Dirbtinis intelektas ir privatumas darbe: kaip neatskleisti konfidencialių duomenų naudodami DI įrankius

Dirbtinio intelekto pokalbių įrankiai ir teksto generatoriai jau tapo įprastu kasdieniu pagalbininku daugelyje biurų. Jie padeda sutrumpinti tekstus, parengti laiškų šablonus, sugalvoti idėjų ar patikrinti formuluotes.

Kartu atsiranda ir mažiau matoma rizika: kiekvienas į DI įrankį įkeltas sakinys tampa duomenimi, kuris gali būti saugomas, analizuojamas ar naudojamas modeliams tobulinti. Todėl privatumas ir konfidencialių duomenų apsauga tampa ne teoriniu, o labai praktiniu klausimu.

Kas nutinka tekstui, kurį įkeliame į DI

Dauguma populiarių DI įrankių veikia debesijos principu: tai reiškia, kad jūsų suvestas tekstas iškeliauja į tiekėjo serverius. Ten jis apdorojamas, iš jo sugeneruojamas atsakymas ir tik tada grįžta į jūsų ekraną.

Priklausomai nuo paslaugos nustatymų, dalis šių duomenų gali būti saugoma ilgesnį laiką, naudojama modelio kokybei gerinti arba statistinei analizei. Ne visi vartotojai įdėmiai perskaito paslaugos sąlygas, todėl dažnai nežino, kokios taisyklės taikomos jų įkeltiems tekstams.

Kokią informaciją ypač rizikinga dėti į DI

Saugumo požiūriu svarbiausia suprasti, kokių duomenų geriau apskritai nekišti į viešus DI įrankius, ypač tada, kai naudojama nemokama arba asmeninė paskyra, o ne speciali verslo licencija.

Yra kelios jautrių duomenų grupės, su kuriomis derėtų elgtis itin atsargiai: asmens duomenys, komercinės paslaptys, vidinių sistemų informacija ir sutartyse apibrėžti konfidencialūs duomenys.

Asmens duomenys ir jautri informacija apie žmones

Asmens duomenys yra bet kokia informacija, leidžianti tiesiogiai ar netiesiogiai atpažinti konkretų žmogų: vardas ir pavardė, elektroninio pašto adresas, telefono numeris, asmens kodas, darbo vieta, pareigos, kartu su aprašytais konteksto elementais.

Dar jautresni yra sveikatos, finansiniai, socialinės padėties ar drausminių priemonių duomenys. Tokia informacija ES duomenų apsaugos teisėje laikoma specialių kategorijų duomenimis, kuriems taikomi griežtesni reikalavimai. Juos be aiškaus teisinio pagrindo ir saugumo priemonių dėti į viešus DI įrankius nereikėtų.

Komercinės paslaptys ir vidinės darbo detalės

Daugelio organizacijų sutartyse aiškiai apibrėžiama, kas laikoma komercine paslaptimi: klientų sąrašai, kainodaros principai, plėtros planai, dar nevieši produktų aprašymai, pirkimų strategijos ir panašiai.

Jei šią informaciją kopijuojate į DI pokalbį, tam tikra prasme perkeliate ją į trečiosios šalies infrastruktūrą. Net jei duomenys vėliau neatsiras viešai, atsiranda papildomas rizikos sluoksnis, nes jų saugumas priklauso nuo paslaugos tiekėjo sistemų ir procesų.

Kaip atpažinti pavojingą užklausą prieš ją siunčiant

Prieš kopijuodami tekstą į DI langą, stabtelėkite ir užduokite sau kelis kontrolinius klausimus. Tai padeda išvengti neapgalvotų klaidų, kurios gali kainuoti brangiai tiek teisiškai, tiek reputaciškai.

Praktikoje veikia paprastas filtras: jei tą patį tekstą jums būtų nejauku parodyti nepažįstamam žmogui ar konkurentui, jis tikriausiai neturėtų atsidurti viešame DI įrankyje be papildomų saugumo priemonių.

Trys klausimai prieš spaudžiant „Siųsti“

• Ar šiame tekste tiesiogiai ar netiesiogiai minimi konkretūs žmonės, kuriuos būtų galima atpažinti?
• Ar ši informacija galėtų pakenkti organizacijai, jei ją pamatytų konkurentas ar žiniasklaida?
• Ar sutartyse, vidinėse taisyklėse ar teisės aktuose nėra nuostatų, draudžiančių tokius duomenis perduoti trečiosioms šalims?

Jei bent į vieną klausimą atsakote „taip“, verta ieškoti alternatyvaus būdo: tekstą anonimizuoti, apibendrinti arba pasinaudoti organizacijos patvirtintais įrankiais, kuriems taikomos griežtesnės apsaugos priemonės.

Anonimizavimas ir apibendrinimas: kaip „išvalyti“ tekstą

Vienas praktiškiausių būdų suderinti DI patogumą su privatumo reikalavimais yra pateikti ne originalų dokumentą, o jo apibendrintą ar nuasmenintą versiją. Tai ypač tinka, kai DI prašoma padėti su struktūra, stiliumi ar idėjomis, o ne su tiksliomis detalėmis.

Anonimizuojant svarbu ne tik ištrinti akivaizdžius asmens duomenis, bet ir įvertinti kontekstą: kartais net specifiniai pareigų pavadinimai, retas derinys tarp veiklos srities ir vietos ar konkretūs įvykiai gali leisti lengvai atpažinti žmogų ar organizaciją.

Praktiniai pavyzdžiai, kaip keisti užklausas

• Vietoj konkrečių vardų ir pavardžių naudokite neutralias žymes, pavyzdžiui, „darbuotojas A“, „klientas B“.
• Konkrečią datą galima pakeisti intervalais, pavyzdžiui, „2023 metų pavasarį“ vietoj „2023 metų balandžio 29 dieną“.
• Pagalvokite, ar tikrai būtina nurodyti tikslias sumas, adresus ir įmonės pavadinimą, ar pakanka aprašyti situaciją bendriau.

Tokiu būdu išsaugote galimybę gauti stilistinę ar struktūrinę pagalbą, bet gerokai sumažinate riziką netyčia atskleisti tai, kas neturėtų išeiti už organizacijos ribų.

Organizacijos atsakomybė: taisyklės ir mokymai

Privatumo klausimas neturėtų būti paliktas vien atskirų darbuotojų sąžinei. Jei įmonėje skatinama naudoti DI įrankius, kartu turėtų atsirasti aiškios vidinės taisyklės ir trumpi, suprantami paaiškinimai, kas leidžiama, o kas ne.

Praktiškai tai gali reikšti kelis paprastus žingsnius: nustatyti, kokius įrankius galima naudoti darbui, parengti trumpą rekomendacijų sąrašą ir reguliariai priminti darbuotojams apie duomenų apsaugos reikalavimus.

Ką verta aptarti vidinėse gairėse

• Kokios duomenų rūšys laikomos konfidencialiomis ir jokiu atveju neturėtų atsidurti viešuose DI įrankiuose.
• Kaip elgtis su klientų informacija ir kokios teisinės pasekmės gali kilti ją neteisėtai perdavus.
• Kokie patvirtinti įrankiai ir ar jie siūlo papildomas apsaugos opcijas, pavyzdžiui, galimybę išjungti duomenų naudojimą modelių tobulinimui.

Toks aiškumas mažina neapibrėžtumą ir padeda darbuotojams drąsiau, bet kartu apdairiau išnaudoti DI galimybes kasdieniame darbe.

Kaip rinktis DI įrankius su mažesne privatumo rizika

Ne visi DI sprendimai vienodi. Kai kurie tiekėjai siūlo atskiras verslo licencijas, kuriose numatytos griežtesnės duomenų tvarkymo taisyklės, aiškesnės sutartinės garantijos ir papildomos valdymo funkcijos.

Renkantis įrankius, verta atkreipti dėmesį ne tik į funkcijas ar kainą, bet ir į privatumo politiką, duomenų saugojimo laiką, galimybę ištrinti istoriją ir aiškias nuostatas dėl duomenų naudojimo modelio mokymui.

Klausimai, kuriuos verta užduoti tiekėjui

• Ar įkelti duomenys naudojami modelių tobulinimui, ar jie tik apdorojami ir ištrinami?
• Kur fiziškai saugomi serveriai ir ar tiekėjas laikosi ES duomenų apsaugos taisyklių?
• Ar yra galimybė centralizuotai valdyti paskyras, nustatyti naudojimo ribas ir stebėti, kaip įrankis taikomas organizacijoje?

Atsakymai į šiuos klausimus padeda aiškiau suprasti, kokią atsakomybę prisiima tiekėjas, o kas lieka organizacijos rūpesčiu.

Subalansuotas požiūris: nei demonizuoti, nei idealizuoti

DI įrankiai nėra nei magiškas sprendimas visoms darbo problemoms, nei savaime pavojingas įrankis, kurio reikėtų vengti. Svarbiausia suprasti, kokią kainą sumokame už patogumą, ir sąmoningai valdyti šią riziką.

Praktikoje tai reiškia dvi kryptis: mokėti pasinaudoti DI privalumais ten, kur nereikia jautrių duomenų, ir turėti aiškią ribą, už kurios prasideda sritis, kur jau geriau rinktis vidinius įrankius, žmogišką konsultaciją arba papildomas apsaugos priemones.

Tokiu būdu dirbtinis intelektas biure tampa ne grėsme privatumui, o naudingas, bet gerai prižiūrimas pagalbininkas.