ChatGPT у компанії: GDPR, AI Act і правила користування для команди
У більшості компаній працівники вже користуються ChatGPT, часто з особистих акаунтів і без правил. Ризик не в самому інструменті, а в тому, що туди копіюють: дані клієнтів, комерційні пропозиції, кадрові питання. У статті показуємо, як перетворити стихійне використання на кероване: правильний тариф, чіткі правила й обов'язки за GDPR та Регламентом ЄС про ШІ.
Головна проблема — особисті акаунти
В особистих акаунтах введені дані залежно від налаштувань можуть використовуватися для навчання моделей, немає договору обробки даних із вашою компанією, і ви не бачите, хто що вводив. Бізнес-тарифи OpenAI (ChatGPT Business і Enterprise) та API створені саме для цього: введені дані за замовчуванням не використовуються для навчання, є договір обробки даних з OpenAI Ireland як стороною для ЄЕЗ, а акаунти керуються централізовано.
Для Enterprise, Edu та API OpenAI також пропонує зберігання даних у Європі. Перевірте до підписання, чи доступне це для вашого тарифу. Те саме стосується Microsoft Copilot, Google Gemini чи Claude: вирішальний бізнес-тариф із договором, а не модель.
Що туди не вводити
Навіть із бізнес-тарифом проведіть чіткі межі. Без окремої перевірки не вводьте:
- Персональні дані клієнтів, кандидатів чи працівників, якщо вони не потрібні для задачі; часто досить замінити імена заповнювачами.
- Дані про здоров'я та інші особливі категорії за ст. 9 GDPR.
- Комерційну таємницю, неопубліковані цифри, паролі.
- Дані, на які поширюється обов'язок конфіденційності.
Обов'язки за AI Act
За ст. 4 Регламенту ЄС про ШІ організації, що використовують системи ШІ, мають вживати заходів для розвитку ШІ-грамотності працівників, які з ними працюють. Регламент Digital Omnibus у 2026 році пом'якшив цей обов'язок, але не скасував. На практиці це коротке навчання про те, як працюють інструменти, їхні межі й типові помилки, плюс задокументовані правила.
З серпня 2026 року згенерований ШІ текст, що публікується для інформування суспільства з питань суспільного інтересу, має бути позначений, якщо його не перевірила редакційно людина. Для звичайних маркетингових текстів, які перевіряє й за які відповідає працівник, це рідко актуально.
Правила користування на одну сторінку
Добрі правила досить короткі, щоб їх прочитали. Вони відповідають:
- Які інструменти й з яким акаунтом дозволені, і що особисті акаунти для даних компанії заборонені.
- Які дані не можна вводити, з прикладами з вашої роботи.
- Що результати треба перевіряти перед відправленням клієнтам; ШІ вигадує факти, джерела й цифри.
- До кого звертатися з питаннями й запитами на нові інструменти.
Документація з захисту даних і рада працівників
Внесіть використання до реєстру операцій обробки, підпишіть договір обробки даних і перевірте, чи не потрібна для окремих сценаріїв оцінка впливу на захист даних, наприклад для аналізу даних про працівників. Якщо у вашій німецькій компанії є рада працівників (Betriebsrat), залучайте її рано: інструменти, що можуть контролювати поведінку чи результативність працівників, потребують її погодження за § 87(1) п. 6 BetrVG. З вибором інструмента, правилами й навчанням допомагаємо в межах консультацій від €60 за годину.
Часті питання
- Чи взагалі можна користуватися ChatGPT відповідно до GDPR?
- Так, із бізнес-тарифом, договором обробки даних і чіткими правилами щодо того, які дані вводяться. Головна проблема — використання особистих акаунтів для даних компанії.
- Чи можна просто заборонити ChatGPT?
- Можна, але заборони часто обходять. Дозволений інструмент із чіткими правилами зазвичай захищає дані краще, ніж заборона, яку ніхто не контролює.
- Чи потрібне навчання ШІ для всіх?
- Для всіх, хто використовує ШІ-інструменти в роботі, мають бути заходи з ШІ-грамотності. Для початку зазвичай досить короткого задокументованого навчання з прикладами з вашої компанії.
Джерела
Розкажіть, для чого ваша команда зараз використовує ШІ. Ми запропонуємо інструмент, тариф і правила на одну сторінку та навчимо команду на прикладах із вашої роботи.
Упорядкувати використання ШІ