Smlouva o zpracování osobních údajů s AI dodavatelem: na co se ptát před podpisem

Tým BOTrento12. 10. 20267 min čtení

Proč je smlouva o zpracování u AI složitější než u běžného softwaru

U fakturace v Pohodě nebo Fakturoidu je situace celkem jednoduchá: data leží u jednoho dodavatele a ten je zpracovává. U AI nástroje jsou obvykle dvě různá místa. Prvním je úložiště aplikace, tedy kde se drží vaše e-maily, případy a koncepty. Druhým je jazykový model, ke kterému se při každém úkolu posílá text. Často ho provozuje jiná firma než ta, se kterou podepisujete smlouvu.

Proto nestačí, že dodavatel napíše „servery v EU“. Ptejte se zvlášť na úložiště a zvlášť na zpracování modelem. Podrobněji to rozebíráme v článku kde jsou data, když používáte AI. Pokud chcete nejdřív obecný přehled povinností, začněte kontrolním seznamem k AI asistentovi a GDPR.

Pět oblastí, na které se dodavatele zeptat

1. Role: kdo je správce a kdo zpracovatel

Vaše firma je u údajů ze zákaznických e-mailů zpravidla správcem. Dodavatel AI je typicky zpracovatelem, protože data zpracovává podle vašich pokynů. Poskytovatel jazykového modelu bývá jeho subzpracovatelem. Pokud ale používáte vlastní API klíč, máte s poskytovatelem modelu přímý smluvní vztah. Zeptejte se:

• V jaké roli vůči mým datům vystupujete?
• Používáte moje data i pro vlastní účely, například ke zlepšování produktu? Pokud ano, k jakým?
• Jak se role změní, když použiji vlastní API klíč?

2. Subdodavatelé

Hosting, databáze, poskytovatel modelu, e-mailová služba pro notifikace: každý z nich se může k části dat dostat. Chtějte:

• seznam subzpracovatelů s tím, co pro dodavatele dělají a v jaké zemi,
• informaci, jak vám dají vědět o změně a jestli můžete nesouhlasit,
• potvrzení, že poskytovatel modelu data z API nepoužívá k tréninku.

3. Lokalita dat

• Kde fyzicky leží databáze a zálohy?
• Kde běží jazykový model, kterému se posílá text?
• Dochází k předání mimo EU? Pokud ano, na jakém právním základě?
• Posílá se modelu celý e-mail, nebo jen text nutný pro konkrétní úkol?

Server v EU, který volá externí AI API, není uzavřený výpočet. Text nutný pro úkol vždy zpracuje i poskytovatel modelu. Seriózní dodavatel to přizná bez vytáčení.

4. Bezpečnost

• Kdo u dodavatele vidí vaše data a jak se přístupy řídí a zaznamenávají?
• Jak jsou šifrovaná data a jak API klíče?
• Jak a jak rychle vás informují o bezpečnostním incidentu?
• Může AI něco odeslat zákazníkovi sama, nebo vše schvaluje člověk?

Poslední otázka nevypadá jako téma pro GDPR, ale je klíčová. Nástroj, který bez kontroly odešle e-mail se špatnou přílohou nebo cizími údaji, je samostatné riziko. Souvisí to také s požadavkem ponechat rozhodnutí člověku, o kterém píšeme v článku AI Act pro malé firmy.

5. Ukončení spolupráce

• V jakém formátu si data a výstupy vyexportuji?
• Jak dlouho po skončení mám přístup k exportu?
• Kdy a jak se data smažou, včetně kopií a záloh? Dostanu o tom potvrzení?
• Co se stane s daty, které už prošly k poskytovateli modelu?

Checklist před podpisem

Projděte si body s člověkem, který u vás má na starosti GDPR. Pokud nemáte pověřence, stačí majitel a ten, kdo bude nástroj používat.

1. Mapa dat: víte, jaké údaje do nástroje půjdou (e-maily, CSV z Raynetu nebo Pipedrive, tabulky)?
2. Role jsou ve smlouvě nebo podmínkách popsané jednoznačně.
3. Seznam subzpracovatelů máte písemně, včetně poskytovatele modelu.
4. Lokalita úložiště i zpracování modelem je uvedená zvlášť.
5. Trénink: máte písemně, že se vaše data nepoužívají k tréninku modelů.
6. Incidenty: víte, jak a komu dodavatel incident nahlásí.
7. Schvalování: nic neodejde zákazníkovi bez potvrzení člověkem.
8. Exit: export, lhůta k jeho stažení a termín výmazu jsou dohodnuté.
9. Interní pravidlo: lidé vědí, co do nástroje nevkládat (například citlivé údaje, které s obchodem nesouvisejí).

Detailnější rozpis pro obchodní komunikaci najdete v praktickém checklistu GDPR a AI. U konkrétní smlouvy nebo nestandardní situace doporučujeme konzultaci s právníkem. Tento článek je orientační přehled, ne právní rada.

Šablona e-mailu dodavateli AI

Tento e-mail můžete poslat z Gmailu, Outlooku nebo Seznamu ještě před tím, než nástroj napojíte na ostrou poštu. Odpovědi si uložte k dokumentaci zpracování.

Dobrý den,

zvažujeme použití Vaší služby pro zpracování obchodních poptávek a nabídek. E-maily obsahují osobní údaje kontaktních osob našich zákazníků. Před napojením bychom rádi měli písemně odpovědi na tyto otázky:

1. V jaké roli vůči našim datům vystupujete a jakou roli má poskytovatel jazykového modelu?
2. Můžete nám poslat seznam subzpracovatelů s uvedením země a účelu? Jak nás informujete o změnách?
3. Kde se data ukládají (včetně záloh) a kde je zpracovává jazykový model? Dochází k předání mimo EU?
4. Používají se naše data k tréninku modelů?
5. Jak jsou data a API klíče zabezpečená a jak nás informujete o incidentu?
6. Může služba cokoli odeslat bez schválení naším pracovníkem?
7. Jak probíhá export a výmaz dat po ukončení spolupráce a v jakém termínu?

Děkujeme a těšíme se na odpověď.
S pozdravem
[jméno, firma]

Jak tyto otázky řeší BOTrento

BOTrento Chief of Staff je řízený proces pro poptávky, nabídky a follow-up. Na otázky výše odpovídáme takto:

Vše si můžete ověřit v praxi. Zkušební doba 14 dní zdarma je bez platební karty a bez vlastního API klíče. Začíná až prvním úspěšným nahráním dat. Do 24 hodin v pracovní dny se vám ozve náš člověk a pomůže napojit poštu. Jak vypadá ranní přehled a koncepty, uvidíte předem v ukázce procesu, tarify najdete v ceníku. Otázky ze šablony výše nám můžete poslat na info@botrento.com.