Milyen személyes adatokat dolgoz fel egy AI-csevegőbot?
Amikor egy felhasználó egy mesterséges intelligencia-csevegőbottal kapcsolatba lép, az adatok keletkeznek. A legnyilvánvalóbbak a beszélgetés tartalma: szövegbeírások, kérdések, panaszok, foglalási részletek. Ezek a beszélgetési adatok sok esetben személyes adatok a GDPR értelmében vagy azért, mert közvetlen azonosítókat tartalmaznak, mint a nevük vagy e-mail címük, vagy mert egy személy más rendelkezésre álló adataival együttesen sorolhatók. A Webchat-nél technikailag továbbított IP-címek is személyes adatnak számítanak.
Az ügyfélfiók-folyamatok során alkalmazott chatbotok esetén további adat kategóriák is megjelennek: ügyfélszámok, rendelési előzmények, fizetési információk (amennyiben a chatbot a fizetési folyamatokba van integrálva) vagy egészségügyi adatok (orvosi alkalmazások esetén). Ezek a 9. cikk szerinti különleges adat kategóriák fokozott védelmi szint alá esnek, és különleges technikai és jogi intézkedéseket igényelnek.
Az adatminimálási elv (az adatvédelmi rendelet 5. cikkelye, 1. bekezdése, c. pontja) előírja, hogy csak azokat az adatokat szabad feldolgozni, amelyek valójában szükségesek az adott cél eléréséhez. Egy egyszerű, hitelesítés nélküli gyakran kérdezett kérdésekre válaszoló chatbot esetében ez azt jelenti: a beszélgetések tartalmát nem szabad állandóan tárolni, az IP-címeket anonimizálni kell, és a személyes adatokat csak akkor szabad gyűjteni, ha azok feltétlenül szükségesek a szolgáltatás működéséhez. Egy gondosan konfigurált chatbot adatvédelmi szempontból sokkal kevésbé problematikus, mint egy rosszul megtervezett.
A chatbot működtetésével kapcsolatos GDPR-követelmények.
A GDPR számos alapvető követelményt ír elő minden adatkezeléshez. Először is minden adatkezelésnek jogi alapot kell tartalmaznia a GDPR 6. cikke szerint: vagy a felhasználó beleegyezését, a szerződéshez való szükségességet, a vállalkozás jogos érdekeit, vagy a törvényben meghatározott alapok közül bármelyiket.
Másodszor átfogó tájékoztatási kötelezettség vonatkozik az érintett személyekre. A felhasználóknak tudniuk kell, hogy milyen adatokat milyen célból dolgoznak fel, meddig tárolják őket, kik lehetnek az adatcímzettek, és milyen jogokkal rendelkeznek – ideértve a tájékoztatáshoz, a helyesbítéshez, a törléshez és a kezelés korlátozásához való jogot is. Ezeket az információkat érthető, világos nyelven kell elérhetővé tenni, általában az adatvédelmi nyilatkozatban és egy chatablakban megjelenő hivatkozáson keresztül.
Harmadszor: az GDPR előírja a „Privacy by Design and by Default” (adatvédelem tervezése és alapértelmezett beállítás) elvét (25. cikk). Ez azt jelenti: az adatvédelmi szempontból előnyös konfigurációk az elején az alapértelmezett beállítások, nem pedig utólagos kiegészítések. A gyakorlatban ez azt jelenti, hogy a mesterséges intelligencia-alapú chatbotok esetén a rövidebb tárolási idő az alapértelmezett, a naplóadatok anonimizálása, a szigorú hozzáférés-kezelés és a felhasználók számára a könnyen kezelhető adat-törlés lehetősége.
A felhőalapú mesterséges intelligencia (Cloud-KI) versus a helyi megoldások: mit jelent ez az adatvédelem szempontjából?
Egy felhőalapú, mesterséges intelligenciával működő chatbot esetén a beszélgetési adatokat és kéréseket a nyelvi modell szolgáltatójának külső szervereire küldik, ahol feldolgozásra kerülnek, és a konfigurációtól függően esetleg képzési célokra is felhasználják. Az általános adatvédelmi rendelet (GDPR) szerinti értékelés szempontjából döntő jelentőségű, hogy melyik országban találhatók a szerverek. Az amerikai szolgáltatók esetében a jogi helyzet a Schrems II ítélet óta összetett. Az uniós szolgáltatók vagy azok, amelyeknek van európai adatközpontjuk, az európai adatvédelmi jogszabályok szerint egyértelműen előnyösebbek. Emellett kötelező egy adatfeldolgozási szerződés (AVV) megkötése.
Az On-Premises azt jelenti, hogy az egész infrastruktúrát – beleértve az AI-modellt is – olyan szervereken üzemeltetik, amelyeket a vállalat maga irányít. A helyi AI-futtatás során a beszélgetési adatok nem hagyják el a saját infrastruktúrát. Ezáltal teljesen elhagyható a felhőalapú AI-szolgáltatóval kötött adatfeldolgozási szerződés (AVV); a feldolgozás kizárólag belsőleg történik. A szabályozott iparágakban működő vállalatok – például az egészségügy, a jogi tanácsadás és a pénzügyi szolgáltatások szektora – számára az On-Premises gyakran az egyetlen elfogadható megoldás.
Egy hibrid megközelítés is lehetséges: a chatbot infrastruktúrája és a tudásbázis az EU-n belül található, biztonságos szervereken fut, míg bizonyos, kevésbé érzékeny alkalmazások esetén felhőalapú megoldást alkalmaznak. A Zentor App mindkét üzemmódot támogatja – felhőalapú megoldást külső AI-szolgáltatótól, valamint teljesen helyi megoldást – így a vállalatok saját döntésük alapján választhatják ki, melyik architektúra illeszkedik a adatvédelmi stratégiájukhoz. A döntést ideális esetben közösen kell meghozni a adatvédelmi tisztviselővel és egy adatvédelmi ügyvéddel.
Adatfeldolgozási szerződés (AVV): Mikor szükséges és mit szabályoz
A GDPR 28. cikk szerinti adatfeldolgozási szerződés (AVV) a központi eszköz, amely jogilag szabályozza a felelősségeket egy vállalat (megbízó) és egy külső szolgáltató (adatfeldolgozó) között, amely személyes adatokat kezel megbízás alapján. Egy SaaS-platformon keresztül üzemeltetett AI-csevegőbot esetén az AVV általában kötelező: a csevegőbot szolgáltatója a beszélgetési adatokat a saját szerverein kezeli – ez a klasszikus adatfeldolgozás.
Egy adatfeldolgozási szerződést (AVV) írásban vagy egy ezzel egyenértékű elektronikus formában kell megkötni, és aznak tartalmaznia kell bizonyos minimális tartalmakat: a feldolgozás tárgyát és időtartamát, a feldolgozás módját és célját, az érintett személyes adatok kategóriáit, valamint az érintettek jogait és kötelezettségeit. Emellett a feldolgozót felelősnek kell biztosítania, hogy megfelelő technikai és szervezeti intézkedéseket (TMI) vezessen be, és hogy ne alkalmazzon alvállalkozókat engedély nélkül.
Fontos: Az adatfeldolgozási szerződésnek (AVV) a chatbot üzembe helyezése előtt meg kell kötnie – nem utólag. Ha hiányzik az adatfeldolgozási szerződés, annak ellenére, hogy adatfeldolgozás történik, az egy önálló, bírsággal sújtandó GDPR-sértés. Ezért minden chatbot-szolgáltatónál ellenőrizze, hogy kínál-e adatfeldolgozási szerződést, milyen formában, milyen alvállalkozókat vesz igénybe (például felhőszolgáltatókat vagy külső AI-szolgáltatókat), és hogyan kezeli ezeket. Megbízható szolgáltatók, mint például a Zentor App, szabványosított adatfeldolgozási szerződés-mintákat biztosítanak, és hajlandóak átláthatóan feltárni azok tartalmát.
Adatvédelmi tisztviselő és chatbot: mire kell figyelni?
Azon vállalatok, amelyek belső vagy külső adatvédelmi tisztviselővel (DSV) rendelkeznek, kötelesek bevonni ezt a tisztviselőt egy mesterséges intelligencia-alapú chatbot bevezetésekor. Az adatvédelmi tisztviselő feladata az adatvédelmi előírásoknak megfelelő megvalósítás biztosítása, a kockázatok felmérése és a GDPR betartatásának felügyelete. Ez nem csupán a formális megfelelőségről szól, hanem a konkrét technikai konfigurációról is: milyen adatokat tárolnak? Mennyi ideig? Kiknek van hozzáférésük? Hogyan kezelik az érintettek tájékoztatási kérelmeit?
A Chatbot-t érintő legfontosabb feladatok egyike az, hogy megvizsgálja, hogy a GDPR 35. cikke szerint szükség van-e adatvédelmi hatásvizsgálatra (DSFA). A DSFA akkor szükséges, ha a adatkezelés nagy kockázatot jelent a természetes személyek jogaira és szabadságaira nézve. Ez a Chatbot esetében is megtörténhet, ha szisztematikusan feldolgoznak érzékeny adatokat, profilozás történik, vagy a rendszer olyan döntésekhez használható, amelyek jelentős hatással vannak az érintettekre.
A személyes adatok védelméről szóló törvény nem írja elő a személyes adatok védelméről szóló törvényeket, de a Go-Live előtt ajánlott adatvédelmi jogi vizsgálatot végezni. Különösen a kisebbeknél, akik először alkalmaznak egy chatbotot, tipikus csapdákat rejtőznek: hiányzó vagy elavult adatvédelmi nyilatkozat, elfelejtett adatvédelmi nyilatkozat, túl hosszú tárolási határidő vagy törlési koncepciók hiánya.
Műszaki és szervezeti intézkedések (TOM) chatbotokhoz
Az GDPR a 32. cikkben megfelelő technikai és szervezési intézkedéseket (TOM) ír elő annak biztosítására, hogy a kockázathoz igazított védelmi szintet garantáljuk. Ez a mesterséges intelligencia-alapú chatbotok esetén konkrétan azt jelenti: a felhasználó böngészője és a chatbot backendje közötti összes adatátvitelnek titkosítva kell történnie (TLS/HTTPS). A tárolt beszélgetési adatokat és a tudásbázis tartalmait is titkosítva kell tárolni – mind az adatbázisban, mind a hozzájuk tartozó tárolóeszközökön.
A hozzáférési oldalon az GDPR a hozzáférés korlátozásának elvét írja elő: csak azok a munkatársak és rendszerek férhetnek hozzá személyes adatokhoz, akiknek ez a munkájuk során ténylegesen szükséges. A Zentor App ezt az elvet egy Role-Based Access Control (RBAC) rendszerrel valósítja meg, amely szabadon választható modulként érhető el az Individuell-csomagban: különböző szerepkörök különböző hozzáférési jogosultságokat kapnak, és minden hozzáférés naplózásra kerül az audit trailben. Ez bizonytalanság esetén lehetővé teszi a bizonyítást, hogy ki, mikor és milyen adatokhoz fértek hozzá.
Szervezési szempontból a TOM-okhoz tartoznak a világos belső folyamatok: Ki a felelős a tudásbázisért? Hogyan kezelik a érintettek törlési kérelmeit? Hogyan biztosítható, hogy a beszélgetési adatok ne legyenek hosszabb ideig tárolva, mint amennyi szükséges? Hogyan reagál a vállalat adatvédelmi incidens esetén – például ha egy chatbot véletlenül más felhasználó személyes adatait nyilvánosságra hozza? Ezeket a folyamatokat írásban kell dokumentálni és rendszeresen felül kell vizsgálni.
Zentor App és GDPR: EU-hoszting és on-premises lehetőségek
A Zentor App-t kezdettől fogva a GDPR-megfelelős működés biztosítása érdekében fejlesztették ki. A platformot EU-s szervereken lehet tárolni A tárhely, adatbázis és alkalmazás logikája így az európai adatvédelmi törvényeknek is alá tartozik. Ha egy külső MI-szolgáltató is beilleszthető, az EU-n kívüli esetleges felhasználás kizárólag EU standard szerződéses záradékokon alapul (GDPR 46. cikk) ezáltal megszűnik a harmadik országba történő ellenőrzött átvitel jogi bizonytalansága. A felhőalapú megoldásra gondoló vállalkozások számára az EU-s tárhely az első és legfontosabb iránymutatás a GDPR-megfelelőség felé.
A legmagasabb adatvédelmi követelményekkel rendelkező vállalkozások számára a Zentor App teljes körű, helyben telepíthető (on-premises) verziót kínál. Ebben az üzemeltetési modellben a teljes platform – a chatbot-motor, a tudásbázis, az omnichannel-inbox és az összes feldolgozási komponens – azon az infrastruktúrán fut, amelyet a vállalkozás maga irányít. A helyi AI-futtatásnak köszönhetően semmilyen beszélgetési adat és személyes információ hagyja el a saját IT-környezetet. Ez a megközelítés különösen alkalmas kórházak, ügyvédi irodák, adótanácsadók és más olyan iparágak számára, ahol az adatvédelem létfontosságú.
A Zentor App felügyeleti szerződéseket (AVV) biztosít a felhőalapú üzemeltetéshez, és dokumentálja a használt alvállalkozókat a cégneve, ország, cél és az adatátvitel jogalapja szerint a adatvédelmi nyilatkozat 13. pontjában. A technikai adatvédelmi funkciók — RBAC, audit trail, konfigurálható adattárolási határidők és szerepkör-alapú hozzáférés-kezelés — szabadon választható modulokként konfigurálhatók az Egyedi csomagban. Így megteremti a GDPR-kompatibilis chatbot-üzemeltetéshez szükséges technikai feltételeket — a konkrét esetek jogi kialakítása mindig az Ön adatvédelmi csapatának és jogi tanácsadóinak feladata marad.
Gyakran Ismételt Kérdések
Automatikusan megfelel-e az GDPR-nek egy AI-csevegőbot, ha EU-s szervereken fut?
Az EU-s tárhely egy szükséges, de nem elégséges feltétele a GDPR-nak való megfelelésnek. Emellett többek között érvényes megbízotti szerződésnek (AVV) kell rendelkezésre állnia a szolgáltatóval, az érintetteket a adatvédelmi nyilatkozatban tájékoztatni kell, az adatokat csak addig kell tárolni, amennyiben az elengedhetetlenül szükséges, és a technikai és szervezési intézkedéseket (TOM) dokumentálni kell. A Zentor App EU-s tárhelyet biztosít, és minden szükséges szerződési dokumentumot rendelkezésre bocsát, de a megfelelő konfiguráció jogi felelőssége a működtető vállalatot terheli.
Milyen személyes adatokat kezel általában egy chatbot?
Egy MI-s chatbot a név, e-mail cím, telefonszám, IP cím (a Webchat esetében), beszélgetési tartalom és kontextusos felhasználási adatok feldolgozását is képes véghezvinni. Az adatok tényleges megjelenése nagymértékben függ a felhasználási esetről: egy autentikáció nélküli FAQ-bot sokkal kevesebb személyes adatot dolgoz fel, mint egy foglalási chatbot, amely azonosítani kívánja a felhasználókat. Az adatminimizálás tehát csak a valóban szükséges adatok feldolgozása a GDPR alapvető elve, és az elejétől be kell épülnie a chatbot konfigurációjába.
Mikor szükséges a feladatkezelési szerződés (AVV) a chatbot üzemeltetése során?
Egy adatfeldolgozási szerződés (AVV) akkor szükséges mindig, amikor egy külső szolgáltató személyes adatokat az Ön megbízásából dolgoz fel. Egy AI-alapú chatbot üzemeltetése esetén, például egy SaaS-platformon keresztül, mint a Zentor App, ez mindig fennáll, amennyiben a beszélgetési adatokat a szolgáltató szerverein dolgozzák fel vagy tárolják. Az AVV-t a üzembe helyezés előtt meg kell kötni, és tartalmaznia kell a feldolgozás céljára, időtartamára, jellegére és terjedelmére, valamint a technikai és szervezési intézkedésekre vonatkozó specifikus rendelkezéseket.
Mit jelent az On-Premises a mesterséges intelligencia-alapú chatbot esetén az adatvédelem szempontjából?
On-premises üzemeltetés esetén a teljes chatbot-infrastruktúra az általuk közvetlenül felügyelt szervereken fut – legyen szó a saját adatközpontjukról vagy dedikált bérelt infrastruktúráról. A helyi AI-futtatás során semmilyen beszélgetési adat vagy személyes információ hagyja el a saját infrastruktúrát. Ez kiküszöböli az adatfeldolgozási szerződés (AVV) szükségességét egy felhőalapú AI-szolgáltatóval, és maximális adatszabadosságot biztosít a vállalat számára – különösen fontos az egészségügy, a jogi szféra vagy a pénzügyi ágazat számára.
Bevonható-e a adatvédelmi tisztviselő a chatbotok használatába?
Azok a vállalkozások, amelyeknek van belső adatvédelmi tisztviselőjük (DSB), alapvetően vonják be ezt a tisztviselőt egy AI-alapú chatbot bevezetésekor. Az adatvédelmi tisztviselő megvizsgálja, hogy szükséges-e adatvédelmi hatásvizsgálatot (DSHA) végezni – ami egy olyan chatbot esetén, amely nagy mennyiségű személyes adatot dolgoz fel, előfordulhat. Emellett az adatvédelmi tisztviselő biztosítja, hogy a vállalkozás adatvédelmi nyilatkozata naprakész legyen, és hogy minden tájékoztatási kötelezettség teljesüljön az érintettek felé.
Hogyan tájékoztassuk a felhasználókat a GDPR-nak megfelelően a chatbotok használatáról?
A felhasználókat a chatbot-megbeszélés megkezdése előtt, vagy legkésőbb az első adatgyűjtés során tájékoztatni kell az adataik kezeléséről. Ez általában egy rövid utalással történik a chat ablakban, amely egy hivatkozást tartalmaz az adatvédelmi nyilatkozatra. Az adatvédelmi nyilatkozatnak egyértelműen meg kell neveznie az adatkezelés célját, a jogalapot, a tárolási időtartamot és az érintett személy jogait (tájékoztatás, törlés, ellenkezés). A Zentor App lehetővé teszi ezen hozzájárulási és tájékoztató szövegek konfigurálását közvetlenül a rendszerben.
GDPR-konform AI-csevegőbot beállítása
Beszéljen velünk az EU-s tárhelyről, a helyi AI-futtatással ellátott on-premises üzemeltetésről és a vállalkozása számára megfelelő adatvédelmi beállításokról.
További témák
Mehr dazu im Hilfe-Center