Klientu datubāzes nosūtīšana uz ChatGPT: kas ir likumīgi

Uztveriet šo tekstu kā praktiķa piezīmes bez maksas: rādām ierasto praksi, nevis vienīgo iespējamo risinājumu jūsu gadījumam. Iedomājieties biroju ar 50 darbiniekiem. Pārdošanas speciālists paceļ acis no klēpjdatora un saka, ka jau mēnesi iekopē ChatGPT klientu bāzes fragmentus ātrākai piedāvājumu sagatavošanai. Tas darbojas un ietaupa viņam 2 stundas dienā. Jautājums ir viens: vai tas vispār ir likumīgi? Uzņēmumam, kas ir personas datu pārzinis, atbilde ir atkarīga no viena faktora: kāds konts ir šim darbiniekam un vai uzņēmums ir noslēdzis datu apstrādes līgumu ar pakalpojuma sniedzēju. Lielākā daļa mazo un vidējo uzņēmumu izmanto bezmaksas privātos kontus, kas ir sliktākais iespējamais variants.

AIAttēls ģenerēts ar AI.

Atšķirība nav tikai formāla. Plānos Free un Plus OpenAI darbojas kā datu pārzinis: datu apstrādes līguma nav, un saturu var izmantot modeļu apmācībai. Plānos Team, Enterprise un API OpenAI darbojas kā apstrādātājs, paraksta Data Processing Addendum un ļauj atslēgt modeļu apmācību ar klienta datiem. Tas ir pirmais lēmums, no kura atkarīgs viss pārējais. Juridiskais pamats parasti ir VDAR 6. panta 1. punkta b vai f apakšpunkts, bet īpašu kategoriju datiem: 9. pants. Datu nosūtīšana uz ASV pēc Komisijas 2023. gada 10. jūlija lēmuma balstās uz Data Privacy Framework, ja pakalpojuma sniedzējs ir sertificēts.

Ko iespējams paveikt šonedēļ

1. solis: pārbaudiet, kādus kontus darbinieki izmanto. Laiks: 30 minūtes, veic īpašnieks vai IT nodaļa. Noskaidrojiet pārdošanas un mārketinga nodaļā, kurš izmanto ChatGPT, Claude vai Gemini un vai pieslēdzas ar darba, vai personīgo e-pastu. 2. solis: pārejiet uz uzņēmuma kontu. Laiks: 1 diena, veic administrators. 50 personām izmaksas ir aptuveni 15 000–30 000 PLN gadā ar Team plānu (25–30 USD par lietotāju mēnesī). Team un Enterprise plānos parakstiet DPA un iestatījumos atslēdziet modeļu apmācību. 3. solis: papildiniet apstrādes darbību reģistru. Laiks: 2 stundas, veic par VDAR atbildīgā persona. Ierakstā norādiet: darbības nosaukumu (piemēram, "Piedāvājumu sagatavošana, izmantojot ChatGPT Team"), mērķi, juridisko pamatu, personu un datu kategorijas, saņēmēju (OpenAI Ireland Ltd kā apstrādātāju), datu nosūtīšanu uz ASV saskaņā ar VDAR 45. pantu saistībā ar DPF, glabāšanas termiņu (API līdz 30 dienām, Enterprise uz līguma darbības laiku) un drošības pasākumus. 4. solis: atjauniniet privātuma politiku un informējiet darbiniekus. Laiks: 2 stundas, veic mārketings vai jurists. Pievienojiet vienu rindkopu par jauno apstrādātāju un ar vienu e-pastu atgādiniet, ka modelī ievada tikai atbildei obligāti nepieciešamos datus.

Ko nedarīt uzreiz

Nepērciet uzreiz Enterprise plānu: 50 personām tas parasti ir lieki, Team plāna pilnīgi pietiek, un cenas atšķirība mēdz būt divkārša. Neieviesiet vietējo atvērtā koda modeli tikai tāpēc, lai izvairītos no mākoņpakalpojumiem: tas prasīs mēnešus, bet ar uzņēmuma kontu jautājumu var atrisināt nedēļas laikā. Nerakstiet jaunu privātuma politiku no nulles: parasti pietiek ar grozījumiem esošajā. Nebloķējiet darbiniekiem piekļuvi AI pilnībā, jo viņi atgriezīsies pie privātajiem kontiem un jūs zaudēsiet kontroli. Un neparakstiet DPA, nepārbaudot, vai pakalpojuma sniedzējs tiešām ir atrodams Data Privacy Framework reģistrā: ar pašu dokumentu nepietiek, ja nav sertifikācijas.

AIAttēls ģenerēts ar AI.

Kā pēc divām nedēļām pārliecināties, ka tas darbojas

Viens rādītājs: to darbinieku īpatsvars, kuri izmanto AI ar uzņēmuma kontu ar atslēgtu modeļu apmācību. Datus iegūt ir vienkārši: OpenAI administratora panelī pārbaudiet, cik cilvēku piesakās ar darba e-pastu un cik joprojām izmanto privātos kontus. Ja pēc divām nedēļām vairāk nekā 20% lietotāju joprojām strādā ar bezmaksas kontiem, apmācības nav devušas rezultātu. Šādā gadījumā jārīko atkārtota saruna vai tehniski jābloķē piekļuve bezmaksas versijām. Mazāk par 20% ir pieņemams rezultāts sākumam, atlikušo daļu sakārtosiet nākamajā mēnesī.

Šīs nedēļas izmaksas galvenokārt ir laiks: kopā apmēram 6 darba stundas, sadalītas starp četriem cilvēkiem. Uzņēmuma licences prasa 15 000–30 000 PLN gadā, taču salīdziniet to ar riskiem: sods par juridiskā pamata vai datu apstrādes līguma trūkumu sasniedz 20 milj. EUR vai 4% no gada apgrozījuma. Praksē MVU reti saņem maksimālo sodu, taču pati uzraudzības iestādes pārbaude var ilgt mēnešiem. Ja nevēlaties to darīt paši, HEXART ievieš šādas konfigurācijas klientu uzņēmumos: no plāna izvēles un DPA parakstīšanas līdz ierakstam reģistrā un komandas apmācībai. Bez liekiem sarežģījumiem, vienas nedēļas laikā.