Proč na bezpečnosti AI asistenta záleží
Když asistentovi otevřete zákaznickou schránku, prochází jím všechno, co vám zákazníci píšou: jména, e-mailové adresy, čísla objednávek, reklamace i osobní stížnosti. Přesně tato data chrání GDPR.
Před nasazením je proto na místě položit dodavateli přímé otázky: Kam data putují? Kdo další je zpracovává? Co se u dodavatele ukládá? Jakou smlouvu o zpracování podepíšeme? V tomto článku vysvětlíme, co GDPR u AI asistentů znamená v praxi a na co se ptát.
Co GDPR říká k AI asistentům
Obecné nařízení o ochraně osobních údajů (GDPR, nařízení EU 2016/679) se vztahuje na každou firmu, která zpracovává osobní údaje lidí v EU. Dodavatel AI asistenta, který zpracovává e-maily vašich zákazníků, je z pohledu GDPR zpracovatelem osobních údajů a vy jste správce.
Pro vás to znamená:
- Uzavřít s dodavatelem smlouvu o zpracování osobních údajů (zpracovatelskou smlouvu)
- Zajistit, že data se zpracovávají jen k dohodnutému účelu
- Držet se zásady minimalizace údajů — asistent má pracovat jen s daty, která opravdu potřebuje
- Umět vyřídit práva subjektů údajů: přístup, výmaz, přenositelnost, opravu
- Umět doložit, jak data chráníte, pokud přijde kontrola od Úřadu pro ochranu osobních údajů (ÚOOÚ)
Jaká data AI asistent zpracovává
Rozsah dat záleží na nastavení. E-mailový asistent typicky pracuje s:
- Identifikačními údaji: jméno, e-mailová adresa, telefon (pokud je v e-mailu)
- Obchodními údaji: číslo objednávky, název zboží, cena, datum nákupu
- Obsahem komunikace: text e-mailu, dotaz, stížnost
- Metadaty: čas odeslání, hlavičky e-mailu
Na co se dodavatele zeptat
Uložená data: zjistěte, co dodavatel u sebe ukládá (podklady, záznamy, historii) a co s tím bude, když spolupráci ukončíte.
Přístup ke schránce: zeptejte se, jak se asistent k poště připojí a jak mu přístup odeberete. Hledejte samostatné heslo nebo oprávnění, které zrušíte bez změny vlastního hesla.
Přehled činností: měli byste vidět, co asistent s kterým e-mailem udělal — aby šlo zpětně dohledat, co zákazník dostal a proč.
Zpracovatelská smlouva: co v ní hledat
Zpracovatelská smlouva je smluvní základ vašeho vztahu s dodavatelem z pohledu GDPR. Před podpisem zkontrolujte, že obsahuje:
- Jasný účel zpracování
- Typy osobních údajů a kategorie lidí, kterých se týkají
- Dobu uložení dat a postup po skončení spolupráce (výmaz)
- Technická a organizační bezpečnostní opatření
- Seznam dalších zpracovatelů (například poskytovatele jazykového modelu) a podmínky jejich zapojení
- Postup při bezpečnostním incidentu (správce hlásí porušení zabezpečení úřadu bez zbytečného odkladu a pokud možno do 72 hodin od zjištění podle čl. 33 GDPR; zpracovatel mu ho proto musí oznámit bez zbytečného odkladu)
- Země, kde se data zpracovávají
Kam data putují: EU a třetí země
GDPR reguluje předávání osobních údajů mimo Evropský hospodářský prostor (EHP). Pokud dodavatel nebo jeho subdodavatel zpracovává data v USA, musí být předání podložené platným mechanismem, typicky standardními smluvními doložkami EU (SCC). Ptejte se dodavatele přímo, kteří subdodavatelé data zpracovávají, kde a na jakém základě.
Práva zákazníků a AI asistent
GDPR dává vašim zákazníkům řadu práv, která musíte (spolu s dodavatelem) umět vyřídit:
- Právo na přístup: zákazník může požádat o kopii svých údajů
- Právo na výmaz: na žádost musíte umět smazat údaje zákazníka i ze systému dodavatele
- Právo na přenositelnost: údaje se vydávají ve strojově čitelném formátu
- Právo na opravu: zákazník může požádat o opravu nesprávných údajů
Dodavatel vám s vyřízením těchto žádostí musí pomoci (čl. 28 odst. 3 písm. e) GDPR). Jak to udělá, má stát ve zpracovatelské smlouvě, ne jen v ústním slibu.
Jak s daty zachází Replion
U e-mailového asistenta Replion to vypadá takto:
- Přístup ke schránce: připojení přes standardní přístup k poště (IMAP) nebo přes oprávnění poskytovatele schránky. Kde to schránka umí, dostáváme samostatné heslo pro aplikaci, které kdykoli zrušíte, aniž byste měnili svoje heslo; u Microsoft 365 odeberete oprávnění ve správě účtu Microsoft.
- Co se ukládá a kde: koncepty odpovědí leží ve vaší schránce, ve vlákně e-mailu, na který odpovídají. U nás je uložená báze znalostí z vašich podkladů a přehled, co asistent s kterým e-mailem udělal; ten vidíte i vy. Server, na kterém asistent běží, jmenujeme ve zpracovatelské smlouvě (poskytovatele i sídlo); o změně dalšího zpracovatele vás informujeme předem.
- Jazykový model: text e-mailu se posílá k vyhodnocení modelu Claude od společnosti Anthropic (USA). Podle obchodních podmínek Anthropicu se data z API nepoužívají k trénování modelů.
- Předání do USA: Anthropic je náš další zpracovatel. Předání je kryté standardními smluvními doložkami EU (2021), které jsou součástí zpracovatelského dodatku Anthropicu (anthropic.com/legal/data-processing-addendum); úplný seznam dalších zpracovatelů uvádí zpracovatelská smlouva, kterou dostanete spolu s nabídkou.
- Smlouva: podepisujeme s vámi zpracovatelskou smlouvu podle GDPR.
- Po skončení: bázi znalostí z vašich podkladů i přehled vyřízených e-mailů vám předáme a vaše data u nás smažeme.
Máte k bezpečnosti další otázky? Napište nám — odpovíme dřív, než se rozhodnete.