GDPR og ChatGPT: JIT-nafnleysi í þjónustumiðstöð
Uppfært fyrir 2026
Hagsmunaárekstrar um gagnaflutning
Þjónustulið notar ChatGPT til að semja svör. Það skapar GDPR-vandamál. Nöfn viðskiptavina, pöntunarnúmer og heimilisföng eru persónuupplýsingar. Að senda þær til ChatGPT þýðir að senda þær á OpenAI-þjóna í Bandaríkjunum.
GDPR 46. grein fjallar um flutning til landa utan EES. Hún krefst verndarráðstafana. Verndarráðstafanir eru meðal annars staðlaðar samningsákvæðis (SCC), fullnægjandi ákvarðanir og skuldbindandi fyrirtækjareglur.
OpenAI býður upp á SCC fyrir fyrirtækjavi endur. Mörg þjónustulið nota venjulegar neytendareikningar. Þessir reikningar skortir sömu vernd. Úttekt ESB árið 2024 leiddi í ljós að 63% ChatGPT-notendaskráa komu frá reikningum án verndarstillinga fyrirtækja.
Garante Ítalíu sýnir hvert framfylgd leiðir. Í desember 2024 sektaði yfirvaldið OpenAI um 15 milljónir evra. Þrjár bilanir knúðu sektina: engin gild lagaleg grundvöllur, lítið gagnsæi um þjálfun og engin aldursprófun fyrir unglinga. Á þeim tíma skortir 63% ítalskra fyrirtækja GDPR-samhæfðar reglur um gervigreind.
JIT-nafnleysi leysir vandamálið
Just-in-time (JIT) nafnleysi kemur í veg fyrir að persónuupplýsingar berist til ChatGPT. Það keyrir á innsendingartíma. Það verkar áður en kallað er á OpenAI.
Svo virkar það. Þjónustufulltrúi límir kvörtun viðskiptavinar inn í ChatGPT. Vafraviðbótin hlerar líminguna. Hún greinir nafnið, pöntunarnúmerið og heimilisfangið. Fulltrúinn sér forskoðun. Fulltrúinn smellir á halda áfram. ChatGPT fær hreina útgáfu með táknum í stað auðkenna.
ChatGPT semur svar með þessum táknum. Viðbótin skiptir táknum aftur í raungögn. Fulltrúinn sér raunnafnið í svarinu. ChatGPT vann aldrei að þessu nafni.
Undir þessu hönnunarformi gildir GDPR 46. grein ekki. Það sem berst til OpenAI er ekki persónuupplýsingar samkvæmt GDPR. Nafn og heimilisfang viðskiptavinarins fara aðeins í API anonym.legal sem er hýst innan ESB (Hetzner, Falkenstein) til greiningar og haldast því inni í ESB. Reglufylgni er uppbyggileg. Hún treystir ekki einungis á samninga. Sjá reglufylgnileiðbeiningarnar vegna skjalfestingarkrafna.
Af hverju samningslegar verndarráðstafanir duga ekki
SCC og DPA eru gildar verndarráðstafanir. En þær hafa áframhaldandi áhættu. Þær treysta á að starfsmenn noti rétta reikningsstig. Þær þurfa endurnýjun. Þær þurfa reglulega úttekt. Ein starfsmannsmistök geta rofið keðjuna.
Tæknilegar ráðstafanir eru þolnari. Ef persónuupplýsingar berast aldrei til gervigreindarveitunnar getur brot hjá henni ekki afhjúpað þær. Sekt Garante upp á 15 milljónir evra staðfestir þessa skoðun. Kjarnabilanin var skortur á tæknilegum ráðstöfunum – ekki bara vantar skjöl. Öryggisyfirlitið fjallar um heildstæða lagskipta nálgunina.
Uppsetning JIT-nafnleysis
Þrjú skref ljúka uppsetningunni.
Settu upp vafraviðbótina. Chrome-viðbótin situr á milli fulltrúans og gervigreindartólsins. Engar breytingar á gervigreindartólinu sjálfu þarf. Fulltrúar halda núverandi vinnuflæði.
Stilltu einindagreiningu. Virkjaðu einindategundir sem eiga við viðskiptavinahópinn þinn. Fyrir ESB-þjónustulið þýðir það nöfn, heimilisföng, netföng, símanúmer, pöntunarnúmer og staðbundnar þjóðarauðkennsniðjar.
Virkjaðu endurskoðunarkladda. Eftirlitsaðilar biðja um sönnun þess að ráðstafanir hafi verið gerðar. Kladdafærsla á atburð – tímastimpill, einindategundir, fjöldi – gefur eftirlitsmönnum gögn. Ekkert persónulegt innihald er geymt. Sjá algengar spurningar vegna stillingaspurninga.