Kliendibaasi saatmine ChatGPT-sse: mis on seaduslik

Käsitlege seda teksti tasuta jagatud praktiku märkmetena: näitame, kuidas asjad tavaliselt lahenevad, mitte seda, kuidas need peavad tingimata teie juures välja nägema. Istute 50 töötajaga kontoris. Müügiesindaja tõstab pilgu sülearvutilt ja ütleb, et kleebib juba kuu aega pakkumiste kiiremaks koostamiseks ChatGPT-sse osi kliendibaasist. See toimib ja säästab talle 2 tundi päevas. Küsimus on: kas see on üldse seaduslik? Isikuandmete vastutavaks töötlejaks olevas ettevõttes sõltub vastus ühest asjast: milline konto müügiesindajal on ja kas ettevõte on teenusepakkujaga sõlminud andmetöötluslepingu. Enamik väikesi ja keskmise suurusega ettevõtteid kasutab tasuta erakontosid, mis on halvim võimalik variant.

AIPilt on genereeritud tehisintellekti poolt.

Erinevus ei ole kosmeetiline. Pakettides Free ja Plus tegutseb OpenAI vastutava töötlejana: andmetöötlusleping puudub ja sisu võidakse kasutada mudelite treenimiseks. Pakettides Team, Enterprise ja API tegutseb OpenAI volitatud töötlejana, allkirjastab Data Processing Addendumi (DPA) ning võimaldab kliendi andmetel treenimise välja lülitada. See on esimene otsus, millest sõltub kogu ülejäänu. Õiguslik alus on tavaliselt isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkt b või f, eriliiki andmete puhul artikkel 9. Andmete edastamine USA-sse põhineb pärast Euroopa Komisjoni 10. juuli 2023. aasta otsust raamistikul Data Privacy Framework, kui teenusepakkuja on sertifitseeritud.

Mida saab teha sel nädalal

1. samm: kontrollige, milliste kontodega inimesed töötavad. Aeg: 30 minutit, teeb omanik või IT-osakond. Piisab, kui küsida müügi- ja turundusosakonnas, kes kasutab ChatGPT-d, Claude'i või Geminit ning kas sisse logitakse töö- või erameiliga. 2. samm: võtke kasutusele ärikonto. Aeg: 1 päev, teeb administraator. 50 inimese puhul on kulu Team-paketiga umbes 15 000–30 000 PLN aastas (25–30 USD inimese kohta kuus). Team- ja Enterprise-paketis allkirjastate DPA ning lülitate seadetest treenimise välja. 3. samm: täitke töötlemistoimingute register. Aeg: 2 tundi, teeb andmekaitse eest vastutav isik. Kanne peab sisaldama järgmist: toimingu nimetus (nt „Pakkumiste koostamine ChatGPT Teami abil”), eesmärk, õiguslik alus, andmesubjektide ja andmete kategooriad, vastuvõtja (OpenAI Ireland Ltd volitatud töötlejana), andmete edastamine USA-sse isikuandmete kaitse üldmääruse artikli 45 alusel koos DPF-iga, säilitamisaeg (API puhul kuni 30 päeva, Enterprise'i puhul lepingu kehtivusaja jooksul) ning turvameetmed. 4. samm: ajakohastage privaatsuspoliitikat ja teavitage töötajaid. Aeg: 2 tundi, teeb turundusosakond või jurist. Piisab ühe lõigu lisamisest uue volitatud töötleja kohta ja meeldetuletusest ühe e-kirjaga, et mudelisse sisestatakse ainult vastamiseks hädavajalikud andmed.

Mida mitte teha kohe

Ärge ostke kohe Enterprise-paketti: 50 inimese jaoks on see tavaliselt liiast, piisab Team-paketist ja hinnaerinevus võib olla kahekordne. Ärge juurutage kohalikku avatud lähtekoodiga mudelit ainult selleks, et vältida pilve: see on kuude pikkune projekt, samas kui probleemi saab ärikontoga lahendada nädalaga. Ärge kirjutage uut privaatsuspoliitikat nullist: tavaliselt piisab olemasoleva lisast. Ärge blokeerige töötajate ligipääsu tehisintellektile täielikult, sest nad pöörduvad tagasi erakontode juurde ja kaotate kontrolli. Ärge allkirjastage DPA-d kontrollimata, kas teenusepakkuja on tõesti kantud Data Privacy Frameworki otsingusse: ainuüksi dokumendist ei piisa, kui sertifikaat puudub.

AIPilt on genereeritud tehisintellekti poolt.

Kuidas kontrollida kahe nädala pärast, et süsteem töötab

Üks mõõdik: töötajate osakaal, kes kasutavad tehisintellekti ettevõtte kontol väljalülitatud treenimisega. Tulemus on selge: kontrollige OpenAI halduspaneelist, kui paljud logivad sisse töökontoga ja kui paljud kasutavad endiselt erakontosid. Kui kahe nädala pärast töötab üle 20% kasutajatest endiselt tasuta kontodel, näitab see koolituse ebaõnnestumist: teemat tuleb uuesti käsitleda või tõkestada tehniliselt juurdepääs tasuta versioonidele. Alla 20% on alguses vastuvõetav tase, ülejäänu lahendate järgmisel kuul.

Kulu sel nädalal on peamiselt aeg: kokku umbes 6 töötundi nelja inimese vahel. Ettevõtte litsentsid maksavad 15 000–30 000 PLN aastas, kuid võrrelge seda riskiga: trahv õigusliku aluse või andmetöötluslepingu puudumise eest ulatub 20 miljoni euroni või 4% eelmise aasta käibest. Praktikas saab VKE harva maksimumkaristuse, kuid andmekaitseasutuse menetlus võib kesta kuid. Kui te ei soovi seda ise teha, viib HEXART sellised seadistused klientide juures ellu: alates paketi valikust ja DPA allkirjastamisest kuni registrikande ja meeskonna koolituseni. Ilma revolutsioonita, ühe nädalaga.