Baze de cunoștințe AI și confidențialitate: 7 întrebări pe care orice furnizor de servicii ar trebui să le pună înainte de a înregistra conversațiile cu clienții

De ce acest articol

O bază de cunoștințe AI care înregistrează, transcrie și face conversațiile cu clienții ușor de căutat reprezintă un câștig major de productivitate pentru furnizorii de servicii. Am scris anterior despre cum bazele de cunoștințe AI pe proiect devin, în sfârșit, inteligente pornind de la compania ta—dar de îndată ce începi să captezi voce, video sau chat, discuția trece de la „instrument util” la „evaluare juridică”.

Acest articol este o listă de verificare cu șapte întrebări la care trebuie să poți răspunde înainte de a implementa un instrument precum Symphoria (un partener al Wux Webtools și platforma pe care o folosim noi înșine) sau o alternativă. Întrebările se bazează pe GDPR, Regulamentul UE privind IA, ghidurile EDPB și practica de zi cu zi a furnizorilor de servicii neerlandezi care vor să rămână conformi fără ca procesul de conformitate să blocheze activitatea.

Contextul: ești un furnizor de servicii—consultanță, dezvoltator, agenție de marketing, contabil—care ajută clienții cu proiecte ce durează luni și generează zeci de conversații. Vrei ca un AI să rezume aceste conversații, să extragă elemente de acțiune și să răspundă la întrebări precum „ce a spus clientul săptămâna trecută despre buget?”. Este posibil. Dar nu fără aceste șapte răspunsuri.

1. Cine își dă consimțământul pentru înregistrare—și cum îl înregistrezi?

GDPR cere un temei legal pentru orice prelucrare a datelor cu caracter personal (Art. 6). Pentru înregistrările conversațiilor, de obicei ai nevoie de consimțământ (Art. 6(1)(a)) sau de interes legitim (Art. 6(1)(f)). Consimțământul trebuie să fie prealabil, specific, informat și liber exprimat (Art. 7). Asta înseamnă: fără căsuțe bifate în prealabil, fără clauze ascunse în termeni și condiții și, cu siguranță, fără „înregistrăm dacă nu vă opuneți”.

Ce vrei să vezi: Un moment clar de opt-in înainte ca prima conversație să fie înregistrată. Poate fi o căsuță de bifat în onboardingul proiectului („Sunt de acord cu înregistrarea ședințelor în scopul documentării proiectului și al suportului AI”), o confirmare verbală la începutul unui apel („Acest apel este înregistrat pentru baza noastră internă de cunoștințe—sunteți de acord?”) sau un e-mail separat de consimțământ. Consimțământul trebuie jurnalizat: cine, când, în ce scop și cu ce formulare.

Cum rezolvă Symphoria acest lucru: Symphoria oferă un strat de consimțământ per proiect. Înainte ca o înregistrare să înceapă, sistemul solicită explicit consimțământul tuturor participanților. Acest consimțământ este stocat cu marcaj temporal și adresă IP și poate fi retras per proiect. Acest lucru facilitează respectarea Art. 7(3) GDPR („retragerea consimțământului trebuie să fie la fel de simplă ca acordarea lui”).

2. Unde sunt stocate fizic datele și ce lege se aplică?

În principiu, GDPR interzice transferurile de date cu caracter personal către țări din afara SEE fără garanții adecvate (Art. 44-50). După hotărârea Schrems II (2020), clauzele contractuale standard (SCC) nu mai sunt suficiente dacă destinatarul este supus unei legislații de supraveghere precum FISA 702 în SUA. Regulamentul UE privind IA (2024) adaugă un strat suplimentar: sistemele AI cu risc ridicat trebuie să îndeplinească cerințe de transparență și audit care sunt dificil de impus dacă datele sunt stocate în afara UE.

Ce vrei să vezi: O declarație clară despre locul în care datele sunt stocate fizic (ce centru de date, ce țară), ce subprocessatori au acces și dacă acele părți sunt supuse unei legislații de supraveghere non-europene. Ideal: stocare în UE, cu un furnizor care nu are o companie-mamă în SUA sau care oferă explicit un mod „doar UE”.

Cum rezolvă Symphoria acest lucru: Symphoria rulează integral pe infrastructură europeană (AWS eu-west-1, Frankfurt) și nu folosește subprocessatori din SUA pentru stocarea sau prelucrarea transcrierilor. Acest lucru facilitează conformitatea cu Schrems II fără evaluări de impact complexe.

3. Ce model prelucrează transcrierile și sunt ele folosite pentru antrenare?

Majoritatea bazelor de cunoștințe AI folosesc un LLM extern (OpenAI, Anthropic, Google) pentru a prelucra transcrierile. Asta ridică două întrebări: (1) sunt transcrierile folosite pentru a antrena modelul? și (2) cine are acces la prompturi și răspunsuri? Termenii API ai OpenAI afirmă din martie 2023 că datele trimise prin API nu sunt folosite pentru antrenare—cu excepția cazului în care optezi explicit printr-un program separat. Dar această garanție nu se aplică tuturor furnizorilor și, cu siguranță, nu accesului gratuit sau de „cercetare”.

Ce vrei să vezi: O declarație explicită că transcrierile nu sunt folosite pentru antrenarea modelului și că, după prelucrare, ele nu mai sunt accesibile furnizorului LLM. Acest lucru trebuie inclus în acordul de prelucrare a datelor, nu doar într-un FAQ. Bonus: platforma folosește un model pe care îl poți găzdui singur (de exemplu, Llama, Mistral) sau un furnizor european cu o clauză strictă de neutilizare pentru antrenare.

Cum rezolvă Symphoria acest lucru: Symphoria folosește API-ul OpenAI cu un Business Associate Agreement (BAA) și o clauză de neutilizare pentru antrenare. Transcrierile sunt prelucrate prin API, dar nu sunt stocate de OpenAI și nu sunt incluse în versiuni viitoare ale modelului. Acest lucru este precizat explicit în lista de subprocessatori.

4. Cât timp păstrezi înregistrările și embeddingurile și cine le poate șterge?

GDPR cere ca datele cu caracter personal să nu fie păstrate mai mult decât este necesar pentru scopul în care au fost colectate (Art. 5(1)(e): limitarea stocării). Pentru o bază de cunoștințe AI, asta înseamnă că trebuie să poți explica de ce o înregistrare de acum șase luni este încă relevantă și trebuie să ai un proces pentru ștergerea datelor vechi. Acest lucru se aplică și datelor derivate: embeddingurile (reprezentări vectoriale ale textului) sunt date cu caracter personal dacă pot fi corelate cu o persoană.

Ce vrei să vezi: O perioadă de retenție configurabilă per proiect (de exemplu, „șterge automat înregistrările după 12 luni”), un buton care îi permite unui manager de proiect să șteargă manual o înregistrare și o garanție că ștergerea afectează și embeddingurile și indexurile—nu doar fișierul audio. Ideal: un jurnal de audit care arată când a fost șters ceva și de către cine.

Cum rezolvă Symphoria acest lucru: Symphoria oferă o „politică de retenție” per proiect. Poți configura ștergerea automată a înregistrărilor după X luni, inclusiv transcrierile și embeddingurile. Ștergerea manuală este posibilă prin interfața proiectului, iar fiecare ștergere este înregistrată în traseul de audit.

5. Ce jurnale de audit sunt disponibile—poate un client să vadă ulterior ce s-a întâmplat cu conversația „lui”?

Transparența este un principiu central al GDPR (Art. 5(1)(a)). Asta înseamnă că trebuie să poți explica ce ai făcut cu datele unei persoane—chiar și ulterior. Pentru o bază de cunoștințe AI, asta înseamnă că trebuie să poți arăta ce înregistrări au fost făcute, cine le-a vizualizat, ce interogări au fost rulate și dacă datele au fost exportate sau șterse. Fără jurnale de audit, nu poți răspunde la aceste întrebări și riști amenzi în cazul unei încălcări a securității datelor sau al unei reclamații.

Ce vrei să vezi: Un jurnal de audit per proiect care urmărește cel puțin: (1) cine a pornit o înregistrare, (2) cine a vizualizat o transcriere, (3) ce interogări au fost rulate asupra bazei de cunoștințe, (4) dacă datele au fost exportate și (5) dacă datele au fost șterse. Jurnalul trebuie să poată fi căutat și păstrat cel puțin 12 luni (mai mult dacă lucrezi într-un sector reglementat).

Cum rezolvă Symphoria acest lucru: Symphoria înregistrează toate acțiunile la nivel de proiect: înregistrări, vizualizări, interogări, exporturi și ștergeri. Aceste jurnale sunt accesibile proprietarului proiectului și pot fi exportate ca CSV. Acest lucru facilitează conformitatea cu o cerere de acces (Art. 15 GDPR) sau investigarea unui incident.

6. Care este strategia de ieșire? (Îți poți exporta baza de cunoștințe într-un format deschis?)

Vendor lock-in este un risc pentru orice instrument SaaS, dar în cazul unei baze de cunoștințe AI este deosebit de dureros: ai colectat luni de conversații, transcrieri și metadate, iar dacă nu le poți exporta, pierzi acele cunoștințe. GDPR îți oferă dreptul la portabilitatea datelor (Art. 20), dar acesta se aplică doar datelor pe care le-ai furnizat tu însuți—nu datelor derivate, precum embeddingurile sau rezumatele. Totuși, este înțelept să ceri să poți exporta totul, într-un format pe care îl poți importa la alt furnizor.

Ce vrei să vezi: Un buton de export care îți oferă cel puțin: (1) toate fișierele audio sau video, (2) toate transcrierile în text simplu sau JSON, (3) toate metadatele (marcaje temporale, participanți, etichete) și (4) ideal, și embeddingurile într-un format deschis precum Parquet sau JSONL. Bonus: exportul este automatizat și poate fi programat (de exemplu, backup săptămânal în propriul bucket S3).

7. Cine este operatorul împuternicit, cine este operatorul și este acest lucru documentat într-un acord de prelucrare a datelor?

GDPR distinge între operator (partea care stabilește de ce și cum sunt prelucrate datele cu caracter personal) și operatorul împuternicit (partea care prelucrează datele în numele operatorului). Ca furnizor de servicii, de obicei tu ești operatorul, iar baza de cunoștințe AI este operatorul împuternicit. Asta înseamnă că ai nevoie de un acord de prelucrare a datelor (Art. 28 GDPR) care stabilește precis ce poate face operatorul împuternicit, pentru cât timp, cu ce subprocessatori și ce se întâmplă în cazul unei încălcări a securității datelor.

Ce vrei să vezi: Un Data Processing Agreement (DPA) care respectă Art. 28(3) GDPR. Acesta trebuie să includă cel puțin: (1) obiectul și durata prelucrării, (2) natura și scopul prelucrării, (3) tipul de date cu caracter personal și categoriile de persoane vizate, (4) drepturile și obligațiile operatorului, (5) o listă a subprocessatorilor și (6) o procedură pentru încălcările securității datelor. Acest acord trebuie semnat înainte să începi să înregistrezi.

Cum rezolvă Symphoria acest lucru: Symphoria oferă un DPA standard care respectă Art. 28 GDPR. Îl poți semna prin interfața platformei, iar acesta este actualizat automat când se adaugă un nou subprocesator. Acest lucru facilitează menținerea conformității fără a implica o echipă juridică de fiecare dată.

Checklist TL;DR

• Consimțământ: Înregistrează consimțământul prealabil și specific—cu marcaj temporal și opțiune de retragere.
• Stocare: Verifică dacă datele sunt stocate în UE și nu sunt supuse unei legislații de supraveghere non-europene.
• Antrenare: Cere o garanție explicită că transcrierile nu sunt folosite pentru antrenarea modelului.
• Retenție: Stabilește o perioadă de retenție și asigură-te că ștergerea afectează și embeddingurile.
• Audit: Cere jurnale care arată cine a vizualizat, interogat și șters ce.
• Export: Verifică dacă poți exporta toate datele într-un format deschis.
• DPA: Semnează un acord de prelucrare a datelor înainte să începi să înregistrezi.

Ce înseamnă acest lucru pentru organizația ta

Dacă poți răspunde la aceste șapte întrebări, ești pe drumul cel bun. Dar reține: conformitatea nu este o listă de verificare bifată o singură dată. GDPR îți cere să verifici periodic dacă încă îndeplinești cerințele (Art. 24: „măsuri tehnice și organizatorice adecvate”), iar Regulamentul UE privind IA adaugă un strat suplimentar pentru sistemele cu risc ridicat. Asta înseamnă: audituri periodice, DPIA pentru cazuri noi de utilizare și un proces pentru răspunsul la cererile de acces și la încălcările securității datelor.

Vrei să vezi cum funcționează acest lucru în practică? Citește o săptămână cu o bază de cunoștințe AI: cum schimbă munca unui manager de proiect la un furnizor de servicii—un studiu narativ de caz în care arătăm exact cum apar aceste întrebări în practica de zi cu zi.

Lecția esențială: o bază de cunoștințe AI devine un câștig de productivitate doar dacă păstrezi încrederea clienților tăi. Iar această încredere se câștigă punând—și fiind capabil să răspunzi la—aceste întrebări înainte să apeși „record”.