Подготвено с помощта на AI. Източниците са проверени към Материалът е обща информация; конкретният случай изисква отделна правна преценка.
Служител качва договор в AI асистент, за да получи резюме. Друг подава клиентска таблица, за да подготви предложения. Задачите изглеждат обичайни, но могат да разкрият лични данни, договорно поверителна информация и търговски тайни. Практичното решение започва с ясни разрешени употреби и подходящо избрани инструменти.
Първо разграничете какво изпращате
Лични данни са сведенията за идентифицирано или идентифицируемо физическо лице. Имената и служебните имейли на контактите при клиент също могат да бъдат лични данни. Здравната информация изисква допълнителна проверка по чл. 9 GDPR. Замяната на името с „Клиент А“ не е пълна анонимизация, когато останалият текст позволява лицето да бъде разпознато.
Търговската тайна е различна категория: например непублична ценова стратегия, технология или клиентска информация, която отговаря на законовите условия за тайна, търговска стойност поради секретността и разумни мерки за опазването ѝ. Договорът може да защитава и по-широк кръг поверителни сведения. Следователно документ без ЕГН и имена все пак може да е неподходящ за външен AI инструмент.
Какво да проверите при доставчика?
Надписът „бизнес план“ не замества проверката. Установете кой получава съдържанието, за какви цели го обработва, колко дълго го пази, кой може да го вижда и как се изтрива. Проверете използването за обучение, външните интеграции, подизпълнителите и евентуалните предавания извън Европейското икономическо пространство. Отговорите могат да се различават според услугата, плана, настройките и конкретната функция.
По GDPR фирмата трябва да определи целта, правното основание и необходимия минимум данни. Когато доставчикът е обработващ лични данни за фирмата, е необходим договор с изискванията на чл. 28. Ако той обработва за собствени цели, квалификацията и условията са други. Нито договорът с доставчика, нито съгласието на служителя автоматично осигуряват основание да качите данните на всички клиенти.
Три работни ситуации
- Резюме на договор: започнете с извлечение само на нужните клаузи. Премахнете идентификатори, подписи, банкови данни и ненужни приложения. Проверете дали самите търговски условия са поверителни и дали разрешената услуга позволява тази употреба.
- Текст за реклама: дайте описание на продукта и примерна аудитория, без реален списък с клиенти. За общ текст обикновено няма причина да се предоставят контакти и история на покупките.
- Анализ на клиентски оплаквания: използвайте обобщени категории или предварително прегледан набор. Свободният текст може да съдържа здравни сведения, адреси и данни за трети лица, които липсват в заглавията на колоните.
Какво да съдържат вътрешните правила?
Посочете разрешените инструменти и профили, видовете позволени данни и кой одобрява изключенията. За служебни задачи използвайте управлявани от организацията достъпи, когато избраната услуга ги предоставя. Уредете напускането на служител, споделените разговори, свързаните папки и достъпа през разширения. Забраната само за копиране на текст е недостатъчна, ако интеграция може да прочете цялото хранилище.
Определете кой проверява резултатите преди използването им. AI резюме може да пропусне клауза, да обърка срок или да добави несъществуващо условие. Полезно е обучението да включва реални работни примери, ясна процедура за въпроси и кратък списък с информация, която не се качва без отделно одобрение.
Ако информация вече е качена
Спрете по-нататъшното споделяне и установете какво е изпратено, кога, от кой профил и на кого е достъпно. Запазете необходимите доказателства, проверете възможностите за ограничаване и изтриване и включете отговорното лице по защита на данните. Изтриването на видимия разговор само по себе си не доказва, че всички копия при доставчика са премахнати.
При нарушение на сигурността на лични данни се прави оценка на риска. Чл. 33 GDPR предвижда уведомяване на надзорния орган без ненужно забавяне и, когато е осъществимо, до 72 часа от узнаването, освен ако е малко вероятно нарушението да породи риск за правата и свободите. Уведомяването на засегнатите лица има отделни условия по чл. 34. Не всяко използване на AI е инцидент, но всеки установен инцидент изисква документирана преценка.
За преглед на конкретните инструменти, договори и вътрешни правила изпратете запитване чрез услугата за защита на личните данни. Започнете с описание на процеса, без да прилагате ненужни клиентски данни.