GDPR és MI a kisvállalkozásokban: ügyféladatok, ChatGPT és az ERP-rendszer
GDPR MI kkv-knak: csapata már használja az MI-t ügyféladatokkal. Gyakorlati, nem jogi útmutató a hozzáférésről, hitelesítő adatokról és nyilvántartásról.
A csapata már használja az MI-t. A GDPR-kérdés az, hogyan
A legtöbb kis- és középvállalkozásnál az MI projektterv nélkül érkezett meg. Valaki bemásolt egy vevői panaszt a ChatGPT-be, hogy válaszvázlatot kérjen. Valaki feltöltött egy rendelésexportot, hogy gyorsan kapjon egy diagramot. Valaki összekapcsolt egy MI-alkalmazást a webshoppal.
Ezek egyike sem jogellenes automatikusan. A GDPR azonban olyan kérdéseket tesz fel, amelyekre egy egyéni csevegőfiók nem tud jól válaszolni: kinek az adatai ezek, ki láthatja őket, miért, és ezt igazolni is tudja?
Ez a cikk gyakorlati szempontokat ismertet. Nem minősül jogi tanácsadásnak. A saját helyzetével kapcsolatban forduljon adatvédelmi tisztviselőjéhez vagy jogászához.
Öt kérdés, amelyet minden MI-eszköznél fel kell tenni
1. Kinek a személyes adatai kerülnek bele?
A vevők neve, címe, rendelési előzményei, számlái, szállodáknál pedig az allergiára vagy akadálymentességre vonatkozó megjegyzések személyes adatok. Az egészségügyi adatok különleges kategóriát alkotnak, szigorúbb szabályokkal.
2. Ki láthatja őket utána?
Amikor egy munkatárs feltölt egy vevőlistát a személyes MI-fiókjába, a lista az adott személy csevegési előzményeiben marad. Megnyithatja egy kolléga? Távozik-e a munkatárssal együtt? Megosztották hivatkozással?
3. Mindenki csak ahhoz fér hozzá, amire szüksége van?
A GDPR adattakarékossági elve a cégen belül is érvényes. A raktári csapatnak nincs szüksége a vevők fizetési előzményeire. Egy bemásolt API-token mindenkinek, akinél megvan, a token tulajdonosának teljes jogait adja.
4. Mi történik a hitelesítő adatokkal?
Az ERP-rendszer vagy a webshop API-tokenjei és belépési adatai az összes ügyféladat kulcsai. Ha csevegési előzményekben, szkriptekben és táblázatokban hevernek, nem tudja megmondani, kinek van hozzáférése.
5. Tudja dokumentálni?
Ha egy ügyfél megkérdezi, mi történt az adataival, vagy egy hatóság rákérdez, hogyan ellenőrzi a hozzáférést, nyilvántartásra van szüksége: ki melyik rendszerhez fért hozzá, milyen módosítások történtek, és ki hagyta jóvá őket.
Személyes MI-fiókok vagy csapat-munkaterület
| Kérdés | Személyes MI-fiókok | Csapat-munkaterület, például a Steward |
|---|---|---|
| Hová kerülnek az adatok | Minden munkatárs saját csevegési előzményeibe | A cég közös projektjeibe; a Steward és az általa használt MI-modellszolgáltatók dolgozzák fel |
| Személyenkénti hozzáférés | Amit ki-ki feltölt vagy csatlakoztat | Személyenként és csapatonként, rendszerenként megadva |
| Hitelesítő adatok | Gyakran egyének másolják be vagy tárolják | Egyszer megadva, titkosítva, soha nem jelennek meg |
| Ügyfélrekordok módosítása | Gyakran közvetlenül | Javaslatok, amelyeket futás előtt ellenőriznek |
| Ha valaki kilép | A beszélgetései vele mennek, vagy nála maradnak | Hozzáférése egy helyen megszüntethető |
| Nyilvántartás | Szétszórt | Kérdések, javaslatok és jóváhagyások egy helyen |
Hogyan támogatja a Steward a jó adatvédelmi gyakorlatot?
A Steward úgy készült, hogy az észszerű megközelítés legyen az alapértelmezés:
- A kapcsolatok a céghez tartoznak. Egy adminisztrátor egyszer csatlakoztatja a weclappot, a Shopifyt vagy az ASA HOTEL-t. A hitelesítő adatokat titkosítva tároljuk, többé nem jelennek meg, és az MI soha nem kapja meg őket.
- Projektszerepkörök. A Megtekintők követhetik az eredményeket, a Közreműködők használhatják a beállított kapcsolatokat és módosításokat készíthetnek elő, a Projektmenedzserek pedig jóváhagyhatnak. A meghívott projekttagoknak nem kell külön kapcsolati hozzáférés.
- Négy szem elv a módosításoknál. Az alapértelmezett Jóváhagyás kérése mód és a jóváhagyási szabályok egy embert állítanak az MI és a rekordjai közé.
- Nyomon követhetőség. A javaslatok mutatják, ki döntött, és mi lett a végrehajtás eredménye. Lásd: Ki hagyta ezt jóvá?
- Tiszta kiléptetés. Ha eltávolít egy személyt vagy csapattagot, megszűnik az útja az adatokhoz, új jelszavak nélkül. Lásd: Kilépő munkatársak és MI-hozzáférés.
- Körültekintő megosztás. A nyilvános megosztási hivatkozások csak a kiválasztott, látható tartalmat másolják, és a Steward eltávolítja a gyakori hitelesítőadat-mintákat. Az üzleti szöveget megosztás előtt Önnek kell átnéznie. Lásd: Eredmény megosztása.
Kérdések, amelyeket tisztázzon adatvédelmi tisztviselőjével
Jó eszközök mellett is van néhány pont, amely a saját dokumentációjába tartozik:
- Mely MI-eszközök milyen adatokhoz engedélyezettek, és melyek nem.
- Adatfeldolgozási megállapodásai az érintett szolgáltatókkal, beleértve az MI-modellek szolgáltatóit is. A Steward adatkezelési feltételeit kérésre elküldjük.
- Kezelhetők-e különleges kategóriájú adatok, például szállodákban egészségügyi adatok, és ha igen, ki kezelheti őket.
- Mennyi ideig kell megőrizni a beszélgetéseket és fájlokat a munkaterületen.
- Ki felel a hozzáférések megadásáért és negyedéves felülvizsgálatáért.
Egyszerű szabályzat kezdésnek
- Nincsenek hitelesítő adatok csevegőeszközökben. Az üzleti rendszereket kizárólag a céges munkaterületen keresztül csatlakoztatják.
- Nincsenek ügyfélexportok személyes MI-fiókokban.
- Alapértelmezés szerint csak olvasás. A módosítások javaslaton és jóváhagyáson keresztül történnek.
- Szerepkör szerinti hozzáférés. A projekt- és kapcsolati hozzáféréseket negyedévente felülvizsgálják.
- A kiléptetés az MI-re is kiterjed. Az utolsó munkanapon megszüntetik a munkaterülethez, csapatokhoz és kapcsolatokhoz való hozzáférést.
Első lépések
Projektszerepkörök. A Megtekintők követhetik az eredményeket, a Közreműködők használhatják a beállított kapcsolatokat és módosításokat készíthetnek elő, a Projektmenedzserek pedig jóváhagyhatnak. A meghívott projekttagoknak nem kell külön kapcsolati hozzáférés.