Szeptember 30.-án a Kapocsban Dr. Vigh Beáta szellemi tulajdonjogi szakértő, egyetemi oktató A személyi adatvédelem kihívásai a mesterséges intelligencia hatására címmel tartott előadást. A téma a vállalkozások és intézmények számára egyre gyakorlatibb kérdés: hogyan használhatják az MI nyújtotta lehetőségeket anélkül, hogy veszélyeztetnék ügyfeleik, munkatársaik vagy partnereik személyes adatait?
Egy ügyféllevél megfogalmazása, egy dokumentum összefoglalása vagy egy chatbot bevezetése kézenfekvő felhasználási területnek tűnhet. A feladat mögött azonban rögtön megjelennek az adatvédelmi kérdések: milyen információ kerül a rendszerbe, ki férhet hozzá, meddig tárolják, és felhasználhatják-e a modell továbbfejlesztésére?
Dr. Vigh Beáta előadása a chatbotok működésétől az adattároláson át a tiltott MI-gyakorlatokig több ilyen problématerületet érintett. Az anyag alapján az adatvédelem nem választható el az MI-eszközök bevezetésétől: már a felhasználás megtervezésekor foglalkozni kell vele.
1. Csak azt az adatot adjuk át, amelyre valóban szükség van
Dr. Vigh Beáta prezentációjában a chatbotok használatának szabályai között szerepel az adatminimalizálás és a célhoz kötöttség. Ezek a gyakorlatban azt jelentik, hogy előre meghatározzuk a feladatot, és nem adunk át több személyes adatot, mint amennyi annak elvégzéséhez szükséges.
Rossz gyakorlat – bad practice
Egy munkatárs bemásolja az ügyfél teljes levelezését egy általános célú MI-eszközbe. A szövegben név, telefonszám, lakcím és rendelési azonosító is szerepel, pedig mindössze egy késedelmes szállításról szóló válaszlevelet szeretne készíteni.
Jó gyakorlat – good practice
A feladatot személyes adatok nélkül fogalmazza meg:
„Írj udvarias válaszlevelet egy vásárlónak, akinek a rendelése három napot késik. Kérjünk elnézést, és jelezzük, hogy új szállítási időpontot egyeztetünk.”
Ha a feladat személyes adatok nélkül is elvégezhető, nincs szükség azok feltöltésére. Ha mégis szükségesek, előzetesen tisztázni kell az adatkezelés célját, jogalapját és a szolgáltatás használatának feltételeit. A hozzájárulás nem minden helyzetben az egyetlen lehetséges jogalap, de más jogalap alkalmazását is megfelelően meg kell indokolni. Arra is figyelni kell, hogy a név törlése önmagában nem feltétlenül jelent anonimizálást: a megmaradt részletekből is azonosítható lehet az érintett.
2. Az ügyfél tudja, ha mesterséges intelligenciával beszél
Két kérdést érdemes elválasztani: az ügyfél tudja-e, hogy MI-vel kommunikál, és érti-e, mi történik az általa megadott személyes adatokkal? Az MI-rendelet átláthatósági előírásai és a GDPR adatkezelési tájékoztatási követelményei egymást kiegészítő feladatokat jelentenek.
Rossz gyakorlat – bad practice
A chatbot emberi ügyintézőként mutatkozik be, majd rögtön nevet és telefonszámot kér. Nem derül ki, miért szükségesek ezek az adatok, és hogyan lehet valódi munkatárshoz fordulni.
Jó gyakorlat – good practice
A beszélgetés elején rövid és érthető üzenet jelenik meg:
„Ön egy mesterséges intelligencián alapuló asszisztenssel beszél. Általános kérdésekben segítek. Kérjük, ne adjon meg bankkártyaadatot vagy egészségügyi információt. Személyes ügyintézéshez válassza az ügyintézői kapcsolatot.”
Az üzenet mellett elérhető a tényleges működéshez igazított adatkezelési tájékoztató. A rövid figyelmeztetés ugyanis nem helyettesíti az adatkezelés céljáról, jogalapjáról, megőrzési idejéről és az érintetti jogokról szóló tájékoztatást.
3. A szolgáltató adatkezelése legalább olyan fontos, mint az eszköz tudása
Kiemelt kérdés, hogy az MI-szolgáltató felhasználhatja-e a beküldött ügyféladatokat saját modelljeinek tanítására. Az eszköz kiválasztásakor ezért nemcsak a funkciókat és az előfizetés árát kell összehasonlítani, hanem az adatfelhasználási és szerződéses feltételeket is.
Rossz gyakorlat – bad practice
A vállalkozás azért tölt fel ügyféldokumentumokat egy fizetős szolgáltatásba, mert feltételezi, hogy az előfizetés automatikusan kizár minden további adatfelhasználást.
Jó gyakorlat – good practice
A bevezetés előtt ellenőrzik:
- felhasználhatók-e a beküldött adatok modellfejlesztésre;
- meddig őrzik meg a beszélgetéseket és dokumentumokat;
- kik férhetnek hozzájuk;
- milyen törlési lehetőségek állnak rendelkezésre;
- milyen szerződés szabályozza a személyes adatok kezelését.
Ha a szolgáltató a vállalkozás nevében adatfeldolgozóként jár el, a GDPR szerinti adatfeldolgozói szerződés szükséges. A szerepeket ugyanakkor a tényleges működés alapján kell meghatározni, nem pusztán a szolgáltatás elnevezéséből.
4. Az „európai szerver” önmagában nem old meg mindent
Az európai adattárolás, a nemzetközi adattovábbítás, a titkosítás és az anonimizálás kérdéséről is fontos tárgyalni ebben a témában. Az adattárolás helye fontos, de nem az egyetlen szempont: azt is vizsgálni kell, honnan és milyen jogosultsággal férhetnek hozzá az információkhoz.
Rossz gyakorlat – bad practice
A vállalkozás meglátja az „EU-s adattárolás” ígéretét, és további ellenőrzés nélkül megfelelőnek tekinti a szolgáltatást.
Jó gyakorlat – good practice
Az adattárolás mellett a hozzáféréseket, a további szolgáltatók szerepét, a megőrzési időt és az esetleges EU-n kívüli adattovábbítást is áttekintik. Ahol ilyen továbbítás történik, ellenőrzik annak jogi feltételeit is. A titkosítás és a hozzáférések korlátozása fontos védelem, de nem helyettesíti a jogszerű adatkezelés többi követelményét.
5. Az MI segíthet a munkában, de az érdemi döntés más felelősséget jelent
Különbség van az ügyfélkommunikáció és az embereket érintő érdemi döntések között. Nem ugyanaz a helyzet, amikor egy chatbot a nyitvatartásról ad választ, és amikor egy rendszer álláspályázókat értékel vagy jelentős következményekkel járó döntést készít elő. A jogi megítélésben a rendszer célja és tényleges használata meghatározó.
Rossz gyakorlat – bad practice
A vállalkozás kizárólag egy MI-rendszer pontszámai alapján utasít el álláspályázókat. Nincs érdemi emberi felülvizsgálat, és a jelentkezők nem tudják, hogyan született az eredmény.
Jó gyakorlat – good practice
Az MI legfeljebb előkészítő segítséget nyújt, a döntést pedig olyan munkatárs ellenőrzi, aki valóban mérlegelhet, és módosíthat az eredményen.
A GDPR főszabály szerint védi az érintettet a kizárólag automatizált adatkezelésen alapuló, rá nézve joghatással járó vagy őt hasonlóan jelentős mértékben érintő döntésekkel szemben. A kivételekhez feltételek és garanciák kapcsolódnak; az emberi felülvizsgálat ezért nem lehet puszta formaság.
6. Ami technikailag lehetséges, nem feltétlenül megengedett
Az előadás egyik témaköre a tiltott MI-gyakorlatok bemutatása volt. Többek között a manipulatív megoldásokat, egyes biometrikus felhasználásokat és a munkahelyi érzelemfelismerés. A konkrét tilalmak alkalmazásánál a jogszabály pontos feltételeit és kivételeit is figyelembe kell venni.
Rossz gyakorlat – bad practice
A munkáltató kameraképek alapján működő rendszert vezetne be, amely a dolgozók érzelmi állapotára következtet, majd ezt teljesítményértékeléshez használná.
Jó gyakorlat – good practice
A beszerzés előtt megvizsgálják, hogy a tervezett felhasználás egyáltalán megengedett-e, és szükséges-e az adott megfigyelés.
Az uniós MI-rendelet tiltja a biometrikus adatokra épülő munkahelyi és oktatási érzelemfelismerés meghatározott használatát, az orvosi vagy biztonsági célú alkalmazásokra vonatkozó kivétellel. Egy tiltott felhasználást az adatkezelési tájékoztató nem tesz jogszerűvé.
Mit érdemes átültetni a vállalkozás napi működésébe?
Az előadás témái alapján a felkészülés egyik kézzelfogható eredménye egy rövid, érthető belső MI-használati rend lehet.
Egy ilyen útmutató rögzítheti:
- mely MI-eszközök használhatók a szervezetben;
- milyen adatokat tilos feltölteni;
- ki hagyhat jóvá személyes adatokat érintő új felhasználást;
- mikor szükséges emberi ellenőrzés;
- kinek kell jelezni egy hibát vagy feltételezett incidenst.