Klientų bazės siuntimas į ChatGPT: kas yra teisėta

Vertinkite šį tekstą kaip nemokamus praktiko užrašus: rodome, kaip tai įprastai veikia, o ne kaip privalo atrodyti būtent pas jus. Sėdite 50 žmonių biure. Pardavimų vadybininkas pakelia akis nuo nešiojamojo kompiuterio ir sako, kad jau mėnesį į ChatGPT kelia klientų bazės fragmentus, kad greičiau rengtų pasiūlymus. Veikia, tai sutaupo jam 2 valandas per dieną. Klausimas: ar tai išvis teisėta? Įmonėje, kuri yra asmens duomenų valdytoja, atsakymas priklauso nuo vieno dalyko: kokią paskyrą naudoja šis darbuotojas ir ar įmonė pasirašė duomenų tvarkymo sutartį su teikėju. Dauguma mažų ir vidutinių įmonių naudoja nemokamas asmenines paskyras, o tai yra blogiausias įmanomas variantas.

AIPaveikslėlis sugeneruotas DI.

Skirtumas nėra tik kosmetinis. Planuose Free ir Plus OpenAI veikia kaip duomenų valdytojas: duomenų tvarkymo sutarties nėra, o turinys gali būti naudojamas modeliams treniruoti. Planuose Team, Enterprise ir API OpenAI veikia kaip duomenų tvarkytojas, pasirašo Data Processing Addendum ir leidžia išjungti treniravimą su kliento duomenimis. Tai yra pirmasis sprendimas, nuo kurio priklauso visa kita. Teisinis pagrindas dažniausiai yra BDAR 6 straipsnio 1 dalies b arba f punktas, o jautriems duomenims: 9 straipsnis. Perdavimas į JAV po 2023 m. liepos 10 d. Komisijos sprendimo grindžiamas Data Privacy Framework, jei teikėjas yra sertifikuotas.

Ką galima padaryti šią savaitę

1 žingsnis: patikrinkite, su kokiomis paskyromis dirba darbuotojai. Trukmė: 30 minučių, atlieka vadovas arba IT. Užtenka paklausti pardavimų ir rinkodaros skyriuose, kas naudoja ChatGPT, Claude ar Gemini ir ar jungiasi su darbiniu, ar su asmeniniu el. paštu. 2 žingsnis: pereikite prie verslo paskyros. Trukmė: 1 diena, atlieka administratorius. 50 asmenų komandai kaina siekia apie 15–30 tūkst. PLN per metus pasirinkus Team planą (25–30 USD vienam asmeniui per mėnesį). Team ir Enterprise planuose pasirašote DPA ir nustatymuose išjungiate modelių treniravimą. 3 žingsnis: papildykite duomenų tvarkymo veiklos įrašus. Trukmė: 2 valandos, atlieka už BDAR atsakingas asmuo. Įraše turi būti nurodyta: veiklos pavadinimas (pvz., „Pasiūlymų rengimas naudojant ChatGPT Team“), tikslas, teisinis pagrindas, asmenų ir duomenų kategorijos, duomenų gavėjas (OpenAI Ireland Ltd kaip tvarkytojas), perdavimas į JAV pagal BDAR 45 straipsnį kartu su DPF, saugojimo laikotarpis (API atveju iki 30 dienų, Enterprise atveju sutarties galiojimo laikotarpiu) bei saugumo priemonės. 4 žingsnis: atnaujinkite privatumo politiką ir informuokite darbuotojus. Trukmė: 2 valandos, atlieka rinkodara arba teisininkas. Užtenka pridėti vieną pastraipą apie naują duomenų tvarkytoją ir vienu el. laišku priminti, kad į modelį keliami tik atsakymui būtini duomenys.

Ko nedaryti iš karto

Nepirkite iš karto Enterprise plano: 50 asmenų komandai tai dažniausiai perteklinis sprendimas, visiškai pakanka Team, o kainos skirtumas siekia iki dviejų kartų. Nediekite vietinio atvirojo kodo modelio vien tam, kad išvengtumėte debesijos: tai kelių mėnesių projektas, o problemą galima išspręsti verslo paskyra per savaitę. Nerašykite naujos privatumo politikos nuo nulio: paprastai pakanka esamos politikos priedo. Neužblokuokite darbuotojams prieigos prie AI visiškai, nes jie grįš prie asmeninių paskyrų ir prarasite kontrolę. Ir nepasirašykite DPA nepatikrinę, ar tiekėjas faktiškai įtrauktas į Data Privacy Framework paiešką: vien paties dokumento neužtenka, jei nėra sertifikavimo.

AIPaveikslėlis sugeneruotas DI.

Kaip po dviejų savaičių įsitikinti, kad sistema veikia

Vienas rodiklis: darbuotojų, naudojančių AI įmonės paskyroje su išjungtu modelio mokymu, dalis. Patikrinti paprasta: OpenAI administratoriaus skydelyje matote, kiek žmonių jungiasi su darbiniu el. paštu, o kiek vis dar naudoja asmenines paskyras. Jei po dviejų savaičių daugiau nei 20% naudotojų vis dar dirba su nemokamomis paskyromis, mokymai nebuvo veiksmingi: reikia pakartotinio pokalbio arba techninio nemokamų versijų blokavimo. Mažiau nei 20% yra priimtinas rodiklis pradžiai, likusią dalį sutvarkysite kitą mėnesį.

Šios savaitės sąnaudos daugiausia yra laikas: iš viso apie 6 darbo valandos, padalintos keturiems asmenims. Įmonės licencijos kainuoja apie 15–30 tūkst. PLN per metus, tačiau palyginkite tai su rizika: bauda už teisinio pagrindo ar duomenų tvarkymo sutarties nebuvimą siekia 20 mln. EUR arba 4% metinės apyvartos. Praktikoje MVĮ retai gauna maksimalias sankcijas, tačiau pats duomenų apsaugos institucijos tyrimas gali tęstis mėnesiais. Jei nenorite to daryti patys, HEXART diegia tokias konfigūracijas klientams: nuo plano parinkimo ir DPA pasirašymo iki įrašo registre bei komandos mokymų. Be streso, per savaitę.