GDPR மற்றும் AI சாட்பாட்: நிறுவனங்கள் அறிய வேண்டியவை

AI சாட்பாட் எந்தத் தனிப்பட்ட தரவுகளைச் செயலாக்குகிறது?

ஒரு பயனர் AI சாட்பாட்டுடன் தொடர்பு கொண்டவுடன் தரவுகள் உருவாகின்றன. மிகத் தெளிவானவை உரையாடலின் உள்ளடக்கங்களே: உரை உள்ளீடுகள், கேள்விகள், புகார்கள், முன்பதிவு விவரங்கள். இந்த உரையாடல் தரவுகள் பல சந்தர்ப்பங்களில் DSGVO அர்த்தத்தில் தனிநபர் தரவுகளாகும் — பெயர்கள் அல்லது மின்னஞ்சல் முகவரிகள் போன்ற நேரடி அடையாளங்காட்டிகள் இருப்பதால், அல்லது பிற கிடைக்கும் தரவுகளுடன் சேர்ந்து ஒரு நபருடன் இணைக்கக்கூடியவை என்பதால். Webchat-இல் தொழில்நுட்ப ரீதியாக அனுப்பப்படும் IP முகவரிகளும் தனிநபர் தரவுகளாகக் கருதப்படுகின்றன.

வாடிக்கையாளர் கணக்கு செயல்முறைகளின் அடிப்படையில் பயன்படுத்தப்படும் சாட்போட்டுகளில், கூடுதல் தரவு வகைகள் சேர்க்கப்படுகின்றன: வாடிக்கையாளர் எண்கள், ஆர்டர் வரலாறுகள், கட்டணத் தகவல்கள் (சாட்போட் Checkout செயல்முறைகளில் ஒருங்கிணைக்கப்பட்டிருந்தால்) அல்லது ஆரோக்கியத் தரவுகள் (மருத்துவ பயன்பாடுகளில்). இவை DSGVO-வின் கட்டுரை 9-ன் படி வகைப்படுத்தப்பட்ட சிறப்பு வகைகளாகும்; இவற்றிற்கு அதிக பாதுகாப்பு நிலை மற்றும் சிறப்பு தொழில்நுட்ப மற்றும் சட்ட ஏற்பாடுகள் தேவை.

தரவுக் குறைப்புக் கொள்கை (GDPR பிரிவு 5(1)(c)) ஒவ்வொரு நோக்கத்துக்கும் உண்மையிலேயே தேவைப்படும் தரவுகளை மட்டுமே செயலாக்க வேண்டும் என்று கோருகிறது. அங்கீகாரம் இல்லாத எளிய FAQ சாட்பாட்டுக்கு இதன் பொருள்: உரையாடல் உள்ளடக்கங்களை நிரந்தரமாகச் சேமிக்கக் கூடாது, IP முகவரிகளை அடையாளம் நீக்க வேண்டும், சேவைச் செயல்முறைக்குக் கட்டாயம் தேவைப்படும்போது மட்டுமே தனிப்பட்ட விவரங்களைச் சேகரிக்க வேண்டும். எனவே கவனமாக அமைக்கப்பட்ட சாட்பாட், மோசமாகத் திட்டமிடப்பட்டதை விடத் தரவுப் பாதுகாப்புச் சட்டப் பார்வையில் கணிசமாகக் குறைவான சிக்கலுடையது.

சாட்பாட் இயக்கத்துக்கான GDPR தேவைகள்

GDPR ஒவ்வொரு செயலாக்க நடவடிக்கைக்கும் சில அடிப்படைத் தேவைகளை விதிக்கிறது. முதலாவதாக, ஒவ்வொரு தரவுச் செயலாக்கத்துக்கும் GDPR பிரிவு 6-இன்படி ஒரு சட்ட அடிப்படை தேவை: பயனரின் ஒப்புதல், ஒப்பந்தத்துக்குத் தேவையாதல், நிறுவனத்தின் நியாயமான நலன், அல்லது சட்டத்தில் குறிப்பிடப்பட்ட பிற அடிப்படைகளில் ஒன்று. சட்ட அடிப்படை செயலாக்கத்துக்கு முன்பே தீர்மானிக்கப்பட்டு ஆவணப்படுத்தப்பட வேண்டும் — சந்தேகம் எழுந்தால் தரவுப் பாதுகாப்பு ஆணையத்திடம் அதை நியாயப்படுத்த முடிய வேண்டும்.

இரண்டாவதாக, பாதிக்கப்படும் நபர்களுக்குத் தகவல் தெரிவிக்க வேண்டிய விரிவான கடமை உள்ளது. எந்தத் தரவுகள் எந்த நோக்கத்துக்காகச் செயலாக்கப்படுகின்றன, எவ்வளவு காலம் சேமிக்கப்படுகின்றன, யார் பெறுநர்களாக இருக்கலாம், தங்களுக்கு என்ன உரிமைகள் உள்ளன — தகவல் பெறும் உரிமை, திருத்தம், அழித்தல், செயலாக்கக் கட்டுப்பாடு உட்பட — என்பதைப் பயனர்கள் அறிந்திருக்க வேண்டும். இந்தத் தகவல்கள் தெளிவான, புரியும் மொழியில், பொதுவாகத் தனியுரிமை அறிவிப்பிலும் சாட் சாளரத்தில் ஒரு குறிப்பின் மூலமும் கிடைக்க வேண்டும்.

மூன்றாவதாக, GDPR "Privacy by Design மற்றும் by Default" கொள்கையை (பிரிவு 25) விதிக்கிறது. இதன் பொருள்: தரவுப் பாதுகாப்புக்கு நட்பான கட்டமைப்புகள் தொடக்கத்திலிருந்தே இயல்புநிலையாக இருக்க வேண்டும், பின்னர் சேர்க்கப்படும் கூடுதல்களாக அல்ல. AI சாட்பாட்களுக்கு நடைமுறையில் இது: இயல்பாகக் குறுகிய சேமிப்புக் காலங்கள், பதிவுத் தரவுகளின் அடையாளம் நீக்கம், கட்டுப்படுத்தப்பட்ட அணுகல் அனுமதிகள், மற்றும் பயனர்கள் தங்கள் தரவுகளை எளிய வழியில் அழிக்கச் செய்யும் வாய்ப்பு.

கிளவுட் AI vs. On-Premises: தரவுப் பாதுகாப்புக்கு இதன் பொருள் என்ன?

கிளவுட் அடிப்படையிலான AI சாட்பாட்டில் உரையாடல் தரவுகளும் கோரிக்கைகளும் மொழி மாதிரி வழங்குநரின் வெளிப்புற சர்வர்களுக்கு அனுப்பப்பட்டு அங்கு செயலாக்கப்படுகின்றன; கட்டமைப்பைப் பொறுத்து பயிற்சி நோக்கங்களுக்கும் பயன்படுத்தப்படக்கூடும். GDPR மதிப்பீட்டில் முக்கியமானது: சர்வர்கள் எந்த நாட்டில் உள்ளன? அமெரிக்க வழங்குநர்களுக்கு Schrems II தீர்ப்புக்குப் பிறகு சட்ட நிலை சிக்கலானது. EU வழங்குநர்கள் அல்லது EU தரவு மையங்களைக் கொண்டவர்கள் ஐரோப்பியத் தரவுப் பாதுகாப்புச் சட்டத்தின்படி தெளிவாக முன்னுரிமை பெறுகிறார்கள். கூடுதலாக, தரவுச் செயலாக்க ஒப்பந்தம் (DPA) செய்யப்பட வேண்டும்.

On-Premises என்பது AI மாதிரி உட்பட முழு உள்கட்டமைப்பும் நிறுவனம் தானே கட்டுப்படுத்தும் சர்வர்களில் இயக்கப்படுவதைக் குறிக்கிறது. உள்ளூர் AI இயக்கத்துடன் எந்த உரையாடல் தரவும் சொந்த உள்கட்டமைப்பை விட்டு வெளியேறாது. இதனால் கிளவுட் AI வழங்குநருடன் DPA செய்ய வேண்டிய தேவை முற்றிலும் நீங்குகிறது; செயலாக்கம் முழுமையாக உள்ளுக்குள்ளேயே நடக்கிறது. சுகாதாரம், சட்ட ஆலோசனை, நிதிச் சேவைகள் போன்ற ஒழுங்குமுறைக்குட்பட்ட துறைகளிலுள்ள நிறுவனங்களுக்கு On-Premises பெரும்பாலும் ஏற்கத்தக்க ஒரே வழி.

கலப்பு அணுகுமுறையும் சாத்தியம்: சாட்பாட் உள்கட்டமைப்பும் அறிவுத் தளமும் EU-வுக்குள் பாதுகாப்பான சர்வர்களில் இயங்க, குறிப்பிட்ட, குறைவான உணர்திறன் கொண்ட பயன்பாடுகளுக்கு கிளவுட் மாதிரி பயன்படுத்தப்படுகிறது. Zentor App இரு இயக்க முறைகளையும் ஆதரிக்கிறது — வெளிப்புற AI வழங்குநர் வழியாகக் கிளவுட், மற்றும் முழுமையாக உள்ளூர் — எந்தக் கட்டமைப்பு தங்கள் தரவுப் பாதுகாப்பு உத்திக்குப் பொருந்தும் என்பதை நிறுவனங்களே முடிவு செய்ய அனுமதிக்கிறது. இந்த முடிவை முடிந்தால் தரவுப் பாதுகாப்பு அதிகாரி மற்றும் தரவுப் பாதுகாப்பு வழக்கறிஞருடன் இணைந்து எடுப்பது சிறந்தது.

தரவுச் செயலாக்க ஒப்பந்தம் (DPA): எப்போது தேவை, அது எதை ஒழுங்குபடுத்துகிறது

GDPR பிரிவு 28-இன்படியான தரவுச் செயலாக்க ஒப்பந்தம் (DPA) என்பது, ஒரு நிறுவனத்துக்கும் (ஒப்படைப்பவர்) அதன் சார்பாகத் தனிப்பட்ட தரவுகளைச் செயலாக்கும் வெளிப்புறச் சேவை வழங்குநருக்கும் (செயலாக்குபவர்) இடையிலான பொறுப்புகளைச் சட்டப்படி ஒழுங்குபடுத்தும் மைய ஆவணம். SaaS தளம் வழியாக AI சாட்பாட்டை இயக்கும்போது DPA பொதுவாகக் கட்டாயம்: சாட்பாட் வழங்குநர் உரையாடல் தரவுகளைத் தனது சர்வர்களில் செயலாக்குகிறார் — இது வழக்கமான ஒப்பந்தச் செயலாக்கம்.

DPA எழுத்துப்பூர்வமாக அல்லது அதற்கு இணையான மின்னணு வடிவத்தில் செய்யப்பட வேண்டும்; குறைந்தபட்ச உள்ளடக்கங்களைக் கொண்டிருக்க வேண்டும்: செயலாக்கத்தின் பொருள் மற்றும் காலம், செயலாக்கத்தின் வகை மற்றும் நோக்கம், தனிப்பட்ட தரவுகளின் வகைகள் மற்றும் பாதிக்கப்படும் நபர்கள், மேலும் பொறுப்பாளரின் கடமைகளும் உரிமைகளும். கூடுதலாக, செயலாக்குபவர் பொருத்தமான தொழில்நுட்ப மற்றும் நிறுவன நடவடிக்கைகளை (TOMs) செயல்படுத்துவதற்கும், அனுமதி இல்லாமல் துணைச் செயலாக்குநர்களை நியமிக்காமல் இருப்பதற்கும் உறுதி அளிக்க வேண்டும்.

முக்கியம்: சாட்-போட்டை இயக்க முன் அவசியமான AVV ஒப்பந்தம் முடிக்கப்பட வேண்டும் — பின்னர் இல்லை. ஆணையாக்கம் இருந்தும் AVV இன்மை தனித்தனியான DSGVO மீறலாகும், இது அபராதத்திற்கு உட்பட்டது. எனவே, ஒவ்வொரு சாட்-போட் வழங்குவோரிடமும் அவர்கள் வழங்கும் AVV இருக்கிறதா, எவ்வாறு இருக்கிறது, எந்த உட்கூறு ஆணையாக்காளர்கள் பயன்படுத்தப்படுகிறார்கள் (உதாரணமாக, கிளவுட் வழங்குவோர் அல்லது வெளிப்புற செயற்கை நுண்ணறிவு வழங்குவோர்) மற்றும் அதற்கு எவ்வாறு செயல்படுகிறார்கள் என்பதைச் சரிபார்க்கவும். Zentor App போன்ற நம்பகமான வழங்குவோர் தரப்படுத்தப்பட்ட AVV வார்ப்புருக்களை வழங்குகிறார்கள் மற்றும் அவற்றின் உள்ளடக்கத்தைத் திறம்பட வெளிப்படுத்தத் தயாராக உள்ளனர்.

தரவுப் பாதுகாப்பு அதிகாரியும் சாட்பாட்டும்: என்ன கவனிக்க வேண்டும்?

நிறுவனத்துக்குள் அல்லது வெளியிலிருந்து நியமிக்கப்பட்ட தரவுப் பாதுகாப்பு அதிகாரி (DSB) உள்ள நிறுவனங்கள், AI சாட்பாட்டை அறிமுகப்படுத்தும்போது அவரை ஈடுபடுத்த வேண்டும். DSB-இன் பணி தரவுப் பாதுகாப்புக்கு இணங்கிய அமலாக்கத்தை உறுதி செய்வது, அபாயங்களை மதிப்பிடுவது, GDPR இணக்கத்தைக் கண்காணிப்பது. இது வெறும் முறையான இணக்கம் மட்டுமல்ல, குறிப்பிட்ட தொழில்நுட்பக் கட்டமைப்பு பற்றியது: எந்தத் தரவுகள் சேமிக்கப்படுகின்றன? எவ்வளவு காலம்? யாருக்கு அணுகல் உண்டு? பாதிக்கப்படும் நபர்களின் தகவல் கோரிக்கைகள் எவ்வாறு கையாளப்படுகின்றன?

சாட்பாட் சூழலில் DSB-இன் மிக முக்கியமான பணிகளில் ஒன்று, GDPR பிரிவு 35-இன்படி தரவுப் பாதுகாப்புத் தாக்க மதிப்பீடு (DSFA) தேவையா என்பதைச் சரிபார்ப்பது. தரவுச் செயலாக்கம் இயற்கை நபர்களின் உரிமைகளுக்கும் சுதந்திரங்களுக்கும் அதிக அபாயத்தை ஏற்படுத்தக்கூடும் என எதிர்பார்க்கப்படும்போது DSFA கட்டாயம். உணர்திறன் மிக்க தரவுகள் முறையாகச் செயலாக்கப்படும்போது, சுயவிவரம் உருவாக்கப்படும்போது, அல்லது பாதிக்கப்படும் நபர்களுக்குக் குறிப்பிடத்தக்க விளைவுகளை ஏற்படுத்தும் முடிவுகளுக்கு அமைப்பு பயன்படுத்தப்படும்போது சாட்பாட்டில் இது பொருந்தலாம்.

சட்டப்படி DSB கட்டாயமில்லை என்றாலும், Go-Live-க்கு முன் தரவுப் பாதுகாப்புச் சட்டப் பரிசோதனை பரிந்துரைக்கப்படுகிறது. குறிப்பாக முதன்முறையாகச் சாட்பாட்டைப் பயன்படுத்தும் சிறிய நிறுவனங்களில் வழக்கமான சிக்கல்கள் பதுங்கியுள்ளன: இல்லாத அல்லது காலாவதியான தனியுரிமை அறிவிப்பு, மறந்துபோன DPA, மிக நீண்ட சேமிப்புக் காலங்கள், அல்லது அழித்தல் திட்டம் இல்லாமை. தரவுப் பாதுகாப்பு நிபுணரின் வெளிப்புற ஆலோசனை நீண்ட காலத்தில் பயனளித்து, தரவுப் பாதுகாப்பு ஆணையங்கள் விதிக்கக்கூடிய கடுமையான அபராதங்களிலிருந்து காக்கும்.

சாட்பாட்டுக்கான தொழில்நுட்ப மற்றும் நிறுவன நடவடிக்கைகள் (TOMs)

GDPR பிரிவு 32, அபாயத்துக்கு ஏற்ற பாதுகாப்பு நிலையை உறுதி செய்ய பொருத்தமான தொழில்நுட்ப மற்றும் நிறுவன நடவடிக்கைகளை (TOMs) கோருகிறது. AI சாட்பாட்களுக்கு இது குறிப்பாக: பயனரின் உலாவிக்கும் சாட்பாட் பேக்எண்டுக்கும் இடையிலான அனைத்துத் தரவுப் பரிமாற்றங்களும் குறியாக்கம் செய்யப்பட வேண்டும் (TLS/HTTPS). சேமிக்கப்பட்ட உரையாடல் தரவுகளும் அறிவுத் தள உள்ளடக்கங்களும் — தரவுத்தளத்திலும் தொடர்புடைய சேமிப்பு ஊடகங்களிலும் — குறியாக்கம் செய்யப்பட்டு வைக்கப்பட வேண்டும்.

அணுகல் தரப்பில், GDPR தரவு அணுகல் கட்டுப்பாட்டுக் கொள்கையை விதிக்கிறது: தங்கள் பணிக்கு உண்மையிலேயே தேவைப்படும் பணியாளர்களும் அமைப்புகளும் மட்டுமே தனிப்பட்ட தரவுகளை அணுக அனுமதிக்கப்பட வேண்டும். Zentor App இந்தக் கொள்கையை Role-Based Access Control (RBAC) அமைப்பு மூலம் செயல்படுத்துகிறது; இது Individuell தொகுப்பில் தேர்ந்தெடுக்கக்கூடிய தொகுதியாகக் கிடைக்கிறது: வெவ்வேறு பங்குகளுக்கு வெவ்வேறு அணுகல் உரிமைகள் வழங்கப்படுகின்றன, அனைத்து அணுகல்களும் Audit-Trail-இல் பதிவு செய்யப்படுகின்றன. சந்தேகம் எழுந்தால், யார் எப்போது எந்தத் தரவை அணுகினார் என்பதை நிரூபிக்க இது உதவுகிறது.

நிறுவன ரீதியாக, TOMs-இல் தெளிவான உள் செயல்முறைகள் அடங்கும்: அறிவுத் தளத்துக்குப் பொறுப்பானவர் யார்? பாதிக்கப்படும் நபர்களின் அழித்தல் கோரிக்கைகள் எவ்வாறு கையாளப்படுகின்றன? உரையாடல் தரவுகள் தேவைக்கு மேல் நீண்ட காலம் சேமிக்கப்படாமல் இருப்பது எவ்வாறு உறுதி செய்யப்படுகிறது? தரவுப் பாதுகாப்பு நிகழ்வு ஏற்பட்டால் — உதாரணமாக சாட்பாட் தற்செயலாக மற்றொரு பயனரின் தனிப்பட்ட தரவுகளை வெளிப்படுத்தினால் — நிறுவனம் எவ்வாறு எதிர்வினையாற்றுகிறது? இந்தச் செயல்முறைகள் எழுத்துப்பூர்வமாக ஆவணப்படுத்தப்பட்டு, வழக்கமாகச் சரிபார்க்கப்பட வேண்டும்.

Zentor App மற்றும் GDPR: விருப்பங்களாக EU ஹோஸ்டிங் மற்றும் On-Premises

Zentor App தொடக்கத்திலிருந்தே GDPR-க்கு இணங்கிய இயக்கத்தைச் சாத்தியமாக்கும் நோக்கத்துடன் உருவாக்கப்பட்டது. தளத்தை EU சர்வர்களில் ஹோஸ்ட் செய்யலாம் — ஹோஸ்டிங், தரவுத்தளங்கள் மற்றும் பயன்பாட்டுத் தர்க்கம் இதனால் ஐரோப்பியத் தரவுப் பாதுகாப்புச் சட்டத்துக்கு உட்படுகின்றன. விருப்பத்தின் பேரில் வெளிப்புற AI வழங்குநர் இணைக்கப்பட்டால், EU-க்கு வெளியே ஏதேனும் பயன்பாடு இருப்பின் அது EU நிலையான ஒப்பந்த விதிகளின் (GDPR பிரிவு 46) அடிப்படையில் மட்டுமே நடைபெறும் — கட்டுப்பாடற்ற மூன்றாம் நாட்டுப் பரிமாற்றத்தின் சட்ட நிச்சயமின்மைகள் இதனால் நீங்குகின்றன. கிளவுட் அடிப்படையிலான தீர்வைப் பரிசீலிக்கும் நிறுவனங்களுக்கு, GDPR இணக்கத்தை நோக்கிய முதல் மற்றும் மிக முக்கியமான திசைத் தேர்வு EU ஹோஸ்டிங்.

மிக உயர்ந்த தரவுப் பாதுகாப்புத் தேவைகள் உள்ள நிறுவனங்களுக்கு Zentor App முழுமையான On-Premises நிறுவலை வழங்குகிறது. இந்த இயக்க மாதிரியில் முழுத் தளமும் — சாட்பாட் இன்ஜின், அறிவுத் தளம், ஆம்னிசேனல் இன்பாக்ஸ் மற்றும் அனைத்துச் செயலாக்கக் கூறுகளும் — நிறுவனம் தானே கட்டுப்படுத்தும் உள்கட்டமைப்பில் இயங்குகிறது. உள்ளூர் AI இயக்கத்துடன் உரையாடல் தரவுகளோ தனிப்பட்ட தகவல்களோ சொந்த IT சூழலை விட்டு வெளியேறுவதில்லை. மருத்துவமனைகள், வழக்கறிஞர் அலுவலகங்கள், வரி ஆலோசனை நிறுவனங்கள் மற்றும் தரவுப் பாதுகாப்பு வாழ்வாதாரம் சார்ந்த பிற துறைகளுக்கு இந்த அணுகுமுறை குறிப்பாகப் பொருத்தமானது.

Zentor App கிளவுட் இயக்கத்துக்கான தரவுச் செயலாக்க ஒப்பந்தங்களை (DPA) வழங்குகிறது; பயன்படுத்தப்படும் துணைச் செயலாக்குநர்களை நிறுவனப் பெயர், நாடு, நோக்கம் மற்றும் பரிமாற்ற அடிப்படையுடன் தனியுரிமை அறிவிப்பின் பிரிவு 13-இல் ஆவணப்படுத்துகிறது. தொழில்நுட்பத் தரவுப் பாதுகாப்பு அம்சங்கள் — RBAC, Audit-Trail, அமைக்கக்கூடிய தரவுச் சேமிப்புக் காலங்கள் மற்றும் பங்கு அடிப்படையிலான அணுகல் கட்டுப்பாடுகள் — Individuell தொகுப்பில் தேர்ந்தெடுக்கக்கூடிய தொகுதிகளாக அமைக்கப்படலாம். இதன் மூலம் GDPR-க்கு இணங்கிய சாட்பாட் இயக்கத்துக்கான தொழில்நுட்ப முன்நிபந்தனைகளை உருவாக்குகிறீர்கள் — குறிப்பிட்ட தனிப்பட்ட சூழலில் சட்ட வடிவமைப்பு எப்போதும் உங்கள் தரவுப் பாதுகாப்புக் குழுவின் மற்றும் சட்ட ஆலோசகர்களின் பொறுப்பாகவே இருக்கும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்