Kaj se zgodi s pogodbo, ko jo prilepite v ChatGPT
Kratek odgovor: pogodbo, ki vsebuje osebne podatke ali poslovne skrivnosti vašega podjetja ali stranke, ne prilepite v brezplačni ChatGPT. Prilepljen dokument odide na strežnike ponudnika (večinoma v ZDA), tam ostane po njegovih pogojih, iz njega ne morete več umakniti podatkov, pri brezplačni različici pa se lahko uporabi tudi za učenje modela. Če želite AI za delo s pogodbami, uporabite rešitev, kjer obdelava poteka v Sloveniji (ali na vašem strežniku) in se vsebina po odgovoru izbriše.
V nadaljevanju razložimo, kaj se pravzaprav zgodi s prilepljeno pogodbo, kaj o tem pravi Informacijski pooblaščenec, in kdaj je uporaba ChatGPT vseeno v redu.
Kaj se zgodi s pogodbo, ko jo prilepite
Večina ljudi si predstavlja, da je ChatGPT kot kalkulator: prilepite, dobite odgovor, vsebina izgine. Ni tako.
1. Dokument zapusti vašo pisarno. Vsebina se pošlje na strežnike podjetja, ki je program razvilo: podjetja, ki delujejo po ameriški zakonodaji. S tem veste le, kje je začelo pot, ne kje se konča.
2. Tam tudi ostane. Pogovori se shranjujejo v zgodovino računa. Pri brezplačni različici lahko OpenAI vsebino privzeto uporablja za izboljšanje modelov; nastavitev »Improve the model for everyone« se sicer lahko izklopi, a morate to storiti sami, pred pogodbo pa je nastavitve malo kdo preveril. Za izbrisane pogovore OpenAI navaja, da jih iz sistemov odstrani v 30 dneh, razen če jih mora obdržati iz varnostnih ali pravnih razlogov ali če so bili že psevdonimizirani in uporabljeni za učenje (OpenAI, pravilnik o zasebnosti).
3. Nazaj jih ne morete vzeti. Ko je pogodba enkrat obdelana, ne morete dokazati, da je bila povsod izbrisana. Odgovornost za posredovanje pa je vaša: če je v pogodbi osebni podatek stranke ali zaposlenega, ste ga vi poslali v tretjo državo.
4. Sto pogodb skupaj pove, kako poslujete. Ena pogodba pove malo. Sto dokumentov skupaj pa pove, kdo so vaši največji kupci, kakšne popuste dajete komu, pri čem zaslužite največ in od koga ste odvisni. Konkurent, ki bi to vedel, bi vašim najboljšim kupcem ponudil malo nižjo ceno. Dokumenti se pošiljajo po eden na dan in vsak zase je videti nedolžen.
Kaj pravi Informacijski pooblaščenec
Informacijski pooblaščenec (IPRS) o uporabi orodij umetne inteligence ni izdal splošne prepovedi. Izdal je pogoje. Njegova mnenja strnemo v tri točke:
Vsaka obdelava mora imeti pravno podlago. Vnos v orodje UI, hramba in posredovanje so obdelava osebnih podatkov. IPRS je zapisal, da je »večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov«, in da je vnos dopusten šele, ko so izpolnjeni vsi pogoji (IPRS, mnenje o svetovanju pri uporabi UI).
Posredovanje v tretjo državo potrebuje pravno podlago. Za dajanje osebnih podatkov na razpolago ponudniku v ZDA mora obstajati ena od pravnih podlag iz Splošne uredbe, predhodna ocena tveganja pa mora pokazati, da so pravice posameznikov zavarovane. Prilepljenje pogodbe »ker je hitro« te podlage ne ustvari.
Vloge in pogodba z obdelovalcem. Pred uvedbo orodja morate opredeliti, ali ste upravljavec ali obdelovalec, in s ponudnikom skleniti pogodbo o obdelavi (28. člen Splošne uredbe), ki določa vsebino, trajanje in namen obdelave (IPRS, mnenje o uporabi umetno inteligentnih orodij). ChatGPT v brezplačni različici te pogodbe podjetju ne ponudi v obliki, ki bi pokrila posredovanje pogodb strank.
Za javne uslužbence ima IPRS še posebna priporočila: osebni podatki se v orodja UI sme vnašati le, če so posamezniki v njih več ne določljivi, odgovore pa je treba vedno dvakrat preveriti, ker lahko UI »izmisli« odgovor.
Primer, ki se je res zgodil
Leta 2023 so trije inženirji v Samsungu v ChatGPT prilepili zaupno izvorno kodo in zapisnike notranjih sestankov, da bi pospešili delo. Vsebina je pristala na strežnikih tujega ponudnika in je podjetje ni moglo več umakniti. Samsung je nato uporabo generativne umetne inteligence interno omejil. Napaka ni bila v tehnologiji. Bila je v tem, da so zaupne dokumente poslali v orodje, katerega pogoje nihče ni prebral.
Kdaj je prilepljenje vseeno v redu
Pogoj je preprost: vsebina ne sme vsebovati osebnih podatkov, poslovnih skrivnosti ali česar koli, kar bi škodovalo, če bi zašlo v roke tretjim.
V redu je na primer:
- javni predpis ali zakon, katerega povzetek potrebujete;
- splošno vprašanje (»kaj mora vsebovati pogodba o sodelovanju«) brez prilepljenega dokumenta;
- besedilo, ki ste ga sami napisali in ne vsebuje podatkov strank ali zaposlenih;
- povzetek javno dostopnega članka.
Ni v redu:
- pogodba ali ponudba z imeni, naslovi, TRR-ji strank;
- kadrovski zapisi, zapisniki, e-pošta zaposlenih;
- izvorne kode, tehnična dokumentacija, cenovni izračuni;
- karkoli, kar bi zbrano na enem mestu razkrilo, kako vaše podjetje posluje.
Nekaj je: tri poti, ki ne zahtevajo tvegane igre
1. ChatGPT Business ali Enterprise. OpenAI za poslovne pakete obljublja, da vsebina privzeto ni uporabljena za učenje modelov, izbrisani pogovori pa se odstranijo v 30 dneh (OpenAI, poslovna zasebnost). To odpravi najbolj očitno tveganje, ne spremeni pa dejstva, da obdelava poteka pri ponudniku v tujini, kar mora biti pokrito z DPA in oceno prenosa. Za občutljive dokumente to še vedno ni enako kot obdelava pri nas.
2. Lokalni model na vašem strežniku. Model teče na strojni opremi, ki jo nadzirate vi. Podatki ne zapustijo omrežja, vi pa lahko revizorju pokažete točno, kje se obdelava izvaja. Prime za večja podjetja, ki imajo lastno strežniško opremo. Kako delujejo lokalni modeli →
3. Heretik Cloud: obdelava v Sloveniji, izbris po odgovoru. Naš strežnik v Sloveniji obdela le zahtevo in vsebino, ki jo pošljete; te ne hranimo, pogovori ostanejo v vašem brskalniku, v dnevniku pa je zapisano, kdo je kdaj poslal kateri dokument. Z nami podpišete pogodbo o varovanju podatkov. Kako deluje Heretik Cloud →
Če želite odgovore iz svojih pogodb, cenikov in zapisnikov, z navedbo vira, da odgovor lahko preverite, pa je za to Heretik Pilot.
Povzetek
| Vsebina | Sme v ChatGPT? |
|---|---|
| Javni predpis, splošno vprašanje | Da |
| Interno besedilo brez podatkov o ljudeh in poslovanju | Po presoji |
| Pogodba, ponudba, račun s podatki strank | Ne |
| Kadrovski zapisi, izvorna koda, kalkulacije | Ne |
| Isto vsebino v orodju z obdelavo v Sloveniji in izbrisom | Da |
Pogosta vprašanja
Ali ChatGPT hrani moje pogovore?
Da. Pogovori se privzeto shranjujejo v zgodovino računa. Pri brezplačni različici lahko vsebino OpenAI uporablja za izboljšanje modelov, razen če nastavitev izklopite; izbrisani pogovori se po navedbah OpenAI odstranijo v 30 dneh, razen če jih mora obdržati iz varnostnih ali pravnih razlogov.
Ali smem prilepiti pogodbo, če izbrišem imena strank?
To pomaga, a ni dovolj. Če je posameznik iz preostanka dokumenta še vedno določljiv (npr. TRR, naslov, številka računa), gre še vedno za osebni podatek. Poleg tega poslovna skrivnost ne izgine z izbrisom imen: kalkulacija ostane kalkulacija.
Je ChatGPT Business varen za poslovne dokumente?
Najbolj očitno tveganje (učenje na vaših podatkih) je v poslovnih paketih privzeto izklopljeno in izbris se izvede v 30 dneh. A obdelava še vedno poteka pri ponudniku v tujini, zato potrebujete DPA in oceno tveganja prenosa. Za najbolj občutljive dokumente je smiselna rešitev, kjer obdelavo lahko pokažete na lokaciji v Sloveniji.
Kaj pravi GDPR o prilepljenju pogodbe v ChatGPT?
Vnos, hramba in posredovanje vsebine z osebnimi podatki so obdelava po Splošni uredbi. Potrebujete pravno podlago, posredovanje v tretjo državo mora biti pokrito, pred uvajanjem pa je treba opredeliti vloge in skleniti pogodbo z obdelovalcem. IPRS je zapisal, da je večina komercialnih orodij UI trenutno problematičnih vsaj iz vidika varstva pravic posameznikov.
Kaj je DPA in ali jo potrebujem?
DPA (pogodba o obdelavi podatkov) je pogodba med vami kot upravljavcem in ponudnikom kot obdelovalcem, ki določa, kaj, kako in kako dolgo se obdeluje. Potrebujete jo, kadar orodje obdeluje osebne podatke, za katere ste odgovorni vi. Brez nje posredovanje pogodb tretji osebi ni v skladu s Splošno uredbo.
Ali sme AI sploh uporabljati za dokumente podjetja?
Da, pod pogojem, da obdelava poteka na nadzorovanem mestu. Heretik Pilot odgovarja iz vaših dokumentov, navede vir in stranko, vsebino pa obdelamo v Sloveniji ali na vašem strežniku, po odgovoru pa se izbriše. Tako imate korist AI brez pošiljanja poslovnega znanja v tujino.
Članki na tej strani niso pravno mnenje. Za odločitve v konkretnem primeru se posvetujte z odvetnikom ali Informacijskim pooblaščencem.