Pajtueshmëri · Udhëzues
Agjentë të AI në përputhje me GDPR — çfarë kërkohet vërtet
GDPR vlen për çdo platformë agjentësh të AI që përpunon të dhëna personale të qytetarëve të BE-së, pavarësisht nga vendndodhja e ofruesit. Pajtueshmëria do të thotë më shumë se një shenjë „Ne jemi në përputhje": ajo kërkon një bazë ligjore për çdo aktivitet përpunimi, të drejta të subjekteve të të dhënave të implementuara në nivel të të dhënave, një AVV të nënshkruar midis klientit dhe ofruesit, ruajtje të izoluar për çdo qiramarrës, politikë transparente të trajnimit të modelit dhe regjistra auditimi që i rezistojnë një kontrolli rregullator. Veçanërisht për agjentët e AI, Neni 22 (vendimet e automatizuara) shton kërkesa të qarta: klienti — jo ofruesi — duhet të përcaktojë se kur është i nevojshëm rishikimi njerëzor.
GDPR i riformuluar për platformat e agjentëve të AI
Gjashtë parimet thelbësore nga Neni 5 i GDPR, të përkthyera në atë që ato nënkuptojnë për një ofrues agjentësh të AI.
Ligjshmëria, Drejtësia, Transparenca
Çdo aktivitet përpunimi kërkon një bazë ligjore (pëlqim, kontratë, interes legjitim etj.) të regjistruar për çdo veprim. Klientët marrin transparencë se si agjentët arsyetojnë dhe vendosin.
Kufizimi i Qëllimit
Të dhënat e mbledhura për një veprim të agjentit nuk mund të përdoren për një qëllim tjetër pa një bazë të re ligjore. Asnjë klauzolë „Ne i përdorim të dhënat tuaja për përmirësimin e produktit".
Minimizimi i të Dhënave
Agjentët aksesojnë vetëm fushat që u nevojiten për detyrën specifike. OAuth-2.0-Minimum-Scopes e zbatojnë këtë në nivel integrimi.
Saktësia
Daljet janë të verifikueshme; daljet e gabuara të agjentit mund të korrigjohen ose fshihen. Regjistri i auditimit gjurmon çdo version të çdo grupi të dhënash.
Kufizimi i Ruajtjes
Ruajtje e konfigurueshme nga klienti për çdo kategori të dhënash. Transkriptet e bisedave të agjentëve, regjistrimet e thirrjeve dhe ngjarjet e CRM-së kanë të gjitha TTL të konfigurueshme.
Integriteti dhe Konfidencialiteti
Kriptim në qetësi (AES-256) dhe në tranzit (TLS 1.3). Izolim i qiramarrësit kriptografikisht, jo vetëm logjikisht. Objektivi i Auditimit SOC 2 Type I Q3 2026.
10 implementime teknike që dëshmojnë pajtueshmërinë me GDPR
Një ofrues mund të pretendojë pajtueshmëri. Këto janë implementimet që ata tregojnë kur shfaqet një auditor.
Baza ligjore për veprim
Çdo veprim i agjentit dokumenton bazën e tij ligjore (pëlqim, kontratë, interes legjitim, detyrim ligjor). E eksportueshme për çdo subjekt të të dhënave me kërkesë.
Eksporti i aksesit të subjektit
Eksport me një klikim i gjithçkaje që platforma mban për një subjekt të dhënash të emërtuar — CRM, e-maile, transkripte thirrjesh, dalje të gjeneruara nga agjenti.
Fshirje në të gjithë qiramarrësin
Fshirja përhapet në çdo cache të agjentit dhe në grafikun e të dhënave të ndara brenda 30 ditësh. Asnjë „fshirje e butë" — heqje aktuale me dëshmi fshirjeje.
Eksport i strukturuar
Eksport i lexueshëm nga makina (JSON, CSV) i të gjitha të dhënave të klientit, jo vetëm të atyre personale. I ri-importueshëm në platformat konkurruese nëpërmjet skemave standarde.
Porta e rishikimit njerëzor
Vendimet me rrezik të lartë (pagesa mbi pragun, bllokime llogarish, klauzola kontratore me vlerë të lartë) kërkojnë miratim njerëzor si standard. E konfigurueshme sipas politikës së klientit.
Izolimi i qiramarrësit
Izolim kriptografik i qiramarrësit nga niveli i bazës së të dhënave e lart. Asnjë ruajtje vektoriale e ndarë, asnjë cache e ndarë e kërkesave ndërmjet klientëve.
AVV me listën e nën-përpunuesve
AVV i nënshkruar midis klientit dhe ofruesit. Lista e nën-përpunuesve (përfshirë ofruesit e LLM) e publikuar dhe e versionuar. Klientët informohen për ndryshimet e nën-përpunuesve me një afat kundërshtimi.
Regjistri i Auditimit
Regjistër auditimi i pandryshueshëm i çdo veprimi të agjentit: kohë-stampë, identitet agjenti, hyrje, dalje, besueshmëri, bazë ligjore, identifikues i subjektit të të dhënave. E eksportueshme për autoritetin mbikëqyrës.
Kriptim + Kontrolli i aksesit
AES-256 në qetësi, TLS 1.3 në tranzit. RBAC për operatorët njerëzorë. Agjentët e autentifikuar për çdo kërkesë. Rotacion i sekreteve sipas planit.
Pipeline e shkeljes
Zbulim → Triage → Njoftim i klientit brenda 72 orëve nga marrja në dijeni. E skriptuar dhe e praktikuar çdo tremujor.
Rreziqe të shpeshta të GDPR me agjentët e AI — dhe si t'i zbutni ato
Mënyrat e gabimit që kërkojnë auditorët. Çdo rrezik ka një model konkret zbutjeje.
Ofruesit e LLM-ve përdorin kërkesat tuaja për të trajnuar modelet e tyre.
Përdorni vetëm ofrues me klauzola të nënshkruara për mos-trajnimin mbi përmbajtjen e klientit. Verifikojeni këtë në AVV, jo vetëm në faqen e marketingut.
Transkriptet e bisedave rrjedhin përmes një ruajtjeje vektoriale të ndarë midis qiramarrësve.
Kërkoni embeddings të izoluar për çdo qiramarrës. Kërkoni ofruesit të tregojë strukturën e bazës së të dhënave — koleksionet e ndara janë një flamur i kuq.
Regjistrat e agjentëve përmbajnë të dhëna personale që ruhen përtej nevojës.
Ruajtje e regjistrave e konfigurueshme nga klienti për çdo kategori të dhënash. Parazgjedhje 90 ditë për të dhënat e pa-rregulluara, 10 vjet vetëm për grupet e të dhënave relevante për GoBD/Taksat.
Regjistrimet telefonike ruhen të ruajtura pa pëlqim të shprehur.
Agjenti i thirrjeve shpjegon regjistrimin në fillim të bisedës. Pëlqimi regjistrohet në regjistrin e auditimit me vulë kohore dhe identifikues të thirrësit. Fshirje me një klikim sipas kërkesës.
Nën-përpunuesit jashtë BE-së përpunojnë të dhëna personale.
Opsion i rezidencës së të dhënave vetëm në BE. Nëse përdoren nën-përpunues amerikanë, DPF (Data Privacy Framework) ose Klauzola Standarde Kontraktuale me Vlerësim të Verifikueshëm të Ndikimit të Transferimit.
Vendimet e agjentit nuk mund të kundërshtohen, sepse arsyetimi është jotransparent.
Çdo vendim i agjentit regjistron gjurmën e tij të arsyetimit. Personat e prekur marrin arsyetimin (në tekst të qartë) me kërkesë sipas nenit 15.
Një integrim i harruar ka ende OAuth-Tokens pas anulimit tuaj.
Revokimi i tokenit pas anulimit është automatik. Klienti mund të revokojë gjithashtu në burim (cilësimet e llogarisë Google/Microsoft) me një klikim.
Çfarë duhet të keni parasysh në AVV-në e ofruesit
Kërkoni shabllonin e AVV-së para blerjes, jo gjatë procesit të regjistrimit. Këto janë klauzolat që kanë më shumë rëndësi.
- ✓Klauzolë e shprehur 'Pa Trajnim': Përmbajtja e klientit nuk përdoret kurrë për trajnimin e modeleve, pa shkronja të vogla për heqjen dorë (opt-out).
- ✓Lista e nën-përpunuesve e bashkëngjitur, e versionuar dhe afati i njoftimit para ndryshimeve (minimumi 30 ditë)
- ✓Afatet kohore për kërkesat e subjekteve të të dhënave: Informacion sipas nenit 15 brenda 30 ditëve, Fshirje sipas nenit 17 brenda 30 ditëve, duke përfshirë kaskadën e përpunuesve downstream.
- ✓Të drejtat e auditimit: Klienti mund të kontrollojë kontrollet e sigurisë së ofruesit çdo vit ose më shpesh në raste të veçanta.
- ✓Njoftimi i shkeljes: 48 orë midis njohurisë së ofruesit dhe njoftimit të klientit (më i rreptë se raportimi 72-orësh i autoriteteve sipas GDPR).
- ✓Angazhimi për rezidencën e të dhënave: ku të dhënat ruhen, përpunohen, sigurohen — me shkrim, jo „tipikisht BE"
- ✓Kthimi dhe fshirja pas anulimit: Të dhënat në formë të transportueshme kthehen brenda 30 ditëve; Vërtetimi i fshirjes lëshohet brenda 60 ditëve.
- ✓Qartësi e kufirit maksimal të përgjegjësisë: posaçërisht për shkeljet e mbrojtjes së të dhënave, veçmas nga kufiri i përgjithshëm maksimal i përgjegjësisë.
- ✓Ligji i zbatueshëm dhe juridiksioni: idealisht shteti anëtar i BE-së i klientit, jo juridiksioni i vendit të ofruesit.
Lista kontrolli e GDPR për blerësit e agjentëve të AI — 12 pika
Printojeni këtë. Dërgojani ofruesit para kontratës. Nëse një përgjigje është „Ne po punojmë për këtë", shtyjeni blerjen.
Marrëveshja e Përpunimit të të Dhënave
A nënshkruan ofruesi një AVV në përputhje me GDPR si standard, jo të negociuar për çdo klient?
Pa trajnim kontraktualisht
A shkruhet „Ne nuk trajnohemi kurrë me përmbajtjen e klientit" në vetë AVV-në, jo vetëm në faqen e internetit?
Izolimi i qiramarrësit
A është izolimi i qiramarrësit kriptografik — çelësa të veçantë enkriptimi për çdo klient — apo vetëm ndarje logjike?
Transparenca e Nën-Përpunuesve
A ekziston një listë publike e nën-përpunuesve me historik versionesh? A është listuar ofruesi i LLM?
Rezidenca e të Dhënave
Ku ruhen, përpunohen dhe sigurohen të dhënat e klientit? A është opsion vetëm BE-ja?
Eksporti i të Drejtës së Qasjes
A mund të aktivizoni një eksport të plotë sipas nenit 15 nga ndërfaqja e administratorit, apo kërkon një biletë mbështetjeje?
Kaskada e Fshirjes
A përhapet fshirja në të gjitha cache-t e agjentëve, dyqanet vektoriale dhe nën-përpunuesit brenda 30 ditëve?
Rishikimi Njerëzor sipas Nenit 22
A mund të konfiguroni cilat vendime të agjentit kërkojnë miratim njerëzor? Si standard, miratim për veprime shkatërruese.
Eksporti i Regjistrit të Auditimit
A është regjistri i auditimit i eksportueshëm në një format të përdorshëm për kërkesat e autoriteteve mbikëqyrëse (JSON, CSV)?
Afati Kohor i Njoftimit të Shkeljes
A angazhohet ofruesi t'ju njoftojë brenda 48-72 orëve pas marrjes dijeni për një shkelje?
Pëlqimi për Telefonata
Nëse përdoren agjentë zanorë, a trajton platforma rregullat e pëlqimit specifik për juridiksionin (dyanshëm në DE/AT/CH)?
Plani i Daljes
Nëse anuloni, a ekziston një proces i dokumentuar kthimi dhe fshirjeje me vërtetim fshirjeje?
Pyetje të Shpeshta
A është një platformë agjenti AI Kontrollues apo Përpunues sipas GDPR?+
Në pothuajse të gjitha skenarët e NVM-ve, klienti është Kontrolluesi dhe platforma e agjentit AI është Përpunuesi. Platforma operon sipas udhëzimeve të klientit, përpunon të dhënat në qiramarrjen e klientit dhe nuk përcakton qëllime përpunimi.
A i ndalon neni 22 (vendimet e automatizuara) agjentët e AI?+
Jo. Neni 22 kërkon që subjektet e të dhënave të kenë të drejtën e rishikimit njerëzor, për vendimet me pasoja ligjore ose thelbësore të ngjashme. Platformat e agjentëve AI janë në përputhje duke ofruar porta miratimi njerëzor të konfigurueshme për çdo lloj vendimi. Klientët (Kontrolluesit) konfigurojnë cilat vendime kalojnë nëpërmjet rishikimit njerëzor.
A mund të përdor një platformë agjenti AI me bazë në SHBA sipas GDPR?+
Po, nëse ofruesi operon sipas EU-US-Data Privacy Framework ose përdor Klauzola Standarde Kontraktuale me Vlerësim të Vlefshëm të Ndikimit të Transferimit. Pyesni para nënshkrimit për certifikimin DPF ose dokumentacionin SCC. Preferenca për ofruesit me bazë në BE e thjeshton këtë.
A bien agjentët e AI nën EU AI Act, përveç GDPR?+
Po. EU AI Act shton kërkesa për transparencë, klasifikim rreziku dhe mbikëqyrje njerëzore ndaj GDPR. Shumica e agjentëve të AI për biznes bien në kategorinë „rrezik i kufizuar" (kërkohet transparencë mbi përdorimin e AI), jo „rrezik i lartë". Agjentët zanorë bien gjithashtu nën rregullat e transparencës, të cilat kërkojnë zbulimin se përdoruesi po flet me AI.
Cili është faktori më i madh i rrezikut të GDPR për blerësit e agjentëve të AI?+
Klauzolat e trajnimit. Shumë ofrues kanë si standard opt-out-për-funksion për përmirësimin e modelit, gjë që praktikisht nuk është e zbatueshme për NVM-të me shumë përdorues. Këmbëngulni për standardin kontraktual 'Pa Trajnim' në AVV.
A kërkojnë regjistrimet e thirrjeve gjithmonë pëlqim sipas GDPR?+
Në Austri, Gjermani dhe Zvicër: po, të dyja palët duhet të japin pëlqimin para regjistrimit. Në shtetet e tjera anëtare të BE-së, rregullat e pëlqimit ndryshojnë. Një platformë agjenti zanor konform shpjegon regjistrimin në fillim të bisedës dhe regjistron pëlqimin në regjistrin e auditimit — kështu funksionon në të gjitha juridiksionet.
Sa gjatë duhet t'i ruaj regjistrat e auditimit të agjentit?+
Për të dhënat e biznesit të pa-rregulluara: Zgjedhja e klientit, Parazgjedhur 90 ditë. Për veprimet relevante për taksat (faturat, pagesat): 10 vjet sipas GoBD (DE) / RGS (AT). Agjenti i pajtueshmërisë i ndan të dyja, në mënyrë që të mos ruani të dhënat jo-tatimore për një kohë të tepërt.
Merrni AVV-në para blerjes
Rezervoni një sesion 30-minutësh me ekipin tonë të pajtueshmërisë. Ne do të shqyrtojmë AVV-në e plotë, listën e nën-përpunuesve dhe do t'u përgjigjemi protokollarish secilës prej 12 pyetjeve të listës së kontrollit.