Datele clienților și inteligența artificială: Ce puteți include legal într-un model și cum să dovediți acest lucru

Începe cu un scop

Datele clienților sunt colectate pentru un motiv: să îndeplinești o comandă, să oferi asistență sau să emiți o factură. În general, legea îți permite să le folosești pentru aceste motive și pentru altele compatibile. Utilizarea biletelor de asistență pentru a ajuta echipa ta de asistență să răspundă mai rapid este de obicei compatibilă. Însă utilizarea aceluiași bilet pentru a antrena un model pe care intenționezi să-l vinzi altor companii nu este.

Așadar, înainte ca cineva să încarce ceva, scrie o propoziție: Folosim aceste date pentru a face X, în beneficiul Y. Dacă nu poți scrie asta sau sună prost, oprește-te aici. Această propoziție devine ancoră pentru tot restul.

Cunoaște baza legală

Fiecare utilizare a datelor personale necesită o bază legală. Pentru proiectele AI, opțiunile realiste sunt de obicei contractul (procesarea este necesară pentru a servi clientul), interesul legitim (ai un adevărat nevoie de afaceri care nu depășește drepturile clientului) sau consimțământul.

Interesul legitim este cea mai comună bază și cea mai frecvent invocată fără munca din spatele ei. Necesită un test de echilibrare scris: ce câștigi, ce riscă clientul și de ce ar aștepta rezonabil această utilizare. Acest document se scrie într-o după-amiază și este primul pe care un auditor îl va solicita să-l vadă.

Unele date nu trebuie incluse

Informațiile despre sănătate, datele biometrice, convingerile religioase sau politice, orientarea sexuală, apartenența la un sindicat: acestea sunt categorii speciale, iar bariera pentru procesarea lor este mult mai ridicată. Aceeași prudență se aplică și datelor copiilor și identificatorilor financiari, cum ar fi numerele de card.

Regula practică este simplă. Cu excepția cazului în care proiectul întreg există pentru a gestiona acest tip de date și ai primit sfaturi în privința aceasta, filtrează-le înainte ca ele să ajungă la orice model. Există instrumente de redare pentru acest lucru. Testează-le împotriva datelor tale reale, deoarece un filtru care prinde 95% din numerele de carduri tot lasă 5% să treacă.

Unde sunt procesate datele contează la fel de mult ca și ce sunt

Trimiterea datelor clienților către un furnizor AI îl face pe acesta procesor al datelor tale. Ai nevoie de un acord de procesare a datelor cu ei și trebuie să citești cu atenție trei clauze:

Antrenament: Folosește furnizorul datele tale pentru a-și îmbunătăți propriile modele? Nivelurile de afaceri spun de obicei nu. Obține acest lucru în scris.
Retenție: Cât timp păstrează furnizorul solicitările și răspunsurile tale, și poți reduce această perioadă?
Locație: Unde sunt procesate datele? Transferurile în afara UE necesită un mecanism legal, cum ar fi o decizie de adecvare sau clauze contractuale standard.

Rularea modelelor pe infrastructura ta proprie elimină majoritatea acestor întrebări. Nu elimină însă nevoia de a documenta ce ai făcut.

Recuperarea este mai ușor de apărat decât antrenamentul

Există două moduri generale de a oferi un model datele tale. Le poți antrena sau le poți ajusta, astfel încât datele devin parte din model. Sau le poți păstra în propriile sisteme și să permiti modelului să caute ce are nevoie la momentul răspunsului, ceea ce este de obicei numit recuperare.

Pentru datele clienților, recuperarea este aproape întotdeauna alegerea mai sigură. Când un client îți cere să șteargi datele sale, ștergi înregistrarea și acestea dispar din toate răspunsurile viitoare. Extragerea datelor dintr-un model antrenat este, în practică, aproape imposibilă. Aceasta face ca dreptul de ștergere să fie foarte greu de onorat, iar reglementatorii știu asta.

Cum să dovedești că ai făcut totul corect

Conformitatea pe care nu o poți demonstra contează puțin. Păstrează aceste documente și menține-le actualizate:

Un registru al procesării care listează sistemul AI, datele pe care le folosește, scopul și baza legală.
O evaluare a impactului asupra protecției datelor. Noua tehnologie combinată cu volumele mari de date personale declanșează aproape întotdeauna una. Este documentul cel mai convingător pe care îl poți prezenta unui auditor.
Acorduri cu procesatori semnate cu fiecare furnizor care manipulează datele.
Jurnale care arată ce date au intrat în sistem, când și sub autoritatea cui, plus dovezi că redarea ta a funcționat.
Un proprietar numit care revizuiește toate aceste documente de fiecare dată când sistemul se schimbă.

Legea UE privind inteligența artificială adaugă propriile obligații de documentare, în special pentru sistemele utilizate în domenii cu risc ridicat, cum ar fi angajarea sau creditul. Dacă înregistrările tale acoperă deja aceste cinci puncte, ești pe drumul cel bun.

Suportă povara din timp

Companiile intră în probleme când nava pilot pleacă mai întâi, iar documentația este reconstruită ulterior. Fă-o în ordine inversă. Scrie scopul, alege baza legală, filtrează datele, semnează contractele, pornește jurnalele și apoi construiește. Adaugă câteva săptămâni cel mult și înseamnă că răspunsul la Poți dovedi că ai făcut totul corect? este un dosar, nu o cursă de căutare.

Această pregătire din timp reprezintă o mare parte din ceea ce facem la Hercules A. Indiferent dacă lucrezi cu noi sau nu, fă-o înainte ca primul înregistrare să intre.