基于法学硕士的聊天机器人和数据保护

fabiha01

ChatGPT、Luminous 或 Gemini 等大型语言模型 (LLM) 可以使工作更轻松的想法对员工来说也很有吸引力，并鼓励他们使用此类工具。如果公司没有提前向员工提供关于使用此类工具的明确指导，这可能会成为问题。这样就存在这样的风险：员工会主动使用此类工具，而数据保护合规使用所必须遵守的规则将被忽视。

这一风险不容小觑，因为该问题早已引起数据保护监督机构的关注。我们已经报道过 DSK 的指导文件 “人工智能和数据保护”，该文件重点关注这些大型语言模型的考虑。汉堡监管机构于 2023 年 11 月以清单的形式发布了对该问题的更清晰的介绍。该清单共包含 15 个方面，旨在为基于 LLM 的聊天机器人的数据保护合规使用提供指南。由于本清单也为公司和当局提供了良好的指导，因此本清单中最重要的几点以缩写形式列示如下：

没有明确的规则就行不通
监管机构建议制定明确的规定，规定基于法学硕士学位的聊天机器人是否以及在何种条件下可以在公司或公共机构中使用。为了使法规更容易理解，监管机构还建议提供允许和禁止用途的示例。在制定此类内部规定时，建议让数据保护官参与。除了现有的法规外，还应该让员工意识到使用人工智能工具的问题及其风险。

账户的创建和使用
基于 LLM 的聊天机器人的使用通常只能与创建帐户结合进行。监管机构建议在这种情况下提供专业账户。这可以防止使用私人数据来创建帐户。如果可能的话，这些专业账户也不应以个人员工的名义开设。例如，如果要求提供电子邮件地址，监管机构建议创建一个不涉及单个员工的功能性电子邮件地址。那么，提供商业账户也应排除任何私人使用。工作帐户还应具有安全身份验证，即应该使用强密码，并且如果可能的话，还应集成其他身份验证因素。

Chat-GPT 现在还提供无需创建此类帐户即可使用它的选项。但从以下几个方面可以看出，即使没有注册使用该服务也存在风险。

个人数据的处理
如果聊天机器人提供商也将输入的数据用于自己的目的，通常包括进一步培训和改进底层人工智能，这通常意味着这种数据处理没有法律依据，因此不能将任何个人数据输入聊天机器人。在这样做时，不仅要确保没有输入特定的个人数据，而且还要避免可能用于识别个人身份的信息。聊天机器人本身也不应在其结果中传递任何个人数据。因此，在输入掩码时必须小心，以确保不会提出任何可以通过使用聊天机器人数据库中的附加信息来建立对个人的引用的问题。

退出选项
聊天机器人通常会提供拒绝将输入的数据用于培训目的以及拒绝将以前输入的数据存储在历史记录中的选项。监管机构建议使用此类选项。然而，这些退出选项目前与账户的使用有关。例如，美国商业传真列表 ChatGPT 在无需账户即可使用的版本中不提供此类选项。

正确处理结果
即使是机器也并非没有错误。用户有责任核实聊天机器人提供的结果是否真实正确且不带有歧视性。看似合乎逻辑且正确的结果可能实际上是错误的。即使没有直接的个人提及，如果以歧视性的方式提及特定群体，结果也可能具有歧视性。监管机构举了一个招聘广告的例子，该广告推荐男性戴眼镜的人。

在此背景下，特别需要强调的是，机器不应该做出最终决定。具有法律效力的决定只能由人类做出，而不是由机器做出。

除了数据保护之外，还存在其他问题
基于 LLM 的聊天机器人的使用还涉及数据保护以外的问题。例如，还应考虑商业秘密和版权的保护。该问题需要超越数据保护问题的差异化法律讨论。