ChatGPT dla firm: jak bezpiecznie używać danych klientów
ChatGPT może pomóc zespołowi w obsłudze zapytań, ale dane klientów wymagają jasnych zasad. Sprawdź, jak dobrać konto, ograniczyć informacje w promptach i ocenić obowiązki firmy.
ChatGPT dla firm może pomóc w przygotowaniu odpowiedzi na zapytania, streszczeniu korespondencji czy uporządkowaniu informacji o kliencie. Bezpieczne użycie zaczyna się jednak od decyzji, jakie dane wolno przekazać, komu i w jakim celu. Sam wybór planu biznesowego nie zwalnia firmy z oceny przetwarzania danych osobowych ani z ustalenia zasad pracy zespołu.
W skrócie
- Do pracy z informacjami firmowymi polecam zatwierdzone przez firmę konto lub rozwiązanie, a nie prywatne konto pracownika.
- Zanim wkleisz dane klienta, sprawdź, czy są konieczne. Usunięcie nazwiska, e-maila, numeru telefonu i innych identyfikatorów ogranicza zakres przekazywanych danych, ale samo w sobie nie gwarantuje anonimizacji. Sprawdź też, czy osobę można rozpoznać na podstawie pozostałego kontekstu.
- Polecam ustalić cel, zakres dostępu, czas przechowywania, zasady udostępniania rozmów i sposób sprawdzania odpowiedzi.
- Jeśli narzędzie przetwarza dane osobowe w imieniu firmy, oceń umowę, w tym warunki powierzenia przetwarzania.
ChatGPT dla firm a dane klientów: jakie konto wybrać?
Różnica między kontem osobistym a firmowym ma znaczenie dla zarządzania danymi. OpenAI podaje, że w ChatGPT Business, ChatGPT Enterprise i API treści nie są domyślnie używane do trenowania modeli. W osobistym obszarze roboczym planów Free, Plus i Pro udostępnianie danych do ulepszania modeli jest domyślnie włączone, choć użytkownik może je wyłączyć dla nowych rozmów w ustawieniach. Opis ustawień danych OpenAI przedstawia te różnice. To ważny argument za firmowym rozwiązaniem, ale nie jest równoznaczny z pełną zgodnością z RODO.
| Sposób korzystania | Co warto wiedzieć | Praktyczna zasada |
|---|---|---|
| Prywatne konto pracownika | Ustawienia konta mogą pozwalać na użycie nowych rozmów do ulepszania modeli. | Nie wklejaj danych klientów bez firmowej zgody i oceny zasad. |
| ChatGPT Business lub Enterprise | Dane firmowe nie są domyślnie używane do trenowania; dostępne są funkcje zarządzania przestrzenią roboczą. | Ustal role, zasady udostępniania i retencję. |
| API | Wejścia i odpowiedzi są objęte domyślnymi zasadami biznesowymi; trzeba sprawdzić warunki konkretnej integracji i jej ustawienia. | Oceń cały przepływ: aplikację, dostawcę, logi oraz systemy połączone. |
OpenAI opisuje zabezpieczenia i zasady przetwarzania danych biznesowych, w tym szyfrowanie danych w spoczynku i podczas przesyłania. Firma powinna jednak sprawdzić konkretne funkcje używane w jej środowisku, warunki umowy i konfigurację. Nie zakładaj, że właściwości jednego planu automatycznie dotyczą każdego narzędzia z funkcją AI.
Co RODO oznacza w codziennej pracy z ChatGPT?
Jeżeli prompt zawiera dane pozwalające zidentyfikować osobę, firma nadal musi określić cel i podstawę przetwarzania oraz zadbać o ograniczenie danych do tego, co potrzebne. RODO wymaga między innymi minimalizacji danych, ochrony danych w fazie projektowania i dobrania środków bezpieczeństwa do ryzyka. W przypadku przekazania przetwarzania dostawcy należy sprawdzić wymagania dotyczące umowy z podmiotem przetwarzającym. Tekst RODO w EUR-Lex opisuje te obowiązki w art. 5, 25, 28 i 32.
Jeśli dostawca przetwarza dane osobowe w imieniu firmy, sprawdź, czy właściwe warunki powierzenia obejmują konkretną usługę. OpenAI publikuje aktualny dodatek dotyczący przetwarzania danych. Opisuje on przetwarzanie danych klientów w ramach usług objętych umową OpenAI i samym DPA. Przed wdrożeniem sprawdź, czy ten dokument lub umowa podpisana przez firmę obejmuje wybrany produkt i sposób korzystania. Sama dostępność dokumentu nie przesądza, że firma spełniła wszystkie własne obowiązki.
Przykład: pracownik biura nieruchomości chce poprosić model o skrócenie wiadomości od osoby zainteresowanej mieszkaniem. Zamiast wklejać pełną korespondencję z imieniem, numerem telefonu, adresem e-mail i szczegółami sytuacji życiowej, może opisać sprawę ogólnie: „Klient pyta o termin oglądania mieszkania i możliwość posiadania psa. Przygotuj uprzejmą odpowiedź z prośbą o dwa proponowane terminy”. Jeśli odpowiedź ma bazować na konkretnej ofercie, można podać jej publiczne lub zatwierdzone informacje, bez danych identyfikujących rozmówcę.
Jak przygotować bezpieczny sposób pracy
- Opisz zastosowanie. Polecam zapisać, do czego zespół użyje ChatGPT, na przykład do redagowania odpowiedzi, streszczania zapytań lub porządkowania firmowego FAQ. Osobno określ zastosowania wyłączone, takie jak wklejanie dokumentów tożsamości albo pełnych historii spraw.
- Wybierz zatwierdzone środowisko. Ustal, kto zakłada konta, kto nimi zarządza i jakie integracje są dopuszczone. OpenAI podaje, że w ChatGPT Business każdy użytkownik ma własną historię rozmów, a inni członkowie nie widzą jej automatycznie. Rozmowę można jednak udostępnić linkiem, dlatego pracownik powinien sprawdzić zawartość przed udostępnieniem. Zasady przestrzeni ChatGPT Business opisują widoczność rozmów i udostępnianie.
- Ogranicz prompt. Polecam przed przekazaniem treści do modelu usunąć dane zbędne do wykonania zadania, a potem sprawdzić, czy pozostały kontekst nadal pozwala rozpoznać osobę. Jeśli potrzebujesz tylko tonu wiadomości, użyj krótkiego opisu bez danych identyfikujących zamiast całego wątku.
- Sprawdź umowy i przepływ danych. Zidentyfikuj dostawców i połączone narzędzia, na przykład CRM, pocztę lub arkusz. Ustal, które dane trafiają do każdego z nich, kto ma do nich dostęp i jak długo są przechowywane.
- Ustal kontrolę odpowiedzi. ChatGPT może przygotować szkic, ale człowiek powinien zweryfikować fakty, ton i to, czy odpowiedź nie ujawnia informacji o innej osobie. W sprawie reklamacji, płatności lub danych szczególnej kategorii warto stosować dodatkową kontrolę i ograniczyć automatyczne decyzje.
- Przeszkol zespół i wracaj do zasad. Pokaż pracownikom bezpieczny przykład promptu, sposób zgłaszania pomyłki oraz procedurę na wypadek przypadkowego wklejenia poufnych danych. Przeglądaj zasady, gdy zmieniają się narzędzia, integracje lub zadania.
Gdzie AI pomaga, a gdzie potrzebna jest ostrożność?
W firmie usługowej ChatGPT może pomóc ujednolicić odpowiedzi na powtarzalne pytania, przygotować projekt wiadomości po zapytaniu lub streścić anonimowe uwagi klientów. Zespół nadal powinien zatwierdzać odpowiedź przed wysłaniem, zwłaszcza gdy zawiera termin, cenę, warunek umowy albo informację o konkretnej osobie.
Inny przypadek to obsługa klienta na stronie. Jeśli asystent odpowiada z firmowej wiedzy, zbiera potrzebne informacje i przekazuje zapytanie zespołowi, trzeba zaplanować, jakie pola są rzeczywiście potrzebne i dokąd trafiają. Zbieranie przez chat imienia i telefonu jest innym przepływem niż użycie ChatGPT przez pracownika do redakcji odpowiedzi. W obu przypadkach firma powinna jasno określić cel, zakres i dostęp do danych.
Nie traktuj odpowiedzi modelu jako potwierdzenia, że dane są prawidłowe albo że wolno je przetwarzać. Model może przeformułować treść, pomylić szczegół lub dopisać brakujący fakt. Dlatego przydatne są ograniczony zakres zadań, dostęp do aktualnej wiedzy firmowej i sprawdzenie odpowiedzi przed przekazaniem jej klientowi.
FAQ
Czy można wpisywać dane klientów do ChatGPT?
To zależy od celu, rodzaju danych, podstawy przetwarzania, wybranego planu i umów. Przed użyciem danych osobowych określ, czy są potrzebne i czy firma może przekazać je dostawcy w danym celu. Gdy wystarczy opis bez danych identyfikujących, wybierz właśnie taki wariant i sprawdź, czy kontekst nie pozwala rozpoznać osoby.
Czy ChatGPT Business używa danych firmy do trenowania modeli?
Według OpenAI dane z ChatGPT Business nie są domyślnie wykorzystywane do trenowania modeli. Nadal sprawdź warunki produktu, ustawienia przestrzeni roboczej i proces udostępniania rozmów. OpenAI opisuje zasady prywatności i udostępniania w Business.
Czy wyłączenie trenowania wystarczy, żeby spełnić RODO?
Nie. To ustawienie dotyczy wykorzystania danych do trenowania, a zgodność obejmuje też między innymi cel i podstawę przetwarzania, minimalizację, przejrzystość, umowy oraz środki bezpieczeństwa. Zakres obowiązków zależy od konkretnego użycia.
Czy mogę wkleić całą rozmowę z klientem, żeby ChatGPT ją streścił?
Najpierw sprawdź, czy potrzebna jest cała treść. Często wystarczy fragment albo krótki opis problemu z usuniętymi identyfikatorami, ale sprawdź też, czy osoba nie jest rozpoznawalna po kontekście. Pełna korespondencja może zawierać informacje, których model nie potrzebuje do wykonania zadania.
Czy pracownicy mogą udostępniać rozmowy z ChatGPT Business?
Mogą udostępniać wybrane rozmowy linkiem w ramach przestrzeni roboczej. Przed udostępnieniem trzeba sprawdzić, czy rozmowa nie zawiera danych klienta, załączników lub innych treści, których odbiorca nie powinien widzieć.
Co dalej
Przed uruchomieniem asystenta na stronie sprawdź też przewodnik Chatbot, RODO i AI Act: co sprawdzić przed wdrożeniem. Pomaga uporządkować pytania o dane, obowiązki i zakres działania chatbota.