Лични данни в ChatGPT вече се въвеждат ежедневно от служители при писане на имейли, анализ на документи, преводи, работа с CV-та и други задачи. Това обаче поставя важен въпрос пред бизнеса: кога използването на ChatGPT е допустимо от гледна точка на GDPR и кога създава ненужен риск?
Проблемът започва, когато заедно със задачата служителят постави в AI инструмента и реални данни за клиент, кандидат, служител или друг човек.
Допустимо ли е това от гледна точка на GDPR?
Краткият отговор е: може да бъде допустимо, но не трябва да се прави без правила и оценка на риска.
Какъв е рискът при въвеждане на лични данни в ChatGPT?
Представете си, че служител напише:
„Обобщи това CV и ми кажи дали кандидатът е подходящ за позицията.“
След което постави цялото CV – име, телефон, имейл, трудов опит, образование и друга информация.
Или:
„Напиши отговор на този клиент.“
И копира цялата кореспонденция, съдържаща имена, договорни отношения или финансова информация.
В тези ситуации компанията предоставя информация на външна AI услуга. Ако информацията съдържа лични данни, GDPR продължава да се прилага.
Европейският комитет по защита на данните (EDPB) подчертава, че използването на AI модели не отменя основните принципи на GDPR – включително законосъобразност, прозрачност и свеждане на данните до необходимия минимум.
Значи ли това, че лични данни никога не трябва да се въвеждат в ChatGPT?
Не.
По-правилният въпрос е:
Има ли компанията контрол върху начина, по който AI инструментът обработва тези данни?
Има голяма разлика между служител, който самостоятелно използва личен ChatGPT акаунт, и организация, която е внедрила корпоративна AI услуга с договорени правила за обработване на данните.
Например OpenAI посочва, че при бизнес продуктите му, включително ChatGPT Business, Enterprise и API, входните и изходните данни по подразбиране не се използват за обучение на моделите.
При услугите за индивидуални потребители съдържанието може да бъде използвано за подобряване на моделите в зависимост от настройките за данни на потребителя.
Затова правилото „ползваме ChatGPT“ само по себе си не е достатъчно. Компанията трябва да знае кой продукт използва, при какви условия и за какви данни.
Какво не трябва да се поставя в публичен AI инструмент?
Като базово правило служителите не трябва да копират в недоговорени или лични AI акаунти:
- цели клиентски бази;
- CV-та и досиета на кандидати;
- лични документи;
- медицинска информация;
- данни за заплати и банкови сметки;
- пароли и данни за достъп;
- договори с чувствителна информация;
- вътрешни списъци със служители;
- информация за разследвания или дисциплинарни случаи;
- чувствителна търговска информация.
Дори когато целта изглежда напълно безобидна – например „само да ми оправи текста“.
По-добрият подход: премахнете ненужните данни
В много случаи AI инструментът изобщо няма нужда да знае кой е човекът.
Вместо:
„Иван Петров, ЕГН…, работи като…, получава заплата… Напиши ми писмо до него.“
може да бъде подадено:
„Служител има следната ситуация… Напиши примерен текст на писмо.“
Това е прост пример за принципа за минимизиране на данните – да се използва само информацията, която действително е необходима за конкретната задача.
Какво трябва да направи компанията?
Не е необходимо решението да бъде „забраняваме AI“.
За повечето организации по-разумният подход е да бъдат въведени ясни правила.
Те трябва да определят поне:
Кои AI инструменти са разрешени.
Служителите трябва да знаят дали могат да използват ChatGPT, Copilot, Claude или други услуги и с какъв тип акаунт.
Каква информация може да се въвежда.
Например публична и обща бизнес информация може да бъде разрешена, докато лични и конфиденциални данни изискват допълнителни ограничения.
Каква информация е забранена.
Пароли, специални категории лични данни, клиентски бази и други чувствителни данни не трябва да попадат в произволни AI услуги.
Кога данните трябва да бъдат анонимизирани.
Кой одобрява нов AI инструмент преди използването му.
Точно тук идва ролята на една кратка и практична AI Usage Policy.
А ако служителите вече използват ChatGPT?
Това е много вероятно.
Първата стъпка не е забрана, а да се установи какво реално се случва:
Какви AI инструменти използваме?
За какви задачи?
Каква информация въвеждаме в тях?
Използват ли се лични или конфиденциални данни?
Имаме ли корпоративни акаунти и договорни условия с доставчика?
Едва след това може да се прецени реалният риск.
Този тип неофициално използване на AI услуги от служители често се нарича Shadow AI и ще се превръща във все по-важна част от управлението на информационната сигурност и защитата на личните данни.
Извод
GDPR не забранява използването на ChatGPT.
Но компанията не трябва да допуска служителите свободно да поставят клиентски, служебни и лични данни във всеки AI инструмент, който намерят онлайн.
Правилният подход е комбинация от:
одобрени AI инструменти + ясни правила + минимизиране на данните + обучение на служителите.
Това позволява на бизнеса да използва предимствата на AI, без ненужно да излага лични и конфиденциални данни на риск.
CyPro може да помогне на организациите да оценят използваните AI инструменти, да определят GDPR и security рисковете и да разработят практична AI политика за служителите.