Бази знания с ИИ и поверителност: 7 въпроса, които всеки доставчик на услуги трябва да зададе, преди да записва разговори с клиенти

Защо тази статия

База знания с ИИ, която записва, транскрибира и прави разговорите с клиенти търсими, е значителен тласък за продуктивността на доставчиците на услуги. По-рано писахме за това как базите знания с ИИ по проект най-накрая стават интелигентни благодарение на вашата компания — но щом започнете да улавяте глас, видео или чат, разговорът се измества от "полезен инструмент" към "правна оценка".

Тази статия е контролен списък от седем въпроса, на които трябва да можете да отговорите, преди да внедрите инструмент като Symphoria (партньор на Wux Webtools и платформата, която използваме сами) или алтернатива. Въпросите се основават на GDPR, EU AI Act, насоките на EDPB и ежедневната практика на нидерландски доставчици на услуги, които искат да останат в съответствие с изискванията, без това да спира работата им.

Контекстът: вие сте доставчик на услуги — консултантска компания, разработчик, маркетингова агенция, счетоводител — и помагате на клиенти с проекти, които продължават месеци и генерират десетки разговори. Искате ИИ да обобщава тези разговори, да извлича задачи за действие и да отговаря на въпроси като "какво каза клиентът миналата седмица за бюджета?". Това е възможно. Но не и без тези седем отговора.

1. Кой дава съгласие за записа — и как го документирате?

GDPR изисква правно основание за всяко обработване на лични данни (чл. 6). За записи на разговори обикновено ви е необходимо съгласие (чл. 6(1)(a)) или легитимен интерес (чл. 6(1)(f)). Съгласието трябва да бъде предварително, конкретно, информирано и свободно дадено (чл. 7). Това означава: без предварително отметнати полета, без скрити клаузи в общите условия и със сигурност без "записваме, освен ако не възразите".

Какво искате да видите: Ясен момент за изрично съгласие преди записването на първия разговор. Това може да бъде поле за отметка при началното въвеждане в проекта ("Съгласен/съгласна съм срещите да се записват за целите на проектната документация и поддръжката с ИИ"), устно потвърждение в началото на разговор ("Този разговор се записва за нашата вътрешна база знания — съгласни ли сте?") или отделен имейл за съгласие. Съгласието трябва да бъде регистрирано: кой, кога, за каква цел и с каква формулировка.

Как Symphoria решава това: Symphoria предлага слой за съгласие за всеки проект. Преди да започне запис, системата изрично иска съгласие от всички участници. Това съгласие се съхранява с времеви печат и IP адрес и може да бъде оттеглено за всеки проект. Това улеснява спазването на чл. 7(3) GDPR ("оттеглянето на съгласие е толкова лесно, колкото и даването му").

2. Къде физически се съхраняват данните и кое право се прилага?

По принцип GDPR забранява прехвърлянето на лични данни към държави извън ЕИП без подходящи гаранции (чл. 44-50). След решението Schrems II (2020) стандартните договорни клаузи (SCCs) вече не са достатъчни, ако получаващата страна е подчинена на законодателство за наблюдение като FISA 702 в САЩ. EU AI Act (2024) добавя още един слой: високорисковите системи с ИИ трябва да отговарят на изисквания за прозрачност и одит, които са трудни за прилагане, ако данните се съхраняват извън ЕС.

Какво искате да видите: Ясно изявление къде физически се съхраняват данните (кой център за данни, коя държава), кои подизпълнители имат достъп и дали тези страни са обект на неевропейско законодателство за наблюдение. В идеалния случай: съхранение в рамките на ЕС, при доставчик, който няма компания майка в САЩ или който изрично предлага режим "само ЕС".

Как Symphoria решава това: Symphoria работи изцяло върху европейска инфраструктура (AWS eu-west-1, Франкфурт) и не използва подизпълнители от САЩ за съхранение или обработване на транскрипции. Това улеснява спазването на Schrems II без сложни оценки на въздействието.

3. Кой модел обработва транскрипциите и използват ли се те за обучение?

Повечето бази знания с ИИ използват външен LLM (OpenAI, Anthropic, Google), за да обработват транскрипции. Това повдига два въпроса: (1) използват ли се транскрипциите за обучение на модела? и (2) кой има достъп до prompt-овете и отговорите? Условията за API на OpenAI посочват от март 2023 г., че данните, изпратени чрез API, не се използват за обучение — освен ако изрично не се включите чрез отделна програма. Но тази гаранция не важи за всички доставчици и със сигурност не за безплатен или "изследователски" достъп.

Какво искате да видите: Изрично изявление, че транскрипциите не се използват за обучение на модели и че след обработването те вече не са достъпни за доставчика на LLM. Това трябва да бъде включено в споразумението за обработване на данни, а не само в FAQ. Бонус: платформата използва модел, който можете да хоствате сами (напр. Llama, Mistral), или европейски доставчик със строга клауза за необучаване.

Как Symphoria решава това: Symphoria използва API на OpenAI с Business Associate Agreement (BAA) и клауза за необучаване. Транскрипциите се обработват чрез API, но не се съхраняват от OpenAI и не се включват в бъдещи версии на модела. Това е изрично посочено в списъка с подизпълнители.

4. Колко дълго съхранявате записи и embeddings и кой може да ги изтрие?

GDPR изисква личните данни да не се съхраняват по-дълго, отколкото е необходимо за целта, за която са събрани (чл. 5(1)(e): ограничение на съхранението). За база знания с ИИ това означава, че трябва да можете да обясните защо запис отпреди шест месеца все още е релевантен, и трябва да имате процес за изтриване на стари данни. Това важи и за производни данни: embeddings (векторни представяния на текст) са лични данни, ако могат да бъдат проследени обратно до дадено лице.

Какво искате да видите: Конфигурируем срок за съхранение за всеки проект (напр. "автоматично изтриване на записи след 12 месеца"), бутон, който позволява на проектен мениджър ръчно да изтрие запис, и гаранция, че изтриването засяга и embeddings и индексите — не само аудиофайла. В идеалния случай: одитен журнал, който показва кога нещо е било изтрито и от кого.

Как Symphoria решава това: Symphoria предлага "политика за съхранение" за всеки проект. Можете да конфигурирате записите да се изтриват автоматично след X месеца, включително транскрипциите и embeddings. Ръчно изтриване е възможно през интерфейса на проекта, а всяко изтриване се регистрира в одитната следа.

5. Какви одитни журнали са налични — може ли клиент по-късно да види какво се е случило с "неговия" разговор?

Прозрачността е основен принцип на GDPR (чл. 5(1)(a)). Това означава, че трябва да можете да обясните какво сте направили с нечии данни — дори впоследствие. За база знания с ИИ това означава, че трябва да можете да покажете кои записи са направени, кой ги е преглеждал, какви заявки са изпълнявани и дали данните са били експортирани или изтрити. Без одитни журнали не можете да отговорите на тези въпроси и рискувате глоби при нарушение на сигурността на данните или жалба.

Какво искате да видите: Одитен журнал за всеки проект, който проследява поне: (1) кой е стартирал запис, (2) кой е преглеждал транскрипция, (3) какви заявки са изпълнявани към базата знания, (4) дали данните са били експортирани и (5) дали данните са били изтрити. Този журнал трябва да може да се претърсва и да се съхранява поне 12 месеца (по-дълго, ако работите в регулиран сектор).

Как Symphoria решава това: Symphoria регистрира всички действия на ниво проект: записи, прегледи, заявки, експорти и изтривания. Тези журнали са достъпни за собственика на проекта и могат да бъдат експортирани като CSV. Това улеснява изпълнението на искане за достъп (чл. 15 GDPR) или разследването на инцидент.

6. Каква е стратегията за излизане? (Можете ли да експортирате базата си знания в отворен формат?)

Vendor lock-in е риск при всеки SaaS инструмент, но при база знания с ИИ е особено болезнен: събрали сте месеци разговори, транскрипции и метаданни и ако не можете да ги експортирате, губите това знание. GDPR ви дава право на преносимост на данните (чл. 20), но то се прилага само за данни, които сте предоставили сами — не и за производни данни като embeddings или резюмета. Все пак е разумно да изисквате да можете да експортирате всичко във формат, който можете да импортирате при друг доставчик.

Какво искате да видите: Бутон за експортиране, който ви дава поне: (1) всички аудио- или видеофайлове, (2) всички транскрипции в plain text или JSON, (3) всички метаданни (времеви печати, участници, тагове) и (4) в идеалния случай също embeddings в отворен формат като Parquet или JSONL. Бонус: експортът е автоматизиран и може да се планира (напр. седмично архивиране към ваш собствен S3 bucket).

7. Кой е обработващият, кой е администраторът и документирано ли е това в споразумение за обработване на данни?

GDPR прави разграничение между администратор (страната, която определя защо и как се обработват личните данни) и обработващ (страната, която обработва данни от името на администратора). Като доставчик на услуги обикновено вие сте администраторът, а базата знания с ИИ е обработващият. Това означава, че ви е необходимо споразумение за обработване на данни (чл. 28 GDPR), което точно определя какво може да прави обработващият, за колко дълго, с кои подизпълнители и какво се случва при нарушение на сигурността на данните.

Какво искате да видите: Data Processing Agreement (DPA), което отговаря на чл. 28(3) GDPR. То трябва да включва поне: (1) предмета и срока на обработването, (2) естеството и целта на обработването, (3) вида лични данни и категориите субекти на данни, (4) правата и задълженията на администратора, (5) списък на подизпълнителите и (6) процедура при нарушения на сигурността на данните. Това споразумение трябва да бъде подписано, преди да започнете да записвате.

Как Symphoria решава това: Symphoria предлага стандартно DPA, което отговаря на чл. 28 GDPR. Можете да го подпишете през интерфейса на платформата и то се актуализира автоматично при добавяне на нов подизпълнител. Това улеснява спазването на изискванията, без всеки път да включвате правен екип.

TL;DR контролен списък

• Съгласие: Регистрирайте предварително, конкретно съгласие — с времеви печат и възможност за отказ.
• Съхранение: Проверете дали данните се съхраняват в рамките на ЕС и не са обект на неевропейско законодателство за наблюдение.
• Обучение: Изисквайте изрична гаранция, че транскрипциите не се използват за обучение на модели.
• Съхранение във времето: Задайте срок за съхранение и се уверете, че изтриването засяга и embeddings.
• Одит: Изисквайте журнали за това кой какво е преглеждал, заявявал и изтривал.
• Експорт: Проверете дали можете да експортирате всички данни в отворен формат.
• DPA: Подпишете споразумение за обработване на данни, преди да започнете да записвате.

Какво означава това за вашата организация

Ако можете да отговорите на тези седем въпроса, сте на добър път. Но обърнете внимание: съответствието не е еднократен контролен списък. GDPR изисква редовно да проверявате дали все още отговаряте на изискванията (чл. 24: "подходящи технически и организационни мерки"), а EU AI Act добавя още един слой за високорисковите системи. Това означава: периодични одити, DPIA за нови случаи на употреба и процес за отговор на искания за достъп и нарушения на сигурността на данните.

Искате да видите как работи това на практика? Прочетете една седмица с база знания с ИИ: как тя променя работата на проектен мениджър при доставчик на услуги — разказен казус, в който показваме точно как тези въпроси възникват в ежедневната практика.

Основният урок: база знания с ИИ се превръща в тласък за продуктивността само ако запазите доверието на клиентите си. А това доверие се печели, като зададете — и можете да отговорите на — тези въпроси, преди да натиснете "record".