Start · Proste
Czy dane firmowe są bezpieczne w narzędziach AI? Co sprawdzić, zanim pracownicy wkleją dokumenty
Pracownicy już dziś wklejają e-maile, oferty i tabele do narzędzi AI, czy firma ma na to zasadę, czy nie. To, czy jest to bezpieczne, nie jest kwestią opinii: jest zapisane w warunkach planu, z którego korzystają.
Zdjęcie: Nilo Velez, domena publiczna (CC0)
W tym poradniku
W skrócie
To zależy od planu i jego warunków, a możecie je sprawdzić sami. Decyduje pięć punktów: czy wpisywane treści służą do trenowania, gdzie przechowywane są dane, kto u dostawcy może je zobaczyć, jak długo są trzymane i czy istnieje umowa powierzenia przetwarzania danych. Niektórych rzeczy nie wkleja się nigdy, bez względu na plan.
Czy korzystanie z AI na danych firmowych jest bezpieczne?
Jest dokładnie tak bezpieczne, jak warunki tego konkretnego planu, z którego korzystają wasi pracownicy, a te warunki różnią się między planami tego samego produktu. Plany darmowe i konsumenckie mają często inne zasady niż plany biznesowe, przede wszystkim w tym, czy to, co wpisujecie, może służyć do ulepszania modeli dostawcy. Nazwa narzędzia mówi więc niewiele. Mówi plan.
Są dwa osobne ryzyka. Pierwsze to to, co dostawca robi z waszym tekstem: przechowuje go, pozwala czytać pracownikom, trenuje na nim. Drugie to to, co wkładają wasi własni pracownicy: tekst, który nigdy nie powinien był opuścić firmy, nie staje się bezpieczny dzięki dobrym warunkom. Pierwsze ryzyko rozstrzyga lektura, drugie zasada, którą wszyscy znają.
Co sprawdzić w warunkach waszego planu?
Sprawdźcie pięć punktów, a każdą odpowiedź weźcie z warunków albo dokumentów o prywatności samego dostawcy, nie z porównywarki.
| Punkt | Pytanie, na które trzeba odpowiedzieć | Dobra odpowiedź |
|---|---|---|
| Trenowanie | Czy wpisywane przez nas treści i przesyłane pliki służą do trenowania albo ulepszania modeli? | Nie, albo tylko jeśli sami to włączymy |
| Miejsce przechowywania | W jakim kraju albo regionie nasze dane są przechowywane i przetwarzane? | Wskazany region, który odpowiada waszym obowiązkom |
| Dostęp u dostawcy | Kto może czytać nasze rozmowy i kiedy? | Ograniczony, rejestrowany dostęp z podanych powodów |
| Okres przechowywania | Jak długo trzymane są rozmowy i pliki i czy możemy je usunąć? | Podany okres i usunięcie na żądanie |
| Umowa powierzenia przetwarzania danych | Czy dostawca podpisuje ją dla tego planu? | Tak, dostępna dla planu, z którego korzystacie |
Zapiszcie odpowiedzi razem z datą i nazwą planu. Warunki się zmieniają, a „sprawdzaliśmy to wiosną” jest coś warte tylko wtedy, gdy ktoś wie, co zostało sprawdzone.
Dwa kolejne punkty stają się ważne, gdy z narzędzia korzysta więcej niż kilka osób. Czy firma może centralnie zarządzać kontami, tak żeby osoba odchodząca straciła dostęp ostatniego dnia? I czy rozmowy jednego pracownika są niewidoczne dla pozostałych, o ile nie zostaną celowo udostępnione?
Kiedy potrzebna jest umowa powierzenia przetwarzania danych?
Jest potrzebna zawsze wtedy, gdy narzędzie przetwarza dane osobowe w waszym imieniu. Zgodnie z RODO firma, która zleca usługodawcy przetwarzanie danych osobowych, potrzebuje z nim umowy obejmującej to przetwarzanie. Imiona i nazwiska, adresy e-mail, korespondencja z klientami i akta pracownicze to wszystko dane osobowe.
W praktyce oznacza to: jeśli plan, z którego korzystają wasi pracownicy, nie oferuje takiej umowy, dane osobowe nie mają w nim czego szukać. Jeśli dostawca przetwarza dane poza Unią Europejską, RODO stawia dodatkowe warunki takiemu przekazaniu, a dokumenty dostawcy powinny mówić, jak są spełnione. To moment, w którym krótka rozmowa z osobą odpowiedzialną w waszej firmie za ochronę danych oszczędza kłopotów później.
Czego nigdy nie wklejać do narzędzia AI?
Cztery rodzaje treści zostają na zewnątrz bez względu na to, co mówi plan. Powodem nie jest to, że wyciek jest pewny. Powodem jest to, że szkody, jeśli do niego dojdzie, nie da się cofnąć.
| Rodzaj danych | Czy mogą trafić do narzędzia? | Dlaczego |
|---|---|---|
| Opublikowane teksty, własne szkice marketingowe, pytania ogólne | Tak | Nic w nich nie jest tajne |
| Procedury wewnętrzne i notatki bez nazwisk | Tak, w zatwierdzonym narzędziu | Mała szkoda, a warunki zostały sprawdzone |
| Dane osobowe klientów albo pracowników | Tylko z umową i podstawą prawną | Obejmuje je RODO |
| Umowy i dokumenty objęte NDA | Nie, chyba że druga strona się zgodziła | Obiecaliście poufność komuś innemu |
| Nieopublikowane liczby, ceny i plany | Nie, albo tylko w narzędziu do tego zatwierdzonym | Szkody po wycieku nie da się odwrócić |
| Hasła, klucze dostępu, dane bankowe | Nigdy | Żadne zadanie ich nie wymaga, a kto je ma, ma konto |
Jeden przydatny nawyk załatwia wiele przypadków: usuwajcie nazwiska. Pismo reklamacyjne, w którym nazwisko klienta, adres i numer zamówienia zastąpiono symbolami zastępczymi, da się zwykle streścić albo opracować odpowiedź równie dobrze.
Jak sprawić, żeby korzystanie z AI w firmie było bezpieczne?
Wybieracie jedno narzędzie, sprawdzacie je raz i dajecie ludziom krótką zasadę. Całkowity zakaz narzędzi AI rzadko działa: ludzie korzystają wtedy z kont prywatnych i nic nie zostało sprawdzone.
- Ustalcie, co jest używaneZapytajcie pracowników, z jakich narzędzi korzystają dziś i do czego. Pytajcie bez obwiniania, inaczej nie dostaniecie prawdziwej listy.
- Wybierzcie jedno narzędzie i jeden planWybierzcie plan z kontami firmowymi i sprawdźcie pięć punktów opisanych wyżej. Zapiszcie odpowiedzi.
- Napiszcie zasadęJedna strona: które narzędzie, co może do niego trafić, co nie trafia nigdy, kogo pytać.
- Wyjaśnijcie jąPiętnaście minut na spotkaniu zespołu, z przykładami z waszej własnej pracy, daje więcej niż dokument, którego nikt nie otwiera.
- Wracajcie do niejPrzeglądajcie warunki i zasadę raz w roku oraz zawsze wtedy, gdy dostawca zapowiada zmiany.
Sama zasada może być tak krótka:
Jak to robimy
Kiedy wbudowujemy AI w pracę firmy, najpierw ustalamy, których danych zadanie potrzebuje, a których nie, i przechodzimy z wami przez pięć opisanych wyżej punktów dla każdego z używanych narzędzi. Uprawnienia dostępu są ustalone, zanim asystent dostanie jakikolwiek plik wewnętrzny. Nigdy nie udostępniamy informacji o klientach.
Jeśli asystent ma odpowiadać na podstawie plików wewnętrznych, uprawnienia dostępu stają się głównym pytaniem; jak to się buduje, opisujemy pod hasłem asystenci AI. To, gdzie leżą dokumenty i kopie zapasowe, należy do tego samego obrazu i jest opisane pod hasłem bezpieczeństwo i kopie zapasowe.
Pytania, które słyszymy często
Chcecie mieć to załatwione bez robienia tego samodzielnie?
Napiszcie, nad czym pracujecie. W ciągu jednego dnia roboczego odpowie wam człowiek.