GDPR și AI în relația cu clienții: Ce trebuie să știe orice companie înainte să lase inteligența artificială să răspundă la emailuri

AI-ul poate răspunde în câteva secunde. GDPR-ul rămâne valabil în fiecare dintre ele.

Inteligența artificială a schimbat modul în care comunică companiile. Astăzi este suficient să apeși un buton pentru ca un AI să citească un email primit de la un client și să genereze instant un răspuns profesionist.

Rapid. Eficient. Convenabil.

Însă există o întrebare pe care multe organizații încă nu și-au pus-o:

Ce se întâmplă cu datele personale din acel email în momentul în care sunt trimise către un serviciu AI extern?

Din perspectiva GDPR, răspunsul este simplu:

Nu folosești doar un instrument de productivitate. Realizezi o operațiune de prelucrare a datelor cu caracter personal.

Iar acest lucru vine cu obligații legale pe care nicio companie nu ar trebui să le ignore.

Un email este aproape întotdeauna o sursă de date personale

Mulți asociază datele cu caracter personal doar cu CNP-ul sau seria cărții de identitate.

În realitate, un simplu email poate conține:

• numele și prenumele persoanei;
• adresa de email;
• numărul de telefon;
• funcția ocupată;
• compania din care face parte;
• informații despre comenzi sau contracte;
• istoricul conversațiilor;
• adrese de livrare;
• facturi sau documente atașate;
• uneori chiar informații sensibile despre sănătate, situația financiară sau litigii.

În momentul în care acel email este transmis către un serviciu AI extern pentru analiză și generarea unui răspuns, toate aceste informații pot deveni parte dintr-o nouă operațiune de prelucrare.

Din perspectiva GDPR, acest lucru contează enorm.

“Doar l-am trimis la ChatGPT” nu este o excepție în GDPR

Există tendința de a privi AI-ul ca pe un simplu asistent.

Din punct de vedere juridic, însă, lucrurile stau diferit.

Dacă un angajat copiază conținutul unui email într-un serviciu AI sau dacă aplicația companiei trimite automat mesajele către un API AI pentru generarea răspunsurilor, compania efectuează o prelucrare suplimentară a datelor personale.

Nu contează că operațiunea durează două secunde.

Nu contează că AI-ul răspunde excelent.

GDPR nu analizează cât de inteligent este sistemul, ci cum sunt prelucrate datele personale și dacă această prelucrare respectă legea.

Întrebările pe care orice companie ar trebui să și le pună

Înainte de implementarea unui serviciu AI, există câteva întrebări fundamentale:

• Ce date personale sunt trimise către AI?
• Este absolut necesar ca toate acele informații să fie transmise?
• Care este temeiul juridic al prelucrării?
• Cine este furnizorul serviciului AI?
• Unde sunt procesate datele?
• Sunt folosite ulterior pentru antrenarea modelelor?
• Există un acord privind prelucrarea datelor (DPA)?
• Există măsuri tehnice și organizatorice suficiente pentru protejarea informațiilor?

Aceste întrebări nu sunt simple formalități.

Ele reprezintă baza unei implementări conforme.

Când furnizorul AI devine un terț

În multe situații, serviciul AI este furnizat de o companie diferită de operatorul de date.

Asta înseamnă că informațiile părăsesc infrastructura organizației și ajung la un furnizor extern.

În funcție de modul concret de funcționare al serviciului, acesta poate avea rolul de persoană împuternicită de operator (processor), caz în care este necesar, de regulă, un Data Processing Agreement (DPA) și stabilirea clară a responsabilităților fiecărei părți.

Nu este suficient să existe un cont creat pe platformă.

Contractele și documentația privind protecția datelor devin parte din conformitatea GDPR.

Iar dacă datele ies din Uniunea Europeană?

Aici apar unele dintre cele mai importante obligații.

Numeroși furnizori AI utilizează infrastructură distribuită la nivel global.

Dacă datele personale sunt transferate în afara Uniunii Europene sau a Spațiului Economic European, intră în aplicare regulile privind transferurile internaționale de date, prevăzute în Capitolul V din GDPR.

În funcție de situație, pot fi necesare:

• o decizie de adecvare;
• Clauze Contractuale Standard (Standard Contractual Clauses – SCC);
• măsuri suplimentare de protecție;
• evaluări privind nivelul de protecție oferit de țara de destinație.

Cu alte cuvinte, nu este suficient ca serviciul AI să fie performant.

Trebuie să fie și utilizat într-un mod compatibil cu cerințele GDPR.

“Punem AI-ul pe serverul nostru și am rezolvat problema.”

Nu chiar.

Tot mai multe companii iau în calcul utilizarea unui model AI local (on-premise), tocmai pentru a evita transmiterea datelor către servicii externe.

Este o abordare care poate reduce anumite riscuri.

Dar nu elimină responsabilitățile.

Un model AI instalat în infrastructura proprie trebuie:

• actualizat permanent;
• protejat împotriva vulnerabilităților;
• izolat corespunzător;
• monitorizat;
• administrat conform politicilor de securitate;
• integrat în sistemele existente de control al accesului;
• auditat periodic.

În plus, apar riscuri specifice AI-ului modern:

• prompt injection;
• acces neautorizat la informații;
• scurgeri de date prin configurări greșite;
• expunerea jurnalelor (logs);
• vulnerabilități ale componentelor software.

On-premise nu înseamnă automat securizat.

De fapt, un sistem AI administrat necorespunzător poate deveni mai periculos decât un serviciu cloud administrat profesionist.

Cum au abordat problema marii furnizori de AI

Este interesant faptul că principalii furnizori de soluții AI nu încearcă să convingă companiile să trimită pur și simplu toate emailurile către un chatbot.

Din contră.

Ei investesc masiv în integrarea AI-ului în infrastructuri enterprise deja existente.

OpenAI

Planurile ChatGPT Business și Enterprise includ măsuri dedicate pentru mediul organizațional, precum:

• opțiuni contractuale și DPA;
• faptul că datele organizației nu sunt utilizate implicit pentru antrenarea modelelor;
• funcționalități suplimentare pentru controlul datelor și administrare;
• în anumite configurații Enterprise, opțiuni privind rezidența datelor în Europa.

Microsoft 365 Copilot

Microsoft a integrat AI-ul direct în Outlook, Word, Excel și Teams.

Avantajul major este că AI-ul utilizează infrastructura existentă de securitate și respectă politicile deja implementate în Microsoft 365:

• drepturi de acces;
• clasificarea documentelor;
• audit;
• politici DLP;
• managementul identităților.

AI-ul nu funcționează separat de ecosistemul organizației.

Face parte din el.

Google Workspace Gemini

Google urmează aceeași direcție.

Gemini este integrat în Gmail și Workspace folosind mecanismele deja existente pentru:

• controlul accesului;
• administrarea utilizatorilor;
• securitatea datelor;
• protecția informațiilor organizaționale.

Google precizează că datele clienților Workspace nu sunt utilizate pentru antrenarea modelelor generative în afara domeniului Workspace fără permisiune.

Lecția este clară

Toți marii furnizori transmit același mesaj.

AI-ul trebuie integrat în infrastructura companiei, nu în afara ei.

Nu este suficient să existe un API.

Este nevoie de:

• politici;
• audit;
• control al accesului;
• protecția datelor;
• trasabilitate;
• responsabilitate.

Acesta este motivul pentru care soluțiile enterprise sunt fundamental diferite de utilizarea unui chatbot gratuit într-o fereastră de browser.

Conformitatea începe înainte de primul prompt

În multe proiecte, prima întrebare este: “Ce model AI folosim?”

Poate că întrebarea corectă este alta: “Cum protejăm datele clienților atunci când folosim AI?”

Abia după aceea alegem tehnologia.

Pentru că tehnologia trebuie să servească organizația, nu să creeze riscuri suplimentare.

Infrastructura contează mai mult decât pare

Discuția despre AI nu poate fi separată de infrastructura IT.

Un ecosistem construit corect înseamnă:

• servicii de email administrate profesionist;
• hosting securizat;
• politici clare privind accesul la date;
• copii de siguranță;
• monitorizare;
• măsuri de protecție împotriva atacurilor informatice;
• integrarea responsabilă a soluțiilor AI.

Acesta este unul dintre motivele pentru care tot mai multe organizații aleg furnizori care tratează securitatea și protecția datelor ca elemente fundamentale ale serviciilor oferite, nu ca funcționalități opționale.

Concluzie

Inteligența artificială poate transforma radical relația cu clienții.

Poate reduce timpul de răspuns, poate crește productivitatea echipelor și poate îmbunătăți experiența utilizatorilor.

Însă AI-ul nu suspendă aplicarea GDPR.

Fiecare email analizat, fiecare prompt trimis și fiecare răspuns generat trebuie privite și prin prisma protecției datelor.

Companiile care vor avea succes nu vor fi cele care implementează AI cel mai repede.

Vor fi cele care îl implementează responsabil, transparent și într-un cadru de securitate bine construit.