AI ir įmonės duomenų privatumas: kaip naudoti saugiai

AI duomenų privatumas versle yra klausimas, kaip įmonė kontroliuoja, kur keliauja, kaip saugomi ir ar naudojami modelių mokymui duomenys, kuriuos darbuotojai įveda į dirbtinio intelekto įrankius. Tai viena dažniausiai diskutuojamų AI temų r/artificial ir r/ArtificialInteligence bendruomenėse, ir nerimas ten dažnai visiškai pagrįstas.

Kodėl privatumas laikomas pamatiniu, o ne papildomu klausimu

Gijoje „How important is data privacy for those companies looking to integrate generative AI?" tiesiai pasakoma: duomenų privatumas nėra tiesiog svarbus, jis yra pamatinis (foundational) klausimas įmonėms, integruojančioms generatyvinį AI. Netinkamas duomenų valdymas kelia riziką klientų pasitikėjimui, teisinei atitikčiai ir gali sukelti rimtų pasekmių.

Tai svarbus akcentas: privatumas dažnai vertinamas kaip antraeilis, techninis klausimas, kurį „sutvarkys IT vėliau". Realybėje jis turėtų būti sprendžiamas dar prieš pasirenkant, kurį AI įrankį naudoti.

Ko konkrečiai bijoma

Gijoje „do you guys actually trust AI tools with your data?" vartotojai svarsto, kaip lengvai kasdien naudojame įrankius, tokius kaip ChatGPT ar Claude, kodavimui, atsitiktiniams klausimams ir kitoms užduotims, retai sustodami pagalvoti, kur ta informacija realiai keliauja. Panašios abejonės keliamos ir gijoje „To those who use AI: Are you actually concerned about privacy issues?", kur diskutuojama apie tai, kaip AI naudojami duomenys gali paveikti, pavyzdžiui, kreditingumo vertinimą ar kitus svarbius sprendimus, jei į modelį patenka jautri asmeninė ar finansinė informacija.

Ką realiai daro AI paslaugų teikėjai su duomenimis

Gijoje „What does OpenAI do with our data?" aptariama, kad priežastys, kodėl įmonės nerimauja dėl duomenų, apima konfidencialumą, teisinius įsipareigojimus (pavyzdžiui, GDPR) ir tiesiog kontrolės trūkumą, kai duomenys perduodami trečiajai šaliai. Kitoje gijoje, „Anonymity concerns and intellectual property", pažymima, kad verslo skirti planai, tokie kaip ChatGPT Business, Enterprise ar Edu, paprastai yra apsaugoti nuo naudojimo modelio treniravimui, tai reikšmingas skirtumas nuo įprastos, nemokamos paskyros.

Tai konkretus, praktinis patarimas: jei komanda naudoja AI su bet kokia jautria informacija, pirmiausia reikia patikrinti, koks planas naudojamas ir ką konkrečiai sako jo duomenų naudojimo sąlygos.

Kaip valdyti riziką praktiškai

Diskusijoje „What are the pain-points organisations experience with enterprise AI?" pabrėžiama, kad AI agentams reikia aiškaus valdymo (governance) sluoksnio: be jo net saugiausiai pozicionuojami AI įrankiai gali kelti riziką, jei prieiga prie duomenų neapibrėžta ir nekontroliuojama.

Praktiniai žingsniai, kuriuos verta įgyvendinti versle:

• Apibrėžti, kokius duomenis darbuotojams leidžiama įkelti į AI įrankius, o kokių: ne.
• Naudoti verslo/enterprise planus su sutartinėmis duomenų apsaugos garantijomis, o ne asmenines paskyras.
• Reguliariai peržiūrėti, kurie AI agentai ar integracijos turi prieigą prie jautrios informacijos.

Kaip tai atrodo praktiškai

Įsivaizduokime vidutinio dydžio Vilniaus buhalterinės apskaitos įmonę, kurios darbuotojai savarankiškai pradėjo naudoti nemokamą AI įrankį klientų sąskaitų santraukoms rengti. Iš pirmo žvilgsnio tai atrodo nekaltas, laiką taupantis sprendimas. Tačiau jei į įrankį įkeliami realūs klientų finansiniai duomenys, o naudojama nemokama, asmeninė paskyra, ta informacija gali būti saugoma ir potencialiai naudojama modelio treniravimui: priklausomai nuo konkretaus paslaugos teikėjo sąlygų. Vadovybė apie tai dažnai sužino tik po fakto, kai auditas ar klientas užduoda klausimą, kur keliavo duomenys. Būtent tokiose situacijose padeda aiškiai apibrėžta vidinė politika: kokie įrankiai leidžiami, kokiais duomenimis su jais galima dirbti, ir kas atsakingas už priežiūrą.

Ką tai reiškia Lietuvos verslui

Lietuvos įmonėms, ypač dirbančioms su klientų, sveikatos ar finansiniais duomenimis, GDPR reikalavimai daro šį klausimą dar aktualesnį. Prieš diegiant bet kokį AI sprendimą, verta atlikti pradinį įvertinimą: kur duomenys keliauja, kas prie jų turi prieigą ir kokia realią riziką kelia konkretus įrankis. Tam skirtas AI auditas, po kurio aišku, ką galima naudoti saugiai, o kur reikia papildomų apsaugos priemonių.

Kai reikia platesnio, saugiai suprojektuoto AI diegimo įmonės viduje, žr. AI sprendimus IT srityje, kur duomenų sauga integruojama nuo pat pradžių, o ne pridedama vėliau. Toks požiūris apima ir pačių įrankių pasirinkimą, ir procesų sukūrimą, kad duomenų sauga taptų kasdiene organizacijos praktika, o ne vienkartiniu patikrinimu.

Trijų lygių taisyklė: kokius duomenis galima kelti

Ilgos vidaus politikos niekas neskaito. Praktikoje geriausiai veikia trumpas skirstymas į tris lygius, kurį darbuotojas gali prisiminti be dokumento:

1. Žalias lygis: viešai prieinama informacija. Rinkos apžvalgos, jūsų pačių svetainės tekstai, bendri klausimai, viešų dokumentų santraukos. Čia galima naudoti bet kurį patvirtintą įrankį.
2. Geltonas lygis: vidinė, bet ne asmeninė informacija. Vidiniai procesų aprašymai, apibendrinti skaičiai, pasiūlymų šablonai be klientų pavadinimų. Leidžiama tik verslo paskyroje, kurios sąlygose nurodyta, kad duomenys nenaudojami modelio mokymui.
3. Raudonas lygis: asmens duomenys, sutartys, sveikatos ir finansinė informacija. Neįkeliama niekur be atskiro sprendimo. Jei tokį darbą reikia atlikti, pirmiausia nuasmeninkite: pakeiskite vardus, įmonių pavadinimus ir sumas žymekliais.

Šis skirstymas telpa į vieną puslapį ir jį galima pakabinti komandos vidiniame puslapyje. Platesnę taisyklių struktūrą aprašome straipsnyje apie AI naudojimo politiką įmonėje.

Kiek kainuoja neapibrėžta tvarka

Skaičiavimas, kurį verta atlikti prieš ginčą su vadovybe, paprastas. Tarkime, dešimties žmonių komandoje septyni kasdien naudoja AI įrankius ir kiekvienas per savaitę įkelia bent po kelis darbinius dokumentus. Tai kelios dešimtys dokumentų per savaitę, arba daugiau nei tūkstantis per metus. Užtenka, kad tarp jų pakliūtų vienas klientų sąrašas su kontaktais.

Kita pusė lygties: verslo planas kainuoja apie 20 iki 30 eurų už vartotoją per mėnesį. Septyniems žmonėms tai maždaug 150 iki 210 eurų per mėnesį, arba iki 2500 eurų per metus. Palyginkite tai su viena diena, praleista aiškinantis klientui, kur keliavo jo duomenys, ir sprendimas nustoja būti sudėtingas.

Atsakymas nuobodus, bet teisingas: didžiausią riziką kelia ne įrankis, o tai, kad niekas neapibrėžė, kaip juo naudotis.

Dažniausios klaidos

• Draudžiama viskas. Formalus draudimas nesustabdo naudojimo, tik perkelia jį į asmenines paskyras, kurių įmonė nemato. Vietoj draudimo duokite patvirtintą įrankį ir aiškias ribas.
• Politika parašoma, bet nepamokoma. Dokumentas diske nekeičia elgesio. Skirkite valandą, per kurią komanda pereina realius pavyzdžius iš savo kasdienio darbo.
• Nėra atsakingo žmogaus. Kai už AI atsakingi visi, prieigos peržiūra neįvyksta niekada. Apie tai atskirai: kas įmonėje atsakingas už AI.
• Pamirštamos integracijos. Dažniausiai stebimas pokalbių langas, o didžiausią prieigą prie duomenų turi tyliai veikiančios integracijos su el. paštu ir CRM. Peržiūrėkite jas bent kartą per ketvirtį.
• Nuasmeninimas paliekamas geros valios reikalui. Jei nuasmeninti reikia rankiniu būdu, anksčiau ar vėliau kas nors to nepadarys. Paruoškite šabloną, kuriame laukai jau pakeisti žymekliais.

Prieštaravimai, kuriuos girdime dažniausiai

„Mes esame per maži, kad kas nors mumis domėtųsi." Rizika kyla ne iš to, kad kas nors jus puola, o iš to, kad klientas ar auditorius užduoda klausimą, į kurį neturite atsakymo. Lietuvos rinkoje, kur daugelis vieni kitus pažįsta, toks klausimas ateina greičiau, nei atrodo.

„Verslo planai per brangūs." Palyginkite juos ne su nemokama paskyra, o su valandomis, kurios prireiktų incidentui sutvarkyti. Jei biudžetas tikrai ribotas, pradėkite nuo tų kelių žmonių, kurie dirba su jautriausiais duomenimis.

„Vietinis modelis išspręs viską." Savo serveryje veikiantis modelis pašalina vieną riziką ir prideda kitą: priežiūrą, atnaujinimus ir prastesnę kokybę. Tai sprendimas konkrečiam atvejui, ne bendras atsakymas. Pagrindus vadovui aprašome straipsnyje apie duomenų saugumą naudojant AI.

„Mums pakanka GDPR reikalavimų." GDPR pasako, ko negalima, bet nepasako, kurį įrankį pasirinkti ir kaip apmokyti komandą. Papildomai verta žinoti ir ES DI akto reikalavimus, ypač jei AI naudojamas sprendimams apie žmones.

Ką iš to pasiimti

Kaip pradėti: peržiūrėkite, kokius AI įrankius šiuo metu naudoja jūsų komanda, ir patikrinkite, ar tai verslo, ar asmeninės paskyros. Tai paprasčiausias pirmas žingsnis link saugesnio AI naudojimo.

Padedame įmonėms saugiai diegti AI, nuo pat pradžių įvertindami duomenų riziką. Norite žinoti, kaip saugiai naudoti AI jūsų versle? Konsultacija nemokama, susisiekite per kontaktus.