AI ja isikuandmed: mida tohib AI-sse sisestada (IKÜM)
Praktiline juhend Eesti ettevõttele: mis andmeid tohib AI-sse sisestada, millal vajad töötlejalepingut ja kuidas koostada meeskonna AI-reeglid.
Lühidalt
Tarbijarakendustesse (tasuta vestlusrakendused) ei tohiks isiku- ega konfidentsiaalseid andmeid sisestada. Ettevõtteplaanid ja API-d on reeglina sobivam valik, kui nendega on sõlmitud töötlejaleping, andmeid ei kasutata treenimiseks ja asukoht on teada. Kõige odavam kaitse on andmete minimeerimine ja selge meeskonna AI-poliitika. See ei ole õigusnõu.
See artikkel ei ole õigusnõu. Konkreetse olukorra hindamiseks pöördu andmekaitsespetsialisti või jurist poole. Küll aga aitab see sul aru saada, millised küsimused tasub enne AI kasutamist ära lahendada.
Kõige sagedasem viga on tegelikult väga lihtne: töötaja kopeerib kliendi e-kirja või lepingu tasuta vestlusrakendusse, et see kokku võtta. See on mugav ja see on risk. Allpool on, kuidas seda mõistlikult juhtida.
Mis on isikuandmed
Isikuandmed on igasugune teave tuvastatud või tuvastatava inimese kohta: nimi, e-post, telefon, isikukood, aadress, aga ka IP-aadress, klienditoe vestlus ja palgainfo. Kui tekstist saab kellegi kindla inimese tuvastada, on see isikuandmed.
Eriliigilised isikuandmed (tervis, usulised ja poliitilised vaated, etniline päritolu, bioandmed jt) vajavad veel suuremat hoolt. Tervishoiu ja kindlustuse puhul on see igapäevane teema.
Tarbijarakendus ja ettevõtteteenus ei ole sama
| Tasuta tarbijarakendus | Ettevõtteplaan või API | |
|---|---|---|
| Andmete kasutus treenimiseks | Võib olla vaikimisi lubatud, seaded kontrollida | Tavaliselt ei kasutata, kontrolli tingimusi |
| Töötlejaleping | Tavaliselt puudub | Tavaliselt saadaval |
| Haldus ja logid | Puudub | Ettevõtte administraator, õigused |
| Sobib isikuandmetele | Ei soovita | Võimalik, kui tingimused on kontrollitud |
Tingimused muutuvad, seega kontrolli teenusepakkuja kehtivat dokumentatsiooni. Mõne teenuse puhul sõltub see, kas kasutad tasuta, tasulist või API-versiooni.
Viis küsimust enne AI-tööriista kasutuselevõttu
- Millised andmed sinna lähevad? Isikuandmed, ärisaladus, kliendi konfidentsiaalne info?
- Mis on õiguslik alus? Kas sul on selleks töötlemiseks õiguslik alus (nt leping, õigustatud huvi, nõusolek)?
- Kas on töötlejaleping? Kui teenusepakkuja töötleb andmeid sinu nimel, on see üldjuhul vajalik (IKÜM artikkel 28).
- Kuhu andmed lähevad? Euroopa Liitu või väljapoole? Edastamisel kolmandatesse riikidesse kehtivad lisanõuded.
- Kas andmeid kasutatakse mudeli treenimiseks? Ja kui kaua neid säilitatakse?
Kolm taset: roheline, kollane, punane
Meeskonna jaoks töötab kõige paremini lihtne valgusfoori reegel.
Roheline (tohib alati): avalik info, üldised küsimused, anonüümsed näited, enda kirjutatud tekstid ilma isikuandmeteta.
Kollane (ainult heakskiidetud ettevõtteteenuses): sisedokumendid, pakkumised, kliendi ettevõtte andmed ilma isikuteta, anonüümitud kliendivestlused.
Punane (mitte AI-sse ilma eraldi hinnanguta): isikukoodid, terviseandmed, palgad, lepingud isikutega, krediidiandmed, parooli- ja ligipääsuandmed.
Praktilised viisid riski vähendada
- Minimeeri. Saada mudelile ainult vajalik. Selle asemel, et kopeerida kogu e-kiri, kopeeri küsimus.
- Pseudonüümi. Asenda nimed koodidega (Klient A), kui AI ei vaja tegelikku isikut.
- Eelista ettevõtteteenust või API-t. Seal saad kontrollida tingimusi ja logisid.
- Lülita treenimiseks kasutamine välja, kui see on seadistatav.
- Hoia inimene tsüklis. AI teeb mustandi, inimene vaatab üle ja vastutab.
- Majuta Euroopas või oma serveris, kui andmed on tundlikud (nt sisemine assistent RAG-iga).
- Logi ja piira õigusi. Iga töötaja näeb ainult seda, mida ta võib näha.
Meeskonna AI-poliitika: mida sinna kirjutada
Üks lehekülg on tihti piisav. Sisuliselt:
- Millised AI-tööriistad on lubatud (nimekiri).
- Millised andmed tohib ja ei tohi sinna sisestada (valgusfoor).
- Kes vastutab tulemuse eest (alati inimene).
- Kuidas märgitakse AI-ga loodud sisu (kui see on oluline).
- Kellele teatada, kui midagi läks valesti.
- Kuidas uuendatakse poliitikat.
Lisaks tasub meeles pidada, et ELi tehisintellekti määrus (AI Act) toob etapiviisiliselt nõudeid ka AI kasutajatele. Näiteks peavad AI-d kasutavad organisatsioonid hoolitsema, et töötajatel oleks piisav AI-pädevus. Täpsed tähtajad ja nõuded kontrolli ametlikest allikatest.
Mida me ise teeme
Meie lahendustes kasutame ettevõtetele mõeldud AI-teenuseid, kus andmeid ei kasutata treenimiseks, ja vajadusel majutame lahenduse Euroopas või sinu serveris. Isikuandmeid ei ole vaja kõiges: näiteks arvete automatiseerimisel töödeldakse ettevõtete andmeid ja summasid, mitte inimesi. Loe ka ettevõtte dokumentide AI-otsingust ja IKÜM-i mõistest.
Kui soovid, et sinu meeskond kasutaks AI-d turvaliselt, aitab tasuta AI-audit kaardistada, millised protsessid AI-ga sobivad ja millised andmed tuleb kaitsta.
Korduma kippuvad küsimused
Kas ChatGPT-sse tohib klientide nimesid sisestada?
Üldiselt mitte tarbijaversiooni. Isikuandmete töötlemiseks on vaja õiguslikku alust, töötlejalepingut ja teadmist, kuhu andmed lähevad. Ettevõtteteenuse või API puhul tuleb need tingimused kontrollida ja andmeid minimeerida: kasuta võimalusel pseudonüümitud või anonüümseid andmeid.
Mis on töötlejaleping?
Leping, millega teenusepakkuja (töötleja) kohustub töötlema isikuandmeid ainult sinu juhiste järgi ja tagama turvalisuse. IKÜM nõuab seda, kui lased teisel ettevõttel oma nimel isikuandmeid töödelda. Paljud AI-teenuste ettevõtteplaanid pakuvad standardset töötlejalepingut.
Kas AI kasutamise kohta peab ettevõttel olema reeglid?
Soovitame tungivalt. Lisaks andmekaitsele nõuab ELi tehisintellekti määrus (AI Act) etapiviisiliselt, et AI-d kasutava organisatsiooni töötajatel oleks piisav AI-pädevus. Kontrolli kehtivaid tähtaegu ja nõudeid ametlikest allikatest.
Kust saab nõu andmekaitse küsimustes?
Andmekaitse Inspektsioon (aki.ee) avaldab juhiseid ja vastab päringutele. Keerulistes olukordades pöördu andmekaitsespetsialisti või jurist poole.