Asiakaskannan lähetys ChatGPT:hen: mikä on laillista

Käsittele tätä tekstiä käytännön asiantuntijan maksuttomina muistiinpanoina: esittelemme tyypillisen ratkaisumallin, emme ehdotonta sääntöä jokaiseen tilanteeseen. Työskentelet 50 hengen toimistossa. Myyjä nostaa katseensa kannettavaltaan ja kertoo liittäneensä kuukauden ajan asiakasrekisterin osia ChatGPT:hen laatiakseen tarjouksia nopeammin. Se toimii ja säästää häneltä 2 tuntia päivässä. Herää kysymys: onko tämä laillista? Rekisterinpitäjänä toimivassa yrityksessä vastaus riippuu yhdestä asiasta: mikä tili myyjällä on käytössä ja onko yritys solminut palveluntarjoajan kanssa tietojenkäsittelysopimuksen. Useimmat pk-yritykset käyttävät maksuttomia henkilökohtaisia tilejä, mikä on huonoin mahdollinen vaihtoehto.

AIKuva on luotu tekoälyllä.

Ero ei ole pelkästään kosmeettinen. Free- ja Plus-tilauksissa OpenAI toimii rekisterinpitäjänä: tietojenkäsittelysopimusta ei ole, ja syötettyjä tietoja voidaan käyttää tekoälymallien kouluttamiseen. Team-, Enterprise- ja API-tilauksissa OpenAI toimii henkilötietojen käsittelijänä, hyväksyy Data Processing Addendum -sopimuksen (DPA) ja mahdollistaa tietojen käytön estämisen mallien koulutukseen. Tämä on ensimmäinen valinta, josta kaikki muu riippuu. Oikeusperusteena toimii yleensä GDPR:n 6 artiklan 1 kohdan b tai f alakohta, ja arkaluonteisten tietojen osalta 9 artikla. Tiedonsiirto Yhdysvaltoihin komission 10.7.2023 tekemän päätöksen jälkeen perustuu Data Privacy Framework -viitekehykseen, jos palveluntarjoaja on sertifioitu.

Mitä tällä viikolla voidaan tehdä

Vaihe 1: tarkista, mitä tilejä työntekijät käyttävät. Kesto: 30 minuuttia, toteuttajana yrityksen johto tai IT-osasto. Kysy myynti- ja markkinointitiimiltä, kuka käyttää ChatGPT-, Claude- tai Gemini-palveluja ja kirjaudutaanko niihin työsähköpostilla vai henkilökohtaisella tilillä. Vaihe 2: siirry yritystiliin. Kesto: 1 päivä, toteuttajana järjestelmänvalvoja. 50 hengelle kustannus on noin 15 000–30 000 PLN vuodessa Team-tilauksella (25–30 USD käyttäjää kohden kuukaudessa). Team- ja Enterprise-tilauksissa hyväksyt DPA-sopimuksen ja kytket mallien koulutuksen pois asetuksista. Vaihe 3: päivitä seloste käsittelytoimista. Kesto: 2 tuntia, toteuttajana GDPR-vastaava. Merkinnän tulee sisältää: käsittelytoimen nimi (esim. "Tarjousten laatiminen ChatGPT Team -palvelulla"), tarkoitus, oikeusperuste, rekisteröityjen ja tietojen ryhmät, vastaanottaja (OpenAI Ireland Ltd käsittelijänä), tiedonsiirto Yhdysvaltoihin GDPR:n 45 artiklan ja DPF-viitekehyksen nojalla, säilytysaika (API-rajapinnalle enintään 30 päivää, Enterprise-tilaukselle sopimuksen kesto) sekä turvatoimet. Vaihe 4: päivitä tietosuojaseloste ja ohjeista työntekijät. Kesto: 2 tuntia, toteuttajana markkinointi tai lakiosasto. Lisää uusi henkilötietojen käsittelijää koskeva kappale ja muistuta sähköpostitse, että malliin syötetään vain vastauksen kannalta välttämättömät tiedot.

Mitä ei pidä tehdä heti

Älä hanki heti Enterprise-tilausta: 50 hengelle se on usein ylimitoitettu ratkaisu, Team riittää ja hintaero voi olla kaksinkertainen. Älä ota käyttöön paikallista avoimen lähdekoodin mallia vain pilvipalvelun välttämiseksi: kyseessä on kuukausien projekti, kun taas yritystilin avulla ongelma ratkeaa viikossa. Älä kirjoita uutta tietosuojaselostetta alusta alkaen: nykyisen asiakirjan täydentäminen riittää yleensä. Älä estä työntekijöiltä tekoälyn käyttöä kokonaan, sillä silloin he palaavat henkilökohtaisiin tileihin ja hallinta menetetään. Äläkä hyväksy DPA-sopimusta tarkistamatta, löytyykö palveluntarjoaja todella Data Privacy Framework -hakemistosta: pelkkä sopimusasiakirja ei riitä ilman voimassa olevaa sertifiointia.

AIKuva on luotu tekoälyllä.

Miten varmistaa kahden viikon jälkeen toimivuus

Yksi mittari: tekoälyä yritystilillä käyttävien työntekijöiden osuus, kun mallien opetus on poistettu käytöstä. Tulos on helppo tarkistaa: näet OpenAI:n hallintapaneelista, kuinka moni kirjautuu työsähköpostilla ja kuinka moni käyttää yhä henkilökohtaista tiliä. Jos kahden viikon jälkeen yli 20% käyttäjistä toimii yhä ilmaisilla tileillä, koulutus ei toiminut: asiaan on palattava tai ilmaisten versioiden käyttö on estettävä teknisesti. Alle 20% on hyväksyttävä taso alussa, ja loput hoidetaan kuntoon seuraavan kuukauden aikana.

Kustannukset tällä viikolla ovat pääasiassa aikaa: yhteensä noin 6 työtuntia jaettuna neljälle henkilölle. Yrityslisenssit maksavat noin 15 000–30 000 PLN vuodessa, mutta vertaa tätä riskiin: sakko puuttuvasta oikeusperusteesta tai tietojenkäsittelysopimuksesta on jopa 20 miljoonaa euroa tai 4% vuosittaisesta liikevaihdosta. Pk-yritykset saavat harvoin enimmäisseuraamuksia, mutta pelkkä tietosuojaviranomaisen selvitysmenettely voi kestää kuukausia. Jos ette halua tehdä tätä itse, HEXART toteuttaa nämä määritykset asiakkaille: palvelupaketin valinnasta ja DPA-sopimuksen allekirjoittamisesta aina rekisterimerkintään ja tiimin koulutukseen asti. Ilman mullistuksia, viikossa.