Ügyféladatbázis feltöltése a ChatGPT-be: mi jogszerű

Tekintse ezt az írást ingyenesen megosztott gyakorlati jegyzetnek: azt mutatjuk be, hogyan szokott ez működni, nem pedig azt, hogyan kell feltétlenül kinéznie az Ön cégénél. Képzeljen el egy 50 fős irodát. Az értékesítő felnéz a laptopból, és elmondja: egy hónapja másol be ügyféladatbázis-részleteket a ChatGPT-be az ajánlatkészítés felgyorsítására. Működik, napi 2 órát takarít meg vele. A kérdés az: jogszerű-e ez egyáltalán? Adatkezelőként eljáró vállalat esetén a válasz egyetlen tényezőtől függ: milyen fiókkal dolgozik a munkatárs, és kötött-e a cég adatfeldolgozói szerződést a szolgáltatóval. A legtöbb kis- és középvállalkozás ingyenes privát fiókokat használ, ami a lehető legrosszabb forgatókönyv.

AIKép mesterséges intelligencia által generált.

A különbség érdemi. A Free és Plus csomagokban az OpenAI adatkezelőként jár el: nincs adatfeldolgozói szerződés, a tartalmakat pedig felhasználhatják a modellek tanítására. A Team, Enterprise és API csomagokban az OpenAI adatfeldolgozóként működik, aláírja a Data Processing Addendumot (DPA), és lehetővé teszi az ügyféladatokon történő tanítás kikapcsolását. Ez az első döntési pont, amelytől a többi függ. A jogalap rendszerint a GDPR 6. cikk (1) bekezdés b) vagy f) pontja, különleges adatok esetén pedig a 9. cikk. Az USA-ba irányuló adattovábbítás az Európai Bizottság 2023. július 10-i határozata nyomán a Data Privacy Framework rendszerén alapul, amennyiben a szolgáltató rendelkezik tanúsítvánnyal.

Mit lehet megtenni ezen a héten

1. lépés: ellenőrizze, milyen fiókokat használnak a munkatársak. Időtartam: 30 perc, a cégvezető vagy az IT végzi el. Elég megkérdezni az értékesítést és a marketinget, ki használja a ChatGPT, Claude vagy Gemini rendszereket, és céges vagy privát e-maillel jelentkezik-e be. 2. lépés: váltson céges fiókra. Időtartam: 1 nap, az adminisztrátor intézi. 50 főre a költség kb. 15 000–30 000 PLN évente a Team csomagban (felhasználónként havi 25–30 USD). A Team és Enterprise csomagban írja alá a DPA-t, a beállításokban pedig tiltsa le a modelltanítást. 3. lépés: frissítse az adatkezelési tevékenységek nyilvántartását. Időtartam: 2 óra, a GDPR felelős feladata. A bejegyzésnek tartalmaznia kell: a tevékenység nevét (pl. „Ajánlatok készítése a ChatGPT Team használatával”), a célt, a jogalapot, az érintettek és az adatok kategóriáit, a címzettet (OpenAI Ireland Ltd mint adatfeldolgozó), az USA-ba történő továbbítást a GDPR 45. cikke és a DPF alapján, a megőrzési időt (API esetén legfeljebb 30 nap, Enterprise esetén a szerződés ideje alatt), valamint a biztonsági intézkedéseket. 4. lépés: frissítse az adatkezelési tájékoztatót, és értesítse a munkatársakat. Időtartam: 2 óra, a marketing vagy a jogi szakértő végzi el. Elég hozzáadni egy bekezdést az új adatfeldolgozóról, és egy belső e-mailben nyomatékosítani: a modellbe kizárólag a válaszhoz nélkülözhetetlen adatokat szabad feltölteni.

Mit ne tegyen meg azonnal

Ne vásároljon azonnal Enterprise csomagot: 50 főre ez általában feleslegesen drága, a Team bőven elegendő, az árkülönbség pedig akár kétszeres is lehet. Ne vezessen be helyi, nyílt forráskódú modellt pusztán a felhő elkerülése miatt: ez hónapokig tartó projekt, miközben a probléma céges fiókkal egy hét alatt rendezhető. Ne írjon új adatkezelési tájékoztatót a nulláról: rendszerint elég a meglévő kiegészítése. Ne tiltsa le a munkatársak hozzáférését az AI-hoz teljes egészében: visszatérnek a privát fiókokhoz, és elveszíti az ellenőrzést. Végül ne írjon alá DPA-t annak ellenőrzése nélkül, hogy a szolgáltató valóban szerepel-e a Data Privacy Framework keresőjében: önmagában a dokumentum érvényes tanúsítvány nélkül nem elegendő.

AIKép mesterséges intelligencia által generált.

Hogyan ellenőrizze két hét után a működést

Egyetlen mutatószám: a letiltott modelltanítással működő vállalati fiókot használó munkatársak aránya. A leolvasás egyszerű: az OpenAI adminisztrációs felületén ellenőrzi, hányan jelentkeznek be céges e-mail-címmel, és hányan használnak még magánfiókot. Ha két hét elteltével a felhasználók több mint 20%-a továbbra is ingyenes fiókkal dolgozik, az arra utal, hogy a képzés nem volt hatékony, és újabb egyeztetésre vagy az ingyenes verziók technikai letiltására van szükség. A 20% alatti arány induláskor elfogadható, a fennmaradó részt a következő hónapban rendezheti.

A költségek ezen a héten elsősorban munkaórában mérhetők: összesen kb. 6 órányi munka négy személyre elosztva. A vállalati licencek éves szinten 15 000–30 000 PLN kiadást jelentenek, de vesse ezt össze a kockázattal: a jogalap vagy az adatfeldolgozási szerződés hiányáért kiszabható bírság elérheti a 20 millió EUR összeget vagy az éves forgalom 4%-át. A KKV-szektor a gyakorlatban ritkán kap maximális bírságot, de maga a hatósági eljárás hónapokig elhúzódhat. Ha nem szeretné egyedül elvégezni, a HEXART felépíti ezeket a konfigurációkat az ügyfeleknél: a csomag kiválasztásától a DPA aláírásán át a nyilvántartási bejegyzésig és a csapat képzéséig. Felesleges felfordulás nélkül, egy hét alatt.