AI v oblaku GDPR: vodnik za slovenska podjetja

Iskanje »ai v oblaku gdpr« običajno skriva zelo praktično vprašanje: ali lahko zaposleni uporabljajo oblačnega pomočnika, ne da bi podjetje kršilo pravila varstva osebnih podatkov? Da, lahko — vendar je skladnost odvisna od konkretne obdelave, ne od oznake na izdelku.

Za pripravo splošnega opisa izdelka potrebujete drugačne ukrepe kot za analizo življenjepisov, reklamacij ali zdravstvene dokumentacije. Tudi vprašanje, ali potrebujete evropski oblak ali lokalni strežnik, zato nima enega odgovora za vse primere.

Ta vodnik pojasnjuje, kaj preveriti pred uvedbo, katere dokaze zahtevati od ponudnika in kako odločitev dokumentirati. Gre za praktične usmeritve, ne za pravno mnenje o posamezni obdelavi.

Ali je AI v oblaku GDPR skladna že z izbiro evropskega ponudnika?

Ne. Evropski ponudnik lahko olajša ureditev obdelave, vendar morate zakonitost, namen in varnost uporabe zagotoviti za svoj poslovni primer.

GDPR ne prepoveduje oblačnih storitev ali umetne inteligence. Če obdelujete osebne podatke, pa morate spoštovati njegova načela, vključno z omejitvijo namena, najmanjšim obsegom podatkov, točnostjo, omejitvijo hrambe in odgovornostjo.

Osebni podatki niso samo EMŠO, davčna številka in domači naslov. To so lahko tudi službeni elektronski naslov, zapis sestanka ali opis dogodka, po katerem je zaposleni prepoznaven. Javno objavljen podatek zaradi objave ne izgubi tega statusa.

Pred uporabo določite:

• Namen: katero konkretno nalogo želite opraviti in zakaj potrebujete osebne podatke?
• Pravno podlago: katera podlaga iz 6. člena GDPR ustreza obdelavi?
• Vloge: kdo je upravljavec, kdo obdelovalec in ali ponudnik nekatere podatke obdeluje za lastne namene?
• Nujnost: ali lahko enak rezultat dosežete z manj podatki ali brez njih?

Privolitev ni avtomatično najboljša rešitev, zlasti v delovnem razmerju. Zakoniti interes zahteva ustrezno presojo, izvajanje pogodbe pa ne upraviči vsake dodatne analize, ki bi bila podjetju koristna. Za posebne vrste podatkov, denimo zdravstvene podatke, potrebujete tudi ustrezen pogoj iz 9. člena GDPR.

Primer: mariborski trgovec želi pripraviti odgovor na reklamacijo. Za jezikovni osnutek pogosto zadostujeta opis napake in želeni način rešitve, ne pa celoten profil kupca. Širšo razlago načel najdete v članku GDPR in umetna inteligenca: varna uporaba osebnih podatkov.

Kaj dejansko pomeni obdelava podatkov v EU?

Obdelava podatkov v EU mora zajemati preverjene faze storitve, ne samo lokacije glavne podatkovne zbirke. Evropsko gostovanje aplikacije še ne pomeni, da tudi model, podpora in vsi spremljajoči sistemi delujejo izključno v EU.

Pri ponudbi, označeni kot »EU oblak AI«, zahtevajte opis celotnega toka. Dokument lahko pristane na evropskem strežniku, njegova vsebina pa se nato pošlje drugemu ponudniku za ustvarjanje odgovora ali vektorskih predstavitev. Tudi varnostni filtri, diagnostika in podpora lahko vključujejo dodatno obdelavo.

Ločeno preverite:

• shranjevanje dokumentov in zgodovine pogovorov;
• izvajanje modela oziroma sklepanje;
• ustvarjanje vektorskih predstavitev za iskanje po dokumentih;
• dnevnike, analitiko in varnostne kopije;
• dostop podpore ter lokacije podobdelovalcev.

GDPR ne zahteva, da vsi osebni podatki ostanejo v EU. Pri prenosih zunaj Evropskega gospodarskega prostora, ki poleg EU vključuje še Islandijo, Lihtenštajn in Norveško, pa veljajo dodatne zahteve iz poglavja V. Tudi omogočanje oddaljenega dostopa ločenemu prejemniku v tretji državi lahko pomeni prenos.

Glede na primer pridejo v poštev veljaven sklep o ustreznosti ali ustrezna zaščitna jamstva, na primer standardne pogodbene klavzule. Pri slednjih je treba oceniti okoliščine prenosa in po potrebi uvesti dodatne ukrepe. Izjem za posebne primere ne obravnavajte kot običajno rešitev za stalno poslovanje.

Praktično pravilo: od ponudnika ne zahtevajte le odgovora »kje so strežniki«, temveč tudi »kdo lahko dostopa do katerih podatkov in na kateri podlagi«.

Je ChatGPT skladen z GDPR?

Na vprašanje »je ChatGPT skladen z GDPR« ni odgovorno odgovoriti z univerzalnim da ali ne. Presoditi morate konkretno storitev, pogodbeno razmerje, nastavitve in podatke, ki jih nameravate uporabljati.

Osebni uporabniški račun, poslovni delovni prostor in dostop prek API niso ista ureditev. Razlikujejo se lahko glede upravljanja uporabnikov, hrambe, uporabe vsebine za izboljševanje modelov, regionalnih možnosti in pogodbenih jamstev. Aktualne pogoje preverite za izbrani paket in omogočene funkcije.

Pred odobritvijo uporabe preverite:

1. Ali imate za obdelave, kjer ponudnik nastopa kot obdelovalec, ustrezno pogodbo po 28. členu GDPR?
2. Ali se poslovna vsebina uporablja za učenje modelov in ali nastavitve ustrezajo pogodbi?
3. Kako dolgo se hranijo pogovori, priponke, varnostni dnevniki in kopije?
4. Ali spletno iskanje, povezovalniki ali zunanje akcije vključijo dodatne prejemnike?
5. Kako izvedete izbris, omejitev dostopa in obravnavo zahtev posameznikov?

Izjava »podatkov ne uporabljamo za učenje« odgovarja samo na eno vprašanje. Ne pomeni, da ni hrambe, dostopa podpore ali mednarodnih prenosov.

Za ljubljansko kadrovsko agencijo je pomembna razlika med pripravo splošnega oglasa in nalaganjem življenjepisov kandidatov. Drugi primer zahteva bistveno podrobnejšo presojo. Dodatna vprašanja za izbiro storitve obravnava vodnik ChatGPT za podjetja.

Kaj mora podjetje preveriti pred podpisom pogodbe?

Pred nakupom zahtevajte dokumentirana dokazila o obdelavi in varnosti. Prodajna predstavitev, oznaka »GDPR compliant« ali posamezen certifikat ne nadomestijo pogodbe in presoje vaše uporabe.

Naslednji kontrolni seznam lahko uporabite pri katerem koli ponudniku:

Pogodba po 28. členu mora zajemati zahtevane sestavine, med drugim obdelavo po dokumentiranih navodilih, zaupnost, varnost, podobdelovalce, pomoč upravljavcu in preverjanje izpolnjevanja obveznosti.

Pri računovodskem servisu iz Celja je veriga lahko daljša: naročnik je upravljavec, servis obdelovalec, ponudnik AI pa podobdelovalec. Servis mora preveriti, ali ima potrebno dovoljenje naročnika in ali so obveznosti ustrezno prenesene naprej.

Če ponudnik ključnih vprašanj ne more pojasniti, osebnih podatkov ne vključujte v pilot. Za začetni preizkus uporabite sintetične podatke.

Kdaj izbrati oblak, hibridno rešitev ali lokalni model?

Izbira je odvisna od občutljivosti podatkov, pogodbenih omejitev, tveganj in vaših zmogljivosti za upravljanje infrastrukture. Lokalni model ni edina dovoljena možnost, oblak pa ni primeren za vsako nalogo.

Oblak za jasno opredeljene in nadzorovane naloge

Oblak je lahko primeren za pripravo splošnih besedil, povzemanje javnih gradiv ali obdelavo osebnih podatkov v ustrezno urejenem okolju. Prednost je manj lastne infrastrukture, obveznosti glede ponudnika in uporabe pa ostanejo.

Koprsko logistično podjetje lahko na primer pripravi splošna navodila za zamude pri dostavi brez podatkov o prejemnikih. Če pomočniku doda dejanske naslove in reklamacije, se obseg presoje spremeni.

Hibridna rešitev zahteva pregled poziva

Pri hibridni postavitvi lahko dokumenti ostanejo lokalno, model pa teče pri zunanjem ponudniku. Poziv je prav tako podatek: vsebuje lahko vprašanje, zgodovino pogovora in izbrane odlomke dokumentov.

Pri pristopu RAG sistem poišče relevantne dele internega gradiva in jih uporabi pri pripravi odgovora. Če jih pošlje zunanjemu modelu, je njihova vsebina zapustila podjetje, čeprav izvorna datoteka ni bila prenesena. To podrobneje pojasnjuje članek RAG: kaj je in zakaj je ključen za AI nad podatki podjetja.

Tudi lasten API ključ oziroma BYOK sam po sebi ne zagotavlja lokalne ali evropske obdelave.

Lokalni model zmanjšuje izpostavljenost, ne odpravi GDPR

Lokalna postavitev je smiselna, kadar podatki ne smejo zapustiti omrežja ali zunanje obdelave ne morete ustrezno urediti. Še vedno potrebujete pravno podlago, dostopna pravila, varnostne posodobitve, roke hrambe in nadzor rezultatov.

Pri vsaki postavitvi ločujte anonimizacijo od psevdonimizacije. Zamenjava imena s šifro praviloma ni anonimizacija, če lahko osebo ponovno povežete z zapisom. Tudi brez imena jo lahko razkrije kombinacija delovnega mesta, kraja in opisanega dogodka.

Kako uvedete skladno uporabo AI v sedmih korakih?

Začnite z omejenim primerom uporabe, dokumentirajte odločitev in preverite delovanje ukrepov v praksi. Skladnost je stalen proces, saj se modeli, povezave in ponudnikovi pogoji spreminjajo.

1. Popišite uporabo. Ugotovite, katera orodja zaposleni že uporabljajo, za katere naloge in s katerimi podatki. Vključite dodatke za brskalnike, zapisovalnike sestankov in povezave s poslovnimi sistemi.
2. Razvrstite podatke in naloge. Ločite javne vsebine, poslovne skrivnosti, običajne osebne podatke in posebne vrste podatkov. Določite dovoljene, pogojno dovoljene in prepovedane uporabe.
3. Zapišite tok podatkov in pravno presojo. Evidentirajte namen, podlago, prejemnike, prenose, hrambo in odgovornosti. Preverite, ali so obvestila posameznikom in evidence dejavnosti obdelave ustrezna.
4. Ocenite potrebo po DPIA. Ocena učinka v zvezi z varstvom podatkov ni obvezna za vsako uporabo AI, je pa potrebna, kadar je verjetno veliko tveganje. Preverite tudi veljavne kriterije in seznam Informacijskega pooblaščenca. Pri preostalem velikem tveganju preverite obveznost predhodnega posvetovanja.
5. Nastavite tehnične omejitve. Omejite dovoljene modele, povezovalnike in dostopne pravice. Uvedite najmanjši potrebni obseg dostopa, roke hrambe in varovala za občutljive vsebine. Izbrišite nepotrebne podatke, preden jih pošljete modelu.
6. Preizkusite in usposobite. S sintetičnimi podatki preverite, ali sistem razkrije tuje dokumente, spregleda osebni podatek ali sledi zlonamernemu navodilu v priponki. Zaposlene naučite, kaj smejo vnesti in kdaj morajo rezultat preveriti.
7. Določite spremljanje in odziv. Imenujte odgovorno osebo, spremljajte spremembe ponudnikov ter pripravite postopek za napačno deljenje, izbris in kršitve varnosti osebnih podatkov.

Revizijski dnevniki pomagajo dokazovati nadzor, vendar so lahko tudi sami zbirka osebnih podatkov. Dostop in hrambo omejite glede na njihov namen.

Pri odločanju o zaposlitvi, kreditih ali drugih pomembnih zadevah posebej preverite 22. člen GDPR. Navidezna človeška potrditev avtomatskega predloga ni nujno smiseln človeški nadzor.

Ločeno presodite še obveznosti Akta o umetni inteligenci: izpolnjevanje GDPR jih ne nadomesti. Za orientacijo je koristen pregled EU AI Act, širši organizacijski postopek pa opisuje vodnik za uvedbo umetne inteligence v podjetju.

Kako lahko WorkenAI podpre nadzor nad podatki?

WorkenAI združuje delovno okolje za AI z upravljanjem dostopov, varovali in revizijsko sledjo. Te funkcije lahko podprejo izvajanje pravil, vendar podjetju ne podelijo samodejne skladnosti z GDPR.

Po opisu rešitve so na voljo upravljani oblak, hibridna postavitev in namestitev na lastni infrastrukturi. Podprti so različni modeli, lastni API ključi in lastne končne točke modelov. WorkenAI navaja obdelavo v EU in neuporabo vaših podatkov za učenje; pri izbrani konfiguraciji preverite pogodbeni obseg teh zagotovil ter celotno pot do modela.

Za varstvo podatkov so relevantni predvsem:

• vloge in dovoljenja za omejevanje dostopa;
• zaznavanje in anonimizacija osebnih podatkov ter lastna pravila;
• varovala proti zlonamernim navodilom in obhodom pravil;
• beleženje uporabe modelov z možnostjo izvoza revizijskih podatkov.

Avtomatska varovala preizkusite na značilnih slovenskih dokumentih: noben filter ne zagotavlja popolnega prepoznavanja vseh osebnih podatkov. Pri hibridni postavitvi posebej preverite vsebino pozivov, pri lokalni pa tudi zunanje povezave in integracije.

Podrobnosti preverite na strani Varnost, v pogostih vprašanjih in v slovarju pojmov AI. Odločitev opirajte na preverjene funkcije in pogodbena dokazila, ne samo na predstavitev izdelka.

Zaključek

AI v oblaku je lahko skladna z GDPR, če znate pojasniti, katere podatke obdelujete, zakaj, kdo jih prejema in kako jih varujete. EU lokacija, poslovni račun in izklop učenja so posamezni deli te ureditve, ne njen nadomestek.

Najboljši prvi korak je majhen pilot s sintetičnimi ali ustrezno anonimiziranimi podatki. Šele po preverjanju pogodbe, podatkovnih tokov in varoval postopno vključujte zahtevnejše naloge.

Če želite raziskati enotno okolje za nadzorovano uporabo, si oglejte WorkenAI in informacije o paketih. Izbiro prilagodite tveganjem svojega podjetja, ne zgolj hitrosti uvedbe.