Często tak, ale odpowiedź zależy od czterech decyzji, a nie od marki modelu: gdzie przechowywane są dane, gdzie działa model, kto pełni rolę podmiotu przetwarzającego i czy dane osobowe po drodze przekraczają granicę. Podejmij te decyzje dla każdego przebiegu pracy, zapisz je i potwierdź z prawnikiem. To nie jest porada prawna.
#Najważniejsze wnioski
- O zgodności z przepisami nie decyduje nazwa modelu, tylko przechowywanie, miejsce działania modelu, podmiot przetwarzający i przekazywanie danych.
- Miejsce działania modelu ma takie samo znaczenie jak miejsce przechowywania, bo każde wywołanie modelu przetwarza dane tam, gdzie model działa.
- To, które modele dostawca oferuje w jakim kraju, często się zmienia, więc uzyskaj aktualną listę regionów na piśmie, z datą.
- Najpierw wybierz hosting, a dopiero potem model, inaczej pilotaż może nigdy nie zostać dopuszczony na produkcję.
- Nic z tego nie jest poradą prawną: twój prawnik potwierdza podstawę prawną, zanim zostaną użyte jakiekolwiek dane klientów.
#Czego dotyczą przepisy o ochronie danych w ZEA i Arabii Saudyjskiej?
W ZEA dane osobowe reguluje federalny dekret z mocą ustawy nr 45 z 2021 roku o ochronie danych osobowych (portal rządu ZEA). W Arabii Saudyjskiej ustawa o ochronie danych osobowych (PDPL) jest w pełni egzekwowana od 14 września 2024, a regulatorem jest SDAIA (Clyde & Co, wrzesień 2024).
Obie ustawy regulują sposób przetwarzania i przekazywania danych osobowych. Czego wymagają w przypadku twojego konkretnego przebiegu pracy i jak traktują wywołanie modelu wykonane z innego kraju, to pytania do twojego prawnika. Ten wpis podaje decyzje, z którymi warto przyjść na tę rozmowę. Nie stanowi porady prawnej, więc każdy punkt potwierdź z prawnikiem.
#Dlaczego liczy się miejsce działania modelu, a nie tylko przechowywania?
Wiele zespołów sprawdza, gdzie znajduje się baza danych, i na tym poprzestaje. Ale za każdym razem, gdy przebieg pracy wysyła rekord klienta do modelu, ten rekord jest przetwarzany tam, gdzie działa model. Jeśli dane są przechowywane w kraju, a model działa w innym regionie, dane osobowe i tak podróżowały. Poproś dostawcę o podanie na piśmie regionu działania każdego modelu, z datą potwierdzenia.
To samo dotyczy dzienników, pamięci podręcznej promptów, kopii do ewaluacji i dostępu wsparcia technicznego dostawcy. W każdym z tych miejsc dane klientów mogą się znajdować lub mogą zostać odczytane. Wypisz je obok głównej bazy danych, a nie po niej.
#Które modele AI można hostować w ZEA lub Arabii Saudyjskiej?
Nie wskażemy tu modelu i kraju, bo dostępność w regionach ustala każdy dostawca chmury i dostawca modeli, a zmienia się ona z każdym nowym wydaniem. Poproś dostawcę o aktualną listę regionów dla dokładnej wersji modelu, której zamierzasz użyć. Uzyskaj ją na piśmie, zachowaj datę i sprawdź ponownie przed każdym nowym przebiegiem pracy.
Do porównania zwykle są model oferowany przez dostawcę chmury w regionie krajowym, model z otwartymi wagami uruchamiany na infrastrukturze, którą kontrolujesz, oraz własne API dostawcy modelu. Każda z tych opcji inaczej odpowiada na poniższe decyzje, więc porównuj je pod kątem tych decyzji, a nie wyników w rankingach.
#Co zapisać dla każdego przebiegu pracy?
- Przechowywanie: gdzie znajdują się dane źródłowe, dzienniki i wszelkie kopie oraz kto może je odczytać.
- Działanie modelu: region, w którym model działa dla tego przebiegu pracy, potwierdzony na piśmie przez dostawcę, z datą.
- Podmiot przetwarzający: kto przetwarza dane w twoim imieniu, czy dostawca modelu, dostawca chmury, czy obaj, i co mówi umowa.
- Przekazywanie transgraniczne: czy którykolwiek krok wysyła dane osobowe poza kraj i jaką podstawę prawną potwierdził dla tego prawnik.
- Minimalizacja: których pól model faktycznie potrzebuje. Imiona i nazwiska, identyfikatory i numery kont często można zamaskować przed wywołaniem.
Kwestię podmiotu przetwarzającego omówiliśmy szczegółowo we wpisie kto jest podmiotem przetwarzającym, gdy AI działa w twojej chmurze. Traktuj też tekst od klientów jako niezaufane dane wejściowe: prompt injection to pierwsze ryzyko na liście OWASP top 10 dla aplikacji LLM.
We are
Stennir opisuje przechowywanie, miejsce działania modelu, podmiot przetwarzający i przekazywanie danych dla każdego przebiegu pracy, hostuje tam, gdzie wymagają twoje zasady, a konta, dane i wyłącznik pozostają twoją własnością.
We aren't
Stennir nie jest kancelarią prawną i nie wydaje opinii prawnych. Twój prawnik potwierdza podstawę prawną, zanim cokolwiek zacznie działać na danych klientów.
#Czy można zautomatyzować przebieg pracy bez przenoszenia danych do chmury w USA?
Często tak, jeśli wybierzesz hosting przed modelem. Zacznij od przebiegu pracy i danych, których dotyczy, wybierz wdrożenie, które utrzymuje przechowywanie i działanie modelu tam, gdzie wymagają twoje zasady, a potem wybierz model dostępny w tym miejscu. Wybór modelu na początku to droga do pilotażu, którego dział prawny nie dopuści na produkcję.
Kupujący zadają to pytanie także po arabsku: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». Schemat jest ten sam, a Stennir przechodzi przez niego z twoim zespołem po arabsku i po angielsku.
#Co powinien zrobić kierownik ds. Compliance lub operacji w następnej kolejności?
Wybierz jeden przebieg pracy, który dotyczy danych klientów, i uzupełnij dla niego pięć powyższych decyzji. Przynieś to zestawienie prawnikowi. Doradztwo AI uwzględnia region hostingu w rekomendowanej budowie, a wdrożenia AI uruchamiają przebieg pracy tam, gdzie wymagają twoje zasady. Zobacz AI dla compliance, wypełnij bezpłatną ocenę gotowości albo umów 30-minutową rozmowę.
#Najczęstsze pytania
Czy korzystanie z ChatGPT z danymi klientów w Arabii Saudyjskiej jest legalne?
To zależy od tego, jak dane są przetwarzane, przechowywane i przekazywane, a nie od nazwy produktu. PDPL egzekwuje SDAIA, a twój prawnik musi potwierdzić podstawę prawną dla każdego przebiegu pracy. To nie jest porada prawna. Przedstaw prawnikowi decyzje dotyczące przechowywania, działania modelu, podmiotu przetwarzającego i przekazywania danych dla konkretnego zastosowania.
Gdzie pozostają nasze dane?
Tam, gdzie zdecydujesz, osobno dla każdego przebiegu pracy. Stennir zapisuje region przechowywania, region działania modelu i każde miejsce, w którym może znajdować się kopia, na przykład dzienniki i pamięć podręczną. Konta są na twoje nazwisko, więc sam widzisz ustawienia i możesz je zmienić lub zamknąć bez pytania nas o zgodę.
Czego potrzebujecie od nas na start?
Przebiegu pracy, który masz na myśli, pól, których dotyczy, twoich obecnych umów z dostawcami chmury i innymi dostawcami oraz osoby kontaktowej w dziale prawnym lub compliance. Mając to, można podjąć decyzję o hostingu przed wyborem modelu, a ta kolejność pozwala pilotażowi później trafić na produkcję.
Co może pójść nie tak?
Typowy błąd to sprawdzenie przechowywania i pominięcie miejsca działania modelu: baza danych zostaje w kraju, a każde wywołanie modelu trafia gdzie indziej. Inne to dzienniki przechowywane w innym regionie, pracownicy wsparcia dostawcy z możliwością czytania promptów i dostawca zmieniający listę regionów po podpisaniu umowy. Sprawdzaj listę ponownie przed każdym nowym przebiegiem pracy.
