Ar galima kelti įmonės duomenis į ChatGPT? Ką iš tikrųjų sako BDAR

Klausimas „ar galiu tai įklijuoti į ChatGPT?“ darbe kyla dešimt kartų per dieną: kliento laiškas, sutarties punktas, lentelė su pardavimais, kolegos CV. Atsakymai internete svyruoja nuo „viskas gerai“ iki „niekada nieko“. Tiesa - per vidurį ir gana konkreti. Šis straipsnis darbuotojui ir vadovui: ką iš tikrųjų sako BDAR, kuo skiriasi asmeninis ir verslo planas, ir paprasta taisyklė, kurią galima pritaikyti per 30 sekundžių prieš kiekvieną įklijavimą. Viskas galioja ne tik ChatGPT, bet ir Claude, Copilot, Gemini.

Pirmiausia: BDAR reguliuoja ne AI, o asmens duomenis

Dažniausias nesusipratimas - kad BDAR „draudžia DI“. Ne. BDAR reguliuoja asmens duomenų tvarkymą: bet kokią informaciją apie identifikuotą ar identifikuojamą žmogų - vardą, el. paštą, telefoną, nuotrauką, pareigas konkrečioje įmonėje, kartais net IP adresą. Įmonės komercinė informacija (kainos, savikainos, planai) BDAR nerūpi - ją saugo kiti dalykai: komercinės paslapties įstatymas, NDA sutartys, jūsų pačių interesas.

Todėl klausimą reikia skaidyti į du:

1. Ar tekste yra asmens duomenų? Jei taip - galioja BDAR: reikia teisinio pagrindo, duomenų tvarkymo sutarties su įrankio tiekėju ir minimizavimo.
2. Ar tekste yra konfidencialios verslo informacijos? Jei taip - galioja jūsų įmonės taisyklės ir sutartys su klientais; BDAR čia ne prie ko, bet rizika ne mažesnė.

Į DI pokalbių langą įklijuotas tekstas keliauja į tiekėjo serverius (dažniausiai už ES ribų arba ES duomenų centruose su tiekėjo pasirinkimu). Teisiškai tai - duomenų perdavimas tvarkytojui. Su verslo planu tam yra sutartis. Su asmeniniu planu - nėra.

Asmeninis ir verslo planas: skirtumas, kuris viską lemia

Praktinė išvada: asmeninė DI paskyra darbe tinka tik nuasmenintai ir viešai informacijai. Tai nereiškia, kad ji nenaudinga - didžioji kasdienio darbo dalis (tekstų taisymas, santraukos, formuluotės, idėjos) puikiai vyksta be jokių asmens duomenų. Bet jei komanda kasdien dirba su klientų laiškais, CV ar sutartimis - verslo planas kainuoja mažiau nei vienas pokalbis su duomenų apsaugos pareigūnu.

Trys duomenų zonos: taisyklė 30 sekundžių

Prieš įklijuodami bet ką, priskirkite tekstą vienai iš trijų zonų. Tai veikia bet kuriame įrankyje ir bet kuriame plane.

Žalia - galima drąsiai. Vieša informacija: jūsų svetainės tekstai, viešos kainos, paslaugų aprašymai. Jūsų pačių rašiniai be trečiųjų šalių duomenų. Bendri klausimai, mokymasis, idėjos. Dokumentai, iš kurių jau pašalinti pavadinimai ir vardai.

Geltona - galima nuasmeninus. Klientų laiškai: išimkite vardus, įmones, kontaktus, palikite esmę („Klientas A skundžiasi, kad darbai vėluoja savaitę“). Vidiniai dokumentai: pašalinkite savikainas, maržas, konkrečius asmenis. Ataskaitos: pakeiskite tikrus skaičius proporcingais, jei tikslumas užduočiai nesvarbus. Triukas: keiskite nuosekliai („Įmonė A“, „Klientas B“) - atsakymą lengvai grąžinsite į savo kontekstą.

Raudona - niekada, jokiame plane be atskiro sprendimo. Asmens kodai, adresai, sveikatos informacija, CV su kontaktais. Slaptažodžiai, API raktai, banko duomenys. Kitų įmonių konfidenciali informacija pagal NDA. Neskelbtina komercinė informacija: savikainos, maržos, nepaskelbtos sutartys. Darbuotojų algos, vertinimai, drausminės bylos.

Jei per pastarąją savaitę į langą pateko kas nors iš raudonos zonos - tai ne katastrofa, bet aiškus ženklas, kad komandai reikia rašytinio susitarimo (žemiau).

Nuasmeninimas praktiškai: 4 žingsniai

Nuasmeninimas skamba biurokratiškai, bet realiai užtrunka pusę minutės:

1. Vardai ir pavardės → vaidmenys. „Jonas Petraitis“ → „klientas“, „mūsų vadybininkas“. Jei žmonių keli - „Klientas A“, „Klientas B“.
2. Įmonių pavadinimai → veiklos aprašymas. „UAB Žalias Lapas“ → „30 darbuotojų gamybos įmonė“. Kontekstas DI net naudingesnis už pavadinimą.
3. Kontaktai, numeriai, adresai - išimti visai. DI jų užduočiai nereikia beveik niekada.
4. Skaičiai - proporcijomis, jei tikslumas nesvarbus. „Pardavimai krito 18 %“ vietoj tikslių eurų su konkrečiu klientu.

Po atsakymo grąžinkite tikrus vardus patys. Šis įprotis leidžia asmeninėje paskyroje saugiai atlikti daugumą kasdienių darbo užduočių su ChatGPT, nekeliant nė vieno asmens duomens.

Penkios kasdienės situacijos ir sprendimas

Pastebėsite, kad beveik viskas patenka į geltoną zoną - ir beveik viską išsprendžia 30 sekundžių nuasmeninimo.

Ką pasitikrinti nustatymuose - šiandien

• Mokymosi iš pokalbių išjungimas. Ir ChatGPT, ir Claude vartotojiškuose planuose turi privatumo nustatymą, leidžiantį neleisti naudoti pokalbių modeliams tobulinti. Išjunkite dabar; nustatymų pavadinimai keičiasi, todėl ieškokite skilties „Privatumas“ arba „Duomenų valdymas“.
• Dviejų žingsnių prisijungimas. Paskyroje, kurioje yra darbo medžiaga, tai privaloma - nutekėjimas per silpną slaptažodį dažnesnis nei per patį DI.
• Pokalbių istorijos valymas. Nuasmeninti pokalbiai gali likti; pokalbius, kuriuose netyčia atsidūrė jautri informacija, ištrinkite.
• Bendrinamos nuorodos. Pasidalintas pokalbis tampa viešas visiems, turintiems nuorodą - nedalinkite pokalbių su darbo medžiaga.

Komandai: susitarimas raštu per 20 minučių

Jei DI naudoja daugiau nei vienas žmogus, žodinio „būkite atsargūs“ neužtenka. Minimalus susitarimas telpa į vieną puslapį: kas leidžiama (juodraščiai, santraukos, idėjos, tekstų taisymas, dokumentų supratimas), ko negalima įklijuoti (raudona zona sąrašu), kaip nuasmeninti (4 žingsniai aukščiau), kokį planą ir kokius nustatymus naudojame, kas atsako ir kam pranešti suklydus. Paruoštą šabloną ir įrankių nustatymų sąrašą žingsniais turime kurse „Saugumas naudojant AI darbe“ - jis parašytas būtent tam, kad komanda DI naudotų drąsiai, o ne slapta.

Kada tai tampa rimčiau: AI, kuris priima sprendimus

Viskas aukščiau - apie DI kaip juodraščių įrankį žmogaus rankose. Situacija keičiasi, kai DI pats priima ar ruošia sprendimus dėl žmonių: atrenka kandidatus, vertina paraiškas, nustato individualias kainas ar bendrauja su klientais jūsų vardu. Tada atsiranda informavimo, žmogaus peržiūros ir poveikio vertinimo pareigos, o įrankio pasirinkimas turi būti per verslo API su sutartimi. Jei planuojate tokį žingsnį, pradėkite nuo straipsnio apie AI agentų saugumą ir BDAR - ten aprašyta, kaip tokie sprendimai statomi teisingai.

Santrauka vienu sakiniu

Į DI galima kelti viską, ką ramiai parodytumėte nepažįstamam žmogui; visa kita - arba nuasmeninkite per 30 sekundžių, arba naudokite verslo planą su sutartimi; o raudonos zonos duomenų nekelkite niekur ir niekada be atskiro sprendimo. Šios trys taisyklės uždengia beveik visas kasdienes situacijas - ir leidžia DI naudoti ne mažiau, o daugiau, tik ramiai.