如何合法地使用客户数据：人工智能时代的指南
大多数希望在客户数据上使用人工智能的公司都会问一个问题：这样做是否合规？然而，决定因素不是这个问题，而是一年后向监管机构或大型客户证明其合法性和正确处理方式的能力。法律工作主要涉及文件和纪律。好消息是，你可以提前规划这些方面。
本文以 GDPR 为参考框架，因为它为大多数隐私法设定了基准。本文不提供法律建议，而是涵盖了律师可能会询问的决策，因此最好在他们提问前准备好答案。
从目的开始
收集客户数据有其原因：完成订单、提供支持或发送发票。法律通常允许你用这些原因以及与之相符的目的使用数据。使用支持工单帮助支持团队更快地回答问题通常是可以的。然而，使用同一工单来训练一个计划出售给其他公司的模型通常是不可行的。
因此，在任何人上传数据前，写下以下一句话：我们正在用此数据进行 X 操作，以 Y 的利益为目的。 如果你无法写出这句话或它听起来不流畅，就停止在此。这句话将成为所有其他内容的基石。
了解法律依据
任何个人数据的使用都需要合法依据。对于人工智能项目，现实的选择通常是合同（处理数据是为了服务客户）、合法利益或同意。
合法利益是最常见的依据，也是经常在没有进行必要工作的情况下声称的。它需要一个书面权衡测试：你获得的好处、客户面临的风险以及他们合理期望这种使用。这份文件花半天时间写，是审计员最先要求查看的文件。
某些数据不应包含
健康信息、生物识别数据、宗教或政治信仰、性取向、工会会员身份：这些都是特殊类别，处理它们的标准更高。同样的谨慎态度也适用于儿童数据和金融标识符（如卡号）。
简单来说，除非整个项目是为了处理这类数据而设计，并且你已经获得了相关建议，否则过滤掉它们，在模型中不包含这些数据。存在红行动作工具，但要测试它们以确保有效性，因为一个过滤 95% 的卡号仍然可能漏出 5%。
数据去向同样重要
将客户数据发送到人工智能供应商会使该供应商成为你的处理者。你需要与他们签订数据处理协议，并仔细阅读以下三个条款：
- 训练：供应商是否使用你的输入来改进自己的模型？商业等级通常表示不。要将其写入协议。
- 保留：他们如何保存你的提示和输出，以及你能缩短保留时间吗？
- 位置：数据在哪里处理？跨欧盟的数据传输需要法律机制，如适宜性决定或标准合同条款。
在自己的基础设施上运行模型可以消除大部分问题。但无论如何，都需要记录你所做的一切。
检索比训练更容易捍卫
向模型提供数据有两种主要方式：训练它，使数据成为模型的一部分；或者让模型在回答时从你的系统查找所需数据（通常称为检索）。
对于客户数据，使用检索方法几乎总是更安全的选择。当客户要求删除他们的数据时，你可以直接从记录中删除，确保未来所有答案中都不会出现该数据。从训练过的模型中提取数据在实践中几乎是不可能的，这使得遵守删除权变得非常困难，监管机构也清楚这一点。
如何证明你做对了
无法证明合规性的情况不值一提。保存以下记录并保持更新：
- 处理记录：列出人工智能系统、使用的数据、目的和法律依据。
- 数据保护影响评估：新技术与大量个人数据的结合通常会触发此类评估。这是向审计员展示你最有说服力的文件。
- 与每个处理数据的供应商签订的处理器协议。
- 日志记录：显示数据进入系统的时间、授权来源，以及你的编辑工具运行的结果。
- 指定所有者：在系统发生变化时审查上述所有内容。
欧盟人工智能法还引入了额外的文档要求，尤其是在高风险领域（如招聘或信贷）中使用该系统的情况下。如果你的记录已经涵盖了以上五点，那么你已经走对了大部分路。
提前承担责任
公司往往在试运行先于文件重建而陷入麻烦。相反，先写下目的、选择依据、过滤数据、签订合同、开启日志，然后开始构建。这多花几周时间，但意味着当别人问“你能证明吗？”时，你可以拿出一份文件来。
这一准备工作是我们 Hercules A 所做的大部分工作。无论你是否与我们合作，都应在第一个记录进入前完成这些步骤。