ChatGPT w firmie: co wolno wkleić, a czego nie?
Do ChatGPT i innych czatów AI wolno wkleić treści, które firma mogłaby opublikować: ogólne pytania, szkice bez nazw, teksty publiczne. Nie wolno wklejać danych osobowych, tajemnic przedsiębiorstwa ani informacji objętych poufnością, chyba że firma korzysta z konta firmowego z umową, która to dopuszcza, i ma na to politykę.
Co wolno wkleić do ChatGPT w firmie, a czego nie?
Decyduje rodzaj informacji i rodzaj konta. Prywatne konto pracownika traktuj jak publiczne forum, a konto firmowe z umową o przetwarzaniu danych jak zewnętrznego dostawcę, któremu powierzasz tylko to, co niezbędne.
| Rodzaj informacji | Konto prywatne | Konto firmowe z umową | Dlaczego |
|---|---|---|---|
| Pytanie ogólne, tekst publiczny | Tak | Tak | Nic poufnego nie wychodzi z firmy |
| Szkic maila bez nazw i liczb | Tak | Tak | Po anonimizacji nie ma danych do ochrony |
| Dane osobowe klienta lub pracownika | Nie | Tylko jeśli umowa i polityka to dopuszczają | RODO: art. 5 i art. 28 |
| Ceny, marże, warunki umów | Nie | Według polityki firmy | Tajemnica przedsiębiorstwa, art. 11 UZNK |
| Treść objęta umową o poufności | Nie | Zwykle nie | Umowa NDA może zakazywać przekazania podmiotom trzecim |
| Hasła, klucze API, tokeny | Nie | Nie | Ryzyko przejęcia dostępu bez żadnej korzyści |
Czy ChatGPT jest bezpieczny dla danych firmy?
To zależy od wersji usługi, ustawień i umowy, a nie od samej marki. Dostawcy czatów AI różnie traktują konta prywatne i firmowe, dlatego przed użyciem służbowym trzeba sprawdzić w aktualnych warunkach usługi cztery rzeczy.
- Czy treści rozmów mogą służyć do trenowania modeli i czy da się to wyłączyć dla całej organizacji.
- Jak długo dostawca przechowuje rozmowy i w jakim kraju.
- Czy dostawca zawiera umowę powierzenia przetwarzania danych osobowych z art. 28 RODO.
- Kto w firmie zarządza kontami: czy odejście pracownika oznacza odcięcie dostępu do historii rozmów.
Te same pytania dotyczą każdego narzędzia AI, nie tylko ChatGPT. Odpowiedzi zapisz na liście dozwolonych narzędzi w polityce AI razem z datą sprawdzenia, bo warunki usług się zmieniają.
Co mówi RODO o wklejaniu danych do czatu AI?
RODO nie zakazuje używania AI, ale wymaga podstawy prawnej, minimalizacji danych (art. 5 ust. 1 lit. c) i umowy z podmiotem, który przetwarza dane w imieniu firmy (art. 28). Wklejenie listy klientów do prywatnego czatu zwykle nie spełnia żadnego z tych warunków.
Jeśli dane osobowe trafiły tam, gdzie nie powinny, to może być naruszenie ochrony danych. Administrator ma wtedy 72 godziny od stwierdzenia naruszenia na zgłoszenie go do Prezesa UODO, chyba że ryzyko dla osób jest mało prawdopodobne (art. 33 RODO). Dlatego pracownik musi wiedzieć, komu i jak szybko zgłosić pomyłkę.
Dlaczego tajemnica przedsiębiorstwa jest tu ważna?
Bo chroni ją prawo tylko wtedy, gdy firma sama o nią dba. Art. 11 ust. 2 ustawy o zwalczaniu nieuczciwej konkurencji wymaga, by uprawniony podjął, przy należytej staranności, działania w celu utrzymania informacji w poufności. Firma, która pozwala wklejać cenniki do dowolnych narzędzi, trudniej wykaże, że te działania podjęła.
Jak zanonimizować tekst przed wklejeniem do ChatGPT?
Usuń albo zastąp wszystko, co identyfikuje osobę lub firmę, zanim tekst opuści komputer. Model zwykle nie potrzebuje nazw, żeby poprawić styl, streścić argumenty albo zaproponować strukturę.
- 1
Nazwy
Zamień nazwiska i nazwy firm na role: „Klient A”, „Pracownik B”, „Dostawca C”.
- 2
Identyfikatory
Usuń NIP, PESEL, numery umów, adresy, telefony i adresy e-mail.
- 3
Liczby
Zaokrąglij albo zastąp kwoty, jeśli nie są potrzebne do zadania.
- 4
Kontekst
Sprawdź, czy z reszty tekstu nie da się odgadnąć, o kogo chodzi. Unikalny opis sytuacji też jest daną.
Jak to rozwiązuje EXCORE?
W EXCORE AI pracuje na dokumentach, które już są w systemie firmy, więc nikt nie kopiuje ich do osobnego czatu. Asystent wiedzy odpowiada tylko z procedur, bazy wiedzy, dokumentów i umów, które administrator wskazał jako źródła, cytuje konkretny fragment i pokazuje pytającemu tylko to, do czego ma uprawnienia.
- Zasady korzystania z funkcji AI w EXCORE mówią wprost: dane klienta i zapytania nie służą do trenowania modeli, a dane jednej firmy nie trafiają do zapytań innej.
- Administrator wybiera dostawcę modelu (Anthropic albo OpenAI) i może użyć własnego klucza firmy. Wtedy firma sama ustala z dostawcą warunki przetwarzania, co trzeba uwzględnić w polityce AI.
- Każde wywołanie AI jest rejestrowane: moduł, osoba, status. Administrator widzi to w Kokpicie AI.
- Całe AI albo pojedyncze funkcje można wyłączyć jednym przełącznikiem.
- Dane są przechowywane w Europejskim Obszarze Gospodarczym, w regionie Frankfurt. Do modelu trafia tylko to, co jest niezbędne do wykonania funkcji zleconej przez użytkownika.
Pytania
Czy pracownik może używać prywatnego ChatGPT do pracy?
Tylko jeśli pozwala na to polityka firmy i tylko do treści, które firma mogłaby opublikować. Bezpieczniej jest dać zespołowi jedno narzędzie firmowe z umową i zakazać prywatnych kont do celów służbowych.
Czy wklejenie danych klienta do ChatGPT narusza RODO?
Może naruszać, jeśli nie ma podstawy prawnej, umowy powierzenia z dostawcą albo jeśli wklejono więcej danych, niż było potrzebne. W takim przypadku trzeba ocenić, czy doszło do naruszenia wymagającego zgłoszenia do UODO w ciągu 72 godzin.
Czy ChatGPT jest bezpieczny dla danych firmy w wersji płatnej?
Płatność sama nie przesądza o bezpieczeństwie. Liczą się warunki konkretnej wersji: czy rozmowy służą do trenowania, jak długo są przechowywane, czy dostawca podpisuje umowę powierzenia i kto zarządza kontami. Sprawdź je w aktualnych warunkach usługi przed wdrożeniem.
Co zrobić, gdy pracownik wkleił dane klienta do czatu AI?
Zgłosić to od razu osobie odpowiedzialnej za ochronę danych w firmie, zapisać, jakie dane, do jakiego narzędzia i kiedy trafiły, i usunąć rozmowę, jeśli narzędzie na to pozwala. Administrator ocenia, czy to naruszenie wymagające zgłoszenia do UODO w ciągu 72 godzin (art. 33 RODO). W konkretnej sprawie warto skonsultować się z prawnikiem albo inspektorem ochrony danych.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację