GDPR-nek megfelelő AI a gyakorlatban

A prompt is adatkezelés

A GDPR megengedi az AI használatát. Azt követeli meg, hogy tudd: milyen személyes adat hová kerül, milyen jogalapon, és ki fér hozzá. AI-nál ez egyetlen mondat: a prompt is adatkezelés. Ha ügyfél, munkavállaló vagy páciens adata van benne, minden szabály vonatkozik rá, ami bármilyen más adattovábbításra.

A CLOUD Act: amit az „EU-s régió” elrejt

Az amerikai CLOUD Act (2018) alapján az USA hatóságai amerikai illetőségű szolgáltatót akkor is adatkiadásra kötelezhetnek, ha az adatot az EU-ban tárolja. Egy amerikai felhő- vagy AI-szolgáltató „frankfurti régiója” földrajzilag Európában van, a joghatóság szempontjából viszont nem feltétlenül. Amerikai szolgáltatót továbbra is lehet használni; a kitettséget viszont az adatvédelmi tisztviselődnek is értékelnie kell, és az „adat az EU-ban marad” állítás önmagában kevés. A teljes kérdés így hangzik: hol van az adat, és kinek a joga ér el odáig?

Az egyenes válasz: EU-ban álló hardver, EU-s joghatóság alá tartozó üzemeltetővel, amerikai adatfeldolgozó nélkül az útvonalon. A saját hardvered vagy a saját EU-s szolgáltatódé mindkettőt megadja.

Öt dolog, amit minden AI-szállítótól követelj meg

EU-s tárolás és EU-s üzemeltető

Hol fut pontosan a modell, és ki az üzemeltető tulajdonosa? Az EU-s régió még nem EU-s joghatóság. Mindkettőt követeld meg: EU-ban álló hardvert és EU-s jog alá tartozó üzemeltetőt.

Adatfeldolgozói szerződés a teljes útvonalra

Ne csak a chatre: promptok, naplók, embeddingek, mentések. Melyik hol tárolódik, ki fér hozzá üzemeltetőként, és hol naplózzák ezt a hozzáférést?

Tanulás az adataidból: írásban kizárva

A saját hardveredre töltött nyílt modellek semmin nem tanulnak. Bárki is a szállító, a tanulást kizáró vállalás kerüljön a szerződésbe; a GYIK-ben kevés.

Igazolható törlés és export

Megőrzés, amit te szabályozol, törlés, amit igazolni tudsz, és dokumentált exportút határidőkkel, ha kilépsz.

Vállalás, ami mögött van valami

Szerződésbe írt rendelkezésre állási és helyreállítási elvárások, és olyan infrastruktúra (redundancia, mentés, monitorozás), amely hitelessé teszi őket. Ha a platform a saját hardvereden fut, ezt a szerződést a saját üzemeltető csapatoddal vagy a szolgáltatóddal kötöd, és meg tudod nézni, mi áll mögötte.

Hogyan válaszol ezekre az ATAILA?

Az ATAILA egy platform, amelyet a saját hardvereden futtatsz, vagy a szolgáltatód futtat neked, az ISO/IEC 42001 és az EU AI Act követelményei szerint építve. A GDPR szempontjából az számít, hogy a promptok, a dokumentumok, a naplók és az embeddingek a te gépeiden maradnak. Semmilyen modell nem tanul az adataidból, mert nyílt modellekről van szó, amelyeket te töltöttél be. Minden kérés, minden felhasználó és minden kiadás naplózva van, így az auditor látja, ki mit tett.

Az adataid, a kódod, a modelljeid és a mentéseid a tieid, a kilépést pedig a szerződés rögzíti: hivatalos szerzői jogi letét és írásos kötelezettségvállalás. A rendelkezésre állási vállalást a saját csapatod vagy a szolgáltatód írja alá, olyan hardveren, amelyet magad is megvizsgálhatsz; az ATAILA frissítésekkel, biztonsági javításokkal és gyártói támogatással áll mögöttük.