Czy można wklejać dane klientów do ChatGPT? 5 rzeczy, które zostają poza czatem

Czy można wklejać dane klientów do ChatGPT? Co do zasady nie, dopóki tekst nie jest zanonimizowany. Najpierw sprawdź ustawienia danych w koncie i umowę z dostawcą. Poniżej pięć rodzajów danych, które zostają poza czatem AI w firmie, i to, co wkleić zamiast nich. Do każdego punktu podajemy przepis RODO.

Dlaczego dane klientów w czacie AI to ryzyko dla firmy?

Czat AI wygląda jak notatnik, ale działa jak usługa zewnętrznego dostawcy. Wklejony tekst opuszcza firmę i trafia na serwery podmiotu trzeciego. Co dalej się z nim dzieje, zależy od dostawcy, planu i ustawień konta.

Dla firmy oznacza to trzy ryzyka. Pierwsze to naruszenie RODO, gdy w tekście są dane osobowe. Drugie to złamanie klauzuli poufności wobec kontrahenta. Trzecie to wyciek dostępów, gdy w logu został token.

Art. 5 ust. 1 lit. c RODO wymaga minimalizacji danych. Mają być adekwatne i ograniczone do tego, co niezbędne. Do napisania maila z podsumowaniem rozmowy nazwisko klienta zwykle nie jest potrzebne.

Ustawienia danych różnią się między dostawcami i planami. Sprawdź je w koncie firmowym i w umowie z dostawcą, zanim zespół zacznie pracować w czacie. Ten tekst ma charakter informacyjny i nie zastępuje porady prawnej.

Czy nagrania rozmów i eksporty z CRM można wkleić do czatu?

Nagranie rozmowy z klientem zawiera dane osobowe i często tajemnicę firmy. Przed wgraniem pliku sprawdź, czy dostawca używa wgranych plików do trenowania modeli. Bezpieczniejsza droga to transkrypcja na własnym komputerze. Do czatu wklejasz wtedy samą notatkę bez nazwisk.

Eksport z CRM to drugi częsty błąd. Imię z numerem telefonu lub adresem e-mail to dane osobowe według art. 4 pkt 1 RODO. Cały plik z klientami nie nadaje się więc do czatu. Gdy potrzebujesz pomocy z formułą albo raportem, wklej same nagłówki kolumn lub wersję zanonimizowaną.

Co z umowami, hasłami i kluczami API w logach?

Projekt umowy ujawnia stawki, terminy i nazwy kontrahentów. Klauzula poufności może zabraniać udostępniania go osobom trzecim. Dostawca czatu jest takim podmiotem. Najpierw sprawdź zapis o poufności w umowie i politykę dostawcy czatu.

Jeśli w dokumencie są dane osobowe, liczy się też art. 28 RODO. Gdy dostawca miałby przetwarzać dane w Twoim imieniu, potrzebna jest umowa powierzenia przetwarzania.

Log błędu często zawiera token albo ciąg połączenia z bazą danych. Programiści wklejają takie logi odruchowo, żeby szybciej znaleźć przyczynę. Wklejony klucz uznaj za ujawniony i wygeneruj nowy. Wtedy działaj w tej kolejności:

1. Unieważnij stary klucz u wystawcy.
2. Wygeneruj nowy i podmień go w aplikacji.
3. Sprawdź logi użycia starego klucza pod kątem nietypowych wywołań.
4. Ustal w zespole, że logi czyści się przed wklejeniem.

Czy dane kadrowe i zdrowotne można wkleić do czatu AI?

Dane o zdrowiu to szczególna kategoria z art. 9 ust. 1 RODO. Zasadą jest zakaz ich przetwarzania, a art. 9 ust. 2 przewiduje wyjątki. Zasady są więc ostrzejsze niż dla zwykłych danych osobowych.

W dokumentach kadrowych takie dane pojawiają się częściej, niż się wydaje. Zwolnienie lekarskie, orzeczenie z medycyny pracy czy opis choroby pracownika to dane o zdrowiu.

Opisz sytuację ogólnie. Na przykład: pracownik wraca po długiej nieobecności i potrzebuję pisma o dostosowaniu stanowiska. Dane konkretnej osoby uzupełnij w gotowym piśmie, już poza czatem.

Jak zanonimizować tekst przed wklejeniem do czatu AI?

Anonimizacja ma być nieodwracalna. Z wklejonego tekstu nie da się już ustalić, o kogo chodzi. Zamiana nazwiska na „Klient A” przy zachowanej tabeli zamian to pseudonimizacja z art. 4 pkt 5 RODO. Według motywu 26 RODO takie dane nadal są danymi osobowymi.

O osobie mogą zdradzać także rzadkie szczegóły, jak stanowisko, miejscowość czy dokładna kwota. Usuń je razem z imionami. Pięć zasad, które możesz wprowadzić od zaraz:

• Anonimizuj imiona, firmy i numery.
• Wklejaj opis zamiast całego dokumentu.
• Usuwaj tokeny i hasła z logów.
• Sprawdź ustawienia danych w koncie.
• Wrażliwe nagrania przetwarzaj lokalnie.

Jak przetwarzać wrażliwe nagrania bez wysyłania ich do chmury?

Najprostsza metoda to transkrypcja na własnym komputerze. Plik audio zostaje wtedy na urządzeniu. Taką drogę wybraliśmy w Hindsight, naszej aplikacji na Maca do notatek ze spotkań. Transkrypcja po polsku działa lokalnie, a pierwsi odbiorcy to kancelarie.

W naszym wewnętrznym teście transkrypcji wyszło ok. 5% błędnych słów. Notatkę warto więc przeczytać, zanim pójdzie dalej. Zapis na waitlistę jest pod adresem hindsight.hindbrain.io.

Jeśli chcesz, żeby AI pracowało na danych firmy w kontrolowany sposób, zaczynamy od mapy przepływu danych. Ustalamy, co trafia do modelu, a co zostaje w Twoich systemach. Takie rozwiązania budujemy w ramach integracji i automatyzacji.

Co zrobić dziś

Wyślij zespołowi jedną zasadę: do czatu AI wkleja się wyłącznie tekst zanonimizowany. Dopisz jedno zdanie, że klucze API z logów traktujemy jak ujawnione.

Chcesz mieć tę listę przy biurku? Napisz DANE w komentarzu pod rolką lub karuzelą. W wiadomości prywatnej dostaniesz checklistę „co wolno wkleić do czatu AI” oraz artykuł z przepisami RODO do każdego punktu.

FAQ

Czy dostawca czatu AI trenuje modele na wklejonych danych?

Zależy od dostawcy, planu i ustawień konta. Plany firmowe i indywidualne mogą mieć różne domyślne zasady. Sprawdź sekcję ustawień danych w koncie oraz umowę lub regulamin dla firm. Dopóki nie masz pewności, wklejaj wyłącznie tekst zanonimizowany, bez nazwisk, numerów i nazw kontrahentów.

Czy imię klienta z numerem telefonu to dane osobowe?

Tak. Art. 4 pkt 1 RODO definiuje dane osobowe jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie. Imię z numerem telefonu lub adresem e-mail ją identyfikuje. Samo imię bez kontekstu bywa niewystarczające do identyfikacji. Razem z firmą, stanowiskiem czy miastem zwykle wystarcza.

Co zrobić, gdy wkleiłem klucz API albo hasło do czatu?

Uznaj dane za ujawnione. Unieważnij klucz u wystawcy, wygeneruj nowy i podmień go w aplikacji. Sprawdź logi użycia starego klucza pod kątem nietypowych wywołań. Jeśli dostęp dotyczył danych osobowych, oceń, czy to naruszenie ochrony danych. Art. 33 RODO wymaga zgłoszenia do organu nadzorczego bez zbędnej zwłoki, jeśli naruszenie grozi ryzykiem dla osób. Termin to w miarę możliwości 72 godziny.

Czy zanonimizowany tekst można wkleić do czatu AI?

Tak, jeśli anonimizacja jest nieodwracalna, czyli z tekstu nie da się ustalić, o kogo chodzi. Usuń imiona, nazwy firm, numery i rzadkie szczegóły, takie jak stanowisko czy miejscowość. Zamiana nazwiska na Klient A przy zachowanej tabeli zamian to pseudonimizacja, a takie dane nadal są osobowe. Sprawdź jeszcze, czy umowa z kontrahentem nie zakazuje ujawniania samej treści.

Czy mogę używać AI przy pracy nad umową z klauzulą poufności?

Najpierw przeczytaj zapis o poufności i politykę dostawcy czatu. Jeśli umowa zabrania ujawniania treści osobom trzecim, wklejenie jej do czatu może to naruszać. Bezpieczniejszy wariant to opis problemu własnymi słowami, bez stawek, terminów i nazw kontrahentów. Poproś AI o strukturę klauzuli, a konkretne wartości wpisz sam w gotowym dokumencie.

Chcesz uporządkować, jak zespół korzysta z AI?

Pierwsza rozmowa o Twoim procesie jest bezpłatna. Pokażemy, gdzie dane mogą wypływać do czatów i jak zbudować automatyzację z kontrolą nad tym, co trafia do modelu. umów rozmowę