GDPR in umetna inteligenca: kaj mora vedeti podjetje

Ko podjetje razmišlja o umetni inteligenci, se skoraj vedno pojavi pomislek: kaj pa GDPR. Dobra novica je, da GDPR umetne inteligence ne prepoveduje. Zahteva pa, da veste, kateri osebni podatki se obdelujejo, kam potujejo in na kateri pravni podlagi. V tem članku razložimo, kako AI uskladiti z GDPR, brez pravniškega žargona in s koraki, ki jih lahko dejansko izvedete.

Pomembno opozorilo takoj na začetku: ta članek je splošna informacija in ne nadomešča pravnega nasveta. Za formalno oceno skladnosti se posvetujte s pravnikom ali pooblaščeno osebo za varstvo podatkov.

Mit: umetna inteligenca in GDPR se izključujeta

Najpogostejša zmota je, da uporaba AI samodejno pomeni kršitev zasebnosti. To ne drži. AI je le orodje za obdelavo podatkov, tako kot je to preglednica ali CRM. Če osebne podatke obdelujete zakonito v teh sistemih, jih lahko tudi v AI, dokler upoštevate ista načela: jasen namen, pravno podlago, minimizacijo in varnost. Ključno vprašanje ni ali smete uporabljati AI, ampak kako jo nastavite.

Kdo je kdo: upravljavec, obdelovalec, pod-obdelovalec

GDPR razlikuje med vlogami, in prav razumevanje teh vlog je temelj skladnosti:

• →Upravljavec (controller) je tisti, ki določa, zakaj in kako se podatki obdelujejo. Če zbirate podatke svojih strank, ste upravljavec vi.
• →Obdelovalec (processor) obdeluje podatke v imenu upravljavca. Če za AI rešitev najamete zunanjega izvajalca, je ta vaš obdelovalec.
• →Pod-obdelovalec (sub-processor) je storitev, ki jo obdelovalec uporabi naprej. Ponudnik AI modela (na primer Anthropic ali OpenAI), gostovanje in baza podatkov so tipični pod-obdelovalci.

Za skladnost potrebujete pisne dogovore vzdolž te verige: pogodbo o obdelavi podatkov (DPA) med vami in izvajalcem ter DPA-je izvajalca z vsemi pod-obdelovalci. Resni ponudniki AI modelov imajo DPA že pripravljen kot standardni del pogojev.

Pravna podlaga: zakaj sploh smete obdelovati

Vsaka obdelava osebnih podatkov potrebuje pravno podlago. V praksi so za AI rešitve najpogostejše tri:

• →Izvajanje pogodbe: kadar je obdelava potrebna za storitev, ki jo je stranka naročila, na primer chatbot, ki obravnava njeno povpraševanje ali rezervacijo.
• →Zakoniti interes: kadar imate utemeljen poslovni razlog, ki ne prevlada nad pravicami posameznika, na primer razvrščanje prejete e-pošte. Zahteva presojo in dokumentacijo.
• →Privolitev: za obdelave, ki niso nujne za storitev, na primer trženje in upsell. Mora biti prostovoljna, konkretna in preklicljiva.

Minimizacija: najmočnejši ukrep, ki ga imate

Najboljši način za obvladovanje tveganja je preprost: v AI pošljite čim manj osebnih podatkov. Pogosto se izkaže, da model za svojo nalogo sploh ne potrebuje imena, telefona ali naslova. Če chatbot odgovarja na vprašanje o izdelku, potrebuje besedilo vprašanja, ne pa celotnega profila stranke.

Podatek, ki ga v AI nikoli ne pošljete, ne more uiti, biti napačno shranjen ali zlorabljen. Minimizacija je hkrati najcenejši in najučinkovitejši ukrep.

V praksi to pomeni, da rešitve gradimo tako, da se v model pošlje le tisto, kar je za nalogo nujno. Občutljivi podatki (ime, kontakt, zdravstvene informacije) ostanejo v vaših sistemih in se v prompt ne prepišejo. To je odločitev pri načrtovanju, ne naknadni popravek.

Prenos podatkov v ZDA: DPA in standardne pogodbene klavzule

Večina vodilnih AI modelov teče na ameriški infrastrukturi, kar sproža vprašanje prenosa podatkov iz EU v ZDA. GDPR takega prenosa ne prepoveduje, zahteva pa ustrezno zaščito. Standardni instrument so standardne pogodbene klavzule (SCC), ki so pri resnih ponudnikih samodejno del pogodbe o obdelavi.

Poleg tega je pri načrtovanju vredno preveriti tri nastavitve, ki znatno znižajo tveganje:

• →Hramba podatkov (retention): pri poslovni rabi vsebina promptov privzeto ni uporabljena za učenje modela, hrani pa se le kratek čas ali sploh ne. Preverite privzete nastavitve ponudnika.
• →Ničelna hramba (Zero Data Retention): nekateri ponudniki omogočajo način, pri katerem se vsebina po obdelavi ne shrani niti začasno. Za občutljive obdelave je to močan dodaten ukrep.
• →Lokacija obdelave (data residency): pri nekaterih ponudnikih je mogoče obdelavo omejiti na strežnike v EU, kar dodatno poenostavi vprašanje prenosov.

Te možnosti niso vklopljene same od sebe. Del dobre postavitve je, da jih glede na občutljivost podatkov nastavimo ustrezno, ne da bi po nepotrebnem zapletli delovanje.

Kaj mora vedeti posameznik

GDPR zahteva preglednost. Če v komunikaciji ali obdelavi sodeluje AI, morajo biti stranke o tem obveščene v vaši politiki zasebnosti. Obvestilo naj na razumljiv način pove, da se uporablja AI-podprta obdelava, s katerimi obdelovalci sodelujete in kako lahko posameznik uveljavlja svoje pravice (dostop, popravek, izbris). To obvestilo ni birokratska formalnost, ampak gradi zaupanje.

Praktični koraki za skladnost

Če uvajate AI in želite biti skladni z GDPR, priporočamo naslednje zaporedje:

1. 01Popišite, kateri osebni podatki bi šli v AI rešitev, in preverite, ali so vsi res potrebni.
2. 02Zmanjšajte nabor na nujni minimum in občutljive podatke obdržite zunaj modela.
3. 03Določite pravno podlago za vsako obdelavo (pogodba, zakoniti interes ali privolitev).
4. 04Uredite pogodbe o obdelavi (DPA) z izvajalcem in preverite SCC ter pod-obdelovalce.
5. 05Nastavite hrambo, ničelno hrambo ali lokacijo obdelave glede na občutljivost podatkov.
6. 06Dopolnite politiko zasebnosti z informacijo o AI-podprti obdelavi in obdelovalcih.
7. 07Vodite evidenco dejavnosti obdelave in poskrbite za osnovno varnost (dostopi, šifriranje, skrivnosti v okolju, ne v kodi).

Videti je veliko, a pri dobro zastavljenem projektu je večina teh korakov opravljena že s pravilnim načrtovanjem. Skladnost ni ovira za AI, je del kakovostne izvedbe.

Kje začeti

Če načrtujete AI rešitev, ki bo obdelovala osebne podatke, se splača skladnost premisliti že pri zasnovi, ne šele ob zagonu. Na brezplačnem posvetu pregledamo, kateri podatki bi bili vključeni, in predlagamo postavitev, ki tveganje zniža na minimum. Za formalno pravno oceno vas po potrebi usmerimo k ustreznemu strokovnjaku.