Что считается персональными данными
По закону «О персональных данных и их защите» это любые сведения, относящиеся к определённому или определяемому человеку: фамилия, телефон, ИИН, адрес, фото, а также данные о здоровье и покупках, если по ним можно установить человека. Переписка клиента с ассистентом, где он называет имя и номер, подпадает под определение.
Закон требует получить согласие на сбор и обработку, определить цели, хранить данные в базах на территории Казахстана и принять меры защиты. Это относится к любому бизнесу, который работает с казахстанскими пользователями, а не только к крупным компаниям. Нормы периодически обновляются, поэтому перед запуском стоит свериться с актуальной редакцией или с юристом.
Что делать с ИИ на практике
- Согласие в диалоге
- Ассистент в начале сообщает, что обрабатывает данные для записи и ответов, и просит согласие. Факт согласия сохраняется вместе с перепиской.
- Хранение в Казахстане
- Базы клиентов и история диалогов лежат на серверах в РК. Это снимает главный вопрос проверяющих о локализации.
- Минимум для модели
- В языковую модель уходит только текст, нужный для ответа. Телефоны, ИИН и адреса скрываются или заменяются метками, где это возможно.
- Роли и доступ
- Переписки видят только те сотрудники, которым это нужно по работе. Все обращения к данным фиксируются в журнале.
Регламент работы с ИИ в компании
- Список сервисов, которые разрешено использовать, и тех, куда данные клиентов вставлять нельзя
- Правило для сотрудников: никаких клиентских списков в публичных чат-ботах
- Согласие клиента на обработку данных, включая автоматизированную
- Сроки хранения переписок и порядок удаления по запросу клиента
- Назначенный ответственный за персональные данные
Тайна лучше, чем маскировка
Самый надёжный способ защитить данные — не отправлять их вовсе. Если задача решается без имени и телефона, их не нужно показывать модели. Мы закладываем такой подход в архитектуру с самого начала.