Dane klienta i sztuczna inteligencja: co możesz prawnie umieścić w modelu i jak to udowodnić

Zacznij od celu

Dane klientów zbierane są z konkretnego powodu: aby wypełnić zamówienie, zapewnić wsparcie lub wysłać fakturę. Prawo zazwyczaj pozwala na wykorzystanie ich do tego celu oraz do celów zgodnych z nim. Używanie biletów pomocy, aby umożliwić szybsze reagowanie zespołowi wsparcia, jest zwykle zgodne. Używanie tych samych biletów do szkolenia modelu, który planujesz sprzedać innym firmom, zazwyczaj nie jest.

Przed tym, jak ktoś przesyła cokolwiek, napisz jedno zdanie: używamy tych danych do realizacji X, dla korzyści Y. Jeśli nie możesz napisać tego zdania lub brzmi ono źle, zatrzymaj się na chwilę. To zdanie staje się kotwą dla wszystkiego, co następuje.

Poznaj podstawy prawne

Każde wykorzystanie danych osobowych wymaga legalnej podstawy. Dla projektów AI realnymi opcjami są zazwyczaj umowa (przetwarzanie jest potrzebne do obsługi klienta), interes prawny lub zgoda.

Interes prawny jest najczęściej stosowaną podstawą i często twierdzona bez odpowiedniej pracy. Wymaga ona testu pisemnej oceny: co zyskujesz, jakie ryzyko ponosi klient i dlaczego oczekiwaliby oni takiego wykorzystania. Ten dokument można napisać w ciągu popołudnia, a audytorzy będą go pierwszym dokumentem, o który poproszą.

Niektóre dane nie idą do modelu

Informacje zdrowotne, dane biometryczne, przekonania religijne lub polityczne, orientacja seksualna, członkostwo w związkach zawodowych: te kategorie specjalne mają znacznie wyższe wymagania przetwarzania. Takie samo ostrożne podejście dotyczy danych dzieci i identyfikatorów finansowych, takich jak numery kart.

Prosta zasada praktyczna mówi: chyba że projekt istnieje właśnie do obsługi tego typu danych i skonsultowałeś się w tej sprawie, wyeliminuj je przed dotarciem do modelu. Istnieją narzędzia do redagowania, które należy przetestować na rzeczywistych danych, ponieważ filtr, który wychwyci 95% numerów kart, wciąż pozwoli na przejście 5%.

Gdzie dane idą ma tak samo ważne znaczenie jak co

Przesyłanie danych klientów do dostawcy AI czyni go Twoim przetwarzaczem. Potrzebujesz umowy o przetwarzaniu danych z nim i musisz uważnie przeczytać trzy klauzule:

Szkolenie: czy dostawca używa Twoich danych wejściowych do ulepszania własnych modeli? Poziomy biznesowe zazwyczaj mówią nie. Uzyskaj to na piśmie.
Zachowanie: jak długo dostawca przechowuje Twoje prośby i odpowiedzi oraz czy możesz skrócić ten okres?
Lokalizacja: gdzie dane są przetwarzane? Przenosiny poza UE wymagają mechanizmu prawnego, takiego jak decyzja o adekwatności lub standardowe klauzule umowne.

Uruchamianie modeli na własnej infrastrukturze usuwa większość tych pytań. Nie usuwa jednak potrzeby dokumentowania tego, co zrobiłeś.

Pobieranie danych jest łatwiejsze do obrony niż szkolenie

Istnieją dwa główne sposoby dawania modelowi Twoich danych. Możesz je wyszkolić lub dostroić, tak że dane stają się częścią modelu. Albo możesz zachować dane w własnych systemach i pozwól, aby model pobierał potrzebne informacje w momencie udzielania odpowiedzi, co zazwyczaj nazywa się pobieraniem.

W przypadku danych klientów pobieranie jest prawie zawsze bezpieczniejszą opcją. Kiedy klient prosi o usunięcie swoich danych, usuwasz rekord i on znika z każdej przyszłej odpowiedzi. Pobranie danych z wyszkolonego modelu jest w praktyce niemal niemożliwe. To sprawia, że prawo do zapomnienia staje się bardzo trudne do spełnienia, a regulatorzy to wiedzą.

Jak udowodnić, że wszystko zrobiłeś prawidłowo?

Nie można udowodnić zgodności, jeśli nie masz dowodów. Zachowaj te dokumenty i aktualizuj je regularnie:

Rejestracja przetwarzania zawierająca nazwę systemu AI, dane, które wykorzystuje, cel i podstawę prawną.
Ocena wpływu na ochronę danych (DPIA). Nowa technologia połączona z dużymi wolumenami danych osobowych prawie zawsze wymaga DPIA. Jest to najbardziej przekonujący dokument, jaki możesz przekazać audytorowi.
Umowy z przetwarzaczami podpisane z każdym dostawcą, który ma dostęp do danych.
Rejestry pokazujące, jakie dane weszły do systemu, kiedy i na podstawie jakiej autoryzacji, wraz z dowodami, że Twoje narzędzie do redagowania zostało uruchomione.
Osoba odpowiedzialna za przeglądanie wszystkich powyższych dokumentów przy każdej zmianie systemu.

Ustawa o sztucznej inteligencji UE dodaje własne obowiązki dotyczące dokumentacji, zwłaszcza w przypadku systemów używanych w obszarach wysokiego ryzyka, takich jak rekrutacja lub kredyty. Jeśli Twoje dokumenty już obejmują te pięć punktów, jesteś na dobrej drodze.

Weź na siebie ciężar od samego początku

Firmy wpadają w kłopoty, gdy statek pilotowy wypływa pierwszy, a papierkowa praca jest rekonstruowana później. Zrób to odwrotnie. Napisz cel, wybierz podstawę prawną, wyeliminuj dane, podpisz umowy, włącz rejestry i wtedy zbuduj system. Dodaje to najwyżej kilka tygodni, a oznacza to, że odpowiedź na pytanie "możesz udowodnić?" będzie folderem, nie pośpiechem.

Ta praca przygotowawcza stanowi dużą część tego, co robimy w Hercules A. Niezależnie od tego, czy pracujesz z nami, czy nie, wykonaj ją przed pierwszym zapisem danych.