Tekoälyn tietosuojariskit, jotka jokaisen pienyrityksen tulisi ymmärtää

Kukaan pienyrityksessä ei lähde tarkoituksella vuotamaan asiakastietoja tekoälymalliin. Se tapahtuu kuten useimmat sotkut tapahtuvat — hiljaa, avuliaasti, yksi harmittomalta näyttävä liittäminen kerrallaan. Joku pudottaa asiakkaan sähköpostin chatbotiin laatiakseen kohteliaan vastauksen. Joku lataa nimilistan taulukkona, jotta sen voi ”vain tiivistää”. Joku antaa kiiltävän uuden työkalun lukea koko jaetun postilaatikon, jotta siitä tulisi älykkäämpi. Mikään näistä ei tunnu päätökseltä. Juuri siksi siitä kannattaa puhua.

Työskentelen pienten ja keskisuurten yritysten kanssa, jotka tuovat tekoälyä arkeensa, ja tietosuojakeskustelu on se, jonka ihmiset useimmin haluavat ohittaa. Se kuulostaa juristeilta, vaatimustenmukaisuudelta ja lomakkeilta — vastakohdalta sille nopeudelle, jonka vuoksi he tulivat tekoälyn pariin. Mutta tässä se juju: sinun ei tarvitse tulla tietosuoja-asiantuntijaksi. Tarvitset selkeän käsityksen siitä, missä todelliset riskit ovat, mitkä niistä todella koskevat kokoistasi yritystä, ja kourallisen tapoja, jotka pitävät sinut poissa hankaluuksista. Siinä koko homma, ja se on pienempi kuin miltä näyttää.

Tämä ei ole pelottelukirjoitus eikä luento säännöksistä, joita et koskaan lue. Tämä on käytännön versio: mihin tietoihin tekoälytyökalut todella koskevat, missä se voi mennä pieleen ja miten jatkaa tekoälyn käyttöä makaamatta valveilla miettien, kenen palvelimilla asiakaslistasi lepää.

Mikä todella muuttui, kun tekoäly ilmestyi

Vuosien ajan yrityksesi käsittelemät tiedot pysyivät enimmäkseen siellä, minne ne laitoit — kirjanpito-ohjelmistossasi, postilaatikossasi, jaetulla levyllä. Riskialtista toki, mutta rajattua. Generatiivinen tekoäly mursi tuon rajan hiljaa. Näiden työkalujen koko idea on, että syötät niille todelliset, tarkat tietosi ja ne tekevät niillä jotain hyödyllistä. Mikä tarkoittaa, että tietosi matkaavat nyt jonnekin uuteen, usein palvelimelle, jota et omista, maahan, jota et valinnut, sellaisen yrityksen pyörittämänä, jolle et ole koskaan puhunut.

Se ei ole itsessään huono asia. Monet maineikkaat tekoälytoimittajat käsittelevät tietoja huolellisesti. Mutta oletukset muuttuivat, eikä useimmat päivittäneet omiaan. Ajatusmalli ”tietoni pysyvät rakennuksessani” ei yksinkertaisesti selviä kohtaamisesta selaimen kautta käytettävän chatbotin kanssa. Kun hyväksyt tämän, lopusta tulee paljon helpompi päätellä.

Minne tietosi todella menevät

Riskin arvioimiseksi sinun on tiedettävä, mitä tekstinpätkälle tapahtuu, kun painat lähetä. Tyypillisellä pilvipohjaisella tekoälytyökalulla syötteesi matkaa toimittajan palvelimille, malli käsittelee sen, ja vastaus palaa. Yksinkertaista. Merkitykselliset kysymykset ovat ne, joita kukaan ei kysy sillä hetkellä: Tallennetaanko tuo syöte? Kuinka pitkäksi aikaa? Kuka voi nähdä sen? Ja käytetäänkö sitä tulevien mallien kouluttamiseen?

Nuo neljä kysymystä ovat koko tietosuojakeskustelu pienoiskoossa. Saman yrityksen kuluttajan ilmaistaso ja maksullinen yrityssuunnitelma voivat vastata niihin täysin eri tavoin. Työkalun ilmaisversio saattaa säilyttää syötteesi ja käyttää niitä mallin parantamiseen; saman työkalun yritysversio usein lupaa, ettei se tallenna tietojasi tai kouluta niillä lainkaan. Sama logo, hyvin erilainen sopimus. Ero piilee siinä suunnitelmassa, jolla olet, ja niissä asetuksissa, joita et koskaan avannut.

Riskit, joilla todella on merkitystä pienyritykselle

Tietosuojaoppaat rakastavat listata kaksikymmentä uhkaa, joista useimmat koskevat pankkia eivätkä 12 hengen yritystä. Karsin ne siihen kouralliseen, joka todella puree pienyrityksiä. Nämä ovat ne, joiden olen nähnyt aiheuttavan todellista päänvaivaa.

Tietojen vuotaminen, joita et tarkoittanut jakaa

Tämä on arkipäiväinen. Työntekijä liittää asiakkaan koko viestin — nimen, osoitteen, tilauksen tiedot, ehkä valituksen — chatbotiin saadakseen apua vastaamiseen. Harmiton aikomus, mutta nuo henkilötiedot on nyt lähetetty kolmannelle osapuolelle, mahdollisesti tallennettu, mahdollisesti käytetty koulutukseen. Kerro tämä kiireisellä tiimillä vuoden aikana, ja olet hiljaa toimittanut merkittävän siivun asiakaskunnastasi jonkun toisen palvelimille ilman merkintää siitä ja ilman asianosaisten suostumusta.

Tietosi kouluttamassa jonkun toisen mallia

Jos työkalu käyttää syötteitäsi mallinsa parantamiseen, tietojesi palasia voi periaatteessa nousta esiin muualla myöhemmin. Useimmille pienyrityksille realistinen huoli ei ole, että kilpailija loihtisi hinnastosi esiin — vaan hallinnan menetys ja suostumusongelma. Lupasit asiakkaille huolehtivasi heidän tiedoistaan. Niiden syöttäminen malliin, joka oppii niistä, on vaikea sovittaa tuohon lupaukseen, ja mahdoton perua.

Työkalu, jonka kytkit kiinni mitään lukematta

Yrityksesi riskialttein tekoäly on usein se pieni, jota kukaan ei tarkistanut — selainlaajennus, ”yhdistä postilaatikkosi” -sovellus, ilmainen litterointityökalu, jonka joku löysi. Nämä voivat pyytää laajan pääsyn sähköpostiin, tiedostoihin tai kalentereihin, ja monet ovat ohut kuori suuremman tekoälytoimittajan ympärillä, jota et näe. Vaara eivät ole kuuluisat työkalut, jotka auditoidaan. Vaan ne unohdettavat, joilla on laajat oikeudet ja tietosuojaseloste, jota kukaan ei avannut.

Itsevarmasti väärät vastaukset todellisista ihmisistä

On tietosuojanäkökulma, joka jää huomaamatta: tekoäly voi tuottaa uskottavaa, väärää tietoa tietystä henkilöstä tai tapauksesta. Jos tuo keksitty yksityiskohta päätyy asiakastietoon, suositukseen tai päätökseen, joka vaikuttaa johonkin, sinulla on sekä tarkkuusongelma että tietosuojaongelma. Kaikki, mitä tekoäly väittää todellisesta yksilöstä, vaatii ihmisen tarkistuksen, ennen kuin sitä kohdellaan faktana.

• Asiakkaiden henkilötiedot liitettyinä kuluttajatason työkaluihin, jotka voivat tallentaa ne tai kouluttaa niillä.
• Luottamukselliset sopimukset, hinnoittelu tai strategia jaettuna mallin kanssa, jonka kanssa sinulla ei ole sopimusta.
• Työntekijöiden tiedot — terveysmerkinnät, suoriutuminen, palkat — ajettuna yleisten chatbotien läpi.
• Kolmannen osapuolen tekoälylisäosat, joille on myönnetty laaja pääsy postilaatikkoosi, tiedostoihisi tai kalenteriisi.
• Tekoälyn tuottamat väitteet todellisista ihmisistä kopioituna tietoihin ilman ihmisen tarkistusta.
• Kokonaiset jaetut postilaatikot tai levyt yhdistettynä työkaluun, jonka ehtoja kukaan ei lukenut.

Mitä säännöt edellyttävät (ilman juridista päänvaivaa)

Jos käsittelet kenenkään Euroopassa olevan tietoja — ja lähes jokainen yritys käsittelee — GDPR koskee jo tapaasi käyttää tekoälyä. Sinun ei tarvitse painaa sitä mieleen, mutta muutama periaate kääntyy suoraan maalaisjärjeksi. Olet vastuussa henkilötiedoista, vaikka työkalu käsittelee niitä puolestasi. ”Tekoäly teki sen” ei ole puolustus. Jos luovutat asiakastietoja toimittajalle, sinulta odotetaan asianmukaista sopimusta siitä, miten ne käsittelevät niitä.

Periaatteet, joilla on käytännössä eniten merkitystä, ovat ne tylsät, järkevät: jaa vain tietoja, joita todella tarvitset (älä liitä koko tietuetta, kun pätkä riittäisi), ole läpinäkyvä ihmisille siitä, miten heidän tietojaan käytetään, säilytä niitä vain niin kauan kuin tarpeen, ja kykene täyttämään pyynnöt päästä tietoihin tai poistaa ne. Tekoäly ei muuta näitä velvollisuuksia — se vain tekee niiden unohtamisesta helpompaa, koska työkalu tuntuu yksityiseltä avustajalta eikä ulkopuoliselta yritykseltä.

Pilvi, yksityinen pilvi vai pidetäänkö se talon sisällä?

Kaikki tekoäly ei asu vieraan palvelimella. On olemassa kirjo, ja sen tunteminen auttaa sovittamaan työkalun tietojen arkaluonteisuuteen. Toisessa päässä on julkinen pilvityökalu — nopea ottaa käyttöön, halvin aloittaa, mutta tietosi poistuvat hallinnastasi. Keskellä on yritystason pilvijärjestely sopimusperusteisin takuin: ei koulutusta tiedoillasi, selkeä säilytys, käsittely hyväksymälläsi alueella. Useimmille pienyrityksille tuo keskimmäinen vaihtoehto on arkityön kultainen keskitie.

Kauimmaisessa päässä on tekoälyn ajaminen omalla infrastruktuurillasi — paikallisesti tai hallitsemassasi yksityisessä ympäristössä — niin että arkaluonteiset tiedot eivät poistu seiniesi sisältä lainkaan. Tämä oli ennen eksoottista ja kallista. Ei ole enää. Kyvykkäät avoimet mallit voivat nyt ajaa laitteistolla, jonka keskisuuri yritys voi kohtuudella omistaa, ja yrityksille, jotka käsittelevät aidosti arkaluonteista materiaalia — terveystietoja, oikeudellisia tiedostoja, mitä tahansa, jossa luottamuksellisuus on tuote — se on yhä useammin järkevä oletus eikä ylellisyys.

Ansa on kohdella tätä kaikki tai ei mitään -asiana. Sinun ei tarvitse valita yhtä mallia koko yritykselle. Fiksumpi kaava on lajitella tietosi arkaluonteisuuden mukaan ja reitittää ne sen mukaisesti: markkinointitekstit ja yleiset kysymykset voivat huoletta käyttää hyvää pilvityökalua, kun taas kaikki, mikä koskee todellisia asiakastietoja, terveystietoja tai luottamuksellisia sopimuksia, kulkee hallitun tai talon sisäisen järjestelyn kautta. Yksi yritys, kaksi kaistaa.

Käytännön tarkistuslista, jonka voit todella toteuttaa

Tässä se osa, jonka voit tehdä tässä kuussa ilman konsulttia tai vaatimustenmukaisuusprojektia. Mikään siitä ei ole raskasta. Kyse on enimmäkseen asioiden päättämisestä tarkoituksella eikä vahingossa.

1. 1
   Listaa jo käytössä olevat tekoälytyökalut

   Kysy tiimiltäsi — rehellisesti, syyttelemättä — mitä tekoälytyökaluja he käyttävät, mukaan lukien ilmaiset henkilökohtaiset tilit ja selainlaajennukset. Et voi suojata tietoja, jotka virtaavat työkalujen läpi, joiden olemassaolosta et tiedä.
2. 2
   Lajittele tietosi arkaluonteisiin ja ei

   Vedä karkea raja. Asiakkaiden henkilötiedot, työntekijöiden tiedot, sopimukset ja hinnoittelu toiselle puolelle; yleinen luonnostelu, ideointi ja julkinen tieto toiselle. Tämä yksi jako ohjaa jokaista muuta päätöstä.
3. 3
   Siirrä todellinen työ yrityssuunnitelmiin

   Kaiken arkaluonteiseen puoleen koskevan osalta vaihda kuluttaja-/ilmaistasoilta yrityssuunnitelmaan, joka sopimusperusteisesti ei tallenna tietojasi tai kouluta niillä ja jolla on DPA.
4. 4
   Kirjoita yksi lyhyt tekoälyn käyttösääntö

   Puoli sivua: mitkä työkalut on hyväksytty, mitä ei saa koskaan liittää julkiseen työkaluun ja keneltä kysyä epävarmana. Yksinkertainen ja luettu voittaa perusteellisen ja sivuutetun.
5. 5
   Lukitse arkaluonteinen kaista

   Aidosti luottamuksellisille tiedoille valitse hallittu tai paikallinen järjestely, niin etteivät ne poistu ympäristöstäsi — ja lakkaa yrittämästä tehdä julkisesta työkalusta riittävän turvallista niille.

Siinä se. Viisi askelta, eikä yksikään dramaattinen. Tavoite ei ole täydellinen linnoitus — vaan helppojen, vahingossa tapahtuvien vuotojen poistaminen, jotka muodostavat ylivoimaisen enemmistön tosielämän tapahtumista. Hoida ne, niin olet jo useimpien kokoistesi yritysten edellä.

Se osa, jota tekniikka ei voi korjata

Voit ostaa maailman yksityisimmän järjestelyn ja silti saada ongelman, koska tietosuoja pienyrityksessä on enimmäkseen tapoja, ei infrastruktuuria. Vuoto ei juuri koskaan tule ovelasta hyökkääjästä. Se tulee avuliaasta työntekijästä aikapaineessa, joka liittää väärän asian väärään kenttään, koska kukaan ei kieltänyt häntä ja koska työkalu sai sen tuntumaan täysin normaalilta.

Joten vaikuttavin asia, jonka voit tehdä, ei ole lainkaan tekninen. Se on oikein tekemisen tekeminen ilmeiseksi ja helpoksi: yksi hyväksytty työkalu arkaluonteiseen työhön, yhden rivin sääntö, jonka kaikki todella tietävät, ja kulttuuri, jossa kysyminen ”onko ok laittaa tämä tänne?” on normaalia eikä ärsyttävää. Tekniikka asettaa rajat. Ihmiset päättävät, kunnioitetaanko niitä — ja he kunnioittavat, jos teet turvallisesta polusta sen helpon.

Yleisiä kysymyksiä