比营销页面所暗示的更重要。如果您的团队坚持使用欧盟托管的处理，请验证区域而不是信任标志图标，并检查您实际使用的供应商的子处理商列表 - 模型提供商、转录服务以及位于中间的任何自动化工具。每个问题都是一个单独的转移问题，并且它们会成倍增加。

留存率是大多数团队感到惊讶的地方。存在于工作空间中多年的聊天历史记录是一种比项目寿命更长的负担，如果数据从未设计为过期，则十八个月后到达的删除请求将更加困难。在您需要保留窗口和删除保证之前，请向您的供应商询问它们，并设置您自己的内部规则，确定哪些内容一开始就不应该粘贴。

最终说服我写策略而不是建议的是看着一个小团队发明了自己的规则——消费者工具中没有客户数据，私人存储库中没有源代码，没有健康信息，以及在任何内容进入批准列表之外的模型之前需要五分钟的批准步骤。简单到容易记住，具体到足以执行，并且它通过了第一次审核。

常见问题：

问：根据 GDPR，在工作中使用 ChatGPT 是否违法？

答：不会自动，但使用消费者帐户存储客户数据很难防御，因为您通常无法显示数据的处理位置、是否用于培训，或者是否根据要求删除。对于内部的、非个人的工作来说通常没问题。

问：在向团队推出人工智能工具之前，我至少应该做什么？

答：有四件事：关闭数据培训的业务计划、批准的工具列表、涵盖客户数据和源代码的内部禁止粘贴列表，以及在有人陷入困境时回答问题的指定所有者。

问：我需要与供应商签订数据处理协议吗？

答：是的，通常在业务层可用。如果供应商不签署，这是一个明确的信号，无论产品有多好，都不要向他们发送个人数据。