GDPR și asistenții AI: cum îi folosești în firmă fără să expui datele clienților

Conturi business în loc de personale, setări verificate și o listă clară cu ce nu lipești într-un asistent AI. Un set minim de reguli, pe o pagină.

Oricine din firmă poate deschide ChatGPT, Claude sau Gemini în cinci secunde și lipi acolo un e-mail de la un client, un contract sau un tabel cu comenzi. Ușurința asta e exact problema: datele personale ale clienților ajung într-un serviciu pe care firma nu l-a evaluat și cu care nu are niciun contract. Articolul explică, pe înțelesul unui patron, ce schimbă GDPR-ul în folosirea asistenților AI și ce poți face concret. Nu e un aviz juridic; pentru cazul tău, discută cu un jurist sau cu responsabilul cu protecția datelor, dacă ai unul.

De ce contează: tu rămâi responsabilul

Potrivit Regulamentului general privind protecția datelor (GDPR, Regulamentul (UE) 2016/679), firma care decide de ce și cum se prelucrează datele clienților este operator. Furnizorul serviciului AI este, în mod obișnuit, persoană împuternicită (procesator) atunci când prelucrează date pentru tine. Responsabilitatea față de client rămâne a ta, iar relația cu furnizorul trebuie acoperită printr-un contract de prelucrare (articolul 28).

Dacă un angajat folosește un cont personal gratuit pentru treburi de serviciu, nu există un astfel de contract și nici controlul tău asupra datelor.

Contul contează: personal sau business

Furnizorii tratează diferit conturile de consumator și pe cele comerciale. De exemplu, Anthropic precizează că, în mod implicit, nu folosește pentru antrenare intrările și ieșirile din produsele comerciale (planurile pentru echipe și organizații, API-ul), cu excepția cazului în care trimiți feedback sau te înscrii explicit. Conturile personale au reguli separate, care pot permite utilizarea conversațiilor la îmbunătățirea modelelor, în funcție de setări. Alți furnizori au politici proprii, deci citește termenii fiecăruia, nu presupune.

Ce verifici la un plan business:

• există un acord de prelucrare a datelor (DPA) pe care îl poți semna;
• ce se întâmplă cu datele: antrenare, retenție, cine din echipa furnizorului le poate vedea;
• unde se prelucrează datele și pe ce bază se fac transferurile în afara Spațiului Economic European;
• controale pentru administrator: conturi gestionate de firmă, autentificare centralizată, posibilitatea de a șterge istoricul.

Nu există garanție universală. Noi, în proiectele noastre, configurăm integrările astfel încât datele să nu fie folosite la antrenare, dar tot contractul și setările fiecărui furnizor trebuie citite.

Ce nu lipești în asistent

Principiul din GDPR este minimizarea datelor (articolul 5): folosești doar ce îți trebuie. Aplicat aici, înseamnă o regulă simplă pe care o poți afișa în birou. Nu lipi:

• date de identificare complete (CNP, serie și număr de act, adresă completă, IBAN) dacă sarcina se poate face fără ele;
• date din categorii speciale (sănătate, convingeri, date biometrice și altele din articolul 9) fără o analiză prealabilă;
• conținutul unei reclamații sau al unui litigiu cu nume reale;
• parole, chei API, acces la sisteme;
• documente confidențiale ale partenerilor, supuse unor clauze de confidențialitate.

Mult mai des decât s-ar crede, sarcina se poate face după ce înlocuiești numele cu etichete („Client A”) sau ștergi câmpurile inutile. Un rezumat al unei reclamații nu are nevoie de numărul de telefon al clientului.

Baza legală și informarea

Orice prelucrare are nevoie de o bază legală (articolul 6) și persoana trebuie informată (articolele 13 și 14). Dacă folosești AI în aceeași finalitate ca înainte, de exemplu să rezumi mesajele clienților pentru a le răspunde, de multe ori nota de informare existentă acoperă scopul, dar poate fi nevoie să menționezi destinatarii (furnizorul AI) și eventualele transferuri. Dacă folosești datele pentru un scop nou, e nevoie de o analiză nouă. Aici merită un jurist.

Transferurile în afara UE

Mulți furnizori de AI sunt din afara UE. GDPR permite transferurile doar pe baze prevăzute în capitolul V, cum ar fi o decizie de adecvare sau clauze contractuale standard. Întreabă furnizorul care este baza pentru transferul datelor tale și dacă oferă prelucrare în regiunea UE.

Evaluarea de impact și deciziile automate

Pentru prelucrări cu risc ridicat pentru persoane (monitorizare la scară mare, profilare, date sensibile) GDPR cere o evaluare a impactului (articolul 35). Iar articolul 22 limitează deciziile bazate exclusiv pe prelucrare automată care produc efecte juridice sau asemănătoare asupra unei persoane. Un AI care „respinge” singur cererile unor clienți sau candidați intră în zona asta; ține un om în buclă.

Incidente

Dacă o greșeală duce la expunerea datelor (de exemplu, un document trimis într-un cont greșit), GDPR prevede notificarea autorității, în general în cel mult 72 de ore de la luarea la cunoștință, dacă incidentul prezintă risc pentru persoane (articolul 33). Autoritatea din România este ANSPDCP. Stabilește de la început cine anunță pe cine în firmă.

Un set minim de reguli, pe o pagină

1. Se folosesc doar conturile și instrumentele aprobate de firmă, cu cont de lucru, nu personal.
2. Există un DPA semnat cu fiecare furnizor care primește date personale.
3. Setările de confidențialitate sunt verificate de administrator, nu lăsate la alegerea fiecăruia.
4. Lista „ce nu se lipește” e cunoscută de toți.
5. Datele se anonimizează sau pseudonimizează când sarcina permite.
6. Rezultatele AI se verifică de un om înainte de a ajunge la client.
7. Cineva din firmă răspunde de lista instrumentelor și de actualizarea ei.

Această pagină, plus o scurtă instruire, acoperă o bună parte din ceea ce cere atât GDPR, cât și obligația de alfabetizare AI despre care am scris în articolul precedent.

Dacă vrei ajutor la alegerea și configurarea instrumentelor, la ME Digital facem implementare AI pentru firme mici, cu reguli de utilizare clare; poți începe cu o discuție pe pagina de contact.

Surse

• Regulamentul (UE) 2016/679 (GDPR), textul oficial pe EUR-Lex
• EDPB, Avizul 28/2024 privind aspecte de protecție a datelor la modelele AI (18 decembrie 2024)
• Anthropic, datele din produsele comerciale și antrenarea modelelor
• ANSPDCP, autoritatea națională de supraveghere a prelucrării datelor cu caracter personal