Генеративният ИИ във фирмата: бизнес версии, лични данни и Актът за ИИ

Внедряването на генеративен изкуствен интелект в корпоративна среда отдавна надхвърли етапа на индивидуални експерименти със софтуер за свободен достъп. Ръководителите на компании вече търсят устойчиви инструменти, които повишават продуктивността, но това поставя на преден план въпросите за сигурността, данните и регулаторния комплаенс. Масовите потребителски версии на чатботовете не отговарят на изискванията на бизнеса. Това наложи появата на специализирани корпоративни продукти.

Какво предлагат бизнес версиите

На 28 август 2023 г. OpenAI представи ChatGPT Enterprise като отговор на нуждите на организациите от сигурност и поверителност на корпоративно ниво. Версията включва административна конзола, единично влизане (SSO) и проверка на домейна, които дават на ИТ отделите необходимия контрол върху достъпа на служителите.

Постепенно портфолиото от бизнес решения се разшири. Ангажиментите на OpenAI за корпоративна поверителност вече обхващат ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare, ChatGPT for Teachers и API платформата. За разлика от безплатните версии, при тези решения по подразбиране данните на потребителите и въведените разговори не се използват за обучение на базовите модели. Това намалява риска служебна информация да попадне в обучението на моделите, но не замества вътрешните правила какво може да се въвежда в чатбота.

Данните на компанията: обучение, криптиране, договор за обработване

Преди да се интегрира какъвто и да е инструмент за изкуствен интелект, правният и техническият екип трябва да прегледат параметрите на сигурност. При корпоративните версии разговорите са криптирани както при пренос, така и в покой, а самите продукти покриват стандарти за сигурност като SOC 2.

Ключов елемент за съответствието с европейското законодателство е договорът за обработване на данни. Доставчиците на бизнес версии като ChatGPT Business, ChatGPT Enterprise и API сключват такъв тип споразумения (DPA) със своите клиенти. Този документ дефинира ролите на администратор и обработващ лични данни, което е задължително изискване за всяко дружество, обработващо информация за европейски граждани.

GDPR и ИИ моделите: становището на ЕКЗД

Съответствието с Общия регламент относно защитата на данните (GDPR) остава отговорност на самата компания, която използва ИИ услугата, а не само на нейния доставчик. Европейският комитет по защита на данните (ЕКЗД) прие Становище 28/2024 за ИИ моделите по искане на ирландския надзорен орган, което хвърля светлина върху практическото прилагане на правилата.

В документа си ЕКЗД посочва няколко основни принципа: * Анонимността на един ИИ модел се преценява за всеки отделен случай, а не по презумпция. * Законният интерес може да служи за правно основание само след задълбочен тест в три стъпки, при доказана строга необходимост и спазен баланс на правата. * Използването на модел, създаден първоначално с незаконосъобразно обработени лични данни, може да засегне законосъобразността на крайния продукт, освен ако моделът не е бил надлежно анонимизиран.

Актът за ИИ: какво засяга фирмата, която само използва ChatGPT

Компания, която внедрява готов чатбот за вътрешна работа, по Акта за ИИ обикновено е „внедрител“, а не доставчик. Задълженията на доставчиците на модели с общо предназначение, като OpenAI, се прилагат от 2 август 2025 г. и не падат върху клиента. За фирмата-потребител най-прякото задължение е ИИ грамотността по член 4. Доставчиците и внедрителите трябва да предприемат мерки служителите, които работят със системите, да разбират възможностите и ограниченията им според своите знания и контекста на употреба. Ако компанията използва ИИ в области от приложение III, например при подбор на персонал, тя трябва да следи и сроковете за високорисковите системи. Те бяха отложени до 2 декември 2027 г. Пълният график след Digital Omnibus е описан в отделен материал за сроковете по Акта за ИИ.

Преди да купите лицензи

Решението за корпоративна версия е по-скоро договорно, отколкото технологично. Преди подписване си струва да се проверят четири неща:

1. Коя версия точно купувате. Ангажиментите на OpenAI за поверителност се отнасят до бизнес продуктите и API, а не до личните профили на служителите. Ако хората продължават да ползват безплатни акаунти за служебни задачи, корпоративният лиценз не решава проблема.
2. Подписан ли е DPA. OpenAI предлага споразумение за обработване на данни за ChatGPT Business, ChatGPT Enterprise и API, но то се сключва отделно, чрез формуляр. А GDPR (чл. 28) изисква обработването от външен обработващ да е уредено с договор.
3. Кой определя срока за съхранение. В Enterprise администраторите на работното пространство управляват колко дълго се пазят данните. Срокът трябва да съвпада с вътрешните правила за документи.
4. Какво казва вътрешната политика. Правило кои данни могат да се въвеждат в чатбота (например без лични данни на клиенти и без класифицирана информация) и кратко обучение на служителите покриват и изискването за ИИ грамотност.