AI asistent a GDPR: co musíte vědět před nasazením
Chystáte e-mailového asistenta pro zákaznickou podporu? GDPR se vás týká jako správce dat. Podívejte se, co asistent zpracovává, kam data putují a jaké kroky uděláte před spuštěním.
Zpracovává AI asistent osobní data?
Ano. Jakmile asistent čte e-mail zákazníka, vidí jeho jméno, e-mailovou adresu a obsah zprávy. Všechny tři kategorie jsou osobními údaji ve smyslu GDPR. Navíc může zpráva zákazníka obsahovat další osobní informace — číslo objednávky vázané na jméno, telefonní číslo, adresu doručení nebo popis problému s citlivým kontextem.
Z pohledu GDPR platí jasné rozdělení rolí. Vaše firma je správcem dat (controller) — vy rozhodujete, proč a jak jsou data zákazníků zpracovávána a nesete za toto zpracování odpovědnost vůči zákazníkům i dozorovému úřadu (ÚOOÚ). Replion je zpracovatelem (processor) — zpracovává data vaším jménem, podle vašich pokynů a v rámci smluvně dohodnutých podmínek.
Tento vztah zakládá povinnost uzavřít zpracovatelskou smlouvu (DPA), jak výslovně vyžaduje čl. 28 GDPR. Smlouva určuje, jaká data se zpracovávají, k jakému účelu, po jakou dobu, jaká technická a organizační opatření zpracovatel přijal a za jakých podmínek může zapojit další zpracovatele. Bez ní je nasazení asistenta pro zákaznickou podporu v rozporu s GDPR — bez ohledu na to, jak bezpečný systém sám o sobě je.
Text e-mailů vyhodnocuje jazykový model Claude společnosti Anthropic (USA), jeden z našich dalších zpracovatelů, takže jde o předání údajů do třetí země.
Jak Replion zachází s vašimi daty
Co Replion jako zpracovatel dělá s e-maily vašich zákazníků.
Přístup ke schránce, který zrušíte
Asistent se připojí přes standardní přístup k poště (IMAP), u Microsoftu 365 přes oprávnění Microsoftu. Obojí můžete kdykoli sami zrušit.
Jazykový model Claude od Anthropicu
Text e-mailu vyhodnocuje model Claude od americké společnosti Anthropic. Podle obchodních podmínek Anthropicu se data z API nepoužívají k trénování modelů.
Co se ukládá a kde
Koncepty odpovědí leží ve vaší schránce jako odpovědi ve vlákně. U nás je uložená báze znalostí z vašich podkladů a přehled, co asistent s kterým e-mailem udělal — připravil koncept, odeslal odpověď, nebo e-mail nechal na vás. Tento přehled vidíte i vy.
Zpracovatelská smlouva s každým klientem
Smlouvu o zpracování osobních údajů podle čl. 28 GDPR s vámi podepíšeme současně s nabídkou — dřív, než začneme zpracovávat osobní údaje vašich zákazníků.
Odpovědi jen z vašich podkladů
Asistent píše z podkladů, které jste schválili, a z údajů ve vašich systémech; na internetu odpovědi nehledá. E-mail, ke kterému nemá podklad nebo který je citlivý, nechá ve schránce na vás a označí ho.
Smazání dat po ukončení
Provoz ukončíte, kdy chcete. Bázi znalostí z vašich podkladů i přehled vyřízených e-mailů vám předáme a vaše data u nás smažeme.
Vaše povinnosti jako správce dat
Replion jako zpracovatel zajišťuje přístup ke schránce, provoz a smluvní rámec. Jako správce dat ale máte vůči svým zákazníkům a GDPR vlastní povinnosti, které nelze přenést na dodavatele.
Zpracovatelská smlouva nestačí: zákazníci musí vědět, jak jsou jejich data zpracovávána, zpracování musí mít právní základ a musí být zdokumentované.
Informovat zákazníky v zásadách zpracování údajů
Zásady zpracování osobních údajů musí výslovně zmiňovat, že zákaznickou komunikaci zpracovává AI systém a že text e-mailů vyhodnocuje jazykový model společnosti Anthropic v USA. Nestačí obecná zmínka o „třetích stranách“ — zákazník musí pochopit, co konkrétně se s jeho daty děje.
Mít právní základ pro zpracování
Zpracování osobních dat zákazníků musí mít právní základ podle čl. 6 GDPR. Pro zákaznickou podporu nejčastěji platí oprávněný zájem (čl. 6 odst. 1 písm. f) nebo plnění smlouvy (čl. 6 odst. 1 písm. b). Souhlas je možný, ale pro zákaznickou podporu méně vhodný — jeho odvolání by paralyzovalo poskytování servisu.
Doplnit asistenta do záznamů o činnostech zpracování
Firma, která pravidelně zpracovává osobní údaje zákazníků, vede záznamy o činnostech zpracování (čl. 30 GDPR). U činnosti „vyřizování zákaznické pošty“ doplňte příjemce — Replion jako zpracovatele a další zpracovatele uvedené ve zpracovatelské smlouvě (mezi nimi Anthropic v USA) — a předání údajů do USA, které čl. 30 odst. 1 písm. e) výslovně vyžaduje. Zkontrolujte i uvedenou dobu uchování.
Posoudit, zda je nutná DPIA
Zda je posouzení vlivu na ochranu osobních údajů (DPIA) u vás povinné, záleží na rozsahu a obsahu e-mailů — posuďte to se svým pověřencem nebo právníkem.
Kontrolní seznam před nasazením asistenta
Sedm kroků, které je dobré mít hotové, než asistent začne pracovat s e-maily vašich zákazníků.
Tento seznam je orientační. Pro závazné právní poradenství se obraťte na svého pověřence pro ochranu osobních údajů (DPO) nebo na právníka, který se GDPR věnuje.
GDPR a AI: odpovědi na vaše otázky
Vaše otázka tu chybí? Proberte ji s námi. Úvodní konzultace je nezávazná a zdarma.
Související články
Posíláte e-maily našich zákazníků do USA. Není to v rozporu s GDPR?
Text e-mailu vyhodnocuje jazykový model Claude od americké společnosti Anthropic, jednoho z našich dalších zpracovatelů. Jde tedy o předání osobních údajů do třetí země, které GDPR připouští, když je ošetřené vhodnými zárukami (čl. 46). Tady ho kryjí standardní smluvní doložky EU (2021), které jsou součástí zpracovatelského dodatku Anthropicu. Úplný seznam dalších zpracovatelů najdete ve zpracovatelské smlouvě. Informaci o předání do USA pak doplníte do svých zásad zpracování osobních údajů.
Co z naší pošty zůstane u vás?
Koncepty odpovědí leží ve vaší schránce ve vlákně. U nás zůstává báze znalostí z vašich podkladů a přehled, co asistent s kterým e-mailem udělal. Dobu uchování sjednáme ve zpracovatelské smlouvě a jménem v ní uvedeme i server, na kterém asistent běží (poskytovatele a sídlo). O změně dalšího zpracovatele vás informujeme předem. Po ukončení spolupráce data u nás smažeme.
Nechceme nikomu dávat trvalý přístup do firemní schránky.
Nemusíte. Kde to schránka umí, dostaneme samostatné heslo pro aplikaci — zrušíte ho ve svém účtu kdykoli a svoje heslo měnit nemusíte. U Microsoftu 365 jde o oprávnění Microsoftu, které odeberete ve správě účtu. S přístupem asistent čte příchozí e-maily a koncepty ukládá do vaší schránky; sám odešle jen typy e-mailů, které výslovně povolíte. Provoz můžete ukončit, kdy chcete, bez vázanosti.
Musíme kvůli asistentovi dělat DPIA a platit právníka?
Záleží na rozsahu zpracování a na tom, co vám zákazníci v e-mailech píšou. Posouzení vlivu na ochranu osobních údajů (DPIA) je povinné u zpracování, které pravděpodobně představuje vysoké riziko pro práva lidí. Mezi kritéria, která k tomu uvádějí evropské pokyny WP248, patří nasazení nové technologie, jako je AI; dalšími jsou například rozsáhlé zpracování nebo údaje o zdraví. Rozhodnutí je na vás jako správci, posuďte ho se svým pověřencem nebo právníkem. Od nás dostanete zpracovatelskou smlouvu se seznamem dalších zpracovatelů. Z ní doplníte záznamy o činnostech zpracování i zásady zpracování osobních údajů.
Chceme to nejdřív vyzkoušet. Můžeme vám poslat pár e-mailů zákazníků ještě před smlouvou?
Osobní údaje svých zákazníků nám bez smlouvy neposílejte. Vyberte deset e-mailů z minulého týdne — stačí bez jmen, adres a čísel objednávek, nebo nejdřív podepíšeme smlouvu o zpracování osobních údajů. Na nich vám ukážeme, jak by asistent odpověděl a které e-maily by nechal na vás. Úvodní konzultace je nezávazná a zdarma.
Chcete vědět víc o asistentovi?
AI asistent
Co asistent umí, jak se nasazuje a jak pracuje s vašimi podklady.
AI asistent →📧E-mailový asistent
Připravuje koncepty odpovědí na zákaznické e-maily ke schválení; sám odpovídá jen u typů, které povolíte.
E-mailový asistent →💬Konzultace
Probereme vaše e-maily, otázky ke GDPR i to, co by asistent potřeboval napojit. Úvodní konzultace je nezávazná a zdarma.
Domluvit konzultaci →Máte otázky ke GDPR a AI? Zeptejte se nás
Proberte s námi, co asistent zpracovává, zpracovatelskou smlouvu a dobu uchování. Právní základ a zásady zpracování posuďte se svým pověřencem nebo právníkem.
Úvodní konzultace je nezávazná a zdarma.