Kokių duomenų negalima suvesti į viešą AI įrankį?

Į viešus įrankius neturi patekti klientų asmens duomenys be sutikimo, konfidenciali komercinė informacija, sutartys, finansiniai duomenys, slaptažodžiai ir bet kas, ko nenorėtumėte pamatyti viešai. Jautrūs duomenys lieka įmonės viduje.

Į ką atkreipti dėmesį renkantis AI tiekėją?

Kur laikomi duomenys (pirmenybė serveriams Europoje), ar duomenys naudojami modelio mokymui, aiškios sutarties sąlygos ir pripažinti saugumo sertifikatai. Verslo lygio įrankiai dažnai turi griežtesnes taisykles nei nemokamos versijos.

Ką daryti, jei darbuotojas jau suvedė konfidencialius duomenis į AI įrankį?

Pirmiausia reikia išsiaiškinti, kokie tiksliai duomenys pateko ir į kurį įrankį, tada patikrinti to tiekėjo taisykles dėl saugojimo ir ištrynimo. Jei tarp jų buvo asmens duomenų, situaciją būtina įvertinti pagal BDAR reikalavimus dėl incidentų. Svarbu, kad darbuotojas apie tai praneštų be baimės, nes nuslėptas incidentas visada brangesnis nei laiku pastebėtas.

Ar darbe galima naudoti nemokamą AI įrankio versiją?

Nemokamos versijos tinka viešai informacijai ir asmeniniam tekstų juodraščiui, bet jų sąlygos dažnai leidžia įvestį naudoti modelių mokymui. Darbui su klientų, finansų ar sutarčių informacija verta rinktis verslo lygio planą, kuriame tai aiškiai uždrausta sutartyje. Skirtumas dažniausiai kainuoja kelias dešimtis eurų per mėnesį vienam žmogui.

Duomenų saugumas naudojant AI: pagrindai įmonės vadovui

Q: Ar BDAR taikomas naudojant AI?

Taip, Lietuvoje ir visoje Europoje galiojantis BDAR taikomas ir naudojant AI. Už asmens duomenų tvarkymą atsakote jūs, net jei duomenis apdoroja trečios šalies įrankis, todėl reikia turėti teisinį pagrindą.

Kai įmonė pradeda naudoti AI, pirmas klausimas dažnai būna apie naudą, o antras, kartais per vėlai, apie saugumą. Duomenų saugumas naudojant AI nėra techninė smulkmena, kurią galima palikti IT skyriui. Tai vadovo atsakomybė, nes klaida čia kainuoja ir pinigus, ir klientų pasitikėjimą. Štai pagrindai, kuriuos turi suprasti kiekvienas vadovas.

Kur realiai keliauja jūsų duomenys

Svarbiausias klausimas prieš naudojant bet kokį AI įrankį: kur patenka tai, ką į jį suvedate. Ne visi įrankiai vienodi:

Vieni apdoroja duomenis ir jų nesaugo bei nenaudoja mokymui.
Kiti gali naudoti jūsų įvestį savo modelių tobulinimui.
Treti saugo duomenis serveriuose už Europos ribų.

Prieš diegdami įrankį perskaitykite, ką jis daro su jūsų duomenimis. Tai svarbiau nei jo funkcijos.

Kokie duomenys neturi patekti į AI

Ne viską galima suvesti į viešą AI įrankį. Aiški riba padeda išvengti daugumos problemų. Į viešus įrankius neturi patekti:

Klientų asmens duomenys be jų sutikimo.
Konfidenciali komercinė informacija.
Sutartys, finansiniai duomenys, slaptažodžiai.
Bet kas, ko nenorėtumėte pamatyti viešai.

Jei abejojate, laikykite taisyklės: jautrūs duomenys lieka įmonės viduje. Ši viena riba apsaugo nuo daugumos rimčiausių problemų, todėl ją verta įtvirtinti dar prieš pradedant naudoti bet kokį įrankį.

Tiekėjo pasirinkimas

Ne AI įrankis pats sukelia riziką, o neatsakingas tiekėjas. Renkantis vertinkite:

Kur laikomi duomenys. Pirmenybė tiekėjams su serveriais Europoje.
Ar duomenys naudojami mokymui. Verslui reikia įrankio, kuris to nedaro.
Sutarties sąlygos. Aiškiai surašyta atsakomybė ir duomenų tvarkymas.
Sertifikatai. Pripažinti saugumo standartai yra geras ženklas.

Verslo lygio įrankiai dažnai turi griežtesnes duomenų taisykles nei nemokamos versijos. Todėl svarbiam darbui verta rinktis mokamą versiją su aiškiomis sąlygomis, o ne nemokamą, kurios taisyklių niekas neperskaitė.

Darbuotojų taisyklės

Didžioji dalis saugumo problemų kyla ne dėl technologijos, o dėl žmonių, kurie nežino taisyklių. Todėl reikia aiškių, paprastų nurodymų:

Kokius įrankius leidžiama naudoti.
Kokių duomenų negalima suvesti.
Ką daryti kilus abejonei.

Viena aiški vidinė taisyklė apsaugo geriau nei sudėtinga sistema, kurios niekas neskaito.

Teisiniai reikalavimai

Lietuvoje ir visoje Europoje galioja BDAR, kuris taikomas ir naudojant AI. Tai reiškia, kad už asmens duomenų tvarkymą atsakote jūs, net jei duomenis apdoroja trečios šalies įrankis. Prieš diegdami AI procesus su asmens duomenimis įsitikinkite, kad turite teisinį pagrindą ir kad tiekėjas atitinka reikalavimus.

Praktinis pradžios kelias

Saugumas nereiškia, kad reikia atsisakyti AI. Reikia jį naudoti sąmoningai:

Nustatykite, kokius įrankius įmonė naudos.
Apibrėžkite, kokie duomenys leidžiami, o kokie ne.
Trumpai apmokykite komandą.
Peržiūrėkite tiekėjų sąlygas prieš pasirašydami.

Tai keli žingsniai, bet jie atskiria įmonę, kuri naudoja AI atsakingai, nuo tos, kuri laukia problemos.

Trys duomenų lygiai, kurie supaprastina viską

Ilgos saugumo instrukcijos neveikia, nes jų niekas neskaito. Veikia paprasta klasifikacija, kurią žmogus prisimena be dokumento.

Žalia: vieša informacija. Rinkodaros tekstai, viešos kainos, straipsniai, bendri klausimai. Galima naudoti bet kur, taip pat ir nemokamose versijose.
Geltona: vidinė, bet nejautri informacija. Procesų aprašymai, vidiniai pranešimai, juodraščiai be klientų vardų. Leidžiama tik patvirtintuose verslo lygio įrankiuose.
Raudona: jautri informacija. Klientų asmens duomenys, sutartys, finansai, algos, slaptažodžiai, sveikatos ar teisinė informacija. Į išorinius įrankius nekeliauja niekada.

Trys spalvos padengia beveik visus kasdienius atvejus. Kai kyla abejonė, galioja paprasta taisyklė: jei nežinote, tai raudona, kol kas nors nepasakė kitaip.

Kiek duomenų iškeliauja be jūsų žinios

Vadovai dažnai galvoja, kad kol AI įrankis oficialiai neįdiegtas, rizikos nėra. Praktikoje atvirkščiai: rizika didžiausia būtent tada.

Tarkime, įmonėje dirba 25 žmonės. Jei bent 10 iš jų savo iniciatyva naudoja nemokamas versijas, o kiekvienas per savaitę suveda po tris darbinius tekstus, per mėnesį susidaro apie 120 dokumentų, kurių niekas nemato ir neregistruoja. Dalis jų greičiausiai turi klientų pavardes arba kainas.

Uždrausti nepavyks, tai patvirtina beveik kiekvienas bandymas. Pavyksta kita: duoti patvirtintą įrankį ir aiškią ribą. Kai leidžiamas kelias patogesnis už nelegalų, šešėlinis naudojimas nubyra savaime.

Kaip susirašyti taisykles per vieną valandą

Surašykite, kas jau naudojama. Vienas atviras klausimas komandai be kaltinimo tono. Sąrašas beveik visada ilgesnis, nei tikėtasi.
Pasirinkite vieną patvirtintą įrankį. Verslo lygio planą su aiškiomis duomenų sąlygomis. Vienas įrankis, kurį visi naudoja, saugesnis nei penki, kurių niekas nekontroliuoja.
Nustatykite tris duomenų lygius. Su konkrečiais pavyzdžiais iš savo veiklos, ne bendromis formuluotėmis.
Įvardykite, kas atsako. Vienas žmogus, kuriam galima parašyti kilus abejonei tą pačią dieną.
Aprašykite incidento tvarką. Ką daryti, jei kas nors jau suvedė ne tą. Svarbiausia, kad pranešti būtų saugu.
Sutalpinkite į vieną puslapį. Ilgesnio dokumento niekas neskaitys. Detalesnę struktūrą aprašėme straipsnyje apie AI naudojimo politiką įmonėje.

Dažniausios klaidos

Bendras draudimas be alternatyvos. Naudojimas nedingsta, tik pasitraukia iš akių. Sprendimas: patvirtintas įrankis plius aiški riba.
Taisyklės be pavyzdžių. „Nesuveskite konfidencialios informacijos“ kiekvienam reiškia ką kita. Sprendimas: trys konkretūs pavyzdžiai iš savo kasdienybės.
Nemokamų versijų naudojimas rimtam darbui. Jų sąlygos dažnai leidžia įvestį naudoti mokymui. Sprendimas: verslo lygio planas ten, kur dirbama su klientų informacija.
Sutarties neperskaitymas. Tiekėjo pažadas rinkodaros puslapyje nėra įsipareigojimas. Sprendimas: tikrinti sutarties tekstą apie duomenų saugojimą ir mokymą.
Bausmė už pranešimą apie klaidą. Tada apie incidentus nesužinoma iš viso. Sprendimas: aiškiai pasakyti, kad pranešusiam nieko nebus.
Vienkartinis instruktažas. Įrankiai ir sąlygos keičiasi. Sprendimas: trumpa peržiūra bent kartą per pusmetį, geriausia kartu su vadovų komandos susitarimais.

Prieštaravimai ir sąžiningi atsakymai

„Mes maža įmonė, kam mums to reikia.“ Reikalavimai nepriklauso nuo darbuotojų skaičiaus. Klientų duomenys tvarkomi ir penkių žmonių įmonėje, o reputacinė žala mažoje rinkoje pasiekia labiau nei bet kur kitur.

„Tai sulėtins darbą.“ Vieno puslapio taisyklės nesulėtina nieko. Sulėtina priešinga situacija: kai kiekvienas darbuotojas kiekvieną kartą pats sprendžia, ar galima, ir dėl atsargumo nedaro nieko.

„Serveriai Europoje, vadinasi, saugu.“ Vieta yra tik viena sąlyga. Ne mažiau svarbu, ar įvestis naudojama mokymui, kiek laiko saugoma ir kas prie jos prieina tiekėjo pusėje.

„Vis tiek negalime kontroliuoti, ką žmonės daro namuose.“ Tiesa. Todėl ir remiamasi ne kontrole, o aiškia riba ir patogiu leistinu keliu. Platesnę praktinę pusę apžvelgėme straipsnyje apie saugų AI naudojimą įmonėje.

Ką prideda Lietuvos kontekstas

Mažoje rinkoje informacija juda greitai. Kai konkurentų, tiekėjų ir klientų ratas siauras, nutekėjusi kainodara ar pasiūlymo detalė pasiekia adresatą per kelias dienas. Tai ne teorinė rizika, o kasdienė mažos rinkos realybė.

Antras dalykas yra kalbų mišinys. Lietuvos komandos dažnai dirba lietuviškai, angliškai ir rusiškai vienu metu, todėl į vertimo įrankius keliauja sutartys ir klientų susirašinėjimas. Būtent vertimas praktikoje yra dažniausias kelias, kuriuo jautrūs dokumentai išeina iš įmonės.

Trečias yra reguliacinis fonas. Prie BDAR prisideda ES dirbtinio intelekto aktas, kuris dalį pareigų perkelia ir įrankių naudotojams, ne tik jų kūrėjams. Įmonei, kuri jau turi vieno puslapio taisykles ir patvirtintų įrankių sąrašą, prisitaikyti prie jo bus gerokai paprasčiau.

Norite pritaikyti AI saugiai savo įmonėje?

Padedame įdiegti AI taip, kad nauda ateitų be nereikalingos rizikos. Pradėkite nuo nemokamo AI audito arba susisiekite su mumis pokalbiui apie jūsų situaciją.