Мова: Українська
Коли ви підключаєте ШІ-асистента до ActivityInfo, асистент зчитує дані з вашої бази даних і надсилає їх компанії, яка керує асистентом. Ця компанія обробляє ваші дані від вашого імені. Чи є це прийнятним — це рішення вашої організації щодо захисту даних, а не технічне, і його потрібно прийняти до того, як хтось підключить асистента до бази даних, що містить конфіденційні дані.
Конфіденційні дані в ActivityInfo зазвичай означають персональні дані про людей, яких обслуговує програма: імена, контактні деталі, склад домогосподарства, місцезнаходження, інформація про здоров'я, справи про захист або вільний текст, що опосередковано ідентифікує особу. У цій статті описано, що і в якому порядку слід перевіряти.
Що залишає ActivityInfo
Асистент діє з дозволами користувача, який його авторизував, як описано в статті Розуміння дозволів для ШІ-асистентів. У межах цих дозволів дані, що надходять до провайдера ШІ, включають в себе:
- назви та описи баз даних, папок, форм та полів,
- значення в записах, які асистент отримує, включаючи вільний текст,
- результати аналізів, які він виконує, та
- запитання, які ви ставите, та відповіді, які він дає, — і те, і інше повторює дані.
Розглядайте все, що читає асистент, як дані, які ваша організація розкрила провайдеру. Припускайте, що вони зберігаються в історії розмов і що їх можуть читати співробітники провайдера на умовах, описаних в його положеннях.
Використовуйте бізнес- або корпоративний обліковий запис
Споживчий та бізнес-обліковий запис від одного й того ж провайдера часто регулюються різними умовами.
Споживчі облікові записи, включаючи безкоштовні облікові записи та індивідуальні платні підписки, зазвичай:
- дозволяють провайдеру використовувати вміст розмов для покращення або тренування своїх моделей,
- не пропонують Угоди про обробку даних, а лише умови для споживачів,
- не надають вашій організації адміністративного контролю над тим, хто і що підключає, і контролю над тим, як довго зберігаються розмови, та
- не дають жодних зобов'язань щодо місця обробки даних.
Обліковий запис у бізнес-, командному або корпоративному плані, придбаний вашою організацією, а не окремою особою, зазвичай пропонує Угоду про обробку даних, адміністративні елементи керування та налаштування зберігання. Умови відрізняються у різних провайдерів і змінюються з часом, тому читайте умови, що застосовуються до конкретного плану на дату його придбання, а не покладайтеся на зведення.
Не підключайте базу даних, що містить персональні дані, за допомогою споживчого облікового запису.
Перегляньте Угоду про обробку даних (DPA)
Відповідно до GDPR та аналогічного законодавства в інших країнах, ваша організація є контролером даних у вашій базі даних ActivityInfo, а провайдер ШІ, який їх обробляє, стає обробником. Потрібна письмова угода, і ваша організація повинна переглянути її перед підключенням. Перевірте, чи вона:
- визначає провайдера як обробника та обмежує обробку наданням послуги вам,
- зазначає, що ваші вхідні та вихідні дані не використовуються для тренування або покращення моделей провайдера,
- перелічує субобробників і вказує, як вас повідомляють про їх зміну,
- зазначає, як довго зберігаються вхідні та вихідні дані, і як вони видаляються,
- описує заходи безпеки, що застосовуються,
- зобов'язує провайдера повідомляти вас про витік персональних даних,
- надає вашій організації право на аудит або отримання звітів про аудит, та
- встановлює правовий механізм для будь-якої обробки за межами вашого регіону.
Зберігайте підписану угоду разом із вашим записом про діяльність з обробки даних, разом із приміткою про те, яких баз даних стосується це рішення. Якщо провайдер не пропонує Угоду про обробку даних, не підключайте базу даних, що містить персональні дані.
Не допускайте потрапляння конфіденційних даних у тренування моделей
Модель, навчена на ваших записах, може відтворювати їх фрагменти у відповідях, наданих іншим людям. Видалення розмови, закриття облікового запису або використання права на видалення не видаляє дані з моделі, яка вже була на них навчена.
Тож підтвердьте дві окремі речі:
- Виключення з тренування. Угода про обробку даних або умови вашого плану повинні зазначати, що ваш вміст не використовується для тренування. Якщо провайдер також пропонує відповідне налаштування, перевірте і його, і перевіряйте його знову після будь-якої зміни плану або після того, як провайдер змінить свої умови.
- Перевірка людиною та зберігання. Провайдери зазвичай зберігають розмови протягом певного періоду для моніторингу зловживань, і персонал може читати позначені розмови. Це окремо від тренування, часто це неможливо вимкнути, і це є розкриттям даних саме по собі. Дізнайтеся про період зберігання та про те, хто може читати дані протягом цього періоду.
Враховуйте, де обробляються дані
Переміщення персональних даних через кордони часто вимагає законного механізму передачі, наприклад, рішення про адекватність або Стандартні договірні положення разом з оцінкою ризику в країні призначення. Більшість великих провайдерів ШІ обробляють дані в Сполучених Штатах або в кількох регіонах.
Встановіть у письмовій формі:
- регіони, де працює модель і де зберігається історія розмов,
- місцезнаходження субобробників,
- чи пропонує план зобов'язання щодо резидентності даних, і чи поширюється це зобов'язання як на обробку, так і на зберігання, та
- на який механізм передачі покладається угода.
Задокументуйте оцінку. Для деяких категорій даних висновок може бути таким, що жодна передача не є прийнятною, і дані повинні залишатися поза будь-якою базою даних, до якої може отримати доступ асистент. Дані, що розкривають стан здоров'я, дані про випадки захисту або гендерно зумовленого насильства, а також будь-які дані, які можуть поставити людину під загрозу в разі їх розголошення, належать до цієї категорії, якщо ваш консультант із захисту даних не скаже інакше.
Розгляньте місцевих провайдерів
Провідні провайдери ШІ, OpenAI та Anthropic, базуються в Сполучених Штатах. Однак, це не єдині варіанти, які варто розглянути.
Mistral AI заснована у Франції і заявляє, що за замовчуванням розміщує дані в Європейському Союзі. Її асистент підтримує власні конектори MCP, тому він може підключатися до ActivityInfo так само, як і інші асистенти, описані в цьому посібнику. Див. Підключення Mistral до ActivityInfo.
Для організації, яка повинна зберігати персональні дані в межах Європейського Союзу, провайдер, що базується в ЄС, знімає питання міжнародної передачі, а не вимагає від вас його вирішення. Це не скасовує інших перевірок: перегляньте Угоду про обробку даних, підтвердьте виключення з тренування для плану, який ви купуєте, і використовуйте організаційний, а не особистий обліковий запис.
Зменште обсяг даних, до яких може отримати доступ асистент
Після того, як ваша організація вирішить, що провайдер є прийнятним, обмежте доступ до того, що дійсно потрібно для роботи:
- Вмикайте MCP-сервер лише для тих баз даних, яким він потрібен. Це налаштування застосовується до кожної бази даних окремо і вимкнене за замовчуванням.
- Надавайте лише доступ для читання, якщо асистенту не потрібно вносити зміни.
- Підключайтеся з обліковим записом, роль якого надає лише необхідні дозволи. Роль, обмежена відповідними папками або умовою до частини форми, обмежує асистента таким же чином. Уникайте підключення з обліковим записом адміністратора для зручності.
- Не включайте прямі ідентифікатори у форми, де мета цього не вимагає. Форма, якій для виконання своєї мети не потрібне ім'я або номер телефону, не повинна їх збирати.
- Зберігайте найбільш конфіденційні дані в окремій базі даних, у якій вимкнено MCP-сервер.
Вирішіть на рівні організації, хто може підключатися
Перемикач діє для кожної бази даних, і людина, яка його вмикає, приймає рішення за всіх, хто має доступ до цієї бази даних. Це робить його організаційним, а не індивідуальним рішенням.
Запишіть і розповсюдьте:
- які бази даних можна підключати до асистента, а які ні,
- які провайдери та які плани схвалені,
- хто затверджує нове підключення, та
- як часто переглядаються існуючі авторизації.
Просіть користувачів періодично переглядати асистентів, яких вони авторизували, і відкликати ті, якими вони більше не користуються, як описано в статті Перегляд та відкликання підключених асистентів.