從使用 AI 處理客戶數據開始
大多數希望將 AI 應用於客戶數據的公司會問一個問題：這是否合法？決定因素的其實是，一年後，在監管機構或大型客戶面前，你能證明這種操作是合法的且處理得當。法律工作主要涉及文件和紀律。好消息是，你可以提前規劃這些方面。
本文以 GDPR 為參考框架，因為它為其他隱私法設定了基準。本文並非法律建議。它涵蓋了律師會問你的決策，因此最好在他們提問前準備好答案。
從目的開始
收集客戶數據有其原因：履行訂單、提供支援、開立發票等。一般來說，法律允許你用這些數據來完成這些任務以及與之相容的相關任務。使用支援工單幫助支援團隊更快地回答問題通常是相容的。但使用同一張工單訓練一個模型，打算將其出售給其他公司通常就不相容了。
因此，在任何人上傳數據前，寫下一個句子：我們正在用這份數據做 X 事，以 Y 的利益為目的。 如果你無法寫出這個句子或它聽起來很不自然，就停止進行。這個句子將成為所有其他內容的基石。
了解法律基礎
任何個人數據的使用都需要合法基礎。對於 AI 項目來說，現實可行的選項通常是合同（處理是為了服務客戶）、正當利益或同意。
正當利益是最常見的基礎，也是最常在沒有進行必要工作的情況下聲稱的。它需要一個書面權衡測試：你獲得什麼、客戶承擔了什麼風險、以及他們有何合理期望。這份文件花半天時間寫好，是審計人員會要求查看的第一份文件。
某些數據不應包含
健康資訊、生物識別數據、宗教或政治信仰、性取向、工會會員身份：這些都是特殊類別，處理它們的門檻要高得多。同樣的謹慎態度也適用於兒童數據以及金融識別碼（如卡號）。
簡單來說，除非整個項目旨在處理這種數據，並且你已尋求相關建議，否則將它過濾掉在模型接收到數據前是很重要的。存在紅行動作工具來完成此任務。測試這些工具對真實數據，因為一個過濾器如果能捕捉 95% 的卡號，仍然會讓 5% 的卡號通過。
數據去向同樣重要
將客戶數據發送給 AI 供應商會使該供應商成為你的處理者。你需要與他們簽署數據處理協議，並仔細閱讀以下三個條款：
- 訓練： 供應商是否使用你的輸入來改進自己的模型？商業級別通常表示不。得到書面確認。
- 保留： 他們如何保存你的提示和輸出，以及你能縮短保留時間嗎？
- 位置： 數據在哪裡處理？需要法律機制（如適當決定或標準合同條款）來處理跨歐盟的數據轉移。
在自己的基礎設施上運行模型可以消除大部分問題。但仍然需要記錄你的操作過程。
檢索比訓練更容易捍衛
有兩種主要方式將模型的資料輸入：訓練或微調，使得數據成為模型的一部分；或者保留數據在你自己的系統中，讓模型在回答時查詢所需的數據（通常稱為檢索）。
對於客戶數據來說，檢索幾乎總是更安全的選擇。當客戶要求刪除他們的數據時，你會刪除記錄，從未來的所有答案中刪除該數據。從已訓練模型中提取數據在實際操作中幾乎是不可能的。這使得隱私權的履行非常困難，監管機構也知道這一點。
如何證明你做對了
無法證據合規性意義不大。保留以下記錄並保持更新：
- 處理記錄：列出 AI 系統、其使用的數據、目的和法律基礎。
- 數據保護影響評估：新技術結合大量個人數據幾乎總是需要進行一次。這是向審計人員展示的最有說服力的文件之一。
- 與每個接觸數據的供應商簽署處理協議。
- 日誌記錄：顯示數據進入系統的時間、權限以及你的紅行動作執行情況。
- 指定所有人：定期審查上述所有內容。
歐盟 AI 法還增加了自己的文件義務，特別是在使用高風險系統（如招聘或信貸）時。如果你的記錄已經涵蓋了這五點，你已經走對了大部分路。
從頭開始承擔責任
公司會因先進行試運行再重建文件而陷入麻煩。相反，從頭開始寫下目的、選擇基礎、過濾數據、簽署合同、開啟日誌記錄，然後開始建設。這多花幾周時間，但意味著當問到「你能證明嗎？」時，你手上有一份文件而不是匆忙應對。
這一準備工作是我們 Hercules A 所做的大部分工作。無論你是否與我們合作，都應該提前進行這些準備。