AI · Data protection
GDPR pentru servicii bazate pe AI generativ
Un serviciu AI generativ poate prelucra date personale în prompt, documentele conectate, loguri, embeddings și output. Politica de confidențialitate trebuie să descrie realitatea tehnică, iar procesele interne trebuie să poată răspunde când o persoană cere acces, rectificare sau ștergere.
Harta datelor în serviciul AI
Cartografierea pornește de la interfață și continuă prin API, furnizorul modelului, vector database, loguri, instrumente de observability și sistemele de feedback. Trebuie diferențiate datele utilizatorului, datele persoanelor menționate și datele generate prin inferență.
Setarea furnizorului de a nu folosi prompturile pentru training este importantă, dar nu rezolvă retenția, accesul pentru securitate, transferurile ori datele stocate de celelalte componente.
Roluri, temei și transparență
Pentru fiecare scop se stabilește operatorul, împuternicitul sau, după caz, operatorii asociați. Contractul comercial nu decide singur rolul dacă faptele arată alt control.
- Furnizarea răspunsului și gestionarea contului.
- Păstrarea conversației și personalizarea experienței.
- Siguranță, prevenirea abuzului și investigația incidentelor.
- Evaluarea și îmbunătățirea modelului ori serviciului.
- Training sau fine-tuning cu interacțiunile utilizatorilor.
- Analytics, marketing și corelarea cu alte surse.
DPIA, minimizare și securitate
O DPIA poate fi necesară când prelucrarea este susceptibilă să genereze un risc ridicat, mai ales pentru date sensibile, monitorizare, evaluare sistematică sau decizii cu impact semnificativ. Evaluarea AI Act nu înlocuiește DPIA.
Măsurile pot include filtrarea prompturilor, redaction, izolarea tenant-urilor, limitarea retenției, testarea extracției, controlul plugin-urilor, human review și interdicția folosirii output-ului ca unic temei pentru decizii sensibile.
Acces, rectificare, ștergere și output
Procedura trebuie să poată localiza conversații, documente RAG, profile și loguri legate de solicitant. Rectificarea unui output fals nu înseamnă întotdeauna modificarea parametrilor modelului; pot fi necesare corecții în sursă, filtre, blocarea reutilizării și informarea persoanei.
Pentru ștergere se verifică datele operaționale, backup-urile, dataseturile și eventualul model. Răspunsul trebuie să explice limitele tehnice și juridice fără a refuza generic cererea pe motiv că «AI-ul nu poate uita».
Cum decurge colaborarea
- 01Data mapping
Identificăm prompturile, fișierele, RAG, modelele, furnizorii, logurile, output-urile și transferurile.
- 02Roluri și temeiuri
Stabilim scopurile, rolurile GDPR, baza juridică, retenția și obligațiile contractuale.
- 03DPIA și controale
Evaluăm riscurile și proiectăm măsuri de minimizare, securitate, supraveghere și răspuns.
- 04Politici și proceduri
Redactăm informarea și fluxurile pentru drepturi, incidente, furnizori și actualizarea serviciului.
Întrebări frecvente
Pot introduce date personale într-un model dacă am contract enterprise?
Numai dacă există un scop și un temei valabil, datele sunt necesare, rolurile și transferurile sunt acoperite, iar configurația și securitatea sunt adecvate.
Output-ul AI poate fi dată personală?
Da, dacă se referă la o persoană identificată sau identificabilă, inclusiv prin inferențe. Faptul că informația este generată nu o scoate din GDPR.
Ștergerea promptului rezolvă întotdeauna cererea de ștergere?
Nu neapărat. Trebuie verificate logurile, indexurile, backup-urile, feedback-ul și folosirea pentru îmbunătățire sau training, în funcție de arhitectură.
Ai nevoie de politici GDPR pentru un serviciu AI generativ?
Trimite documentele pentru o evaluare juridică și o soluție adaptată obiectivului comercial.