Mitä henkilötietoja tekoäly-chatbotti käsittelee?
Kun käyttäjä vuorovaikuttaa tekoälyn chatbotin kanssa, syntyy tietoja. Ilmeisimmät ovat keskustelun sisältö: tekstiviestejä, kysymyksiä, valituksia, varaustietoja. Nämä keskustelutiedot ovat monissa tapauksissa GDPR: n mukaisia henkilötietoja joko koska niissä on suoria tunnisteita, kuten nimiä tai sähköpostiosoitteita, tai koska ne voidaan yhdistää henkilön muihin käytettävissä oleviin tietoihin. Myös Webchat: ssä teknisesti siirtyvät IP-osoitteet ovat henkilökohtaisia tietoja.
Chatboteissa, joita käytetään asiakastilien hallinnassa, käytetään lisäksi muita tietoluokkia: asiakasnumeroita, tilaushistoriaa, maksutietoja (jos chatbot on integroitu maksutapahtumiin) tai terveystietoja (lääketieteellisissä sovelluksissa). Nämä erityiset tietoluokat, jotka kuuluvat EU:n yleisen tietosuoja-asetuksen (GDPR) artiklan 9 piiriin, ovat erityisen suojattuja ja edellyttävät erityisiä teknisiä ja oikeudellisia toimenpiteitä.
Tietojen minimoinnin periaate (Art. 5 Abs. 1 lit. c DSGVO) edellyttää, että käsitellään vain sellaisia tietoja, jotka ovat tosiasiallisesti tarpeen kyseistä tarkoitusta varten. Puhtaalle FAQ-chatbotille ilman tunnistautumista tämä tarkoittaa: keskustelujen sisältöä ei tulisi tallentaa pysyvästi, IP-osoitteet tulisi anonymisoida, ja henkilötietoja tulisi kerätä vain silloin, kun ne ovat ehdottoman välttämättömiä palveluprosessin kannalta. Huolellisesti konfiguroitu chatbot on siten tietosuojan kannalta huomattavasti ongelmattomampi kuin huonosti suunniteltu.
DSGVO-vaatimukset chatbotin toimintaa varten
GDPR asettaa jokaiselle käsittelytoimelle joukon perusvaatimuksia. Ensinnäkin jokainen henkilötietojen käsittely tarvitsee oikeusperustan GDPR:n 6 artiklan mukaisesti: joko käyttäjän suostumuksen, sopimuksen edellyttävyyden, yrityksen oikeutetun edun tai jonkin muun laissa mainitun perusteen. Oikeusperusta on määritettävä ja dokumentoitava ennen käsittelyä — ja tarvittaessa se on voitava perustella tietosuojaviranomaiselle.
Toiseksi tiedonantovelvollisuus rekisteröityjä kohtaan on kattava. Käyttäjien on tiedettävä, mitä tietoja mihin tarkoitukseen käsitellään, kuinka kauan niitä säilytetään, ketkä voivat olla vastaanottajia ja mitä oikeuksia heillä on — mukaan lukien oikeus tietojen tarkastamiseen, oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen. Näiden tietojen on oltava saatavilla selkeällä ja ymmärrettävällä kielellä, tyypillisesti tietosuojaselosteessa ja chat-ikkunan ilmoituksessa.
Kolmanneksi, GDPR (yleinen tietosuoja-asetus) edellyttää "tietosuoja huomioiden suunnittelussa ja oletusasetuksissa" -periaatetta (artikla 25). Tämä tarkoittaa, että tietosuojaystävälliset asetukset ovat oletusarvoisesti käytössä, eikä niitä lisätä jälkikäteen. Käytännössä tämä tarkoittaa tekoälychatboteille seuraavaa: lyhyemmät säilytysajat oletusarvoisesti, lokitietojen anonymisointi, rajoitetut käyttöoikeudet ja käyttäjille mahdollisuus pyytää tietojensa poistamista helposti.
Pilvitekoäly vs. on-premises: Mitä se tarkoittaa tietosuojan kannalta?
Pilvipohjaisessa tekoälychatbotissa keskusteludata ja kyselyt lähetetään ulkoisille palvelimille, jotka kuuluvat puhemallin tarjoajalle, niitä käsitellään siellä ja – konfiguraatiosta riippuen – niitä voidaan mahdollisesti käyttää koulutustarkoituksiin. Tietosuojaperusteisen arvioinnin kannalta on ratkaisevan tärkeää: missä maissa palvelimet sijaitsevat? Yhdysvaltalaisissa palveluntarjoajissa tilanne on Schrems II -tuomion jälkeen monimutkainen. EU-palveluntarjoajat tai sellaiset, joilla on EU:n datakeskuksia, ovat selvästi etulyöntiasemassa eurooppalaisen tietosuojalainsäädännön mukaisesti. Lisäksi on solmittava tietojenkäsittelysopimus (AVV).
On-Premises tarkoittaa, että koko infrastruktuuri — mukaan lukien tekoälymalli — käytetään palvelimilla, joita yritys itse hallitsee. Paikallisella tekoälyn suorituksella mitkään keskustelutiedot eivät poistu omasta infrastruktuurista. Siten tarve tietojenkäsittelysopimukselle pilvitekoälytarjoajan kanssa poistuu kokonaan; käsittely tapahtuu yksinomaan sisäisesti. Säännellyillä toimialoilla toimiville yrityksille — terveydenhuolto, oikeudellinen neuvonta, rahoituspalvelut — On-Premises on usein ainoa hyväksyttävä vaihtoehto.
Hybridilähestymistapa on myös mahdollinen: chatbot-infrastruktuuri ja tietokanta toimivat EU:n puolella turvallisilla palvelimilla, kun taas tiettyihin vähemmän arkaluonteisiin käyttötapauksiin käytetään pilvimallia. Zentor App tukee molempia käyttötiloja — pilven kautta ulkoisen tekoälypalveluntarjoajan avulla sekä täysin paikallisesti — ja antaa yritysten itse päättää, mikä arkkitehtuuri sopii heidän tietosuojastrategiaansa. Päätös tulisi ihanteellisesti tehdä yhdessä tietosuojavastaavan ja tietosuoja-asianajajan kanssa.
Henkilötietojen käsittelysopimus (AVV): Milloin tarvitaan ja mitä se säätelee
Henkilötietojen käsittelysopimus (AVV) asetuksen (EU) 2016/679 28 artiklan mukaisesti on keskeinen väline, jolla säännellään oikeudellisesti vastuita yrityksen (rekisterinpitäjä) ja ulkoisen palveluntarjoajan (henkilötietojen käsittelijä) välillä, joka käsittelee henkilötietoja toimeksiannosta. Kun tekoälypohjaista chatbotia käytetään SaaS-alustan kautta, AVV on yleensä ehdottomasti vaadittu: chatbotin tarjoaja käsittelee keskustelutietoja palvelimillaan — tämä on tyypillistä henkilötietojen käsittelyä toimeksiannosta.
AVV on laadittava kirjallisesti tai vastaavassa sähköisessä muodossa, ja sen on katettava joukko vähimmäissisältöjä: käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen ja rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet. Lisäksi käsittelijän on taattava, että se toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet (TOM:t) eikä käytä alikäsittelijöitä ilman lupaa.
Tärkeää: AVV on tehtävä ennen chatbotin käyttöönottoa — ei jälkikäteen. Puuttuva AVV huolimatta tietojenkäsittelystä on itsenäinen DSGVO-rikkomus, joka on sakon uhalla. Tarkista siksi jokaisen chatbot-toimittajan kohdalla, tarjotaanko AVV:tä ja missä muodossa, mitä alikäsittelijöitä käytetään (esim. pilvipalveluntarjoajat tai ulkoiset tekoälypalveluntarjoajat) ja miten niiden kanssa menetellään. Vakavasti otettavat toimittajat, kuten Zentor App, tarjoavat standardoituja AVV-malleja ja ovat valmiita avoimesti kertomaan niiden sisällöstä.
Tietosuojavastaava ja chatbot: Mitä huomioida?
Yritysten, joilla on sisäinen tai ulkoinen tietosuojavastaava (TSV), on otettava tämä henkilö mukaan tekoälypohjaisen chatbotin käyttöönottoon. Tietosuojavastaavan tehtävänä on varmistaa tietosuojanmukainen toteutus, arvioida riskejä ja valvoa GDPR:n noudattamista. Kyse ei ole vain muodollisesta vaatimustenmukaisuudesta, vaan konkreettisesta teknisestä konfiguraatiosta: Mitä tietoja tallennetaan? Kuinka kauan? Kenellä on pääsy? Miten rekisteröityjen tietopyyntöjä käsitellään?
Yksi DSB:n tärkeimmistä tehtävistä chatbot-kontekstissa on sen tarkistaminen, onko tietosuojaa koskeva vaikutustenarviointi (DSFA) tarpeen EU:n yleisen tietosuoja-asetuksen (GDPR) 35 artiklan mukaisesti. DSFA on pakollinen, jos henkilötietojen käsittelystä todennäköisesti aiheutuu suuri riski luonnollisten henkilöiden oikeuksille ja vapauksille. Näin voi olla chatbotin kohdalla, jos käsitellään järjestelmällisesti arkaluonteisia tietoja, tapahtuu profilointia tai järjestelmää käytetään päätöksiin, joilla on merkittäviä vaikutuksia rekisteröityihin.
Vaikka DSB:tä ei ole laissa vaadittu, on suositeltavaa tehdä tietosuojatarkistus ennen käyttöönottoa. Erityisesti pienemmissä yrityksissä, jotka ottavat ensimmäistä kertaa käyttöön chatbotin, väijyy tyypillisiä sudenkuoppia: puuttuva tai vanhentunut tietosuojaseloste, unohdettu AVV, liian pitkät säilytysajat tai puuttuvat poistokäytännöt. Ulkopuolinen tietosuoja-asiantuntijan konsultointi maksaa itsensä täällä pitkällä aikavälillä ja suojaa tuntuvilta sakoilta, joita tietosuojaviranomaiset voivat määrätä.
Tekniset ja organisatoriset toimenpiteet (TOMs) chatboteille
GDPR edellyttää 32 artiklassa asianmukaisia teknisiä ja organisatorisia toimenpiteitä (TOM), jotta voidaan varmistaa riskiä vastaava suojan taso. Tekoäly-chatboteille tämä tarkoittaa konkreettisesti: Kaikki tiedonsiirrot käyttäjän selaimen ja chatbot-taustajärjestelmän välillä on salattava (TLS/HTTPS). Tallennetut keskustelutiedot ja tietokantasisällöt tulisi myös säilyttää salattuina — sekä tietokannassa että asiaankuuluvilla tallennusvälineillä.
Pääsynhallinnan osalta GDPR edellyttää periaatetta, jonka mukaan henkilötietojen käyttöoikeutta on rajoitettava: vain ne työntekijät ja järjestelmät, jotka todella tarvitsevat henkilötietoja työssään, saavat käyttää niitä. Zentor App toteuttaa tämän periaatteen Role-Based Access Control (RBAC) -järjestelmällä, joka on saatavana vapaasti valittavana moduulina Individuell-Paketissa: eri roolit saavat erilaiset käyttöoikeudet, ja kaikki käytöt kirjataan Audit-Trail-lokitietoihin. Tämä mahdollistaa tarvittaessa osoituksen siitä, kuka on käyttänyt mitä tietoja ja milloin.
Organisatorisesti TOM- toimenpiteisiin kuuluvat selkeät sisäiset prosessit: Kuka on vastuussa tietokannasta? Miten käsitellään rekisteröityjen poistopyyntöjä? Miten varmistetaan, että keskustelutietoja ei säilytetä pidempään kuin on tarpeen? Miten yritys toimii tietosuojaloukkauksen sattuessa — esimerkiksi jos chatbotti vahingossa paljastaa toisen käyttäjän henkilötietoja? Nämä prosessit on dokumentoitava kirjallisesti ja tarkistettava säännöllisesti.
Zentor App ja GDPR: EU-hosting ja on-premises vaihtoehtoina
Zentor App on kehitetty alusta alkaen tavoitteena mahdollistaa GDPR:n mukainen toiminta. Alusta voidaan isännöidä EU:n palvelimilla — hosting, tietokannat ja sovelluslogiikka kuuluvat siten eurooppalaisen tietosuojalainsäädännön piiriin. Jos valinnaisesti liitetään ulkoinen tekoälypalveluntarjoaja, mahdollinen käyttö EU:n ulkopuolella tapahtuu yksinomaan EU:n vakiosopimuslausekkeiden (GDPR:n 46 artikla) perusteella — näin hallitsemattomaan kolmanteen maahan siirtoon liittyvät oikeudelliset epävarmuudet poistuvat. Yrityksille, jotka harkitsevat pilvipohjaista ratkaisua, EU-isännöinti on ensimmäinen ja tärkein suunnanvalinta kohti GDPR:n vaatimustenmukaisuutta.
Yrityksille, joilla on korkeimmat tietosuojavaatimukset, Zentor App tarjoaa täydellisen on-premises-asennuksen. Tässä käyttömallissa koko alusta — chatbot-moottori, tietokanta, omnichannel-saapuneet-kansio ja kaikki käsittelykomponentit — toimii infrastruktuurissa, jota yritys itse hallitsee. Paikallisen tekoälyn suorituksen ansiosta mitkään keskustelutiedot eivätkä henkilökohtaiset tiedot poistu yrityksen omasta IT-ympäristöstä. Tämä lähestymistapa soveltuu erityisesti sairaaloille, asianajotoimistoille, veroneuvojille ja muille toimialoille, joissa tietosuoja on olemassaolon edellytys.
Zentor App tarjoaa pilvioperaatiolle käyttöoikeussopimuksia ja dokumentoi käytetyt prosessoijat, jotka sisältävät yrityksen nimen, maan, tarkoituksen ja tiedonsiirron perustan tietosuojalausunnon 13 kohdassa. Tieteelliset tietosuojalaitteet RBAC, audit-trail, konfiguroitavat tietovarastoajat ja roolipohjaiset käyttöoikeusvalvontatoimet voidaan konfiguroida yksilöllisen paketin vapaasti valittaviksi moduuleiksi. Näin luodaan tekniset edellytykset GDPR:n mukaiselle chatbot-operaatiolle oikeusasiakirjojen laatiminen on aina tietosuojalautakunnan ja oikeudellisen neuvonantajan tehtävä.
Usein kysytyt kysymykset
Onko tekoäly-chatbot automaattisesti GDPR:n mukainen, jos se toimii EU:n palvelimilla?
EU-hosting on välttämätön, mutta ei riittävä edellytys GDPR-vaatimustenmukaisuudelle. Lisäksi on muun muassa oltava voimassa oleva henkilötietojen käsittelysopimus (AVV) palveluntarjoajan kanssa, rekisteröityjä on informoitava tietosuojaselosteessa, tietoja saa säilyttää vain niin kauan kuin se on ehdottoman välttämätöntä, ja tekniset sekä organisatoriset toimenpiteet (TOM) on dokumentoitava. Zentor App tarjoaa EU-hostingin ja toimittaa kaikki tarvittavat sopimusasiakirjat, mutta oikeudellinen vastuu asianmukaisesta konfiguroinnista on toimintaa harjoittavalla yrityksellä.
Mitä henkilötietoja chatbot tyypillisesti käsittelee?
AI-chatbot voi käsitellä nimeä, sähköpostiosoitetta, puhelinnumeroa, IP-osoitetta (Webchat), puhelun sisältöä sekä kontekstualisia käyttötietoja. Mikä data syntyy, riippuu suuresti käyttötapauksesta: puhdas FAQ-bot ilman tunnistamista käsittelee huomattavasti vähemmän henkilökohtaisia tietoja kuin varauschatbot, jossa käyttäjät tarvitsevat tunnistamista. Tietäminimisaatio eli vain todella välttämättömien tietojen käsittely on GDPR:n ydinperiaate ja sen pitäisi sisältyä chatbot-sovellukseen alusta alkaen.
Milloin chatbot-toiminnassa tarvitaan henkilötietojen käsittelysopimus (AVV)?
AVV vaaditaan aina, kun ulkopuolinen palveluntarjoaja käsittelee henkilötietoja toimeksiannostanne. Käytettäessä tekoälychattibottia SaaS-alustan, kuten Zentor App, kautta näin on aina, jos keskustelutietoja käsitellään tai tallennetaan palveluntarjoajan palvelimilla. AVV on solmittava ennen käyttöönottoa, ja sen on sisällettävä erityiset säännökset käsittelyn tarkoituksesta, kestosta, luonteesta ja laajuudesta sekä teknisistä ja organisatorisista toimenpiteistä.
Mitä on-premises tarkoittaa tekoäly-chatbotin tietosuojan kannalta?
On-Premises-käytössä koko chatbot-infrastruktuuri toimii palvelimilla, joita yritys itse hallitsee — joko omassa datakeskuksessa tai omistetussa vuokrainfrastruktuurissa. Paikallisen tekoälyn suorituksen ansiosta mitkään keskustelutiedot tai henkilötiedot eivät poistu omasta infrastruktuurista. Tämä poistaa tarpeen tehdä AVV pilvipalveluntarjoajan kanssa tekoälyn käsittelyä varten ja antaa yritykselle maksimaalisen datasuvereniteetin — erityisen tärkeää aloille kuten terveydenhuolto, laki tai rahoitus.
Onko tietosuojavastaava otettava mukaan chatbotin käytössä?
Yritysten, joilla on yrityksen tietosuojavastaava (TSV), tulisi periaatteessa ottaa tämä mukaan tekoälypohjaisen chatbotin käyttöönotossa. TSV tarkistaa, onko tietosuojan vaikutustenarviointi (TSVA) tarpeen — mikä voi olla tilanne chatbotin kohdalla, joka käsittelee suuria määriä henkilötietoja. Lisäksi TSV varmistaa, että yrityksen tietosuojaseloste päivitetään ja että kaikki tiedonantovelvoitteet rekisteröityjä henkilöitä kohtaan täyttyvät.
Miten käyttäjiä informoidaan GDPR:n mukaisesti chatbotin käytöstä?
Käyttäjille on ilmoitettava heidän tietojensa käsittelystä ennen chatbot-keskustelun aloittamista tai viimeistään ensimmäisen tietojen keräämisen yhteydessä. Tämä tapahtuu tyypillisesti lyhyellä huomautuksella chat-ikkunassa, jossa on linkki tietosuojaselosteeseen. Itse tietosuojaselosteessa on selvästi mainittava tietojenkäsittelyn tarkoitus, oikeusperuste, säilytysaika ja rekisteröidyn oikeudet (tietojen saanti, poisto, vastustaminen). Zentor App mahdollistaa näiden suostumus- ja informaatiotekstien määrittämisen suoraan järjestelmässä.
GDPR-yhteensopivan tekoäly-chatbotin määrittäminen
Keskustelkaa kanssamme EU-hostingista, on-premises-käytöstä paikallisella tekoälysuorituksella ja yrityksellenne sopivasta tietosuojakonfiguraatiosta.
Jatkoaiheet
Mehr dazu im Hilfe-Center