Töötaja võib tööl kasutada ChatGPT-d, kuid mitte tasuta kontoga

Praktiline juhend otse meie töölaualt. Näitame suunda ja konkreetseid numbreid, otsuse teete oma tingimustel. Tees, mida kuuleme 20–150 töötajaga teenindus- ja kontoriettevõtetes kõige sagedamini: ChatGPT tööl on lubatud, piisab isikuandmete sisestamise keelamisest ja allkirjastatud kinnitusest. Kõlab mõistlikult, sest Poola tööõiguses pole tõepoolest sätet "ChatGPT kasutamise keeld" ning töölepingu seadus lubab tööandjal määrata töö tegemise viisi. Probleem algab sellest, kui sellest ühest lausest soovitakse teha terve protseduur.

Teise poole tugevaim argument

See argument pole laest võetud. IKÜM ei keela otseselt ChatGPT-d ning AI Act ei käsitle tavatöötajat kasutajana määruse tähenduses. Kui töötaja sisestab ainult anonümiseeritud andmeid, väheneb IKÜM art 9 risk ja tööandjal on käes töölepingu seadus: alates hoiatusest kuni erakorralise ülesütlemiseni alusel art. 52 §1 pkt 1. Ärisaladuse avaldamise eest karistatakse kuni 2-aastase vangistusega. IT-osakonnata väikeettevõttes on see mugav: üks A4 leht, allkiri ja probleem tundub lahendatud.

AIPilt on genereeritud tehisintellekti poolt.

Mida see argument ei hõlma

See jätab tähelepanuta, et ChatGPT tasuta konto ei vasta IKÜM standardile: sisu võidakse kasutada mudeli treenimiseks ning see liigub serveritesse väljaspool EMP-d, ainuüksi teksti kleepimine ei tekita IKÜM art 28 kohast andmetöötluslepingut. Töötaja nõusolek ei ole töötajate ega klientide andmete töötlemise alus. Kinnituskiri ei anna töötajale üle vastutava töötleja aruandekohustust. Meie praktikas ei leki tavaliselt isikukood, vaid pakkumise sisu, hinnakiri, leping või kliendi sõnum; see on juba ärisaladus, mitte ainult isikuandmed. Lisandub küsimus, kes hindab ilma IT-ta ettevõttes, kas SaaS-tööriistal on DPA, välja lülitatud mudeliõpe ja mõistlik säilitusperiood. Töötaja seda ei tee, sest see pole tema roll.

Meie seisukoht

Meie seisukoht: töötaja võib kasutada ChatGPT-d tööks, kuid alles pärast tööriista hindamist, heakskiidetud versiooni määramist ja koolitust; sisekorraeeskiri on seaduslikkuse tingimus, mitte paberimäärimine. Meil algab juurutus 20–100 töötajaga ettevõttes küsimustest: kes kasutab, milleks ja millised andmed kaasnevad. Seejärel kontrollib väline andmekaitseametnik või advokaadibüroo ChatGPT Team või Enterprise versiooni DPA, EMP-st väljapoole edastamise, andmete säilitamise ja mudeliõppe väljalülitamise osas. Ühe tööriista audit võtab tavaliselt 2–4 tööpäeva, tunnihinnaga 300–600 PLN neto, ning baaskoolitus kestab 1,5–2 tundi. Otsust ei tee töötaja üksi ega väline IT-tarnija: taotluse esitab protsessiomanik, tegevjuht või personalijuht ning kinnitab operatiivjuht või juhatus. Tasuta versiooni jätame ainult üldisteks testideks ilma ettevõtte andmeteta; tööks võtame kasutusele meeskonnakonto koos välja lülitatud mudeliõppega.

AIPilt on genereeritud tehisintellekti poolt.

Mida me sellisel juhul eeskirja kirjutame

Sisekorraeeskirjas käsitleme kaheksat punkti: eesmärk ja mõisted; lubatud versioonid ja kasutusotstarbed; keelatud andmed ja toimingud; andmete sisestamise reeglid ilma töötaja nõusolekuta alusena; tööriistadest teatamise kord; kasutaja kohustused ja tehisintellektipädevuse koolitus vastavalt art. 4 AI Act nõuetele; tööriistade ja intsidentide register; kontroll ja sanktsioonid. Keelatud nimekirjas on muuhulgas isikukood, registrikood, aadressid, telefoninumbrid, kontonumbrid, isikuandmete kaitse üldmääruse artiklite 9 ja 10 andmed (tervis, biomeetria, religioon, päritolu, süüdimõistvad kohtuotsused), töötasud, hinnangud, laste andmed, paroolid, API-tokenid, hinnad, pakkumised, lepingud ja konfidentsiaalsuslepingute sisu. Töötajale kohaldatavad sanktsioonid ulatuvad hoiatusest või noomitusest vastavalt töölepingu seadusele kuni kahju hüvitamise kohustuseni kolme kuu töötasu ulatuses ettevaatamatu kahju korral ning täies ulatuses tahtliku kahju korral, samuti erakorralise ülesütlemiseni; ettevõtet ähvardab andmekaitseasutuse trahv kuni 20 miljonit eurot või 4% aastakäibest. Otsus selleks kvartaliks: kui ettevõte kasutab tasuta kontosid, eraldame neist esmalt ettevõtte andmed ja viime testimise üle eraldatud keskkonda. Muudaksime seisukohta, kui tasuta versioon saaks andmetöötluslepingu (DPA), väljalülitatud mudelite treenimise ja andmetöötluse EMP piires: siis oleks riskihinnang teistsugune.