GDPR pre AI agentov: rezidencia a sprostredkovatelia

Čo sa mení, keď sa agent dotýka osobných údajov

GDPR nemá pre AI agentov osobitnú kapitolu. Jeho pravidlá sa viažu na spracúvanie osobných údajov bez ohľadu na to, kto alebo čo ho vykonáva. V praxi sa mení podoba spracúvania. Človek, ktorý vyhľadá záznam zákazníka, sa dotkne jedného záznamu z jedného dôvodu. Agent môže prečítať tisíce záznamov, volať iné systémy a posielať text jazykovému modelu v slučke, ktorú nikto nesleduje. Otázky v tomto článku sú preto známe otázky GDPR, položené systému, ktorý sa pohybuje rýchlejšie a cez viac strán než človek.

Rezidencia je otázka miesta, sprostredkovatelia sú otázka zmluvy

Rezidencia dát odpovedá na to, kde sa osobné údaje ukladajú a spracúvajú. Sama osebe neodpovedá na to, kto ich smie spracúvať a za akých podmienok. Touto druhou otázkou sa zaoberá článok 28: ak sa spracúvanie vykonáva v mene prevádzkovateľa, prevádzkovateľ smie využívať len sprostredkovateľov, ktorí poskytujú dostatočné záruky, a spracúvanie sa musí riadiť zmluvou alebo iným právnym aktom. Miesto je dôležité hlavne cez článok 44, ktorý umožňuje prenos do tretej krajiny len pri splnení podmienok tejto kapitoly. Región v EÚ je užitočný východiskový bod, nie záver o súlade. Poskytovateľ modelu, služba na záznamy aj monitorovací nástroj sú súčasťou dátovej cesty.

Otázky, články a dôkazy na uchovanie

Tabuľka mení hlavné povinnosti GDPR na otázky, na ktoré viete odpovedať pri projekte s agentom, spolu s článkom nariadenia, z ktorého vychádzajú, a dôkazmi, ktoré stojí za to uchovať. Je to pracovná pomôcka na rozhovor s vaším zodpovedným pracovníkom pre ochranu údajov alebo právnikom, nie úplný program súladu.

Kontrolný zoznam sprostredkovateľa pre projekt s agentom

Použite zoznam v tomto poradí. Začína dátovou cestou, pretože neskoršie kroky dávajú zmysel až vtedy, keď viete, ktoré strany v nej sú.

1. Zmapujte dátovú cestu: každý systém, koncový bod modelu, úložisko záznamov a dodávateľa, ktorý vidí vstupy, prompty, výstupy a stopy agenta.
2. Pri každej strane rozhodnite, či koná ako sprostredkovateľ vo vašom mene, a overte, že zmluva pokrýva body článku 28 ods. 3, vrátane spracúvania len na základe zdokumentovaných pokynov.
3. Získajte od každého sprostredkovateľa aktuálny zoznam ďalších sprostredkovateľov a dohodnite, ako vás bude o zmenách informovať, aby ste mohli namietať.
4. Zaznamenajte, kde každá strana údaje ukladá a spracúva, a základ prenosu pre všetko mimo EÚ alebo EHP.
5. Skontrolujte bezpečnostné opatrenia podľa článku 32 a dohodnite, ako a ako rýchlo sa dozviete o porušení ochrany osobných údajov, keďže vaša vlastná lehota na oznámenie plynie od chvíle, keď sa o ňom dozviete.
6. Dohodnite vymazanie alebo vrátenie údajov po skončení služby a vaše práva na informácie a audity.
7. Rozhodnite o posúdení vplyvu, aktualizujte záznamy o spracovateľských činnostiach a uchovávajte záznamy agenta, ktoré vám umožnia vybaviť žiadosť dotknutej osoby.

Modely, prompty a pohľad EDPB

Európsky výbor pre ochranu údajov sa modelmi AI zaoberal v stanovisku 28/2024 z 18. decembra 2024, vydanom podľa článku 64 ods. 2 na žiadosť írskeho dozorného orgánu. Pre firmu, ktorá model nasadzuje a nevyvíja, sú dôležité dva body. Po prvé, výbor sa domnieva, že modely AI trénované na osobných údajoch nemožno vo všetkých prípadoch považovať za anonymné; tvrdenie o anonymite sa musí posudzovať prípad od prípadu. Po druhé, ak model, ktorý uchováva osobné údaje, nasadzuje iný prevádzkovateľ, dozorné orgány by mali zohľadniť, či nasadzujúci vykonal primerané posúdenie, že model nebol vyvinutý nezákonným spracúvaním osobných údajov. V praxi si od poskytovateľa modelu vyžiadajte dokumentáciu namiesto predpokladu, že model je anonymný. Stanovisko sa týka modelov a prevádzkovateľov, takže nenahrádza prácu so sprostredkovateľmi uvedenú vyššie.

Kedy je posúdenie vplyvu povinné

Podľa článku 35 ods. 1 prevádzkovateľ vykoná pred spracúvaním posúdenie, ak typ spracúvania, najmä s použitím nových technológií, pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb. Článok 35 ods. 3 uvádza prípady, v ktorých je posúdenie povinné vždy, vrátane systematického a rozsiahleho hodnotenia osobných aspektov založeného na automatizovanom spracúvaní, na ktorom sa zakladajú významné rozhodnutia, a rozsiahleho spracúvania osobitných kategórií údajov. Mnohí interní agenti túto hranicu nedosiahnu a agent, ktorý osobné údaje nikdy nevidí, žiadne posúdenie nepotrebuje. Či ho potrebujete vy, je právne posúdenie. Odôvodnenie zaznamenajte v oboch prípadoch, pretože posúdenie sa, ak je potrebné, musí vykonať pred spustením agenta.

Ako hostuje EUHub vlastné záťaže

Vlastné produkčné záťaže EUHub bežia na Microsoft Azure Container Apps v regióne Germany West Central, v Nemecku, v rámci EÚ. Pri práci pre klientov sa hostingový región dohodne vopred, pričom predvolené sú regióny EÚ, ako opisuje naša stránka o nasadení. Ide o opis nášho vlastného hostingu. Nie je to certifikácia a pri žiadnom projekte nenahrádza zmluvu so sprostredkovateľom ani kontroly uvedené vyššie. Náš prístup k bezpečnosti je uvedený na stránke o bezpečnosti.

Nie je to právne poradenstvo

Tento článok je všeobecná informácia od inžinierskeho tímu, nie právne poradenstvo. Tvrdenia o článkoch GDPR vychádzajú z textu nariadenia (EÚ) 2016/679 v Úradnom vestníku zverejnenom 4. mája 2016 a zo stanoviska EDPB v zverejnenom znení. Skontrolujte si aktuálne konsolidované znenie a vnútroštátne právo a vo svojom prípade sa poraďte so zodpovednou osobou alebo právnikom.