Duomenų privatumas ir GDPR naudojant AI agentus: ką privalai žinoti
Naudojant AI agentus versle GDPR (Lietuvoje — BDAR) galioja lygiai taip pat, kaip bet kuriai kitai sistemai, tvarkančiai asmens duomenis: jei agentas mato klientų vardus, el. paštus, užsakymus ar žinutes, tu lieki duomenų valdytojas ir atsakai už tai, kad duomenys būtų tvarkomi teisėtai, minimaliai ir saugiai. AI tiekėjas, per kurį agentas veikia, dažniausiai yra tavo duomenų tvarkytojas — todėl su juo reikia duomenų tvarkymo sutarties, o ne tik paskyros. Praktiškai svarbiausi penki dalykai: (1) turėk teisinį pagrindą kiekvienam duomenų tipui; (2) duok agentui tik tuos duomenis, kurių jam realiai reikia užduočiai, o ne visą bazę; (3) žinok, kurioje šalyje tiekėjas laiko duomenis, nes daug AI paslaugų saugo juos JAV; (4) jautrių kategorijų duomenų (sveikata, vaikai, dokumentų numeriai) neduok agentui be atskiros apsaugos ir žmogaus patvirtinimo; (5) fiksuok, ką agentas daro, kad galėtum įrodyti atitiktį. GDPR ir ES DI Aktas — du atskiri reikalavimai, ir atitiktis vienam neatstoja kito.
Naudojant AI agentus versle GDPR (Lietuvoje — BDAR) galioja lygiai taip pat, kaip bet kuriai kitai sistemai, tvarkančiai asmens duomenis: jei agentas mato klientų vardus, el. paštus, užsakymus ar žinutes, tu lieki duomenų valdytojas ir atsakai už tai, kad duomenys būtų tvarkomi teisėtai, minimaliai ir saugiai. AI agentas nesukuria naujos teisinės kategorijos — jis tiesiog dar viena vieta, kur teka žmonių duomenys, ir jam galioja tos pačios taisyklės.
Ši mintis dažnai pasimeta tarp jaudulio dėl automatizacijos. Verslas paleidžia chatbotą ar agentą, atveria jam klientų bazę ir tik po to pagalvoja, kas būtų, jei kas nutiktų. Toliau — konkrečiai, ko GDPR reikalauja iš AI agento, kas už ką atsako ir kokius penkis žingsnius verta padaryti prieš paleidžiant sistemą į realų darbą. Be teisinių miglų ir be gąsdinimų.
AI agentas nekeičia GDPR taisyklių — tik padidina jų svarbą
GDPR neturi atskiro skyriaus „dirbtiniam intelektui“ ir jo nereikia: reglamentas kalba apie asmens duomenų tvarkymą, o agentas yra tik dar vienas tvarkytojas eilėje. Jei procesas su žmogumi būtų reikalavęs teisinio pagrindo, jis reikalauja jo ir su agentu. Skirtumas tik tas, kad agentas veikia greičiau, dažniau ir dažnai su platesne prieiga — todėl klaida išplinta greičiau.
Pati asmens duomenų sąvoka platesnė, nei atrodo. Kliento vardas, el. paštas, telefono numeris, užsakymo istorija, netgi žinutės tekstas, iš kurio galima atpažinti žmogų — visa tai asmens duomenys. Praktinė riba, kurią verta įsiminti: info@imone.lt nėra asmens duomenys, bet vardas.pavarde@imone.lt — yra. Vos agentas paliečia tokius duomenis, įsijungia visas GDPR rinkinys: teisinis pagrindas, tikslo apribojimas, duomenų minimizavimas, saugojimo trukmė ir saugumas.
Tu esi duomenų valdytojas, AI tiekėjas — tvarkytojas
Tai svarbiausias vaidmenų skirtumas ir dažniausiai praleidžiamas. Kai tu nusprendi, kokiu tikslu ir kokius duomenis tvarkyti, tu esi duomenų valdytojas — ir prieš klientą bei priežiūros instituciją atsakai pirmiausia tu. AI paslauga, per kurią agentas veikia, dažniausiai yra tavo duomenų tvarkytojas: ji tvarko duomenis tavo pavedimu.
Iš to seka labai praktiška išvada: su AI tiekėju reikia ne tik paskyros, o duomenų tvarkymo sutarties. Būtent joje nustatoma, ką tiekėjas gali daryti su duomenimis, ar naudoja juos savo modelių mokymui, kur juos laiko ir kaip elgiasi incidento atveju. Renkantis paslaugą verta perskaityti šias sąlygas taip pat atidžiai, kaip žiūrima į funkcijas. „Nemokamas“ įrankis, kuris tavo klientų susirašinėjimą naudoja mokymui, gali kainuoti kur kas brangiau nei atrodo.
Šeši reikalavimai, kurių agentas nepanaikina
Toliau — praktinė lentelė, kaip pagrindiniai GDPR principai atrodo būtent AI agento kontekste. Tai ne teisinė konsultacija, o darbinis atskaitos taškas.
| GDPR principas | Ką reiškia AI agento atveju | Praktinis žingsnis |
|---|---|---|
| Teisinis pagrindas | Kiekvienam duomenų tipui reikia pagrindo (sutartis, teisėtas interesas, sutikimas) | Surašyk, kokius duomenis agentas mato ir kodėl teisėtai |
| Duomenų minimizavimas | Agentui reikia tik užduočiai būtinų duomenų, ne visos bazės | Ribok prieigą iki konkretaus konteksto, ne viso CRM |
| Tikslo apribojimas | Duomenys naudojami tik tam, kam surinkti | Neleisk agentui panaudoti klientų duomenų kitam tikslui |
| Saugojimo trukmė | Duomenys laikomi tik tiek, kiek reikia | Nustatyk, kada agento istorija ir logai išvalomi |
| Saugumas | Duomenys apsaugoti nuo nutekėjimo ir neteisėtos prieigos | Prieigos teisės, šifravimas, atskiros paskyros |
| Atskaitomybė | Turi gebėti įrodyti atitiktį | Fiksuok, ką agentas daro; laikyk sutartis su tiekėjais |
Svarbiausi iš jų kasdienėje praktikoje — minimizavimas ir prieigos ribojimas. Didžioji dalis rizikos ateina ne iš to, kad agentas „blogas“, o iš to, kad jam be reikalo atveriama per daug. Agentui, atsakančiam į kliento žinutę, užtenka tos žinutės ir užsakymo konteksto — ne visos klientų bazės su visais istoriniais užsakymais.
Kur guli tavo klientų duomenys
Vieta, kurioje fiziškai saugomi duomenys, GDPR atžvilgiu svarbi, nes perdavimas už ES ribų reikalauja atskiro teisinio mechanizmo. Čia dažnas nemalonus atradimas: daug AI ir su jomis susijusių paslaugų saugo duomenis JAV, net jei siuntimo regioną gali pasirinkti. Frazė „ES serveriai“ rinkodaroje ne visada reiškia, kad ten guli ir logai, ir metaduomenys.
Todėl prieš paleidžiant agentą verta dokumentacijoje susirasti, kur konkrečiai laikomi duomenys, o ne pasikliauti bendrais teiginiais. Jei duomenų vieta tavo verslui kritiškai svarbi (pavyzdžiui, dirbi su jautresne klientų informacija), rinkis tiekėją, kuris tai aiškiai įvardija ir pagrindžia. Tai vienas tų atvejų, kai teisingas įrankio pasirinkimas diegimo pradžioje sutaupo daug problemų vėliau.
Ko neduoti agentui be papildomos apsaugos
Ne visi duomenys lygūs. Specialių kategorijų duomenys — sveikatos informacija, duomenys apie vaikus, asmens dokumentų numeriai ir panašiai — pagal GDPR saugomi griežčiau, ir jų nevalia lengva ranka siųsti į bet kokį įrankį. Praktinė taisyklė paprasta: jautrių kategorijų duomenų agentas neturi matyti be atskiros apsaugos ir be žmogaus patvirtinimo jautriose vietose.
Čia GDPR ir gera AI inžinerija sutampa. Tas pats žmogaus patvirtinimo ciklas, kuris saugo tave nuo klaidingų agento veiksmų su pinigais ar sutartimis, saugo ir nuo neatsargaus jautrių duomenų tvarkymo: agentas paruošia, žmogus patvirtina. Kuo galingesnė sistema, tuo svarbiau aiškiai nustatyti, kur ji sustoja ir klausia.
GDPR ir ES DI Aktas — du atskiri dalykai
Paskutinis dažnas painiavos taškas: verslas mano, kad sutvarkęs vieną reikalavimą, sutvarkė abu. Ne taip. GDPR reguliuoja asmens duomenų tvarkymą ir galioja nuo 2018 m. ES DI Aktas reguliuoja pačių dirbtinio intelekto sistemų naudojimą ir rizikas, o jo 4 straipsnis nuo 2025 m. įpareigoja įmones užtikrinti darbuotojų DI raštingumą. Vienas rūpinasi duomenimis, kitas — pačia AI sistema.
Diegiant agentą versle abu reikia žiūrėti kartu. Kaip suderinti diegimą su ES DI Akto reikalavimais ir dokumentacija, plačiau aptariame įmonėms skirtame puslapyje.
Nuo ko pradėti
Prieš atverdamas agentui bet kokius klientų duomenis, padaryk paprastą pratimą: surašyk, kokius asmens duomenis jis matys, kodėl juos matyti teisėta, kur jie bus saugomi ir kada išvalomi. Vien šis vienas puslapis dažnai išryškina, kur atveriama per daug. Tada apribok prieigą iki to, ko realiai reikia užduočiai, o jautrias vietas palik žmogaus patvirtinimui.
Jei nori, kad AI agentą pastatytume iš karto su teisingomis prieigos ribomis ir aiškiu duomenų srautu, pažiūrėk, ką apima AI agentų ir chatbotų paslauga, arba kaip diegiame automatizaciją nuo audito iki veikiančios sistemos automatizacijos diegimo paslaugoje. O jei nori aptarti savo konkrečią situaciją — kokius duomenis liestų tavo agentas ir kaip juos saugiai sutvarkyti — susiskaičiuokim kartu per nemokamą konsultaciją.