Utilizarea unui chatbot AI poate duce la încălcări ale GDPR

Utilizarea asistenților digitali, precum ChatGPT, Claude, Cursor sau Copilot, pentru a răspunde întrebărilor clienților sau pentru a rezuma fișiere voluminoase poate părea tentantă, din perspectiva economisirii timpului. Cu toate acestea, această practică implică riscuri semnificative pentru confidențialitatea datelor.

Datele sunt stocate pe serverele furnizorilor

Companiile care oferă astfel de tehnologii pot obține acces neautorizat la datele personale introduse, iar majoritatea furnizorilor stochează pe serverele lor toate datele introduse. Mai mult, persoanele ale căror date sunt introduse nu sunt conștiente de acest lucru și nu știu cum vor fi utilizate informațiile lor în viitor.

Autoritatea Olandeză pentru Protecția Datelor a primit notificări privind încălcări grave ale GDPR.

1. Într-un caz, un angajat al unui cabinet medical a introdus date medicale ale pacienților într-un chatbot AI, încălcând acordurile interne și punând în pericol confidențialitatea informațiilor sensibile.
2. În alt caz, un angajat al unei companii de telecomunicații a introdus într-un chatbot AI un fișier conținând adresele clienților.

Pentru a preveni astfel de incidente, organizațiile trebuie să ia măsuri concrete. Este important:

• Să fie stabilite reguli clare privind utilizarea chatbot-urilor AI de către angajați.
• Să fie specificate, explicit, ce tip de date pot sau nu pot fi introduse în aceste sisteme.
• Să se negocieze / discute cu furnizorii de chatbot-uri pentru a se asigura că datele introduse nu sunt stocate.

Apoi, în situația în care se produce o încălcare a securității datelor prin utilizarea neautorizată a unui chatbot AI, companiile au obligații legale clare. Acestea trebuie să documenteze incidentul, apoi să notifice Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) în România, iar în unele cazuri să informeze persoanele afectate despre incident.

Un AI trebuie să învețe despre lume, nu despre indivizi

La începutul anului 2024, o altă autoritate națională de protecție a datelor a detaliat subiectul în cadrul unei investigații proprii. ChatGPT, chatbotul alimentat de inteligență artificială, încalcă regulile privind protecția datelor, a declarat atunci autoritatea de supraveghere din Italia (Garante).

Ancheta realizată Garante a constatat încălcări ale confidențialității datelor, legate de colectarea datelor personale și de protecția legată de vârsta utilizatorilor. Italia a adoptat o poziție fermă în ceea ce privește protecția datelor, în cazul ChatGPT. A fost prima țară occidentală care a blocat produsul, în martie 2023, invocând preocupări legate de confidențialitate. ChatGPT a fost reinstalat aproximativ patru săptămâni mai târziu, după ce a afirmat că a „rezolvat sau clarificat” problemele ridicate de DPA.

Autoritatea italiană pentru protecția datelor a lansat atunci o „activitate de cercetare a faptelor”, afirmând că „a concluzionat că dovezile disponibile indică existența unor încălcări ale prevederilor din GDPR”. Acestea sunt legate de colectarea în masă a datelor utilizatorilor, care sunt apoi utilizate pentru a antrena algoritmul. Garante era, de asemenea, îngrijorată că utilizatorii mai tineri ar putea fi expuși la conținut inadecvat generat de chatbot.

Concluzie

Utilizarea unui chatbot AI în mediul profesional poate aduce beneficii, dar implică și riscuri semnificative din perspectiva protecției datelor. Companiile trebuie să fie vigilente și să implementeze politici clare pentru a preveni încălcările GDPR și pentru a proteja informațiile sensibile ale clienților și pacienților. Prin adoptarea unei abordări proactive și responsabile în utilizarea tehnologiilor AI, organizațiile pot beneficia de avantajele acestor instrumente, menținând, în același timp, standardele înalte de protecție a datelor personale.