Передача бази клієнтів до ChatGPT: що законно

Сприймайте цей текст як безкоштовні нотатки практика: показуємо типовий підхід, а не обов'язковий шаблон саме для вашої компанії. Офіс на 50 осіб. Менеджер з продажу відриває погляд від лептопа й каже, що вже місяць копіює до ChatGPT уривки з клієнтської бази для швидкої підготовки пропозицій. Працює, це заощаджує йому 2 години щодня. Постає запитання: чи це взагалі законно? Для польської компанії, яка є володільцем персональних даних, відповідь зводиться до одного: який акаунт використовує співробітник і чи підписано договір про доручення обробки даних із постачальником. Більшість малих та середніх компаній користується безкоштовними приватними акаунтами, і це найгірший можливий варіант.

AIЗображення згенероване AI.

Різниця не косметична. У тарифах Free та Plus компанія OpenAI виступає володільцем даних: договір доручення відсутній, а контент може використовуватися для навчання моделей. У тарифах Team, Enterprise та API OpenAI виступає розпорядником, підписує Data Processing Addendum і дозволяє вимкнути навчання на даних клієнта. Це базове рішення, від якого залежить усе інше. Юридичною підставою зазвичай є ст. 6 ч. 1 п. b або f GDPR, а для чутливих даних: ст. 9. Передача даних до США після рішення Комісії від 10 липня 2023 року ґрунтується на Data Privacy Framework, якщо постачальник має сертифікацію.

Що можна зробити цього тижня

Крок 1. Перевірте типи акаунтів працівників. Час: 30 хвилин, виконує власник або IT. Запитайте у відділах продажу та маркетингу, хто користується ChatGPT, Claude чи Gemini і як авторизується: через корпоративну чи приватну пошту. Крок 2. Перейдіть на корпоративний акаунт. Час: 1 день, виконує адміністратор. Для 50 осіб вартість становить орієнтовно 15–30 тис. PLN на рік за тарифом Team (25–30 USD за особу на місяць). У планах Team та Enterprise підпишіть DPA та вимкніть навчання в налаштуваннях. Крок 3. Доповніть реєстр операцій обробки даних. Час: 2 години, виконує відповідальний за GDPR. Запис має містити: назву операції (наприклад, «Підготовка пропозицій за допомогою ChatGPT Team»), мету, правову підставу, категорії суб'єктів та даних, отримувача (OpenAI Ireland Ltd як розпорядник), факт передачі до США на підставі ст. 45 GDPR у зв'язку з DPF, термін зберігання (для API до 30 днів, для Enterprise на термін дії договору) та заходи безпеки. Крок 4. Оновіть політику конфіденційності та поінформуйте команду. Час: 2 години, виконує маркетинг або юрист. Додайте один абзац про нового розпорядника даних і нагадайте в робочому листі, що в модель слід надсилати лише дані, необхідні для генерації відповіді.

Чого не робити одразу

Не купуйте одразу тариф Enterprise: для 50 осіб це зазвичай надлишково, достатньо Team, а різниця в ціні буває двократною. Не розгортайте локальну open-source модель лише для того, щоб уникнути хмари: це проєкт на місяці, тоді як проблему можна закрити корпоративним акаунтом за тиждень. Не створюйте нову політику конфіденційності з нуля: зазвичай вистачає додатка до чинної. Не блокуйте працівникам доступ до AI повністю, бо вони повернуться до приватних акаунтів, і ви втратите контроль. І не підписуйте DPA без перевірки постачальника в реєстрі Data Privacy Framework: сам документ не діє без дійсної сертифікації.

AIЗображення згенероване AI.

Як перевірити ефективність за два тижні

Один показник: відсоток працівників, які використовують AI на корпоративному акаунті з вимкненим навчанням моделей. Перевірка проста: в панелі адміністратора OpenAI дивитеся, скільки людей входить через робочу пошту, а скільки досі користується приватними акаунтами. Якщо за два тижні понад 20% користувачів далі працюють на безкоштовних акаунтах, навчання не спрацювало. Потрібно провести повторну розмову або технічно заблокувати доступ до безкоштовних версій. Менше 20% є прийнятним результатом для старту, решту налаштуєте наступного місяця.

Витрати цього тижня, це переважно час: разом близько 6 годин роботи, розподілених між чотирма людьми. Корпоративні ліцензії коштують у межах 15–30 тис. PLN на рік, але порівняйте це з ризиком: штраф за відсутність правової підстави чи договору доручення обробки даних сягає 20 млн EUR або 4% річного обороту. На практиці МСП рідко отримує максимальні санкції, але саме розслідування органу захисту персональних даних UODO може тривати місяцями. Якщо ви не хочете робити це власноруч, HEXART впроваджує такі конфігурації у клієнтів: від вибору тарифу й підписання DPA до внесення в реєстр і навчання команди. Без потрясінь, за тиждень.